Enyhítő kontrollok - gyógyír a SAP túlzott jogosultságaira?

5/5. rész - Összegzés és következtetések

Az ötödik és egyben záró rész az ötrészes cikksorozat összefoglalása. Ebben a részben minden információt összegyűjtünk, és válaszolunk arra a kérdésre, hogy miért fontos a hozzáférési kockázatok és a SoD kontrollja, és miért érdemes ezzel rendezett módon foglalkozni. Miért veszélyesek a túlzott jogosultságok, és miért nem szabad ezt a problémát későbbre halasztani? Miért elemzik a pénzügyi auditok ennyire részletesen ezt a témát? A korábbi részekből is kiválasztjuk a legfontosabb pontokat, hogy rövid összegzésben mutassuk be magát a problémát és a kezelés módszerét. Végül pénzügyi szempontból is megnézzük a témát - mitől függ a megfelelőség költsége ($$$), és hogyan csökkenthető. Jó olvasást!

Miért fontos ez a téma?

Az ACFE amerikai szervezet (Association of Certified Fraud Examiners) évente vizsgálja a visszaélések eseteit a szervezeteknél világszerte. A 2020-as jelentésben közzétett adatok megerősítik a több éve látható tendenciát, miszerint a visszaélések költségei átlagosan a pénzügyi bevételek 5%-át teszik ki. Egy visszaélés felderítése átlagosan 14 hónapot vesz igénybe az első előfordulástól számítva. A visszaélések átlagosan havi 8 300 USD-be kerülnek a vállalatoknak. A pénzügyi korrupció a leggyakoribb visszaéléstípus. A jelentés szerzői ismételten hangsúlyozzák, hogy a visszaélésekből eredő pénzügyi veszteségek korlátozásának legjobb költséghatékony megközelítése a megelőzés, azaz a visszaélés előfordulásának megakadályozása.

Bár ez nyilvánvalónak tűnhet, perspektívánkból fontos felhívni a figyelmet a „gondolkodás irányára". Ez azt jelenti, hogy lehetséges és érdemes a visszaélések megelőzésébe fektetni, ahelyett, hogy az általuk okozott károk helyreállításának költségeit viselnénk. A megfelelő belső kontrollrendszer hiánya a visszaélések 1/3-áért felelős. Itt kapcsolódunk cikkünk témájához, mivel az enyhítő kontrollok kérdése a belső kontrollrendszer architektúrájáról szól. A hatékony belső kontrollrendszer felépítését, mint egy ház építését, jó alapokról kell kezdeni. Tapasztalataink azt mutatják, hogy ezt az alapot az üzleti folyamatokat támogató és azok végrehajtása során pénzügyi adatokat előállító, megfelelően biztonságos IT-rendszerek képezik. E pénzügyi adatok összegzése később az Eredménykimutatásban vagy a vállalat Mérlegében található. Ezek az adatok képezik a befektetők befektetési döntéseinek és a Vezetőség, illetve a vállalat vezetésének működési irányvonalainak alapját. Tehát nem lehetnek hibásak. Az ezen adatok feldolgozásának helyességét biztosító központi pont a megfelelően megtervezett, kialakított és bevezetett felhasználói jogosultság-kontrollrendszer. A jogosultságoknak megvan az az előnyük, hogy ha nem teszik lehetővé egy adott művelet végrehajtását az IT-rendszerben, akkor a felhasználó nem fogja végrehajtani. Természetesen ez gyakran frusztrálja a felhasználókat, akik a rájuk bízott feladatokat szeretnék végrehajtani, és a rendszer „Nincs jogosultsága e művelet végrehajtásához" üzenetet jeleníti meg. A legfontosabb azonban, hogy természeténél fogva a SAP-rendszerben megfelelően kialakított jogosultságok lehetővé teszik a preventív kontrollt, azaz a pénzügyi visszaélések megelőzését.

Hogyan közelítsük meg komplexen a témát?

Néhány szóban - a túlzott jogosultságok kockázatának azonosításakor ne kezdjük új enyhítő kontroll bevezetésével. Először elemezzük a jogosultsági modellt, és állapítsuk meg, hogy a túlzott jogosultságok kockázatát hordozó felhasználónak valóban szüksége van-e arra a hozzáférésre, amelyből a kockázat ered. A szervezetekkel végzett munka gyakorlata azt mutatja, hogy a felhasználók a hozzájuk rendelt jogosultságoknak csak 50-60%-át használják. Érdemes egyénileg megközelíteni minden azonosított jogosultsági kockázatot, figyelembe véve a kockázat szintjét, valamint annak negatív hatását a szervezetünkre. Miután úgy döntöttünk, hogy nem fogadjuk el a kockázat hatásait és el szeretnénk eliminálni azt, érdemes elemezni az alábbi algoritmust, amely bemutatja a lehetséges intézkedéseket és - ami fontosabb - azok javasolt végrehajtási sorrendjét.

Hogyan kezeljük a túlzott jogosultságokat?

A túlzott jogosultságok gyakran a jogosultságok kiosztásakor történő másolásból fakadnak („Kérek olyan jogosultságokat, mint Kovács úrnak"), valamint abból, hogy nagyon ritkán vonják vissza azokat, amikor a munkavállaló a régi területről egy újra kerül. A megoldás a jogosultságok időszakos felülvizsgálatára szolgáló rendszer, amely lehetővé teszi annak meghatározását, hogy a rendszer felhasználója mely jogosultságokat nem használ vagy nem használta (pl. az elmúlt 6-12 hónapban) a munkaköri kötelezettségei keretében rábízott feladatok ellátására. Az időszakos felülvizsgálati folyamat a jogosultság-kontrollrendszer alapja, sajnos a vállalatok ritkán használják, mivel egy ilyen folyamat nehezen valósítható meg a szervezetben a vezetői döntéseket támogató megfelelő eszközök nélkül. Egy ilyen jogosultság-felülvizsgálat során értékes információ nemcsak az, hogy egy adott tranzakciót használtak-e, hanem például az is, hogy a kockázat megjelent-e már a felülvizsgálatok történetében, és ha igen, milyen döntést hoztak akkor (a jogosultságok elfogadását vagy elutasítását) az adott kockázatra, szervezeti kontextusra és felhasználóra vonatkozóan. A jogosultság-felülvizsgálat elindítása előtt hasznos információ annak megállapítása, hogy mely jogosultságokat vontak vissza a felülvizsgálók döntése szerint, de például újra kiosztották a jogosultság-kiosztási folyamatban. Ezért a kiosztási és időszakos felülvizsgálati folyamatoknak kölcsönösen kapcsolódniuk kell, hogy a köztük lévő információ megosztott legyen a szervezet vezetésének jobb döntései érdekében.

 

 

Hogyan javítsuk a jogosultsági modellt?

A jó jogosultsági modell olyan, amelyben a felhasználók csak azokat a jogosultságokat kapják meg, amelyek elengedhetetlenek az adott munkakörben rájuk bízott feladatok ellátásához. Itt gyakran két kihívás merül fel. Az első, hogy hogyan határozzuk meg, mire van szükség az adott munkakör feladatainak elvégzéséhez, a második pedig, hogyan határozzuk meg ezt technikailag (térképezzük le) SAP (ERP) rendszerbeli hozzáférésekre. Az adott munkakör feladatköre meghatározott, de gyakran előfordul, hogy megengedett a munkavállalói feladatkör - és ezzel együtt a hozzáférések - kiterjesztése. Ez részben érthető gyakorlat, csak nem javítja annak a személynek a helyzetét, akinek új jogosultsági modellt kell terveznie, és minimális, munkához szükséges alapokra szeretné helyezni. Ilyen helyzetben a projekt-kezdeményezés során a vezetőség újra felosztja a feladatokat egy adott folyamatban vagy területen. Ehhez a feladatok szétválasztásának (SoD) mátrixaiból származó gyakorlatot alkalmazzák, amelyek meghatározzák azon jogosultságok körét, amelyeket nem szabadna kombinálni, mivel azok elfogadhatatlan kockázatot jelentenek a vállalatnak. Összefoglalva tehát a jogosultsági modellnek a következő jellemzőkkel kell rendelkeznie:

• a felhasználói jogosultságoknak minimálisaknak kell lenniük, az adott munkakör feladatainak ellátásához szükséges mértékűek. Nem szabad túlzott jogosultságoknak lenniük, amelyekre helyettesítés során van szükség, vagy amelyeket korábbi munkakörökben kaptak,
• a jogosultságok nem tartalmazhatnak feladatok szétválasztásával (SoD) kapcsolatos kockázatot, különösen a magas vagy kritikus szintűeket,
• a jogosultság-kiosztási folyamatnak szigorúnak kell lennie, azaz olyannak, amely figyelembe veszi a feladatok szétválasztásának (SoD) kockázatelemzését a jogosultság kiosztása előtt. A jogosultságokat nem szabad más felhasználóktól másolni (a kiosztási folyamatban gyakran alkalmazott egyszerűsítés). Az adatokhoz való hozzáférésnek többszintűnek kell lennie, különösen a megfelelő adatgazda („Data owner" vagy pl. „Role owner") által jóváhagyva, azaz kerülve azokat a helyzeteket, amikor a logisztikai területen dolgozó munkavállaló felettese pénzügyi területekhez ad jogosultságot,
• a jogosultságokat időszakosan felül kell vizsgálni, hogy figyelembe vegyük a szervezeti, folyamati változásokat, valamint a HR-politikából eredő változásokat. Az adatgazdának olyan eszközökkel kell rendelkeznie, amelyek lehetővé teszik a meglévő hozzáférések időszakos (évente egyszeri) hatékony (döntéstámogató) felülvizsgálatát.

Hogyan használjuk észszerűen az enyhítő kontrollokat?

Az enyhítő kontrollok nem jelentenek tökéletes megoldást a túlzott jogosultságok problémájára, de helyesen megvalósítva hatékony védelmet nyújthatnak a túlzott jogosultságok kockázataival szemben. Különösen akkor alkalmazhatók, ha a SAP/ERP rendszerben nem lehetséges a felhasználó jogosultságainak részleges korlátozása vagy visszavonása. A szervezet rendelkezik az erőforrásokkal, vagy rövid távon megengedi a jelenlegi folyamat-végrehajtási mód módosításának lehetőségét.

A cikk harmadik részében az üzleti kontextus ismeretének fontos szerepét írtuk le, valamint annak megállapítását, hogy az általunk létrehozni kívánt mechanizmusokat esetleg nem vezették-e már be a szervezetnél, vagy léteznek-e hasonlóak, amelyek ugyanazt a kontrollcélt (ugyanazt a kockázatot) kezelik, csak a kontrolltevékenység leírásának módja eltérő. Nagyon fontos a kontrolltevékenységek duplikálásának elkerülése, mivel ez óriási költségeket generál a szervezetnek, miközben nem garantálja az általunk azonosított kockázatok jobb (hatékony) kezelését. A duplikálás elkerülését segítő fontos elem a kontrollok és kockázatok automatikus tárhelye, amely lehetővé teszi különböző szempontokból jelenteni a kontrollok meglétének okait a folyamatokban: a kockázatok, szabályozások vagy jogi követelmények, folyamatok stb. perspektívájából. Egy bizonyos méret (>30 kockázat) elérése után már nem lehet ilyen tárhelyet és rendszert megfelelő eszköz nélkül fenntartani, amely biztosítja az automatikus enyhítő kontrollok bevezetésének lehetőségét.

Változtatások az üzleti folyamatokban

Ha nincs lehetőségünk üzleti kontrollok bevezetésére, vagy azok bevezetése hosszú távon nem indokolt, érdemes megfontolni a jelenlegi üzleti folyamat-végrehajtási mód módosítását. Rövid távon ez nagyobb szervezeti erőfeszítést jelent, de hosszú távon ez az intézkedés előnyösebbnek bizonyulhat. Az üzleti folyamatok azonnali módosításai természetesen megfelelő projekt-kezdeményezést igényelnek, amely megtervezi és kialakítja a folyamatok jövőbeli formáját, majd elkészíti az ehhez az állapothoz vezető útitervet. Ezt követően az előrehaladás-figyelési mechanizmusokkal garantálja, hogy a változások bevezetésre kerüljenek. Ez a következőkkel kapcsolatos költségeket igényli:

• saját vezetők vagy/és külső szakértők munkája, akik segítenek megtervezni a célmodellt,
• a munkavállalók új folyamat-végrehajtási módra való képzésének költségei,
• az új modell fenntartásával kapcsolatos költségek, amelyeknek feltételezhetően alacsonyabbnak kell lenniük a jelenleg viselt költségeknél.

Mennyibe kerül?

Befejezésül érdemes a pénzügyi szempontra is figyelmet fordítani. Tapasztalataink szerint ez gyakran figyelmen kívül hagyott szempont, mivel a vállalat vezetősége gyakran a kötelezettség kategóriáiban gondolkodik, mert ezt egy adott jogi szabályozás megköveteli. Ez gyakran indokolt, de szakmai gyakorlatunk évei azt mutatják, hogy egyetlen szabályozás sem jelöli meg közvetlenül a bevezetés módszerét. A bevezetés módja a vezetőség vagy a külső tanácsadók döntésétől függ, akik azt a megközelítést követik, hogy jobb többet tenni, mint kevesebbet. 2003-2005 között, amikor a világon megjelentek az első Sarbanes-Oxley törvény bevezetései, amely belső kontrollrendszer kiépítését írja elő, a szervezetek óriási méretekben hoztak létre újabb és újabb kontrollmechanizmusokat. A következő években számos költséges optimalizálási projektet hajtottak végre, mivel kiderült, hogy a megalapozatlan, át nem gondolt kontrollok fenntartása az üzleti folyamatokban nagyon sokba kerül. Ez a kontrollköltség közvetlenül vagy közvetve a következőkből származott:

• középszintű és felsővezetők ideje (munkanapok), amelyet nemcsak a kontroll üzleti folyamatban való végrehajtására, hanem annak dokumentálására és leírására is szántak,
• belső és külső auditok ideje (munkanapok), amelyek e mechanizmusok teszteléséhez szükségesek, azaz annak megerősítéséhez, hogy megfelelően működnek, és továbbra is kezelik a leírt kockázatból eredő kontrollcélokat.

A másik oldalon a vállalatok által a kontroll hiányáért vagy a követelmények helytelen értelmezéséért fizetett bírságok állnak. Az amerikai tőzsdét felügyelő bizottság (Securities and Exchange Commission - SEC) csak 2019-ben összesen 4,3 milliárd USD bírságot szabott ki.

A kihívás tehát a belső kontrollrendszer hatékonysága és bevezetésére, valamint későbbi fenntartására fordított ráfordítások közötti megfelelő egyensúly. A megfelelő jogosultsági rendszer lehetővé teszi az ilyen rendszer fenntartási költségeinek csökkentését, és a megtakarított eszközök bölcsen befektethetők azon kontrollmechanizmusok automatizálásába és fenntartásába, amelyek megfelelőek a meghatározott kockázati alapra.