Oddelenie povinností

Čo to znamená

Oddelenie povinností je princíp internej kontroly, podľa ktorého jedna osoba nemá mať v rukách všetky kroky citlivého procesu. Rozdeľujú sa najmä štyri funkcie: povolenie transakcie, jej vykonanie, správa súvisiaceho majetku a zaúčtovanie. Ak ich má jeden človek, môže chybu alebo podvod urobiť aj zakryť bez toho, aby si to niekto všimol.

Klasickým príkladom je platobný proces. Ak jeden zamestnanec zakladá nových dodávateľov, schvaľuje ich faktúry, zadáva platby aj robí párovanie s výpisom, nič mu nebráni vytvoriť fiktívneho dodávateľa a platiť na vlastný účet. Pri oddelení týchto krokov by musel spolupracovať s ďalšou osobou, čo podvod výrazne sťažuje.

Princíp sa často označuje aj ako princíp štyroch očí. Nejde o nedôveru voči konkrétnym ľuďom, ale o systémovú ochranu, ktorá chráni firmu aj zamestnancov. Poctivý pracovník je pri podozrení z chyby chránený tým, že operáciu kontroloval aj niekto iný.

Ako to funguje v praxi

Pri zavádzaní začíname mapou kľúčových procesov: nákup a platby, predaj a fakturácia, mzdy, pokladnica a zmeny kmeňových údajov. Pri každom kroku určíme, kto ho vykonáva a kto ho schvaľuje. Najväčšie riziko býva pri zmene bankového účtu dodávateľa, ktorú zneužívajú útočníci pri BEC podvode.

V malej firme, kde nie je dosť ľudí na úplné oddelenie, sa používajú kompenzačné kontroly. Konateľ osobne schvaľuje všetky platby v internet bankingu, externá účtovná firma nezávisle párovanie kontroluje a mesačne sa prechádza zoznam nových dodávateľov a zmien účtov. Aj takéto jednoduché opatrenia výrazne znižujú riziko.

Oddelenie sa musí odraziť aj v systémoch. Riadenie prístupov v účtovnom programe a v banke má zodpovedať rolám: kto môže platbu pripraviť, nemá ju môcť sám odoslať. Auditný záznam potom umožní dohľadať, kto čo zmenil. Nastavenia treba pravidelne kontrolovať, najmä po odchode či presune zamestnanca.

Na čo si dať pozor

Najčastejšou slabinou sú výnimky. Na dovolenke je jediný schvaľovateľ, a tak sa heslo požičia kolegovi, alebo sa pre urgentnú platbu kontrola vynechá. Práve tieto chvíle útočníci aj nepoctiví zamestnanci hľadajú. Pravidlá pre zastupovanie treba nastaviť vopred, nie improvizovať.

Oddelenie povinností funguje len vtedy, ak druhá osoba skutočne kontroluje, a nie mechanicky potvrdzuje. Schvaľovateľ má vidieť podklady, nie len sumu a názov. Interný audit alebo externý kontrolór by mal občas preveriť vzorku transakcií a zistiť, či schvaľovanie nie je len formalitou.