Uppdelning av arbetsuppgifter är en intern kontroll som delar en process mellan personer så ingen ensam kan både begå och dölja ett fel eller bedrägeri.
Uppdelning av arbetsuppgifter (SoD, på engelska separation of duties) är en intern kontroll som fördelar stegen i en process mellan olika personer, så att ingen ensam kan både begå och dölja ett fel eller bedrägeri. Logiken är enkel: de flesta förluster kräver två handlingar - att utföra dådet och att dölja det - och genom att skilja på vem som kan göra vad förvandlas ett enmansproblem till en sammansvärjning, vilket är mer sällsynt, mer riskfyllt och lättare att upptäcka.
De fyra funktionerna att hålla isär
Revisorer tänker på SoD som att separera fyra roller inom varje process:
- Auktorisering - godkänna köpet, utcheckningen, avskrivningen.
- Förvaring - fysiskt hålla tillgången, lagret eller kassan.
- Posthållning - underhålla registret eller huvudboken tillgången syns i.
- Avstämning - kontrollera att posterna matchar verkligheten.
En process är väl separerad när ingen individ täcker två av dessa för samma transaktion. Den som godkänner en avyttring bör inte vara den som höll tillgången; den som håller registret bör inte vara den som räknar mot det.
Hur det ser ut i tillgångshantering
Utrustning är där bristande uppdelning blir påtaglig. Mönstren värda att hålla fast vid: medarbetaren som vill ha utrustning är aldrig den som godkänner utgiften, den som tar emot leveranser är inte den som lade ordern, den som sköter registret godkänner inte avskrivningar, och den årliga räkningen görs av någon som varken har tillgångarna i sin vård eller för deras poster. Även vardaglig delad utrustning - webbkameror, skannrar, utlånade laptops - gynnas av uppdelningen begär-godkänn-registrera, eftersom poolad utrustning utan en namngiven ansvarig är just där saker försvinner i tysthet. Vem som får göra vad bör stå skrivet i en tillgångshanteringspolicy, inte leva som muntlig tradition.
Små team och kompenserande kontroller
Ett företag med tre anställda kan inte fördela fyra funktioner på fyra personer, och att låtsas göra det är ett misslyckande i sig. Det ärliga angreppssättet är att rangordna riskerna och sätta in kompenserande kontroller där åtskillnad är omöjlig: ledningen går igenom revisionsspåret, varje godkännande dokumenteras, över ett visst belopp måste en andra person skriva under, och räkningarna stickprovskontrolleras av den som står längst från processen. Uppdelning av arbetsuppgifter väger dessutom så tungt för säkerhetsramverken att ISO 27001 tar upp den som en egen kontroll - certifieringsrevisorer frågar hur oförenliga arbetsuppgifter hålls isär eller, när det inte går, bevakas.
Vanliga misstag
Kontrollen fallerar på förutsägbara sätt. Att dela upp arbetsuppgifter på papper medan alla delar samma inloggning omintetgör hela poängen - det är spårbarheten till en namngiven person som gör uppdelningen möjlig att upprätthålla. Att tillämpa uppdelningen bara på pengar och inte på tillgångar missar den enklare stölden. Den lömskaste fällan är att glömma administratörsrättigheterna: en person som kan redigera vilken post som helst kan kringgå varje uppdelning, så adminåtkomst behöver sin egen granskning. Och att låta en överbelastad person rotera genom alla fyra funktionerna i tur och ordning är inte uppdelning - det är schemaläggning.
Uppdelning av arbetsuppgifter i praktiken
Kontrollen fungerar bara om vardagens verktyg upprätthåller den, för under tidspress väljer folk bort allt som är frivilligt. I AMPthilly håller rollmodellen isär funktionerna från grunden - medarbetare begär tillgångar, chefer eller administratörer godkänner, och varje beslut loggas i revisionsspåret under den namngivna godkännaren. Hur det än byggs är testet detsamma: välj en tillgång som lämnade byggnaden förra året och fråga om en enda person kunde få det att hända på egen hand, oregistrerat.
Relaterade termer
- ISO 27001 tillgångshantering - säkerhetsstandarden som nämner uppdelning av arbetsuppgifter som kontroll
- Informationstillgångsregister - posthållningsfunktionen SoD säger ska sitta isär från förvaring
- Tillgångshanteringspolicy - där vem-får-göra-vad-uppdelningarna skrivs ner
- Policy för acceptabel användning - följdreglerna för de som håller tillgångarna
- Policy för datalagring - håller godkännande- och revisionsbevis producerbara senare