Arbetsfördelning (SoD) är en väsentlig del av alla företags strategier för riskhantering.
En rapport från 2022, publicerad av Association of Certified Fraud Examiners (ACFE), indikerar att företag i genomsnitt förlorar omkring 1 783 000 USD per fall av bedrägeri begånget av anställda.
Detta understryker vikten av att moderna företag implementerar hållbara riskhanteringsmetoder i en tid där bedrägerier och felaktigheter ökar.
SoD är avsett att kontrollera, hantera och minska dessa risker, vilket leder till förbättrade interna kontroller, ökad säkerhet och ökad medvetenhet.
I denna artikel kommer vi att gå igenom vad SoD innebär, dess betydelse och andra centrala termer som är kopplade till konceptet.
Låt oss dyka in och se hur man kan återta kontrollen!
Vad innebär arbetsfördelning?
Arbetsfördelning (SoD) är en grundläggande princip inom riskhantering och interna kontroller. Den innebär att ansvaret för olika delar av en uppgift delas mellan flera individer. Syftet är att förhindra missbruk av information, bedrägerier, stölder och andra säkerhetsrisker.
Även om en uppgift i sig kan utföras av en person, delas den upp i flera steg. Detta säkerställer att ingen enskild individ har total kontroll över uppgiften eller överdriven makt som skulle kunna missbrukas för olovliga eller bedrägliga aktiviteter. Istället delas ansvaret mellan minst två personer.
Idag används SoD inom flera områden som redovisning, finans, lönehantering och administration. Inom politiken ser vi detta som maktdelning i demokratier där staten delas upp i en dömande, en verkställande och en lagstiftande makt.
SoD:s roll i riskhantering
SoD bygger på principen om delat ansvar och att verksamheten i ett företag inte ska vara beroende av en enda individ. Man bör inte ge en enda person fullständig kontroll över en uppgift, eftersom det kan leda till bedrägerier, fel eller skador på företagets rykte.
SoD är en kritisk del av riskhantering och företagets efterlevnad av lagar och regler, till exempel Sarbanes-Oxley Act (SOX) från 2002.
Genom att separera arbetsuppgifter mellan flera anställda minskar risken för att en anställd eller tredje part ska kunna:
- Missbruka konfidentiell information om företaget
- Stjäla pengar
- Manipulera dokument (som bokföringshandlingar) för att vilseleda intressenter eller blåsa upp aktiekurser
- Starta en hämndkampanj efter att ha blivit anklagad för felbehandling
- Engagera sig i företagsspionage
Om man inte använder en säkerhetsstrategi som SoD kan det få betydande negativa konsekvenser för företaget, inklusive ekonomiska förluster, lagliga påföljder och skadat varumärke. Därför är det klokt att implementera SoD i hela företaget, från redovisning och lönehantering till IT och cybersäkerhetsavdelningarna.
Exempel på SoD i praktiken
Låt oss utforska några exempel på var SoD kan tillämpas:
Redovisning
Inom redovisning kan företag hindra enskilda individer från att få för mycket makt, vilket minskar risken för att tillgångar och ekonomiska felaktigheter döljs.
SoD kräver en noggrann analys av alla roller inom redovisningen och att ansvaret delas upp så att ingen person har full kontroll över en specifik funktion. Till exempel ska inte samma person ta emot checkar och registrera mottagna checkar.
IT och cybersäkerhet
SoD-policyer kan hjälpa till att minska risker kopplade till åtkomstkontroll inom IT-avdelningen. Genom att separera arbetsflöden kan man se till att inte samma grupp eller personer får flera åtkomstbehörigheter.
Om en enskild person ges för mycket makt utöver sina skyldigheter, kan de missbruka den och läcka information till utomstående eller ge dem otillåten åtkomst. Samtidigt har ingen annan koll på det.
Detta kan leda till en katastrofal situation. Ett exempel är att inte låta samma person ta emot varningar från säkerhetssystemet och hantera systemets åtkomstbehörigheter.
Efterlevnad och kontroller
Genom att införa robusta SoD-strategier kan man eliminera mänskliga fel, oavsett om de är avsiktliga eller oavsiktliga. Dessutom kan man upptäcka bedrägliga aktiviteter. På så sätt kan företaget skyddas från brott mot lagar och regler. Till exempel bör inte samma person vara ansvarig för att sammanställa ekonomisk information och sedan granska den.
Ytterligare exempel
Samma person ska inte ha ansvar för:
- Att skapa och godkänna inköpsrekvisitioner
- Att skapa och godkänna leverantörsfakturor
- Att förbereda fakturan och bokföra försäljningstransaktioner i reskontran
- Att betala ut löner och anställa personal
- Att registrera mottagna kontanter och skapa kreditnotor
- Att handla med aktier och hantera fusioner och förvärv
- Att lägga upp en inköpare och godkänna inköpsrekvisitioner eller order
Fördelar med SoD
Här är några av fördelarna med att tillämpa SoD i din organisation:
#1. Förebyggande och upptäckt av bedrägerier
Företag är mer utsatta för bedrägerier än någonsin. Det kan handla om bedrägliga aktiviteter som att manipulera checkar, ta ut pengar i smyg, förskingra tillgångar, förfalska dokument, fabricera kvitton, skapa falska fakturor, göra fel i bokföringen och mycket annat.
Med SoD kan man se till att inte en enda person eller grupp ansvarar för alla delar av en uppgift. Detta minskar risken för att bedrägerier begås och döljs. Genom att flera personer granskar en uppgift kan alla bidra till att upptäcka, rapportera och förebygga både interna och externa bedrägerier.
#2. Minskning av mänskliga fel
Om SoD implementeras korrekt kommer du troligtvis att se en betydande minskning av mänskliga fel och tillhörande risker i viktiga ekonomiska processer. Det kan handla om fel som bristfällig dokumentation av transaktioner, undermanning inom bokföringen, inmatningsfel, slarviga kontroller, med mera.
Att flera personer är involverade i viktiga transaktioner ökar chansen att någon upptäcker och korrigerar eventuella fel.
#3. Förbättrade revisioner
Genom att minska riskerna för fel och brister förbättras dokumentationen för företagets ekonomi-, löne-, redovisnings-, IT- eller cybersäkerhetsavdelning. SoD bidrar till att säkerställa att dokumentationen hanteras på rätt sätt, vilket eliminerar problem som dubbelarbete, förseningsavgifter, risker med efterlevnad, med mera.
På så sätt blir du bättre förberedd inför revisioner, oavsett om de sker årligen, halvårsvis eller kvartalsvis. Du kan också känna dig tryggare med att följa reglerna och undvika påföljder.
#4. Ökad effektivitet
Vissa tror kanske att fler roller leder till ineffektivitet och högre kostnader. Men om SoD planeras väl kan det i själva verket öka effektiviteten. Detta beror på att man delar upp en uppgift i flera deluppgifter, som var och en utförs av en lämplig, specialiserad person med högre noggrannhet och snabbhet.
Detta minskar inte bara riskerna utan skapar också högre effektivitet jämfört med att en enda person ska utföra hela uppgiften. Dessutom är kostnaden för skador på företaget till följd av bristande SoD mycket högre än kostnaden för att anställa fler personer.
Nyckelbegrepp inom SoD
För att få en djupare förståelse av SoD behöver du känna till följande nyckelbegrepp:
#1. SoD-konflikter
En SoD-konflikt uppstår när en person agerar mot företagets intressen och i sitt eget intresse. Det innebär att de har fått flera roller för att utföra flera viktiga funktioner i en process. Detta kan påverka processens integritet och företaget negativt.
SoD-konflikter kan uppstå inom olika områden i ett företag, till exempel orderhantering eller inköp. För att minska risken för SoD-konflikter är det viktigt att analysera och bedöma incidenter. Företag måste också implementera robusta kontroller för att skydda sig mot olovliga aktiviteter av personalen.
En bra strategi för att förebygga SoD-konflikter kan vara att använda rollbaserade åtkomstkontroller (RBAC) i hela organisationen. RBAC ser till att behörigheter och kontroller ges till användare baserat på deras roll och ansvar, och inte mer.
Genom RBAC kan man ge en behörig person i uppdrag att granska varje roll och de behörigheter som är kopplade till rollerna, för att upptäcka både interna och externa SoD-överlappningar.
Men inte alla konflikter leder nödvändigtvis till skada eller olovlig verksamhet. En användare kan till exempel ha gjort fel av misstag eller utfört en nödvändig funktion som krävde fler behörigheter.
Därför bör företag göra en noggrann utredning och bedöma sin SoD-policy för att säkerställa att konflikterna inte utvecklas till bedrägeri eller olaglig verksamhet.
#2. SoD-överträdelser
En SoD-överträdelse inträffar när en anställd på ett företag missbrukar sin tilldelade roll och avsiktligt får tillgång till information eller utför en förbjuden handling. Det innebär att de bryter mot företagets interna policyer eller externa bestämmelser.
En anställd kan göra sig skyldig till SoD-överträdelse när de fått kontroll över flera steg i en process, vilket går utöver deras tillåtna befogenheter. Därefter missbrukar de sina befogenheter för egen vinning.
Ett exempel på en intern SoD-överträdelse är när ett företag har en policy om att den som anställer personal inte också får dela ut lönecheckar. Om de utför båda aktiviteterna kan de missbruka den positionen och genomföra bedrägerier eller olovlig verksamhet. Det skulle räknas som en SoD-överträdelse.
Det här är ett exempel på hur en intern SoD-överträdelse kan se ut, men låt oss även ta en titt på hur en extern SoD-överträdelse kan uppstå. Det kan till exempel handla om att en hög chef som VD manipulerar bokslut och bryter mot SOX-reglerna.
Det kan leda till enorma böter för företaget, och den anställde kan även dömas till fängelse. Det är skadligt för företaget både vad gäller anseende och ekonomi.
För att minska SoD-överträdelser måste företaget övervaka överträdelser och aktiviteter hos alla anställda. Man måste även uppdatera sina policyer i takt med att ny teknik tillkommer.
#3. SoD-matris
En SoD-matris är ett verktyg som chefer använder för att minska komplexiteten i SoD. Med hjälp av matrisen kan chefer särskilja olika ansvarsområden, roller och risker i organisationen.
SoD-matrisen kan även upptäcka potentiella konflikter inom organisationen och hjälpa till att lösa dem i god tid, samtidigt som man förhindrar allvarliga skador.
SoD-matriser skapas automatiskt i moderna företag som använder affärssystem. En genererad SoD-matris bygger på användarens uppgifter och roller som är definierade i affärssystemet.
Här ska varje uppgift matcha en process i ett visst transaktionsflöde för att gruppera uppgifter och roller, vilket säkerställer att ingen användare får utföra fler än ett steg i flödet.
En SoD-matris kan också visas som ett diagram där användarroller visas på båda axlarna – X och Y, vilket illustrerar SoD-konflikter. Matrisen visar även kopplingar mellan uppgifter, aktiviteter och roller i ett arbetsflöde för att hjälpa efterlevnadsteam att separera ansvarsområden som inte är kompatibla.
Du kan skapa en SoD-matris med program som MS Excel eller manuellt på ett pappersark. De kan även skapas med hjälp av ett ERP-verktyg.
Exempel: Här är ett exempel på hur du kan skapa en SoD-matris för lönehantering av anställda. Du kan använda valfri symbol som ja/nej, färgade flaggor eller pilar, ett kryss osv. för roller och ansvar. Vi använder Y/N i följande diagram.
| Process | Anställd | Nyanställa | Skapa lönecheckar | Godkänn betalning | Hantera förmåner |
| Nyanställa | 1 | Y | N | N | N |
| Skapa lönecheckar | 2 | N | Y | Y | N |
| Godkänn betalning | 3 | N | Y | Y | N |
| Hantera förmåner | 4 | N | N | N | Y |
Tabellen ovan visar att anställd 2 har behörighet att skapa lönecheckar och godkänna dem. Därför får de inte ändra förmåner eller anställa nya medarbetare. Om de skulle göra det, kan en SoD-konflikt uppstå. På samma sätt är anställd 1 ansvarig för att nyanställa personal. De får därmed inte skapa lönecheckar, hantera förmåner eller godkänna betalningar. Annars kan en SoD-konflikt uppstå.
Så implementerar du SoD
Om du funderar på att implementera SoD men är osäker på var du ska börja, kan du följa dessa steg:
Definiera organisatoriska processer och policyer
Börja med att definiera alla viktiga organisatoriska processer som de anställda är ansvariga för. Detta kan baseras på företagets storlek och bransch. När du har definierat varje process och uppgift, kan du även lista företagets policyer. Definiera policyer för interna anställda, externa leverantörer och andra parter som du har affärsrelationer med.
På HR-avdelningen kanske du vill lista uppgifter som att anställa och ta in personal, skapa förmåner och ersättningar, godkänna betalningar, dokumentera med mera. På samma sätt kan du på ekonomiavdelningen lista uppgifter som produktleveransbekräftelse, granska fakturor, signera checkar, betala fakturor osv.
Du måste även beskriva de policyer som du har tagit fram för dina avdelningar och anställda. Till exempel får en anställd som gör utbetalningar inte även vara den som signerar checkar. Ett annat exempel på en policy kan vara att den anställda som ansvarar för försäljningen av en produkt inte även får bekräfta leveransen.
Skapa en SoD-matris
När du har definierat dina uppgifter och policyer ska du skapa en SoD-matris för att lista alla roller och uppgifter. Detta hjälper dig att förstå vilka anställda som ansvarar för vilka uppgifter och om det finns risk för SoD-konflikt eller överträdelse.
Diagrammet ovan kan hjälpa dig att skapa en SoD-matris för ditt företag. Ibland kan det vara svårt att upptäcka SoD-konflikter, särskilt när informationen inte matchar uppgifterna. För att lösa detta kan du använda två metoder när du skapar en SoD-matris:
Definiera tydligt alla uppgifter och markera varje SoD-konflikt: detta skapar en stor matris men ger bättre noggrannhet när det gäller att visualisera uppgifter och roller.
Utelämna några uppgifter eller gruppera dem: Det ger dig en komprimerad matris som är lättare att analysera och fokusera på SoD-konflikter. Det kan dock leda till felaktiga resultat som påverkar SoD-resultaten och konflikterna.
Tilldela uppgifter
När du har identifierat alla SoD-konflikter kan du börja tilldela uppgifter och deluppgifter till de anställda, med utgångspunkt i konceptet arbetsfördelning. Om du stöter på en situation där SoD inte kan tillämpas, ska du hitta ett sätt att kontrollera och övervaka den anställde som utför uppgiften för att minska eventuella risker.
Hantera och granska
Det är viktigt att övervaka och granska dina uppgifter och roller för att säkerställa att SoD fungerar som det ska och att det inte finns någon potentiell konflikt eller överträdelse. Om du upptäcker några problem, kan du ändra roller och uppgifter genom att tilldela dem på nytt. Fortsätt att övervaka för att förebygga risker.
Slutsats
Arbetsfördelning (SoD) är ett utmärkt sätt att hantera interna kontroller och förhindra bedrägerier och fel. Det bidrar till att säkerställa företagets säkerhet genom att se till att ingen får för mycket kontroll, som skulle kunna användas för att skada företaget i form av dataläckor, bedrägerier eller olaglig verksamhet. Implementera SoD i ditt företag och var säker och vaksam.
Du kan även undersöka verktyg för att upptäcka och förhindra bedrägerier online.