Разделение обязанностей - Separation of duties

Часть серия на
Бухгалтерский учет
Немецкая бухгалтерская книга начала 19 века

Разделение обязанностей (SoD; также известное как разделение обязанностей) - это концепция, когда для выполнения задачи требуется более одного человека. В бизнесе разделение более чем одного человека на одну задачу является внутренний контроль предназначен для предотвращения мошенничество и ошибка. Эту концепцию также называют разделением обязанностей или, в политическая сфера, разделение властей. В демократии, разделение законодательство из администрация служит аналогичной цели. Концепция рассматривается в технические системы И в информационные технологии эквивалентно и обычно обращаются как избыточность.

Общее описание

Разделение обязанностей - ключевая концепция внутреннего контроля. Повышенная защита от мошенничества и ошибок должна быть сбалансирована с увеличением требуемых затрат / усилий.

По сути, SoD реализует соответствующий уровень сдержек и противовесов в отношении деятельности отдельных лиц. Р. А. Бота и Дж. Х. П. Элофф в IBM Системный журнал описывает SoD следующим образом.

Разделение обязанностей, как принцип безопасности, имеет своей основной целью предотвращение мошенничества и ошибок. Эта цель достигается путем распределения задач и связанных с ними привилегий для конкретного бизнес-процесса среди множества пользователей. Этот принцип демонстрируется на традиционном примере разделения обязанностей, обнаруженном в требовании наличия двух подписей на чеке.[1]

Фактические названия должностей и организационная структура могут сильно отличаться от одной организации к другой, в зависимости от размера и характера бизнеса. Соответственно, ранг или иерархия менее важны, чем набор навыков и способности вовлеченных лиц. С помощью концепции SoD критически важные для бизнеса обязанности можно разделить на четыре типа функций: авторизация, хранение, ведение документации и согласование. В идеальной системе никто не должен выполнять более одного типа функций.

Принципы

В принципе, несколько подходов являются факультативными как частично или полностью разные парадигмы:

  • последовательное разделение (принцип двух подписей)
  • индивидуальное разделение (принцип четырех глаз )
  • пространственное разделение (раздельное действие в разных местах)
  • факторное разделение (завершению способствуют несколько факторов)

Вспомогательные узоры

Человек с множеством функциональных ролей имеет возможность злоупотреблять этими полномочиями. Схема минимизации риска:

  1. Начните с функции, которая незаменима, но потенциально может быть нарушена.
  2. Разделите функцию на отдельные шаги, каждый из которых необходим для работы функции или мощности, которая позволяет злоупотреблять этой функцией.
  3. Назначьте каждый шаг другому человеку или организации.

Общие категории функций, подлежащих разделению:

  • функция авторизации
  • функция записи, например подготовка исходных документов, кода или отчетов о производительности
  • хранение активов, прямо или косвенно, например получение чеков по почте или внесение изменений в исходный код или базу данных.
  • сверка или аудит
  • разделение одного электронного ключа на две (более) части между ответственными лицами

В первую очередь индивидуальное разделение рассматривается как единственный выбор.

Применение в общем бизнесе и в бухгалтерском учете

Термин SoD уже хорошо известен в системах финансового учета. Компании любого размера понимают, что нельзя совмещать такие роли, как получение чеков (оплата на счет) и утверждение списаний, внесение наличных и сверка банковских выписок, утверждение временных карт и хранение зарплатных чеков и т. Д. SoD довольно нова для большинства информационных систем. Технологические (ИТ) отделы, но высокий процент Сарбейнс-Оксли вопросы внутреннего аудита исходят от ИТ.[2]

В информационных системах разделение обязанностей помогает снизить потенциальный ущерб от действий одного человека. ИБ или отдел конечных пользователей должны быть организованы таким образом, чтобы обеспечить адекватное разделение обязанностей. Согласно матрице контроля разделения обязанностей ISACA,[3] некоторые обязанности не следует совмещать в одной должности. Эта матрица не является отраслевым стандартом, а просто общим руководством, предлагающим, какие позиции следует разделять, а какие требуют компенсирующих элементов управления при объединении.

В зависимости от размера компании функции и обозначения могут отличаться. Когда обязанности не могут быть разделены, следует применять компенсирующие меры. Компенсирующий контроль - это внутренний контроль, предназначенный для снижения риска существующей или потенциальной слабости контроля. Если один человек может выполнять и скрывать ошибки и / или нарушения в ходе выполнения своей повседневной деятельности, на него возлагаются обязанности, несовместимые с SoD. Существует несколько механизмов контроля, которые могут помочь в обеспечении разделения обязанностей:

  1. Журналы аудита позволяют ИТ-менеджерам или аудиторам воссоздавать фактический поток транзакций от точки их возникновения до их существования в обновленном файле. Должны быть включены надежные контрольные журналы, чтобы предоставлять информацию о том, кто инициировал транзакцию, время дня и дату записи, тип записи, какие поля информации она содержала и какие файлы обновляла.
  2. В конечном итоге ответственность за согласование приложений и независимый процесс проверки лежит на пользователях, что может быть использовано для повышения уровня уверенности в том, что приложение работает успешно.
  3. Отчеты об исключениях обрабатываются на уровне надзора и подкрепляются свидетельствами, свидетельствующими о том, что исключения обрабатываются должным образом и своевременно. Обычно требуется подпись лица, составляющего отчет.
  4. Следует вести ручные или автоматизированные журналы транзакций системы или приложений, в которых записываются все обработанные системные команды или транзакции приложений.
  5. Надзорная проверка должна осуществляться посредством наблюдения и расследования.
  6. Чтобы компенсировать ошибки или преднамеренные отказы в соответствии с установленной процедурой, рекомендуется независимая проверка. Такие обзоры могут помочь обнаружить ошибки и несоответствия.

Применение в информационных системах

Бухгалтеры вложили значительные средства в разделение обязанностей из-за осознанных рисков, накопленных за сотни лет бухгалтерской практики.

Напротив, многие корпорации в Соединенные Штаты обнаружили, что неожиданно высокая доля их Сарбейнс-Оксли вопросы внутреннего контроля исходили от ИТ. Разделение обязанностей обычно используется в крупных ИТ-организациях, так что ни один человек не может ввести мошеннический или вредоносный код или данные без обнаружения. Контроль доступа на основе ролей часто используется в ИТ-системах, где требуется SoD. Для строгого контроля за изменениями программного обеспечения и данных потребуется, чтобы одно и то же лицо или организация выполняли только одну из следующих ролей:

  • Идентификация требования (или запроса на изменение); например деловой человек
  • Авторизация и согласование; например совет по управлению ИТ или менеджер
  • Дизайн и развитие; например разработчик
  • Обзор, проверка и одобрение; например другой разработчик или архитектор.
  • Внедрение в производство; обычно изменение программного обеспечения или Системный администратор.

Это не исчерпывающая презентация жизненный цикл разработки программного обеспечения, но список важнейших функций разработки, применимых к разделению обязанностей.

Чтобы успешно реализовать разделение обязанностей в информационных системах, необходимо решить ряд проблем:

  • Процесс, используемый для обеспечения прав авторизации человека в системе, соответствует его роли в организации.
  • В аутентификация используемый метод, такой как знание пароля, владение объектом (ключом, токеном) или биометрическими характеристиками.
  • Обход прав в системе может происходить из-за доступа к администрированию базы данных, доступа к администрированию пользователей, инструментов, которые обеспечивают черный доступ, или учетных записей пользователей, установленных поставщиком. Для решения этой конкретной проблемы могут потребоваться специальные меры, такие как просмотр журнала активности.

Рекомендации

  1. ^ Р. А. Бота и Дж. Х. П. Элофф, Разделение обязанностей по обеспечению контроля доступа в средах рабочих процессов
  2. ^ Кевин Коулман, Разделение обязанностей и ИТ-безопасность
  3. ^ ISACA, Матрица контроля разделения обязанностей

внешняя ссылка