Разделение обязанностей

Что это значит

Разделение обязанностей - принцип внутреннего контроля, согласно которому у одного человека не должно быть в руках всех шагов чувствительного процесса. Разделяют прежде всего четыре функции: разрешение операции, её выполнение, управление связанным имуществом и учёт. Если всё это у одного человека, он может совершить ошибку или мошенничество и скрыть их так, что никто не заметит.

Классический пример - платёжный процесс. Если один сотрудник заводит новых поставщиков, утверждает их счета, вводит платежи и сверяет выписку, ничто не мешает ему создать фиктивного поставщика и платить на собственный счёт. При разделении этих шагов ему пришлось бы сговориться с кем-то ещё, что сильно затрудняет мошенничество.

Принцип часто называют принципом четырёх глаз. Речь не о недоверии к конкретным людям, а о системной защите, которая бережёт и фирму, и сотрудников. Честный работник при подозрении в ошибке защищён тем, что операцию проверял кто-то ещё.

Как это работает на практике

При внедрении мы начинаем с карты ключевых процессов: закупки и платежи, продажи и счета, зарплаты, касса и изменения справочных данных. Для каждого шага определяем, кто его выполняет и кто утверждает. Наибольший риск обычно связан со сменой банковского счёта поставщика, чем злоумышленники пользуются при BEC-мошенничестве.

В маленькой фирме, где людей не хватает на полное разделение, используют компенсирующие контроли. Директор лично утверждает все платежи в интернет-банке, внешняя бухгалтерская фирма независимо проверяет сверку, а раз в месяц просматривают список новых поставщиков и изменений счетов. Даже такие простые меры заметно снижают риск.

Разделение должно отражаться и в системах. Управление доступом в бухгалтерской программе и в банке должно соответствовать ролям: кто готовит платёж, не должен иметь возможности сам его отправить. Журнал аудита затем позволит выяснить, кто что изменил. Настройки нужно регулярно проверять, особенно после ухода или перевода сотрудника.

На что обратить внимание

Самое слабое место - исключения. Единственный утверждающий в отпуске, и пароль одалживают коллеге, или ради срочного платежа контроль пропускают. Именно таких моментов ищут и злоумышленники, и нечестные сотрудники. Правила замещения нужно установить заранее, а не импровизировать.

Разделение обязанностей работает только тогда, когда второй человек действительно проверяет, а не механически подтверждает. Утверждающий должен видеть документы, а не только сумму и название. Внутренний аудит или внешний контролёр должны время от времени проверять выборку операций и выяснять, не стало ли утверждение простой формальностью.