La séparation des tâches (SoD) est un élément crucial des stratégies de gestion des risques d’une organisation.
Un rapport publié en 2022 par l’Association of Certified Fraud Examiners (ACFE) souligne que les entreprises subissent des pertes d’environ 1 783 000 dollars par cas en raison de la fraude commise par les employés.
Cela explique pourquoi les entreprises modernes ont besoin d’une gestion durable des risques à une époque où les fraudes, les escroqueries et les erreurs se multiplient.
La SdD vise à contrôler, gérer et même atténuer ces risques afin d’améliorer les contrôles organisationnels tout en renforçant la sécurité et la sensibilisation.
Dans cet article, j’expliquerai ce qu’est la SdD, son importance et d’autres terminologies clés qui lui sont associées.
Alors, commençons et apprenons à reprendre le contrôle !
Qu’est-ce que la séparation des tâches ?
La séparation des tâches est un concept important de la gestion des risques et des contrôles internes d’une organisation, qui consiste à confier à plusieurs personnes la responsabilité d’accomplir les différentes parties d’une tâche. Elle est mise en œuvre pour prévenir l’utilisation abusive d’informations, la fraude, le vol et d’autres risques liés à la sécurité.
La tâche peut être accomplie par une seule personne, mais elle est divisée en plusieurs parties. Cela permet de s’assurer qu’aucune personne n’a le contrôle exclusif de la tâche ou des contrôles excessifs, au point d’en faire un usage abusif à des fins non autorisées ou dans le cadre d’activités frauduleuses. Au contraire, le contrôle sera partagé par au moins deux personnes.
Aujourd’hui, la SoD est mise en œuvre dans divers domaines, tels que la comptabilité, la finance, la paie, l’administration, etc. En politique, elle devient la séparation des pouvoirs dans les démocraties où le gouvernement est divisé en un pouvoir judiciaire, un pouvoir exécutif et un pouvoir législatif.
La SoD dans la gestion des risques
La SdD repose sur le principe du partage des responsabilités et sur le fait que la gestion d’une organisation ou d’une entreprise ne doit pas être l’affaire d’une seule personne. Vous ne devez pas confier à une seule personne le contrôle total de l’exécution d’une tâche susceptible d’entraîner des fraudes, des erreurs ou de nuire à la réputation de votre entreprise.
En fait, la séparation des tâches est un élément essentiel de la gestion des risques et de la conformité de l’entreprise à des réglementations telles que la loi Sarbanes-Oxley de 2002 (SOX).
La séparation des tâches entre plusieurs personnes responsables réduit les risques qu’un employé ou un tiers.. :
- D’utiliser à mauvais escient des informations confidentielles de l’organisation
- Voler des fonds
- Falsifier des documents (comme les finances) pour tromper les parties prenantes ou gonfler le cours des actions
- Lancer une campagne de vengeance après avoir été prétendument maltraité
- Participer à l’espionnage d’entreprise
Si vous n’employez pas une stratégie sûre telle que SoD, votre organisation pourrait subir des dommages considérables en termes financiers, de pénalités liées à la conformité et d’image de marque. C’est pourquoi il est recommandé de mettre en œuvre la SoD dans toute l’entreprise, depuis la comptabilité et la paie jusqu’aux départements des technologies de l’information (TI) et de la cybersécurité.
Exemples de SoD
Examinons quelques exemples d’application de la SoD.
Comptabilité
Dans le domaine de la comptabilité, les organisations peuvent interdire à une seule personne d’acquérir un pouvoir excessif pour dissimuler des actifs et des erreurs financières.
La SdF vous obligera à analyser en profondeur tous les rôles comptables de votre organisation et à séparer les tâches de manière à ce qu’une même personne ne puisse pas avoir le contrôle total d’une fonction donnée. Par exemple, la même personne ne doit pas être autorisée à recevoir les chèques et à enregistrer les chèques reçus.
Informatique et cybersécurité
Les politiques de SdD peuvent contribuer à prévenir les risques liés au contrôle d’accès dans le département informatique. Vous séparez les tâches liées au flux de travail, en veillant à ce que le même groupe ou les mêmes personnes n’obtiennent pas plusieurs autorisations d’accès.
Si une seule personne a accès à des pouvoirs qui dépassent ses fonctions, elle peut en faire un usage abusif et exposer des informations à une personne extérieure ou lui accorder une autorisation d’accès. Dans le même temps, personne d’autre n’en a la moindre idée.
Cette situation peut être catastrophique. Par exemple, la même personne ne doit pas être autorisée à recevoir des alertes des systèmes de sécurité ni à gérer les autorisations d’accès à ce système.
Conformité et contrôles
La mise en œuvre de solides stratégies de SOD peut contribuer à éliminer les erreurs des employés, qu’elles soient intentionnelles ou non. Vous pouvez également détecter les déclarations frauduleuses, le cas échéant. De cette manière, vous protégez votre organisation contre les violations de la conformité. Par exemple, vous devez confier à la même personne la responsabilité du dépôt des informations financières et de leur vérification.
Autres exemples
La même personne ne doit pas être responsable de
- La création et l’approbation des demandes d’achat
- Créer et approuver les factures des fournisseurs
- Préparer la facture et enregistrer les transactions de vente dans le grand livre
- Payer les salaires et embaucher les employés
- Enregistrer les liquidités reçues et créer des notes de crédit
- Négocier des actions et gérer les fusions et acquisitions
- Mise en place d’acheteurs et approbation des demandes d’achat ou des bons de commande
Avantages de la SoD
Voici quelques-uns des avantages de l’application de la SoD dans votre organisation :
#1. Prévention et détection des fraudes
Les organisations sont plus que jamais victimes de fraudes. Il s’agit d’activités frauduleuses telles que la falsification de chèques, l’écrémage, le détournement d’actifs, la falsification de documents, la falsification de reçus et de factures, les erreurs d’enregistrement comptable, etc.
Grâce à la SoD, vous pouvez vous assurer qu’aucune personne ou aucun groupe n’est responsable de l’exécution de toutes les fonctions d’une tâche donnée. Vous éviterez ainsi de commettre des fraudes et de les dissimuler. Le fait d’avoir plus d’yeux sur une tâche signifie que tout le monde peut détecter, signaler et aider à prévenir la fraude externe ou interne.
#2. Réduction des erreurs humaines
Si vous mettez correctement en œuvre la SdD dans votre organisation, vous constaterez probablement une réduction significative des erreurs humaines et des risques connexes dans vos processus financiers essentiels. Il peut s’agir d’erreurs telles qu’une documentation insuffisante des transactions, un manque de personnel en comptabilité, des erreurs de saisie de données, des audits négligents, etc.
Le fait d’employer plusieurs personnes pour les transactions critiques augmente essentiellement les chances qu’une personne remarque une erreur qui s’est produite et la résolve.
#3. Amélioration des audits
En réduisant les risques et les erreurs, vous améliorerez la tenue des dossiers de votre service financier, de paie, de comptabilité, d’informatique ou de cybersécurité. SoD vous aidera à vous assurer que les dossiers sont correctement organisés, éliminant ainsi les problèmes de duplication, les frais de retard, les risques de non-conformité, etc.
Vous serez ainsi mieux préparé aux audits, qu’ils soient annuels, semestriels ou trimestriels. Vous serez également plus confiant quant au respect des réglementations et éviterez les pénalités.
#4. Augmentation de l’efficacité
Certains peuvent penser que l’ajout de rôles supplémentaires entraînera des inefficacités et des coûts plus élevés. Cependant, si vous planifiez bien la SdD, elle favorisera l’efficacité. En effet, vous divisez une tâche en plusieurs sous-tâches, chacune étant exécutée par une personne appropriée et spécialisée, avec une précision et une rapidité accrues.
Cela permet non seulement de réduire les risques, mais aussi d’améliorer l’efficacité par rapport au cas où une seule personne doit effectuer l’ensemble de la tâche. En outre, le coût des dommages subis par l’entreprise en l’absence de SoD est bien supérieur à ce que vous investissez dans l’embauche de personnel supplémentaire.
Quelques termes relatifs à la SoD
Pour mieux comprendre la SoD, vous devez vous familiariser avec les terminologies suivantes :
#1. Conflits de SoD
Un conflit de SdD peut survenir lorsqu’une personne agit contre l’intérêt de l’organisation et dans son propre intérêt. Cela signifie qu’elle a acquis plusieurs rôles afin de remplir plusieurs fonctions importantes dans un processus. Ce faisant, elle risque d’affecter l’intégrité du processus ainsi que l’entreprise.
Les conflits SoD peuvent se produire dans différents domaines d’une organisation, tels que Order to Cash (O2C) ou Purchase to Pay (P2P). Pour atténuer les conflits SoD, vous devez analyser et évaluer ces incidents. Les organisations doivent également mettre en place des contrôles solides et se prémunir contre la participation d’employés à des activités illégales.
Une bonne stratégie pour prévenir les conflits SoD pourrait consister à appliquer des contrôles d’accès basés sur les rôles (RBAC) dans toute votre organisation. Les contrôles d’accès basés sur les rôles garantissent que les autorisations et les contrôles d’accès sont accordés aux utilisateurs en fonction de leur rôle et de leurs responsabilités au sein de l’organisation, et non en fonction d’autres critères.
Ainsi, vous pouvez charger une personne autorisée d’analyser chaque rôle et chaque autorisation d’accès qui lui est attribuée afin de détecter les chevauchements de SoD entre les rôles et à l’intérieur des rôles.
Cependant, chaque conflit ne signifie pas qu’il cause des dommages ou qu’il entraîne des actions illégales. Un utilisateur peut le faire accidentellement, par négligence, ou exécuter une fonction requise par l’entreprise nécessitant davantage de permissions.
C’est pourquoi les entreprises doivent examiner attentivement le cas et évaluer leurs politiques de violation des SoD afin de s’assurer que les conflits ne se transforment pas en fraude ou en activité illégale.
#2. Violation de la SoD
Une violation des SoD peut se produire si un employé d’une organisation exploite le rôle qui lui a été attribué et accède intentionnellement à des informations ou effectue une activité interdite. Cela signifie qu’il enfreint la politique interne de l’organisation ou des réglementations externes.
Les employés peuvent commettre une violation de la SoD lorsqu’ils ont pris le contrôle de plusieurs étapes du processus, dépassant les étapes autorisées. Ensuite, ils utilisent l’accès à leur profit.
Exemple: Une entreprise peut adopter une politique interdisant à la personne qui recrute les employés de distribuer également les chèques de paie. En effet, si elle exerce ces deux activités, elle peut en tirer profit et orchestrer des fraudes ou des activités illégales. Il s’agira alors d’une violation des conditions de travail.
Voilà à quoi ressemble une violation interne de la SdD ; voyons maintenant comment une violation externe de la SdD peut se produire. Par exemple, un décideur de haut niveau, tel que le PDG d’une organisation, se livre à la manipulation des états financiers, violant ainsi les réglementations SOX.
Cela peut entraîner des amendes considérables pour l’organisation, et l’employé peut également être condamné à une peine de prison. Cette situation est préjudiciable à l’organisation en termes de réputation et de coûts.
Pour limiter les violations de la SoD, une organisation doit surveiller ses violations et l’activité de chaque employé. Elle doit également continuer à mettre à jour ses politiques en fonction de l’évolution de l’espace technologique.
#3. Matrice de la SoD
La matrice de SoD est une approche que les responsables adoptent pour réduire la complexité de la SoD. Elle permet aux responsables de distinguer les différentes responsabilités, les rôles et les risques au sein d’une organisation.
En outre, la matrice de SdD peut détecter les conflits potentiels au sein de l’organisation et aider à les résoudre à temps tout en assurant la sécurité contre les dommages graves.
Les matrices de SdD sont générées automatiquement dans les entreprises modernes qui s’appuient sur un logiciel ERP. Une matrice de SoD générée est basée sur les tâches et les rôles d’un utilisateur définis dans son logiciel ERP.
Chaque tâche doit correspondre à un processus dans un flux de transactions donné afin de regrouper les tâches et les rôles, en veillant à ce qu’aucun utilisateur ne soit autorisé à exécuter plus d’une étape du flux de travail.
En outre, une matrice SoD peut être représentée par un graphique où les rôles des utilisateurs sont maintenus sur les deux axes – X et Y – qui signifient les conflits SoD. Elle permet également de faire correspondre les tâches et les activités aux rôles dans un flux de travail afin de permettre aux équipes chargées de la conformité de séparer les responsabilités incompatibles.
Vous pouvez créer une matrice de SdD à l’aide d’un logiciel tel que MS Excel ou manuellement sur une feuille de papier. Elles peuvent également être créées à l’aide d’un outil ERP.
Exemple : Voici un exemple de création d’une matrice de SdD pour la paie d’un employé. Vous pouvez utiliser n’importe quel signifiant comme oui/non, des drapeaux ou des flèches de couleur, une coche, etc. pour les rôles et les responsabilités. Utilisons Y/N dans le diagramme suivant.
| Processus | Employé | Embarquement des employés | Création de chèques de paie | Compensation des paiements | Gestion des avantages sociaux |
| Embarquement des employés | 1 | Y | N | N | N |
| Création de fiches de paie | 2 | N | Y | Y | N |
| Paiements de compensation | 3 | N | Y | Y | N |
| Gestion des avantages | 4 | N | N | N | Y |
Le tableau ci-dessus montre que l’employé 2 a l’autorisation de créer des chèques de paie et de les apurer. Il ne doit donc pas modifier les avantages sociaux ni embaucher des salariés. S’il le fait, un conflit de SdD peut survenir. De même, l’employé 1 est responsable de l’embauche de nouveaux employés. Il ne doit donc pas créer de chèques de paie, gérer les avantages sociaux ou apurer les paiements. Dans le cas contraire, un conflit de SoD pourrait survenir.
Comment mettre en œuvre la SoD ?
Si vous envisagez de mettre en œuvre la SoD mais ne savez pas par où commencer, voici les étapes à suivre :
#1. Définir les processus et les politiques de l’organisation
Tout d’abord, vous devez définir tous les processus organisationnels clés dont les employés sont responsables. Cette définition peut dépendre de la taille de votre organisation et de son secteur d’activité. Une fois que vous avez défini chaque processus et chaque tâche, dressez également la liste de vos politiques. Définissez des politiques pour vos employés internes, vos fournisseurs externes et les autres entités avec lesquelles vous traitez.
Par exemple, dans votre service des ressources humaines, vous pouvez énumérer des tâches telles que l’embauche et l’intégration des employés, la création d’avantages sociaux et de rémunérations, la compensation des paiements, la tenue des dossiers, etc. De même, dans le service de la comptabilité, vous pouvez énumérer des tâches telles que la confirmation de la livraison des produits, l’examen des factures, la signature des chèques, le paiement des factures, etc.
En outre, vous devrez définir les politiques que vous avez mises en place pour vos services et vos employés. Par exemple, un employé qui émet un paiement ne doit pas être celui qui signe les chèques. Autre exemple de politique : l’employé chargé de la vente d’un produit ne doit pas également confirmer sa livraison.
#2. Créez une matrice de SdD
Après avoir défini vos tâches et vos politiques, vous devez créer une matrice SoD pour répertorier tous les rôles et toutes les tâches. Elle vous aidera à comprendre quels employés sont responsables de quelles tâches et s’il existe un risque de conflit ou de violation des SoD.
Le tableau ci-dessus vous aidera à créer une matrice de SoD pour votre organisation. Mais il est parfois difficile de détecter les conflits de SoD, en particulier lorsque les représentations ne correspondent pas aux tâches. Pour cela, vous pouvez adopter deux approches lors de la création d’une matrice de SdD :
Définir clairement toutes les tâches et étiqueter chaque conflit de SdD : cela crée une matrice volumineuse mais offre une meilleure précision dans la représentation visuelle des tâches et des rôles.
Omettre certaines tâches ou les regrouper : Vous obtiendrez ainsi une matrice condensée, facile à analyser et à cibler sur les conflits de dates de début et de fin. Cependant, cela peut conduire à des faux positifs et à des erreurs affectant les résultats et les conflits de la SdD.
#3. Attribuez des tâches
Une fois que vous avez détecté tous les conflits de SdD, commencez à assigner des tâches et des sous-tâches aux employés, en vous appuyant sur le concept de séparation des tâches. Si vous rencontrez un scénario dans lequel vous ne pouvez pas appliquer la SdD, trouvez un moyen solide de contrôler et de surveiller l’employé qui exécute la tâche afin de prévenir tout risque.
#4. Gérer et réviser
Il est essentiel de contrôler et d’examiner vos tâches et vos rôles pour s’assurer que la SoD est bien mise en œuvre et qu’il n’y a pas de conflit ou de violation potentiels. Si vous en détectez, gérez vos rôles et vos tâches en les réaffectant. Continuez à surveiller pour prévenir les risques.
Conclusion
La séparation des tâches est un excellent moyen de gérer les contrôles internes et de prévenir la fraude et les erreurs. Elle contribuera à garantir la sécurité de l’organisation, de sorte que personne n’obtienne un contrôle excessif, suffisant pour causer des dommages à votre organisation en termes de fuites de données, de fraude ou d’activités illégales. Mettez donc en œuvre la SoD dans votre organisation et restez en sécurité et vigilant.
Vous pouvez également explorer certains outils de détection et de prévention de la fraude pour les entreprises en ligne.