Розподіл обов’язків

Що це означає

Розподіл обов'язків - принцип внутрішнього контролю, за яким одна людина не повинна мати в руках усі кроки чутливого процесу. Розділяють передусім чотири функції: дозвіл на операцію, її виконання, управління пов'язаним майном і облік. Якщо все це в однієї людини, вона може припуститися помилки чи шахрайства й приховати їх так, що ніхто не помітить.

Класичний приклад - платіжний процес. Якщо один працівник заводить нових постачальників, затверджує їхні рахунки, вводить платежі й звіряє виписку, ніщо не заважає йому створити фіктивного постачальника й платити на власний рахунок. За розподілу цих кроків йому довелося б змовитися з кимось іще, що значно ускладнює шахрайство.

Принцип часто називають принципом чотирьох очей. Ідеться не про недовіру до конкретних людей, а про системний захист, який береже і фірму, і працівників. Чесний працівник у разі підозри на помилку захищений тим, що операцію перевіряв хтось іще.

Як це працює на практиці

Під час впровадження ми починаємо з карти ключових процесів: закупівлі й платежі, продажі й рахунки, зарплати, каса та зміни довідкових даних. Для кожного кроку визначаємо, хто його виконує і хто затверджує. Найбільший ризик зазвичай пов'язаний зі зміною банківського рахунку постачальника, чим зловмисники користуються під час BEC-шахрайства.

У малій фірмі, де людей не вистачає на повний розподіл, використовують компенсувальні контролі. Директор особисто затверджує всі платежі в інтернет-банку, зовнішня бухгалтерська фірма незалежно перевіряє звірку, а раз на місяць переглядають перелік нових постачальників і змін рахунків. Навіть такі прості заходи помітно знижують ризик.

Розподіл має відображатися й у системах. Управління доступом у бухгалтерській програмі та в банку має відповідати ролям: хто готує платіж, не повинен мати змоги сам його відправити. Журнал аудиту потім дасть змогу з'ясувати, хто що змінив. Налаштування треба регулярно перевіряти, особливо після звільнення чи переведення працівника.

На що звернути увагу

Найслабше місце - винятки. Єдиний затверджувач у відпустці, і пароль позичають колезі, або заради термінового платежу контроль пропускають. Саме таких моментів шукають і зловмисники, і нечесні працівники. Правила заміщення треба встановити заздалегідь, а не імпровізувати.

Розподіл обов'язків працює лише тоді, коли друга людина справді перевіряє, а не механічно підтверджує. Затверджувач має бачити документи, а не лише суму й назву. Внутрішній аудит або зовнішній контролер мають час від часу перевіряти вибірку операцій і з'ясовувати, чи не стало затвердження простою формальністю.