Uden adskillelse af arbejdsopgaver brænder du penge af: Den komplette guide

Adskillelse af arbejdsopgaver betyder, at vigtige ansvarsområder fordeles mellem to eller flere personer for at forhindre fejl, svindel eller misbrug. Du ser det overalt fra militære operationer til teknologivirksomheder, fordi det at kræve flere personer til at udføre kritiske handlinger gør tingene sikrere og mere præcise.

For teknologivirksomheder er denne tilgang afgørende for at beskytte aktiver, følsomme data og drift mod både interne og eksterne trusler. Sådan fungerer adskillelse af arbejdsopgaver, og derfor bør du interessere dig for det.

Hvad er adskillelse af arbejdsopgaver?

Adskillelse af arbejdsopgaver (SoD) er en intern kontrol, der sikrer, at mindst 2 personer har et fælles ansvar for en given opgave. Det implementeres normalt ved at tildele 2 eller flere personer ansvaret for at håndtere separate dele af en specifik opgave. 

En CFO kan for eksempel beslutte at uddelegere lønregnskabet til Medarbejder A, men lade Medarbejder B godkende selve behandlingen af lønudbetalingen. 

Formålet er at reducere risikoen for svindel og menneskelige fejl ved at sikre, at ingen enkeltperson eller enhed har fuld kontrol over en vigtig proces. Adskillelse af arbejdsopgaver omtales også som funktionsadskillelse — begreberne kan bruges synonymt. 

Generelt er der 4 hovedroller eller aktivitetstyper, som ideelt set bør adskilles. Det betyder, at ingen enkeltperson eller enhed bør være ansvarlig for alle 4 aktiviteter, og i et ideelt scenarie bør hver aktivitet håndteres uafhængigt. Disse kategorier er: 

Bemyndigelse eller godkendelse (AUT)

Den person, der bemyndiger en transaktion, ordre eller væsentlig intern handling, og/eller den person, der godkender den pågældende handling.

Forvaltning af aktiver (CUS)

Den person, der er ansvarlig for at opbevare og vedligeholde aktiver, såsom lagerbeholdning eller en fysisk check fra en kunde.

Registrering af transaktioner (REC)

Den person, der registrerer transaktioner i et regnskabssystem eller en anden intern registrering. 

Afstemning/kontrol/verifikation (VER)

Den person, der afstemmer bankkontoregistreringer, fysisk lagerbeholdning osv.

SoD-protokoller er relevante i hele virksomheden, men de vigtigste anvendelsesområder er risikostyring og regnskab. Disse protokoller gælder i samme grad i en virksomhed, en nonprofitorganisation eller en offentlig myndighed. 

Nedenfor finder du nogle eksempler på adskillelse af arbejdsopgaver. 

Risikostyring

Risikostyringsteams kan adskille arbejdsopgaver ved at:

• Få flere interessenter til at godkende alle større IT-ændringer, webstedsopdateringer osv.
• Sikre, at interne gennemgangsprocesser (der involverer flere interessenter) implementeres, før regnskaber offentliggøres (for at sikre overholdelse af SOX-reglerne)
• Sikre, at følsom intern kommunikation og forretningshemmeligheder overvåges og begrænses til medarbejdere med den rette godkendelse
• Få de ansvarlige for IT-sikkerhed til at dele ansvaret for fastsættelse af rollebaserede adgangskontroller

Regnskab

Nogle eksempler på, hvordan regnskabsteams adskiller arbejdsopgaver, er:

• At lade separate medarbejdere håndtere lønregnskab og lønudbetaling
• At lade én medarbejder vedligeholde lagerregistreringer og en anden fysisk besidde og behandle den pågældende lagerbeholdning
• At lade én medarbejder godkende modtagelsen af fysiske varer og en anden behandle betalingen for de pågældende varer

Andre funktioner

Adskillelse af arbejdsopgaver kan også anvendes under ansættelsesprocessen (for at forhindre nepotisme), under afskedigelses- eller nedskæringsprocessen (for at forhindre sabotage eller anden ondsindet adfærd) og i forskellige andre HR-sammenhænge. 

Hvorfor det er besværet værd

Den største ulempe ved SoD — og grunden til, at nogle virksomheder helt fravælger det — er, at det har en tendens til at skabe flaskehalse i visse processer. Per definition adskiller SoD opgaver, som én person teoretisk kunne udføre, hvilket kan skabe det, der kan opfattes som ineffektivitet. 

Men hvis man sparer på SoD-protokollerne, kan det få ødelæggende konsekvenser. 

For det første åbner det døren for betalingssvindel, underslæb og tyveri. Hvis én person får til opgave at afgive ordrer, modtage ordrer, godkende betalinger og afstemme regnskaber, er muligheden for kriminelle handlinger alt for let tilgængelig. 

Udsigten til intern svindel kan måske virke fjern, men det er en meget reel trussel mod de fleste virksomheder. En rapport fra Association of Certified Fraud Examiners fra 2022 viste, at organisationer verden over årligt mister 5 % af deres omsætning på grund af svindel — og svindel begået af medarbejdere var både det mest almindelige og det mest omkostningstunge. 

For det andet øger det sandsynligheden for, at menneskelige fejl påvirker din virksomhed. Hvis du ikke har et ekstra sæt øjne på vigtige interne processer, stiger risikoen for, at du overser fejl, markant.

Og for det tredje medfører det mindre effektive interne kontroller. Ved at tillade ensidige beslutninger og handlinger øges risikoen for, at én person skaber kaos i din virksomhed (forsætligt eller uforsætligt). 

Bedste praksis for SoD

Bedste praksis for adskillelse af arbejdsopgaver vil se forskellig ud afhængigt af virksomhedens størrelse. Mindre virksomheder kan være nødt til at give afkald på nogle SoD-protokoller, simpelthen fordi de har mindre teams. 

Der findes dog nogle generelle retningslinjer for bedste praksis, herunder:

Implementering af SoD på flere niveauer: Afhængigt af virksomhedens størrelse kan organisationer vælge at implementere SoD ikke kun på individniveau, men også på afdelings- og virksomheds-/datterselskabsniveau. Eksempelvis kan investeringer foretaget af et datterselskab kræve godkendelse fra moderselskabet, eller en salgsafdeling kan kræve godkendelse fra driftsafdelingen, før den endelige godkendelse gives. 

Anvendelse af en SoD-matrix: En matrix for adskillelse af arbejdsopgaver er en simpel tabel, der viser brugergrupper og de tilhørende procedurer/roller på henholdsvis X- og Y-akserne. Passende roller markeres med et flueben, hvilket gør det let at identificere uforenelige arbejdsopgaver. Nedenfor ses et eksempel på en SoD-matrix for en lønfunktion. 

Identifikation af risikoscenarier: Nogle risikoscenarier er indlysende, mens andre kræver mere omhyggelig undersøgelse. Tabellen nedenfor viser almindelige risikoscenarier og overlapningen mellem roller (påmindelse: CUS = opbevaring, AUT = godkendelse, VER = verifikation, REC = registrering)

Gennemførelse af løbende SoD-revisioner: Adskillelse af arbejdsopgaver er ikke en engangsproces, men snarere en løbende operationel retningslinje for hele din organisation. Det er vigtigt for langsigtet succes at gennemføre regelmæssige revisioner af interne kontroller, herunder SoD-rammer.

Registrering — og sanktionering — af SoD-overtrædelser: En SoD-overtrædelse opstår, når en person misbruger sin rolle og sit adgangsniveau for at omgå SoD-protokollen (typisk er dette en bevidst handling). Det kan være en overtrædelse af en intern virksomhedspolitik eller et eksternt lovkrav. Uanset hvad er det afgørende, at SoD-overtrædelser identificeres og registreres, og at den ansvarlige person irettesættes, hvis det er nødvendigt. 

Fastlæggelse af minimumstærskler for at undgå bureaukrati: Dette er ikke nødvendigvis bedste praksis, men snarere en løsning, som nogle mindre virksomheder vælger at implementere. For at sikre, at den daglige drift fungerer gnidningsfrit, vælger nogle virksomheder at fastsætte minimumstærskler (normalt angivet i dollar) for transaktioner, der kan behandles uden for de standardiserede SoD-kontroller. Eksempelvis kan en leder give teammedlemmer tilladelse til at godkende og betale kvalificerende udgifter under $500 uden ekstern godkendelse. Denne type mindre undtagelser giver teams mulighed for at fokusere mere på det større billede. 

Anvend både intern og ekstern revision: Regelmæssig revision er vigtig for enhver virksomhed. Selvom mange opgaver kan håndteres internt ved hjælp af software til revisionsstyring, kan det også være en fordel at inddrage eksterne revisorer og konsulenter. En erfaren konsulent kan foretage en detaljeret og fuldstændig upartisk gennemgang af de interne forhold i jeres organisationsstruktur, arbejdsgange og medarbejdernes adgangsniveauer for at identificere sårbarheder, som jeres team måske har overset (eller værre endnu, skjult). 

Værktøjer, der hjælper med at adskille arbejdsopgaver

Procedurer for adskillelse af arbejdsopgaver kan understøttes af forskellige værktøjer, herunder software og eksterne konsulenter/revisorer. 

Softwareværktøjer til SoD

I nogle tilfælde har virksomhedssoftware indbyggede SoD-rammer, der hjælper teams med at oprette en SoD-matrix, identificere potentielle konflikter og endda overvåge og registrere overtrædelser. 

Software til virksomhedsressourceplanlægning (ERP) fra eksempelvis Oracle, Sage og SAP har ofte indbyggede funktioner til adskillelse af arbejdsopgaver. Software til risikostyring i virksomheden kan også være en fordel for teams. Funktionssættene varierer afhængigt af softwareleverandøren og endda af det serviceabonnement, man har tegnet, men generelt kan disse værktøjer være en fordel for teams, der arbejder hen imod bedste praksis for SoD. 

Der findes også softwareløsninger, der er udviklet specifikt til SoD-overholdelse, interne adgangskontroller og intern styring af SoD-politikker. 

Revision af adskillelse af arbejdsopgaver/konsulenter

Som nævnt kan det også være klogt at inddrage revisorer. Det kan gøres uafhængigt eller som en del af en større intern revision. 

Mange revisionsfirmaer tilbyder revisionsydelser inden for SoD. Specialiserede konsulenter kan også tilbyde støtte til den indledende implementering af en SoD-ramme. 

SoD: En gennemprøvet metode til organisatorisk kontrol og balance

Ligesom regeringens forskellige grene har adskillelse af arbejdsopgaver til formål at skabe et system med kontrol og balance. Hvis SoD-rammer implementeres korrekt, kan de reducere risikoen for svindel, ondsindede handlinger, virksomhedsspionage og almindelige menneskelige fejl.

Leder du efter mere værdifuld indsigt i virksomhedsfinansiering for teknologivirksomheder? The CFO Clubs nyhedsbrev leverer værdifuld information hver uge fra finansledere til finansledere — gratis. Tilmeld dig i dag.