Segregace povinností (SoD) vysvětlená jednoduchými slovy

Rozdělení odpovědností, známé jako SoD, je zásadním prvkem v strategiích řízení organizačních rizik.

Dle zprávy Asociace certifikovaných vyšetřovatelů podvodů (ACFE) z roku 2022, firmy průměrně utrpí ztráty ve výši 1 783 000 USD na případ z důvodu podvodného jednání zaměstnanců.

To objasňuje, proč současné podniky potřebují efektivní systémy řízení rizik, zejména v době narůstajících podvodů a chyb.

SoD se zaměřuje na kontrolu, řízení a minimalizaci těchto rizik, což umožňuje dosáhnout lepšího organizačního dohledu, zvýšené bezpečnosti a povědomí o rizicích.

V tomto článku si rozebereme, co SoD představuje, jeho význam a související klíčové pojmy.

Pojďme se tedy do toho pustit a zjistit, jak znovu získat kontrolu!

Co je to rozdělení odpovědností?

Rozdělení odpovědností (SoD) je významný koncept v řízení rizik a interní kontrole v organizacích, kde za různé části úkolu odpovídá více než jedna osoba. Jeho účelem je zabránit zneužití informací, podvodům, krádežím a dalším bezpečnostním rizikům.

Přestože úkol může být proveden jedinou osobou, je rozdělen do několika částí. Tímto způsobem se zajišťuje, že žádný jednotlivec nemá výlučnou kontrolu nad úkolem nebo nadměrnou moc, která by mohla být zneužita k neoprávněným účelům nebo podvodnému jednání. Místo toho je úkol sdílen alespoň dvěma jednotlivci.

Dnes se SoD aplikuje v různých oblastech, jako je účetnictví, finance, mzdy, administrativa a další. V politice se princip dělení moci projevuje v demokraciích, kde je vláda rozdělena na soudní, výkonnou a zákonodárnou moc.

SoD v kontextu řízení rizik

SoD funguje na principu sdílené odpovědnosti, kde řízení organizace nebo podniku nesmí být výhradní doménou jediného člověka. Nemělo by se spoléhat na jedinou osobu s plnou kontrolou nad provedením úkolu, což by mohlo potenciálně vést k podvodům, chybám nebo poškození reputace vaší společnosti.

SoD je ve skutečnosti klíčový prvek řízení rizik a dodržování předpisů, jako je například zákon Sarbanes-Oxley Act (SOX) z roku 2002.

Rozdělení povinností mezi několik odpovědných osob snižuje pravděpodobnost, že zaměstnanec nebo třetí strana:

• Zneužije důvěrné firemní informace
• Zpronevěří finanční prostředky
• Zfalšuje záznamy (například finanční) s cílem oklamat zúčastněné strany nebo uměle navýšit ceny akcií
• Zahájí odvetnou kampaň po údajném špatném zacházení
• Se zapojí do firemní špionáže

Nedostatek bezpečné strategie, jako je SoD, může způsobit značné škody vaší organizaci, a to jak finančně, tak i v oblasti pokut za nedodržení předpisů a v otázce image značky. Proto je doporučeno zavést SoD v celém podniku, od účetnictví a mezd až po oddělení informačních technologií (IT) a kybernetické bezpečnosti.

Příklady SoD v praxi

Podívejme se na některé příklady, kde lze SoD efektivně uplatnit.

Účetnictví

V účetnictví může organizace bránit jednotlivcům získat nadměrnou moc k utajení aktiv a finančních nesrovnalostí.

Zavedení SoD vyžaduje důkladnou analýzu všech účetních rolí a rozdělení povinností tak, aby jedna osoba neměla plnou kontrolu nad danou funkcí. Například osoba přijímající šeky by neměla být zároveň osobou, která je eviduje.

IT a kybernetická bezpečnost

Zásady SoD mohou efektivně zamezit rizikům v oblasti řízení přístupu v IT oddělení. Důležité je rozdělit pracovní postupy a zajistit, aby stejná skupina nebo osoba neměla více přístupových oprávnění.

Pokud jediná osoba získá přístupová práva nad rámec svých povinností, může je zneužít a prozradit informace externí straně nebo jí udělit neoprávněný přístup, aniž by o tom kdokoliv jiný věděl.

Tato situace může mít katastrofální následky. Například osoba přijímající bezpečnostní výstrahy by neměla být zároveň osobou, která spravuje přístupová oprávnění.

Soulad a kontrola

Implementací spolehlivé strategie SoD lze eliminovat chyby zaměstnanců, ať už úmyslné, nebo neúmyslné. Dále lze zachytit podvodná podání. Tímto způsobem chráníte svou organizaci před porušením předpisů. Například stejná osoba by neměla být zodpovědná za podávání finančních informací a zároveň provádění jejich auditu.

Další příklady

Stejná osoba by neměla mít na starosti:

• Vytváření a schvalování požadavků
• Vytváření a schvalování faktur od dodavatelů
• Přípravu faktury a zadávání prodejních transakcí do hlavní knihy
• Vyplácení mezd a přijímání zaměstnanců
• Evidenci přijaté hotovosti a generování dobropisů
• Obchodování s akciemi a správu fúzí a akvizic
• Nastavení kupujících a schvalování objednávek

Výhody SoD

Mezi výhody využití SoD ve vaší organizaci patří:

#1. Prevence a odhalování podvodů

Organizace se stále častěji stávají obětí podvodů, včetně manipulace s šeky, nelegálního odklánění hotovosti, zpronevěry majetku, padělání dokumentů, falešných účtenek a faktur, chyb v účetních záznamech a dalších nekalých praktik.

Díky SoD zajistíte, že žádná osoba ani skupina nebude mít plnou zodpovědnost za provádění všech funkcí souvisejících s daným úkolem. Tímto způsobem se zabrání spáchání podvodu a jeho utajení. Větší transparentnost v úkolu umožňuje komukoliv odhalit, nahlásit a pomoci předcházet externím i interním podvodům.

#2. Snížení lidských chyb

Pokud ve vaší organizaci správně zavedete SoD, můžete očekávat výrazné snížení lidských chyb a s nimi spojených rizik v kritických finančních procesech. To se může týkat chyb jako nedostatečná dokumentace transakcí, nedostatek pracovních sil v účetnictví, chyby při zadávání dat, nedbalé audity a další.

Zapojení více osob do klíčových transakcí zvyšuje pravděpodobnost, že si někdo z nich všimne případné chyby a vyřeší ji.

#3. Zlepšené audity

Snížení pravděpodobnosti výskytu rizik a chyb zlepší vedení záznamů pro vaše finanční, mzdové, účetní, IT a kyberbezpečnostní oddělení. SoD napomůže řádnému uspořádání záznamů, což eliminuje problémy, jako je duplicita, poplatky z prodlení, rizika dodržování předpisů a další.

Díky tomu budete lépe připraveni na audity, ať už roční, pololetní, nebo čtvrtletní. Budete se také cítit jistěji ohledně dodržování předpisů a vyhnete se sankcím.

#4. Zvýšení efektivnosti

Někomu se může zdát, že přidání více rolí povede k neefektivnosti a vyšším nákladům. Nicméně, pokud je SoD dobře naplánováno, efektivitu naopak podpoří. Důvodem je rozdělení úkolu na menší dílčí úkoly, přičemž každý z nich provádí specializovaná osoba s vyšší přesností a rychlostí.

Tímto způsobem se nejen snižují rizika, ale také se dosahuje vyšší efektivnosti, než kdyby celý úkol prováděla jedna osoba. Náklady spojené s nápravou škod vzniklých v důsledku absence SoD jsou navíc mnohem vyšší, než investice do najmutí dalších pracovníků.

Důležité terminologie související s SoD

Pro lepší pochopení SoD je nutné se seznámit s následujícími pojmy:

#1. Konflikty SoD

Ke konfliktu SoD může dojít v případě, že osoba jedná v rozporu se zájmy organizace a ve svůj vlastní prospěch. To znamená, že získala více rolí umožňujících provádět více klíčových funkcí v rámci procesu. To může mít negativní dopad na integritu procesu i samotnou společnost.

Konflikty SoD se mohou objevit v různých oblastech organizace, například v procesech Order to Cash (O2C) nebo Purchase to Pay (P2P). Pro minimalizaci těchto konfliktů je nutné je analyzovat a vyhodnocovat. Dále musí organizace zavést pevné kontrolní mechanismy a chránit se před nekalými praktikami zaměstnanců.

Dobrou strategií pro prevenci konfliktů SoD může být použití řízení přístupu založeného na rolích (RBAC) v rámci celé organizace. RBAC zajišťuje udělování přístupových práv a kontrol uživatelům na základě jejich rolí a odpovědností v organizaci, nicméně bez překročení rámce těchto rolí.

V tomto procesu lze pověřit kompetentní osobu analýzou jednotlivých rolí a jim přidělených přístupových práv, aby se odhalily případné překryvy SoD v rámci rolí i mezi nimi.

Nicméně, ne každý konflikt znamená automaticky úmyslné poškození nebo protiprávní jednání. Uživatel se ho mohl dopustit náhodou, z nepozornosti nebo v rámci provádění úkolu pro společnost, který vyžaduje rozšířená přístupová práva.

Z tohoto důvodu by firmy měly důkladně prošetřit každý případ a přehodnotit své zásady SoD, aby zajistily, že konflikty se nevyvinou v podvod nebo nekalou činnost.

#2. Porušení SoD

K porušení SoD dochází, pokud zaměstnanec organizace zneužije svou přidělenou roli a úmyslně přistupuje k informacím nebo provádí zakázanou činnost, čímž porušuje vnitřní politiku organizace nebo externí předpisy.

Zaměstnanci mohou narušit SoD, když získají kontrolu nad více kroky v procesu a překročí stanovené pravomoci, a dále zneužijí svůj přístup ve svůj prospěch.

Příklad: Společnost může nastavit pravidlo, že osoba přijímající zaměstnance nesmí zároveň vyplácet mzdy. Je to proto, že kdyby tyto dvě činnosti prováděla stejná osoba, mohla by toho zneužít ve svůj vlastní prospěch a zorganizovat podvod nebo nekalou činnost. To by znamenalo porušení SoD.

To je příklad vnitřního porušení SoD. Nyní si vysvětleme, jak může dojít k externímu porušení SoD. Například vedoucí osoba s rozhodovací pravomocí, jako je generální ředitel organizace, se dopustí manipulace s finančními výkazy, čímž poruší předpisy SOX.

Pro organizaci to může mít za následek vysoké pokuty a zaměstnanec může být dokonce odsouzen k trestu odnětí svobody. To poškodí organizaci z hlediska reputace i finančních nákladů.

Pro zmírnění porušení SoD musí organizace sledovat podezřelé aktivity a činnost každého zaměstnance. Dále musí neustále aktualizovat své zásady s ohledem na měnící se technologické prostředí.

#3. SoD matice

Matice SoD je nástroj, který manažeři používají pro snížení složitosti SoD. Umožňuje jim rozlišovat mezi různými odpovědnostmi, rolemi a riziky v organizaci.

Matice SoD dále umožňuje odhalit potenciální konflikty v organizaci a pomáhá včas je vyřešit, a tak poskytnout ochranu před závažnými škodami.

V moderních firmách, které využívají ERP software, se matice SoD generuje automaticky. Tato generovaná matice SoD je založena na úkolech a uživatelských rolích definovaných v ERP softwaru.

Každá role by se měla shodovat s procesem v daném transakčním pracovním postupu. To umožní seskupení úkolů a rolí, aby se zajistilo, že žádný uživatel nebude moci provést více kroků v rámci jednoho pracovního postupu.

Matice SoD může být také znázorněna graficky, kde jsou uživatelské role vedeny na obou osách - X a Y, což znázorňuje konflikty SoD. Mapuje také povinnosti a aktivity na role v rámci pracovního postupu, což umožňuje týmům pro dodržování předpisů oddělit neslučitelné odpovědnosti.

Matici SoD je možné vytvořit buď pomocí softwaru jako MS Excel, nebo manuálně na papíře. Lze ji vytvořit i pomocí ERP nástroje.

Příklad: Zde je příklad toho, jak můžete vytvořit SoD matici pro mzdy zaměstnanců. Pro role a odpovědnosti lze použít libovolný symbol, jako ano/ne, barevné vlajky nebo šipky, zaškrtávací značky atd. V následujícím grafu použijeme Y/N.

Výše uvedený graf ukazuje, že zaměstnanec 2 má pravomoc vytvářet mzdy a účtovat je. Nemůže tedy měnit benefity nebo najímat zaměstnance. Pokud by tak učinil, mohlo by dojít ke konfliktu SoD. Podobně zaměstnanec 1 je zodpovědný za přijímání nových zaměstnanců. Neměl by vytvářet výplatní pásky, spravovat benefity ani účtovat platby, jinak může dojít ke konfliktu SoD.

Jak implementovat SoD

Pokud uvažujete o implementaci SoD, ale nevíte, kde začít, zde jsou kroky, které vám mohou pomoci:

Definování organizačních procesů a zásad

Nejdříve musíte definovat všechny klíčové organizační procesy, za které jsou zaměstnanci odpovědní. To se může odvíjet od velikosti vaší organizace a odvětví, ve kterém působíte. Jakmile definujete každý proces a úkol, stanovte rovněž svá pravidla. Definujte pravidla pro své interní zaměstnance, externí dodavatele a další subjekty, se kterými spolupracujete.

Například v oddělení HR můžete chtít vypsat úkoly, jako je přijímání a nábor zaměstnanců, vytváření benefitů a kompenzací, účtování plateb, vedení záznamů atd. Podobně v účetním oddělení můžete vypsat úkoly jako potvrzení doručení produktu, kontrola faktur, podepisování šeků, placení faktur atd.

Dále je třeba nastínit zásady, které jste stanovili pro svá oddělení a zaměstnance. Například zaměstnanec, který vystavuje platbu, by neměl být zároveň osobou, která podepisuje šeky. Dalším příkladem zásady může být pravidlo, že zaměstnanec zodpovědný za prodej produktu nesmí zároveň potvrdit jeho doručení.

Vytvoření matice SoD

Po definování úkolů a zásad je třeba vytvořit matici SoD, která obsahuje seznam všech rolí a úkolů. To pomůže pochopit, kteří zaměstnanci jsou za co zodpovědní a zda existuje nějaká možnost konfliktu nebo porušení SoD.

Výše uvedená tabulka vám pomůže vytvořit matici SoD pro vaši organizaci. Někdy je však obtížné odhalit konflikty SoD, zvláště když reprezentace neodpovídá úkolům. Z tohoto důvodu lze při tvorbě matice SoD použít dva přístupy:

Jasně definovat všechny úkoly a označit každý konflikt SoD: vytváří rozsáhlou matici, ale poskytuje lepší přesnost při vizuálním znázornění úkolů a rolí.

Vynechat některé úkoly nebo je seskupit: Výsledkem je zhuštěná matice, kterou lze snadno analyzovat a zaměřit se na konflikty SoD. Nicméně to může vést k falešně pozitivním výsledkům a chybám, které ovlivní SoD výsledky a konflikty.

Přidělování úkolů

Jakmile identifikujete všechny konflikty SoD, začněte přidělovat úkoly a dílčí úkoly zaměstnancům s využitím konceptu rozdělení povinností. Pokud nastane situace, kdy nemůžete SoD použít, vymyslete spolehlivý způsob kontroly a monitoringu zaměstnanců provádějících daný úkol, abyste předešli potenciálním rizikům.

Správa a dohled

Důležité je monitorovat a kontrolovat přidělené úkoly a role, aby se zajistilo, že je SoD efektivně implementováno a nedochází k potenciálním konfliktům nebo porušením. Pokud nějaké objevíte, spravujte své role a úkoly tím, že je znovu přiřadíte. Pokračujte v dohledu, abyste předešli případným rizikům.

Závěr

Rozdělení povinností (SoD) je efektivním způsobem, jak řídit interní kontrolní mechanismy a předcházet podvodům a chybám. Pomáhá zajistit bezpečnost organizace tím, že brání jakékoliv osobě získat nadměrnou kontrolu, která by mohla poškodit vaši firmu v podobě úniku dat, podvodů nebo nekalých aktivit. Implementujte tedy SoD ve vaší organizaci a buďte v bezpečí a na pozoru.

Můžete také prozkoumat některé nástroje pro odhalování a prevenci podvodů pro online podniky.