a feladatok elkülönítése (sod) az auditálásban az az elképzelés, hogy egynél több személytől kell megkövetelni bizonyos kulcsfontosságú feladatok elvégzését a csalás és a hibák megelőzése érdekében.
a feladatok elkülönítése a belső kontrollok alapvető eleme. A feladatok elkülönítésének alapelve az, hogy egyetlen személy vagy munkavállalói csoport sem lehet olyan helyzetben, hogy mindennapi munkája során hibákat vagy csalásokat kövessen el és rejtsen el.
a vállalkozás méretétől és jellegétől függően a tényleges munkakörök és szervezeti struktúrák nagymértékben változhatnak a vállalatok között.
a SOD fogalma alatt az üzleti szempontból kritikus feladatokat négyféle funkcióba lehet sorolni:
- Engedély
- őrizet
- nyilvántartás
- megbékélés
tökéletes rendszerben senki sem kezelhet egynél több típusú funkciót.
az SOD általános koncepciója annak megakadályozása, hogy egy személy hozzáférjen az eszközökhöz, valamint felelősséget vállaljon ezen eszközök elszámoltathatóságának fenntartásáért. Lényegében, a SOD elősegíti egy kulcsfontosságú folyamat megosztott felelősségét, amely a folyamat kritikus funkcióit egynél több személyre terjeszti, osztály, vagy vállalat.
a feladatok elkülönítése kulcsfontosságú kérdés a szervezetek számára a törvények és rendeletek betartásának biztosítása érdekében. A SOD fontossága abból a megfontolásból fakad, hogy egy személy teljes körű ellenőrzése egy üzleti folyamat vagy eszköz felett kockázatot jelenthet a vállalat számára.
ezért az SOD végrehajtása fontos kontrollelem a hatékony kockázatkezelési stratégia elérésének támogatásában.
bár nincs olyan belső ellenőrzési ellenőrzési standard vagy számviteli diktum, amely konkrét SOD követelményeket ír elő, a hatékony belső ellenőrzések rendszerének fenntartása megköveteli a feladatok megfelelő elkülönítését.
ahhoz, hogy a belső kontrollok eredményesek legyenek, megfelelő felelősségmegosztásra van szükség az eszközöket kezelő egyének és az ellenőrzési tevékenységeket vagy számviteli eljárásokat végző személyek között.
általában a szervezeteknek úgy kell megtervezniük a tranzakciók feldolgozását és a kapcsolódó feladatokat, hogy az egyik személy munkája független legyen a másik munkájától, vagy annak ellenőrzéseként szolgáljon.
ez csökkenti a fel nem fedezett hibák kockázatát, és korlátozza az eszközök hűtlen kezelésének vagy a szándékos téves állítások elrejtésének lehetőségét a vállalat pénzügyi kimutatásaiban. A SOD azért cselekszik, hogy megakadályozza a csalást, és megakadályozza az egyént abban, hogy elfedje a hibákat, mert az egyik személynek biztosítania kell egy másik személy együttműködését e tevékenységek elrejtése érdekében.
az SOD jól ismert a pénzügyi számviteli rendszerekben. Minden méretű szervezet megérti, hogy nem szabad kombinálniuk a szerepeket, például a számlák kifizetését és a leírások jóváhagyását, a készpénz letétbe helyezését és a bankszámlakivonatok egyeztetését stb.
bár a SOD meglehetősen új a legtöbb informatikai (IT) részleg számára, sok Sarbanes-Oxley (SOX) belső ellenőrzési kérdés származik belőle. A 2002-ben elfogadott SOX segít megvédeni a befektetőket a vállalatok csalárd pénzügyi beszámolóitól.
az információs rendszerekben a feladatok elkülönítése segít csökkenteni az egy személy cselekedeteiből származó lehetséges károkat. Az ISACA vámellenőrzési mátrixának elkülönítése szerint a vállalkozásoknak nem szabad egyes feladatokat egy pozícióba egyesíteniük.
a mátrix azonban nem ipari szabvány, hanem egy általános iránymutatás, amely jelzi, hogy mely pozíciókat kell elválasztani, és amelyek együttes alkalmazásakor kompenzáló vezérlőket igényelnek. A kompenzáló kontrollok olyan belső kontrollok, amelyek célja a meglévő vagy potenciális kontrollgyengeség kockázatának csökkentése.
ha egy szervezet nem tudja elkülöníteni a feladatokat, kompenzáló ellenőrzéseket kell bevezetnie. Ha egy személy képes elvégezni és elrejteni a hibákat és / vagy szabálytalanságokat a napi munkája során, olyan feladatokat kapott, amelyek nem kompatibilisek a SOD-val. Számos belső ellenőrzési mechanizmus segíthet a vállalatnak a feladatok elkülönítésének érvényesítésében:
- az ellenőrzési nyomvonalak lehetővé teszik az auditorok számára, hogy egy frissített ellenőrzési fájlban újrateremtsék a tényleges tranzakciófolyamot az eredetétől a létezéséig. A megfelelő ellenőrzési nyomvonalnak tájékoztatást kell nyújtania arról, hogy ki kezdeményezte a tranzakciót, a napszakot és a bejegyzés dátumát, a bejegyzés típusát, milyen információs mezőket tartalmazott, és milyen fájlokat frissített.
- a felügyelőknek kivételjelentéseket kell kezelniük, amelyeket olyan bizonyítékok támasztanak alá, amelyek arra utalnak, hogy a kivételeket megfelelően és időben kezelik. Általában a jelentést készítő személy aláírása szükséges.
- a szervezetnek kézi vagy automatizált rendszer-vagy alkalmazástranzakciós naplót kell vezetnie, amely rögzíti az összes feldolgozott rendszerparancsot vagy alkalmazástranzakciót.
- a vállalkozásnak alkalmaznia kell valakit egy független felülvizsgálat elvégzésére, amely segíthet például a pénzügyi kimutatások hibáinak és szabálytalanságainak felderítésében.
a szervezeteknek megfelelő SOD-t kell alkalmazniuk azáltal, hogy megkövetelik a feladatok elkülönítését az egyének vagy az egyének csoportjai között. A feladatok elkülönítésének több különböző szintje van:
- sod egyének szerint (egyéni szintű SOD): ez a feladatok elkülönítésének hagyományos és legalapvetőbb szintje. Ebben az esetben a SOD-t úgy érik el, hogy különböző emberek különböző feladatokat látnak el. Például egy menedzser felhatalmazza a munkavállalót a fizetésre.
- SOD funkciók vagy szervezeti egységek szerint (egységszintű SOD): ezen a szinten különböző funkciók, azaz osztályok látják el az elkülönített feladatokat. Például az értékesítési részleg készen állhat egy ajánlatra,és a kockázatkezelési funkció aláírja.
- SOD vállalatok által (vállalati szintű SOD): Ezen a szinten különböző jogi személyek szükségesek a műveletek végrehajtásához. Például az ellenőrző társaságnak engedélyeznie kell egy leányvállalat által végrehajtott beruházásokat. A vállalati szintű SOD másik példája egy harmadik fél általi ellenőrzés.
mivel a SOD belső ellenőrzés, a szervezetnek kockázatkezelési tevékenysége keretében kell megvizsgálnia. A vállalatnak alaposan elemeznie kell az üzleti folyamatokat, és döntéseket kell hoznia a lehetséges konfliktusok felderítéséről és megoldásáról.
ha bármilyen konfliktus továbbra is fennáll, a szervezetnek kompenzáló ellenőrzéseket kell bevezetnie a kapcsolódó kockázatok megfelelő kezelése érdekében. A legfontosabb, hogy a SOD megköveteli, hogy a szervezet világosan megértse az érintett személyeket, szerepüket és az esetleges konfliktusokat.