La séparation des tâches (SoD) expliquée en mots simples

La séparation des tâches (SoD) est un élément crucial des stratégies de gestion des risques d'une organisation.

A 2022 rapport par l'Association of Certified Fraud Examiners (ACFE) souligne que les entreprises supportent des pertes d'environ 1,783,000 XNUMX XNUMX $ en raison de la fraude des employés par cas.

Cela explique pourquoi les entreprises modernes ont besoin d'avoir des la gestion des risques en cette ère de fraude, d'escroqueries et d'erreurs croissantes.

Et SoD vise à contrôler, gérer et même atténuer ces risques pour avoir de meilleurs contrôles organisationnels avec une sécurité et une sensibilisation accrues.

Dans cet article, je vais discuter de ce qu'est SoD, de son importance et d'autres terminologies clés qui lui sont associées.

Alors, commençons et apprenons à reprendre le contrôle !

What is Segregation of Duties?

La séparation des tâches (SoD) est un concept important de la gestion des risques et des contrôles internes d'une organisation dans lequel plus d'une personne est chargée d'accomplir les différentes parties d'une tâche. Il est mis en œuvre pour prévenir l'utilisation abusive des informations, la fraude, le vol et d'autres risques liés à la sécurité.

La tâche, cependant, peut être accomplie par une seule personne, mais elle est divisée en plusieurs parties. Cela permet de garantir qu'aucune personne n'a le contrôle exclusif de la tâche ou des contrôles excessifs, suffisamment pour abuser du contrôle à des fins non autorisées ou des activités frauduleuses. Au lieu de cela, il sera partagé par au moins deux personnes.

Aujourd'hui, SoD est mis en œuvre dans divers domaines, tels que la comptabilité, la finance, paie, administration, etc. En politique, cela devient la séparation des pouvoirs dans les démocraties où le gouvernement est divisé en un pouvoir judiciaire, un exécutif et un législatif.

SoD in Risk Management

SoD fonctionne sur le principe des responsabilités partagées et que la gestion d'une organisation ou d'une entreprise ne doit pas être le travail d'un seul individu. Vous ne devez pas faire confiance à une seule personne pour obtenir le contrôle total d'une tâche susceptible d'entraîner des fraudes, des erreurs ou de porter atteinte à la réputation de votre entreprise.

En fait, SoD est un élément vital de la gestion des risques et de l'entreprise conformité avec des réglementations telles que la loi Sarbanes-Oxley (SOX) de 2002. 

La séparation des tâches entre plusieurs membres du personnel responsable réduit les risques pour un employé ou un tiers de :

• Utilisation abusive des informations confidentielles de l'organisation
• Voler des fonds
• Falsifier les dossiers (comme les finances) pour induire les parties prenantes en erreur ou gonfler les cours des actions
• Lancer une campagne de vengeance après avoir été maltraité
• Participation à l'espionnage d'entreprise

Et si vous n'employez pas une stratégie sûre comme SoD, cela pourrait entraîner des dommages importants pour votre organisation en termes de finances, de sanctions basées sur la conformité et d'image de marque. C'est pourquoi il est recommandé d'implémenter SoD dans toute l'entreprise, de la comptabilité et de la paie aux départements des technologies de l'information (IT) et de la cybersécurité.

Examples of SoD

Regardons quelques-uns des exemples où vous pouvez appliquer SoD.

Services 

En comptabilité, les organisations peuvent interdire aux célibataires d'acquérir un pouvoir excessif pour cacher des actifs et des erreurs financières.

SoD vous demandera d'analyser en profondeur tous les rôles comptables de votre organisation et de séparer les tâches afin qu'une même personne ne puisse pas contrôler complètement une fonction donnée. Par exemple, la même personne ne doit pas être autorisée à recevoir les chèques et à enregistrer les chèques reçus.

Informatique et Cybersécurité 

Les politiques SoD peuvent aider à prévenir les risques de contrôle d'accès dans le service informatique. Vous séparez les tâches de flux de travail, en vous assurant que le même groupe ou les mêmes personnes ne reçoivent pas plusieurs autorisations d'accès.

Si une seule personne a accès au pouvoir au-delà de ses fonctions, elle peut en abuser et exposer des informations à un étranger ou lui accorder une autorisation d'accès. En même temps, personne d'autre n'en a la moindre idée. 

Cette situation pourrait être catastrophique. Par exemple, la même personne ne doit pas être autorisée à recevoir des alertes des systèmes de sécurité et à gérer les autorisations d'accès de ce système.

Conformité et contrôles 

La mise en œuvre de stratégies SOD solides peut aider à éliminer les erreurs des employés, intentionnelles ou non. Vous pouvez également détecter les déclarations frauduleuses, le cas échéant. De cette façon, vous pouvez protéger votre organisation contre les violations de conformité. Par exemple, vous devez confier à la même personne la responsabilité du dépôt et de la vérification des informations financières.

Autres exemples

La même personne ne devrait pas être responsable de :

• Création et approbation des demandes d'achat
• Création et validation des factures fournisseurs
• Préparer le facture et saisir les transactions de vente dans le grand livre
• Payer les salaires et embaucher des employés
• Enregistrement des encaissements et création de notes de crédit
• Négocier des actions et gérer des fusions et acquisitions
• Paramétrage des acheteurs et approbation des demandes d'achat ou des bons de commande

Advantages of SoD

Certains des avantages de l'application de SoD dans votre organisation sont :

# 1. Prévention et détection de la fraude

Les organisations sont plus que jamais victimes de fraude. Cela implique des activités frauduleuses telles que la falsification de chèques, l'écrémage d'espèces, le détournement d'actifs, la falsification de documents, la falsification de reçus, de factures, d'erreurs dans les registres comptables, etc.

Avec SoD, vous pouvez vous assurer qu'aucune personne ou groupe n'est responsable de l'exécution de toutes les fonctions d'une tâche donnée. Cela dissuadera la possibilité de commettre une fraude et de la cacher. Avoir plus d'yeux sur une tâche signifie que n'importe qui peut détecter, signaler et aider à prévenir la fraude externe ou interne.

# 2. Réduction des erreurs humaines

Si vous implémentez correctement SoD dans votre organisation, vous constaterez probablement une réduction significative des erreurs humaines et des risques associés dans vos processus financiers critiques. Cela peut impliquer des erreurs telles qu'une documentation insuffisante des transactions, une faible main-d'œuvre en comptabilité, des erreurs de saisie de données, des audits négligents, etc. 

L'emploi de plusieurs personnes dans des transactions critiques augmente essentiellement les chances qu'une personne remarque une erreur qui s'est produite et la résolve.

# 3. Audits améliorés

La réduction des risques et des erreurs améliorera la tenue des dossiers de vos finances, de votre paie, comptabilité, informatique ou cybersécurité. SoD aidera à garantir que les dossiers sont correctement organisés, en éliminant les problèmes tels que les doublons, les frais de retard, les risques de conformité, etc.

Ainsi, vous serez mieux préparé aux audits, qu'ils soient annuels, semestriels ou trimestriels. Vous vous sentirez également plus en confiance avant de vous conformer à la réglementation et éviterez les pénalités.

# 4. Augmente l'efficacité

Certains peuvent penser que l'ajout de rôles entraînera des inefficacités et des coûts plus élevés. Cependant, si vous planifiez bien SoD, cela favorisera l'efficacité. C'est parce que vous divisez une tâche en plusieurs sous-tâches, chacune exécutée par une personne appropriée et spécialisée avec une meilleure précision et rapidité.

Cela réduit non seulement les risques, mais offre également une plus grande efficacité par rapport au cas où une seule personne doit effectuer l'ensemble de la tâche. De plus, le coût des dommages subis par l'entreprise en l'absence de SoD est bien supérieur à ce que vous investissez dans l'embauche de plus de personnel.

Some SoD Terminologies

Pour mieux comprendre SoD, vous devez en savoir plus sur les terminologies suivantes :

# 1. Conflits SoD

Un conflit SoD peut survenir lorsqu'une personne agit contre l'intérêt de l'organisation et dans son intérêt. Cela signifie qu'ils ont acquis plusieurs rôles afin d'effectuer plusieurs fonctions importantes dans un processus. Cela pourrait potentiellement affecter l'intégrité du processus ainsi que l'entreprise.

Les conflits SoD peuvent survenir dans différents domaines d'une organisation, tels que Order to Cash (O2C) ou Purchase to Pay (P2P). Pour atténuer les conflits SoD, vous devez analyser et évaluer ces incidents. Les organisations doivent également mettre en place des contrôles solides et se protéger des employés participant à des activités illégales.

Une bonne stratégie pour prévenir les conflits SoD pourrait consister à appliquer des contrôles d'accès basés sur les rôles (RBAC) dans l'ensemble de votre organisation. RBAC garantit que les autorisations d'accès et les contrôles sont accordés aux utilisateurs en fonction de leurs rôles et responsabilités dans l'organisation, pas plus que cela.

Dans ce cas, vous pouvez affecter une personne autorisée à analyser chaque rôle et autorisation d'accès qui lui est attribué pour les chevauchements SoD inter-rôles et intra-rôles.  

Cependant, tout conflit ne signifie pas causer des dommages ou entraîner des actions illégales. Un utilisateur pourrait le faire accidentellement, par négligence, ou effectuer une fonction requise pour l'entreprise nécessitant plus d'autorisations.

C'est pourquoi les entreprises doivent examiner attentivement le cas et évaluer leurs politiques de violation SoD pour s'assurer que les conflits ne se transforment pas en fraude ou en activité illégale.

# 2. Infraction SoD

Des violations SoD peuvent se produire si un employé d'une organisation exploite le rôle qui lui est assigné et accède intentionnellement à des informations ou exerce une activité interdite. Cela signifie qu'ils violent la politique interne de l'organisation ou les réglementations externes.

Les employés peuvent mener une violation SoD lorsqu'ils ont pris le contrôle de plusieurs étapes de processus, dépassant les étapes autorisées. Ensuite, ils abusent de l'accès à leur profit.

Exemple: Une entreprise peut établir une politique selon laquelle la personne qui embauche des employés ne peut pas également distribuer des chèques de paie. C'est parce que s'ils exercent les deux activités, ils peuvent en tirer parti pour leur propre bénéfice et orchestrer une fraude ou une activité illégale. Ainsi, cela se transformera en une violation SoD.

Voilà à quoi ressemble une violation SoD interne ; comprenons comment une violation SoD externe peut se produire. Par exemple, un décideur de haut niveau comme le PDG d'une organisation se livre à la manipulation des états financiers, en violation des réglementations SOX.

Cela peut entraîner des amendes énormes pour l'organisation, et l'employé peut également purger une peine de prison. Cela est dommageable pour l'organisation en termes de réputation et de coût.

Pour atténuer les violations SoD, une organisation doit surveiller leurs violations et l'activité de chaque employé. Ils doivent également continuer à mettre à jour leurs politiques avec l'évolution de l'espace technologique.

# 3. Matrice SoD

La matrice SoD est une approche que les gestionnaires adoptent afin de réduire les complexités SoD. Il permet aux gestionnaires de distinguer les différentes responsabilités, rôles et risques dans une organisation.

De plus, la matrice SoD peut détecter les conflits potentiels au sein de l'organisation et aider à les résoudre à temps tout en offrant une sécurité contre les dommages graves.

Les matrices SoD sont générées automatiquement dans les entreprises modernes qui s'appuient sur Logiciel ERP. Une matrice SoD générée est basée sur les tâches et les rôles d'un utilisateur définis dans son logiciel ERP.

Ici, chaque tâche doit correspondre à un processus dans un flux de travail de transaction donné afin de regrouper les tâches et les rôles, en veillant à ce qu'aucun utilisateur ne soit autorisé à exécuter plus d'une étape dans le flux de travail.

De plus, une matrice SoD peut être représentée par un graphique où les rôles des utilisateurs sont conservés sur les deux axes - X et Y qui signifient les conflits SoD. En outre, il mappe les tâches et les activités aux rôles dans un flux de travail afin de permettre aux équipes de conformité de séparer les responsabilités incompatibles.

Vous pouvez soit créer une matrice SoD à l'aide d'un logiciel tel que MS Excel, soit manuellement sur une feuille de papier. Ils peuvent également être créés à l'aide d'un outil ERP.

Mise en situation : Voici un exemple de la façon dont vous pouvez créer une matrice SoD pour la paie d'un employé. Vous pouvez utiliser n'importe quel signifiant comme oui/non, des drapeaux ou des flèches de couleur, une coche, etc. pour les rôles et les responsabilités. Utilisons Y/N dans le graphique suivant.

Dans le graphique ci-dessus, il est indiqué que l'employé 2 a l'autorisation de créer des chèques de paie et de les effacer. Ainsi, ils ne doivent pas modifier les avantages ou embaucher des employés. S'ils le font, un conflit SoD peut survenir. De même, l'employé 1 est responsable de l'embauche de nouveaux employés. Ainsi, ils ne doivent pas créer de chèques de paie, gérer des avantages ou effacer des paiements. Sinon, un conflit SoD peut se produire.

How to Implement SoD

Donc, si vous envisagez d'implémenter SoD mais que vous ne savez pas par où commencer, voici les étapes à suivre :

# 1. Définir les processus et politiques organisationnels

Tout d'abord, vous devez définir tous les processus organisationnels clés dont les employés sont responsables. Cela pourrait être basé sur la taille de votre organisation et le type d'industrie. Une fois que vous avez défini chaque processus et chaque tâche, répertoriez également vos politiques. Définissez des politiques pour vos employés internes, vos fournisseurs externes et les autres entités avec lesquelles vous traitez.

Par exemple, dans votre service des ressources humaines, vous souhaiterez peut-être répertorier des tâches telles que l'embauche et onboarding employés, création d'avantages et de compensations, compensation des paiements, tenue de registres, etc. De même, dans le service comptable, vous pouvez répertorier les tâches telles que la confirmation de la livraison des produits, l'examen des factures, la signature des chèques, le paiement des factures, etc.

En outre, vous devrez décrire les politiques que vous avez élaborées pour vos services et vos employés. Par exemple, un employé qui émet un paiement ne doit pas également être celui qui signe les chèques. Un autre exemple de politique pourrait être – l'employé responsable de la vente d'un produit ne doit pas également confirmer sa livraison.  

# 2. Créer une matrice SoD

Après avoir défini vos tâches et politiques, vous devez créer une matrice SoD pour répertorier tous les rôles et tâches. Cela vous aidera à comprendre quels employés sont responsables de quelles tâches et s'il existe une possibilité de conflit ou de violation SoD.

Le tableau ci-dessus vous aidera à créer une matrice SoD pour votre organisation. Mais parfois, il devient difficile de détecter les conflits SoD, surtout lorsque les représentations ne correspondent pas bien aux tâches. Pour cela, vous pouvez adopter deux approches lors de la création d'une matrice SoD :

Définissez clairement toutes les tâches et étiquetez chaque conflit SoD : cela crée une grande matrice mais offre une meilleure précision dans la représentation visuelle des tâches et des rôles.

Omettez certaines tâches ou regroupez-les : cela vous fournira une matrice condensée, facile à analyser et à concentrer sur les conflits SoD. Cependant, cela pourrait entraîner des faux positifs et des erreurs affectant les résultats et les conflits SoD.

# 3. Attribuer des tâches

Une fois que vous avez détecté tous les conflits SoD, commencez à attribuer des tâches et des sous-tâches aux employés, en tirant parti du concept de séparation des tâches. Si vous rencontrez un scénario où vous ne pouvez pas appliquer SoD, trouvez un moyen solide de contrôler et de surveiller l'employé effectuant la tâche afin de dissuader tout risque.

# 4. Gérer et réviser

Il est essentiel de surveiller et de revoir vos tâches et rôles pour vous assurer que SoD est bien mis en œuvre et qu'il n'y a pas de conflit ou de violation potentiel. Et si vous en détectez, gérez vos rôles et tâches en les réaffectant à nouveau. Poursuivre la surveillance pour prévenir les risques.

Conclusion

La séparation des tâches (SoD) offre un excellent moyen de gérer les contrôles internes et de prévenir les fraudes et les erreurs. Cela contribuera à assurer la sécurité de l'organisation afin que personne ne prenne un contrôle excessif, suffisant pour causer des dommages à votre organisation en termes de fuites de données, de fraude ou d'activités illégales. Alors, mettez en œuvre SoD dans votre organisation et restez prudent et vigilant. 

Vous pouvez également explorer certains outils de détection et de prévention des fraudes pour les entreprises en ligne.