Podział obowiązków (SoD) wyjaśniony w prostych słowach

Istota Podziału Obowiązków w Organizacji

Podział obowiązków (ang. Segregation of Duties, SoD) stanowi fundamentalny element strategii zarządzania ryzykiem, niezbędny dla każdej organizacji.

Z raportu Association of Certified Fraud Examiners (ACFE) z 2022 roku wynika, że średnie straty firm spowodowane oszustwami dokonywanymi przez pracowników wynoszą około 1 783 000 USD na jeden przypadek. Ta alarmująca statystyka dobitnie pokazuje, dlaczego współczesne przedsiębiorstwa muszą priorytetowo traktować zrównoważone podejście do zarządzania ryzykiem, zwłaszcza w kontekście rosnącej liczby nadużyć, manipulacji i pomyłek.

SoD jest mechanizmem mającym na celu kontrolę, zarządzanie, a nawet minimalizację tych niebezpieczeństw, co przekłada się na lepszy nadzór organizacyjny, zwiększone bezpieczeństwo oraz podniesienie poziomu świadomości w całej strukturze firmy.

W niniejszym artykule przybliżymy pojęcie SoD, omówimy jego znaczenie oraz przedstawimy kluczowe terminy z nim powiązane.

Zapraszam do lektury, która pomoże Państwu odzyskać kontrolę nad bezpieczeństwem w organizacji!

Definicja Podziału Obowiązków

Podział obowiązków (SoD) to istotne założenie w ramach zarządzania ryzykiem i kontroli wewnętrznej, które zakłada, że różne etapy realizacji zadania są przydzielane różnym osobom. Jego celem jest zapobieganie nieautoryzowanemu dostępowi do informacji, nadużyciom, kradzieży i innym zagrożeniom bezpieczeństwa.

Chociaż jedno zadanie może być realizowane przez jedną osobę, to jest ono dzielone na mniejsze fragmenty. Takie podejście gwarantuje, że żaden pojedynczy pracownik nie posiada wyłącznej kontroli nad całością zadania ani zbyt szerokich uprawnień, które mogłyby zostać wykorzystane do nieautoryzowanych lub oszukańczych działań. Zamiast tego, odpowiedzialność za dane zadanie jest rozdzielana na co najmniej dwie osoby.

Obecnie SoD jest stosowany w wielu obszarach, takich jak księgowość, finanse, kadry, administracja, a także w strukturach politycznych, gdzie na przykład w demokracjach występuje trójpodział władzy na ustawodawczą, wykonawczą i sądowniczą.

SoD w Kontekście Zarządzania Ryzykiem

SoD opiera się na zasadzie współodpowiedzialności, zakładając, że zarządzanie organizacją lub przedsiębiorstwem nie może spoczywać na barkach jednej osoby. Nie należy dopuszczać do sytuacji, w której jeden pracownik ma pełną kontrolę nad realizacją zadania, co stwarza ryzyko wystąpienia nadużyć, błędów lub negatywnego wpływu na reputację firmy.

W praktyce, SoD jest nieodzownym elementem zarządzania ryzykiem i zgodności z przepisami prawa, takimi jak ustawa Sarbanes-Oxley Act (SOX) z 2002 roku.

Rozdzielenie obowiązków pomiędzy różnych pracowników obniża ryzyko, że pracownik lub podmiot zewnętrzny dopuści się:

• Nadużycia poufnych danych organizacyjnych
• Kradzieży środków finansowych
• Fałszowania dokumentacji (np. finansowej) w celu wprowadzenia w błąd interesariuszy lub zawyżania cen akcji
• Inicjowania działań odwetowych w odpowiedzi na rzekome nieprawidłowości
• Angażowania się w szpiegostwo korporacyjne

Brak odpowiedniej strategii, takiej jak SoD, może skutkować poważnymi konsekwencjami dla organizacji, zarówno w sferze finansowej, jak i w postaci kar za nieprzestrzeganie przepisów oraz utraty reputacji. Dlatego tak istotne jest wdrażanie SoD w całej strukturze przedsiębiorstwa, od działów księgowości i płac, aż po IT i cyberbezpieczeństwo.

Przykłady Zastosowania SoD

Przeanalizujmy kilka przykładów, gdzie podział obowiązków znajduje zastosowanie.

Księgowość

W dziale księgowości organizacje powinny unikać sytuacji, w której pojedyncze osoby uzyskują zbyt dużą władzę, umożliwiającą ukrywanie aktywów lub błędów finansowych.

Wdrożenie SoD wymaga dokładnej analizy wszystkich ról księgowych i rozdzielenia obowiązków w taki sposób, aby jedna osoba nie miała całkowitej kontroli nad daną funkcją. Na przykład, ta sama osoba nie powinna otrzymywać czeków i jednocześnie rejestrować ich wpływu.

Informatyka i Cyberbezpieczeństwo

Zasady SoD pomagają zapobiegać zagrożeniom związanym z kontrolą dostępu w dziale IT. Rozdzielenie obowiązków w przepływie pracy gwarantuje, że te same osoby lub grupy nie posiadają nadmiaru uprawnień dostępu.

Jeżeli jeden pracownik uzyska dostęp do władzy wykraczającej poza jego kompetencje, może to wykorzystać, udostępniając informacje osobom trzecim lub przyznając im dostęp do danych. Jednocześnie nikt inny nie jest tego świadomy, co może mieć katastrofalne skutki. Na przykład, ta sama osoba nie może odbierać alertów z systemów bezpieczeństwa i jednocześnie zarządzać uprawnieniami dostępu do tego systemu.

Zgodność i Kontrola

Wdrożenie solidnych strategii SoD pomaga eliminować błędy pracownicze, zarówno zamierzone, jak i nieumyślne. Pozwala również na wychwytywanie fałszywych zgłoszeń. W ten sposób można chronić organizację przed naruszeniami zasad zgodności. Na przykład, ta sama osoba nie powinna odpowiadać za sporządzanie sprawozdań finansowych i ich audyt.

Inne Przykłady

Przykładowo, ta sama osoba nie powinna być odpowiedzialna za:

• Tworzenie i zatwierdzanie zamówień
• Generowanie i zatwierdzanie faktur od dostawców
• Wystawianie faktur i wprowadzanie transakcji sprzedaży do księgi
• Wypłacanie wynagrodzeń i zatrudnianie nowych pracowników
• Ewidencjonowanie wpływów gotówkowych i tworzenie not korygujących
• Prowadzenie obrotu akcjami oraz zarządzanie fuzjami i przejęciami
• Konfigurowanie kupujących i zatwierdzanie zapotrzebowań lub zamówień zakupu

Korzyści Płynące z Wdrożenia SoD

Poniżej przedstawiono niektóre z zalet zastosowania SoD w organizacji:

#1. Zapobieganie i Wykrywanie Oszustw

Organizacje coraz częściej padają ofiarą oszustw, takich jak fałszowanie czeków, wyłudzanie gotówki, sprzeniewierzenie majątku, fałszowanie dokumentów, sfałszowane paragony i faktury, błędy w zapisach księgowych oraz inne.

Dzięki SoD można mieć pewność, że żadna pojedyncza osoba ani grupa nie jest odpowiedzialna za wszystkie etapy realizacji danego zadania, co skutecznie zniechęca do podejmowania prób oszustwa i jego ukrycia. Większa liczba osób zaangażowanych w proces oznacza, że istnieje większa szansa na wykrycie, zgłoszenie i zapobieganie oszustwom, zarówno tym zewnętrznym, jak i wewnętrznym.

#2. Redukcja Błędów Ludzkich

Właściwe wdrożenie SoD w organizacji znacząco redukuje liczbę błędów ludzkich oraz ryzyko z nimi związane w kluczowych procesach finansowych. Dotyczy to m.in. błędów takich jak niekompletna dokumentacja transakcji, zbyt mała liczba pracowników w dziale księgowości, błędy we wprowadzaniu danych, niedokładne audyty itp.

Angażowanie wielu osób w krytyczne procesy transakcyjne zwiększa szansę, że ewentualne błędy zostaną zauważone i skorygowane.

#3. Usprawnienie Audytów

Zmniejszenie prawdopodobieństwa wystąpienia błędów i nadużyć usprawnia proces prowadzenia dokumentacji w działach finansów, płac, księgowości, IT i cyberbezpieczeństwa. SoD pomaga w zapewnieniu porządku w dokumentacji, eliminując problemy takie jak duplikaty, kary za opóźnienia, ryzyko związane z brakiem zgodności z przepisami itp.

W ten sposób organizacja jest lepiej przygotowana do przeprowadzania audytów, niezależnie od tego, czy są to audyty roczne, półroczne czy kwartalne. To z kolei zwiększa pewność, że firma przestrzega przepisów i unika potencjalnych kar.

#4. Wzrost Efektywności

Niektórzy mogą uważać, że zwiększenie liczby osób zaangażowanych w proces prowadzi do spadku efektywności i wzrostu kosztów. Jednak właściwie zaplanowany podział obowiązków przyczynia się do zwiększenia wydajności. Dzieje się tak, ponieważ zadanie jest dzielone na mniejsze części, z których każda jest wykonywana przez wyspecjalizowaną osobę z większą dokładnością i szybkością.

Takie podejście nie tylko zmniejsza ryzyko, ale także zapewnia wyższą wydajność w porównaniu do sytuacji, w której całe zadanie realizuje jedna osoba. Ponadto koszty potencjalnych szkód wynikających z braku SoD są znacznie wyższe niż inwestycje w zatrudnienie dodatkowych pracowników.

Kluczowe Terminologie SoD

Aby lepiej zrozumieć ideę SoD, warto zapoznać się z poniższą terminologią:

#1. Konflikty SoD

Konflikt SoD występuje, gdy osoba działa wbrew interesom organizacji, przedkładając własne korzyści. Sytuacja taka ma miejsce, gdy pracownik gromadzi wiele ról, co umożliwia mu wykonywanie kilku ważnych funkcji w ramach danego procesu. Potencjalnie może to wpłynąć na integralność procesu i negatywnie odbić się na firmie.

Konflikty SoD mogą pojawiać się w różnych obszarach organizacji, takich jak cykl realizacji zamówienia (Order to Cash – O2C) lub proces zakupu i płatności (Purchase to Pay – P2P). Aby minimalizować te konflikty, konieczne jest ich ciągłe analizowanie i ocenianie. Organizacje muszą również wdrożyć odpowiednie mechanizmy kontroli i zabezpieczenia przed pracownikami, którzy mogliby angażować się w nielegalne działania.

Jedną z efektywnych strategii zapobiegania konfliktom SoD jest stosowanie kontroli dostępu opartej na rolach (Role-Based Access Control – RBAC). RBAC zapewnia, że uprawnienia i kontrola są przyznawane użytkownikom w zależności od pełnionej przez nich roli i obowiązków w organizacji, a nie na podstawie nieograniczonego dostępu.

W tym przypadku, upoważniona osoba może analizować każdą przypisaną rolę oraz uprawnienia dostępu pod kątem ewentualnych nakładających się na siebie uprawnień, zarówno między rolami, jak i wewnątrz nich.

Należy jednak pamiętać, że nie każdy konflikt SoD oznacza automatycznie wyrządzenie szkody lub nielegalne działania. Użytkownik mógł dokonać go nieumyślnie, przez niedopatrzenie lub w dobrej wierze, w celu wykonania niezbędnej funkcji, która wymagała szerszego zakresu uprawnień.

Dlatego firmy powinny dokładnie analizować każdy przypadek i oceniać swoje zasady naruszania zasad SoD, aby mieć pewność, że potencjalne konflikty nie przerodzą się w oszustwo lub nielegalną działalność.

#2. Naruszenie SoD

Naruszenie SoD ma miejsce, gdy pracownik wykorzystuje przyznaną mu rolę do uzyskania dostępu do zakazanych informacji lub do wykonywania zabronionych działań, tym samym łamiąc wewnętrzne regulacje organizacji lub przepisy zewnętrzne.

Pracownicy dopuszczają się naruszenia SoD, gdy przejmują kontrolę nad wieloma etapami procesu, wykraczając poza dozwolone granice. Następnie wykorzystują ten nadmiar uprawnień dla własnych korzyści.

Przykład: Firma ustanawia zasadę, że osoba zatrudniająca pracowników nie może jednocześnie rozdzielać wypłat. Jeżeli ta sama osoba wykonuje oba zadania, stwarza to możliwość nadużycia i popełnienia oszustwa. W takiej sytuacji dochodzi do naruszenia zasad SoD.

W ten sposób wygląda wewnętrzne naruszenie SoD, natomiast zewnętrzne naruszenie SoD może wystąpić, na przykład gdy dyrektor generalny organizacji manipuluje sprawozdaniami finansowymi, łamiąc przepisy SOX.

Takie działanie może prowadzić do poważnych kar finansowych dla organizacji, a pracownikowi grozi kara pozbawienia wolności. Jest to szkodliwe dla firmy zarówno pod względem finansowym, jak i reputacyjnym.

Aby zminimalizować ryzyko naruszeń SoD, organizacja powinna monitorować działania każdego pracownika oraz aktualizować swoje polityki wraz z postępem technologicznym.

#3. Matryca SoD

Matryca SoD to narzędzie wykorzystywane przez menedżerów do uproszczenia zarządzania złożonością SoD. Umożliwia identyfikację różnych obowiązków, ról i ryzyk w organizacji.

Ponadto, macierz SoD pozwala wykrywać potencjalne konflikty na terenie całej organizacji i rozwiązywać je we właściwym czasie, chroniąc przed poważnymi szkodami.

W nowoczesnych firmach, korzystających z oprogramowania ERP, macierze SoD są generowane automatycznie na podstawie zdefiniowanych zadań i ról użytkowników w systemie.

W tym przypadku, każde zadanie powinno być dopasowane do procesu w danym przepływie transakcji, co pozwala grupować zadania i role, zapewniając, że dany użytkownik nie będzie wykonywał więcej niż jednego kroku w procesie.

Co więcej, macierz SoD może być przedstawiona w formie wykresu, gdzie role użytkowników są umieszczone na osiach X i Y, co pozwala na identyfikację konfliktów SoD. Odwzorowuje również obowiązki i działania na role w procesie, umożliwiając zespołom odpowiedzialnym za zgodność identyfikowanie niekompatybilnych obowiązków.

Macierz SoD można utworzyć za pomocą programów takich jak MS Excel, ręcznie na kartce papieru lub przy pomocy narzędzia ERP.

Przykład: Poniżej przedstawiono przykład macierzy SoD dla procesu płacowego:

Proces | Pracownik | Wdrażanie pracowników | Tworzenie czeków płacowych | Rozliczanie płatności | Zarządzanie korzyściami

Wdrażanie pracowników| 1 | Y | N | N | N

Tworzenie wypłat | 2 | N | Y | Y | N

Rozliczanie płatności | 3 | N | Y | Y | N

Zarządzanie świadczeniami | 4 | N | N | N | Y

Na powyższym wykresie widać, że pracownik 2 ma uprawnienia do tworzenia i rozliczania wypłat, ale nie może zarządzać świadczeniami ani zatrudniać nowych pracowników. W przeciwnym razie, doszłoby do konfliktu SoD. Analogicznie, pracownik 1 odpowiada za zatrudnianie nowych pracowników, ale nie może tworzyć wypłat, zarządzać świadczeniami ani rozliczać płatności.

Jak Wdrożyć Podział Obowiązków

Jeśli zastanawiasz się nad wdrożeniem SoD, ale nie wiesz od czego zacząć, poniżej znajdziesz kilka wskazówek:

Zdefiniowanie Procesów i Polityk Organizacyjnych

Pierwszym krokiem jest zdefiniowanie wszystkich kluczowych procesów organizacyjnych i przypisanie ich odpowiedzialnym pracownikom. Definicja powinna uwzględniać wielkość organizacji i rodzaj prowadzonej działalności. Po zdefiniowaniu procesów i zadań, należy również ustalić zasady postępowania, obowiązujące zarówno pracowników wewnętrznych, jak i dostawców zewnętrznych oraz inne podmioty współpracujące z firmą.

Na przykład w dziale HR należy określić zadania takie jak zatrudnianie i wdrażanie pracowników, tworzenie świadczeń i wynagrodzeń, rozliczanie płatności, prowadzenie dokumentacji itp. Podobnie, w dziale księgowości można wyszczególnić zadania takie jak potwierdzenie dostawy produktów, przegląd faktur, podpisywanie czeków, płacenie faktur itp.

Ponadto, należy opracować polityki regulujące postępowanie w każdym z działów i na każdym stanowisku pracy. Na przykład, pracownik odpowiedzialny za dokonywanie płatności nie powinien mieć możliwości podpisywania czeków. Innym przykładem może być zasada, że pracownik, który dokonuje sprzedaży produktu nie powinien potwierdzać jego dostawy.

Stworzenie Macierzy SoD

Po zdefiniowaniu zadań i zasad postępowania, konieczne jest stworzenie macierzy SoD, zawierającej wykaz wszystkich ról i zadań. Pozwoli to na identyfikację pracowników odpowiedzialnych za poszczególne zadania i ocenę ryzyka wystąpienia konfliktu lub naruszenia zasad SoD.

Powyższy schemat pomoże Ci stworzyć macierz SoD dla Twojej organizacji. Czasami jednak trudno jest wykryć konflikty SoD, szczególnie gdy definicje nie są jednoznaczne. W celu uniknięcia tego problemu, można zastosować dwa podejścia:

• Dokładne zdefiniowanie wszystkich zadań i oznaczenie każdego konfliktu SoD: tworzy to rozbudowaną macierz, która jednak oferuje lepszą wizualizację ról i zadań.
• Pominięcie niektórych zadań lub grupowanie ich: prowadzi do powstania zwięzłej macierzy, którą łatwo przeanalizować, z koncentracją na konfliktach SoD. Może to jednak prowadzić do fałszywych alarmów i błędów w identyfikacji zagrożeń.

Przydzielanie Zadań

Po wykryciu wszystkich potencjalnych konfliktów SoD, należy przystąpić do przypisania pracownikom konkretnych zadań i podzadań, zgodnie z zasadami podziału obowiązków. Jeżeli w danej sytuacji nie jest możliwe zastosowanie SoD, należy wprowadzić solidny mechanizm kontroli i monitorowania pracy danego pracownika, aby zapobiegać potencjalnym zagrożeniom.

Zarządzanie i Przegląd

Niezwykle istotne jest regularne monitorowanie i przegląd zadań i ról w celu upewnienia się, że zasady SoD są prawidłowo wdrożone i nie ma ryzyka potencjalnego konfliktu lub naruszenia. Jeżeli wystąpią takie sytuacje, należy na nowo przydzielić role i zadania. Kontynuacja monitoringu pozwoli zapobiegać przyszłym zagrożeniom.

Podsumowanie

Podział obowiązków (SoD) stanowi doskonałą metodę zarządzania kontrolami wewnętrznymi i zapobiegania oszustwom i błędom. Pomaga w zapewnieniu bezpieczeństwa organizacji, uniemożliwiając jednej osobie lub grupie osób uzyskanie nadmiernej kontroli, która mogłaby zostać wykorzystana do działań szkodliwych, takich jak wyciek danych, oszustwa czy nielegalna działalność. Wdrożenie zasad SoD w organizacji jest zatem kluczowe dla jej bezpieczeństwa i prawidłowego funkcjonowania.

Warto również zapoznać się z narzędziami do wykrywania oszustw i zapobiegania im w firmach internetowych.