Uten separasjon av arbeidsoppgaver brenner du opp penger: Komplett guide

Arbeidsdeling betyr å fordele viktige ansvarsområder mellom to eller flere personer for å forhindre feil, svindel eller misbruk. Du finner dette overalt, fra militære operasjoner til teknologiselskaper, fordi det å kreve at flere personer fullfører kritiske handlinger, gjør ting sikrere og mer nøyaktige.

For teknologiselskaper er denne tilnærmingen avgjørende for å beskytte eiendeler, sensitive data og drift mot både interne og eksterne trusler. Slik fungerer arbeidsdeling, og derfor bør du bry deg om det.

Hva er arbeidsdeling?

Arbeidsdeling (SoD) er en internkontroll som sikrer at minst 2 personer har et felles ansvar for en bestemt oppgave. Det gjennomføres vanligvis ved å tildele 2 eller flere personer ansvaret for separate deler av en spesifikk oppgave. 

En CFO kan for eksempel bestemme seg for å delegere lønnsregnskapet til Ansatt A, men la Ansatt B godkjenne selve lønnsutbetalingen. 

Hensikten er å redusere risikoen for svindel og menneskelige feil ved å sikre at ingen enkeltperson eller enhet har full kontroll over en viktig prosess. Arbeidsdeling omtales også som oppgavedeling – begrepene kan brukes om hverandre. 

Generelt finnes det 4 hovedroller eller aktivitetstyper som ideelt sett bør deles opp. Det betyr at ingen enkeltperson eller enhet bør være ansvarlig for alle disse 4 aktivitetene, og i et ideelt scenario bør hver av dem håndteres uavhengig av de andre. Disse kategoriene er: 

Autorisasjon eller godkjenning (AUT)

Personen som autoriserer en transaksjon, bestilling eller annen vesentlig intern handling, og/eller personen som godkjenner denne handlingen.

Forvaltning av eiendeler (CUS)

Personen som har ansvar for å forvalte eiendeler, for eksempel varelager eller en fysisk sjekk fra en kunde.

Registrering av transaksjoner (REC)

Personen som registrerer transaksjoner i et regnskapssystem eller en annen intern registrering. 

Avstemming/kontroll/verifisering (VER)

Personen som avstemmer bankkontoregistre, fysiske lagernivåer osv.

SoD-protokoller er relevante i hele virksomheten, men de viktigste bruksområdene er risikostyring og regnskap. Disse protokollene gjelder like mye i en bedrift, en ideell organisasjon eller et offentlig organ. 

Nedenfor finner du noen eksempler på arbeidsdeling. 

Risikostyring

Risikostyringsteam kan dele opp ansvarsområder ved å:

• La flere interessenter godkjenne større IT-endringer, oppdateringer av nettsteder osv.
• Sikre at interne gjennomgangsprosesser (som involverer flere interessenter) gjennomføres før publisering av finansregnskaper (for å sikre overholdelse av SOX-regelverket)
• Sikre at sensitiv intern kommunikasjon og forretningshemmeligheter overvåkes og begrenses til ansatte med nødvendig tilgang
• La de ansvarlige for IT-sikkerheten dele ansvaret for å fastsette rollebaserte tilgangskontroller

Regnskap

Noen eksempler på at regnskapsteam deler opp ansvarsområder, er:

• La separate ansatte håndtere lønnsregnskap og lønnsutbetalinger
• Gi én ansatt ansvar for å vedlikeholde lagerregistrene, og en annen ansvar for fysisk å ha og behandle det aktuelle varelageret
• La én ansatt godkjenne mottak av fysiske varer, og en annen behandle betalingen for disse varene

Andre funksjoner

Arbeidsdeling kan også gjelde under ansettelsesprosessen (for å forhindre nepotisme), under oppsigelses- eller permitteringsprosessen (for å forhindre sabotasje eller annen ondsinnet atferd) og i ulike andre HR-sammenhenger. 

Hvorfor det er verdt bryderiet

Den største ulempen med SoD — og grunnen til at enkelte virksomheter velger det bort — er at det har en tendens til å bli en flaskehals i visse prosesser. Per definisjon skiller SoD oppgaver som én person teoretisk sett kunne ha utført, noe som kan skape det som kan oppfattes som ineffektivitet. 

Men å spare på SoD-protokollene kan få katastrofale konsekvenser. 

For det første åpner det døren for betalingssvindel, underslag og tyveri. Hvis én person får ansvar for å legge inn bestillinger, motta bestillinger, godkjenne betalinger og avstemme regnskapet, blir muligheten for uredelig aktivitet altfor lett tilgjengelig. 

Utsiktene til intern svindel kan virke fjerne, men det er en svært reell trussel mot de fleste virksomheter. En rapport fra Association of Certified Fraud Examiners fra 2022 fant at organisasjoner verden over mister 5 % av inntektene til svindel hvert år — og svindel begått av ansatte var både den vanligste og den mest kostbare. 

For det andre øker det sannsynligheten for at menneskelige feil påvirker virksomheten. Hvis du ikke har et ekstra par øyne på viktige interne prosesser, øker risikoen for at du overser feil dramatisk.

For det tredje fører det til mindre effektive interne kontroller. Ved å tillate ensidige beslutninger og handlinger øker sannsynligheten for at én enkelt person skaper kaos i virksomheten din (med vilje eller utilsiktet). 

Beste praksis for SoD

Beste praksis for arbeidsdeling vil variere avhengig av virksomhetens størrelse. Mindre virksomheter kan være nødt til å ofre enkelte SoD-protokoller ganske enkelt fordi teamene er mindre. 

Når det er sagt, finnes det noen generelle retningslinjer for beste praksis, blant annet:

Implementering av SoD på flere nivåer: Avhengig av virksomhetens størrelse kan organisasjoner ønske å implementere SoD ikke bare på individnivå, men også på avdelings- og selskaps-/datterselskapsnivå. For eksempel kan investeringer som gjøres av et datterselskap, kreve godkjenning fra morselskapet, eller en salgsavdeling kan kreve godkjenning fra driftsavdelingen før endelig godkjenning. 

Bruk av en SoD-matrise: En arbeidsdelingsmatrise er en enkel tabell som viser brukergrupper og tilhørende prosedyrer/roller på henholdsvis X- og Y-aksen. Egnede roller markeres med et hakemerke, noe som gjør det enkelt å identifisere uforenlige oppgaver. Nedenfor ser du et eksempel på en SoD-matrise for en lønnsfunksjon. 

Identifisering av risikoscenarioer: Noen risikoscenarioer er åpenbare, mens andre krever grundigere undersøkelser. Tabellen nedenfor viser vanlige risikoscenarioer og overlappingen mellom roller (påminnelse: CUS = forvaltning, AUT = autorisasjon, VER = verifisering, REC = registrering)

Gjennomføring av løpende SoD-revisjoner: Arbeidsdeling er ikke en engangsprosess, men snarere en løpende operasjonell retningslinje for hele virksomheten. Det er viktig å gjennomføre regelmessige revisjoner av interne kontroller, inkludert SoD-rammeverk, for å oppnå langsiktig suksess.

Registrering — og sanksjonering — av SoD-brudd: Et SoD-brudd oppstår når en person misbruker rollen og tilgangsnivået sitt for å omgå SoD-protokollen (vanligvis er dette en bevisst handling). Dette kan være et brudd på en intern virksomhetspolicy eller et eksternt regulatorisk krav. Uansett er det avgjørende at SoD-brudd identifiseres og registreres, og at den ansvarlige personen irettesettes ved behov. 

Fastsettelse av minimumsgrenser for å unngå byråkrati: Dette er ikke nødvendigvis beste praksis, men snarere en løsning som enkelte mindre virksomheter velger å innføre. For å sikre at den daglige driften går smidig, velger noen virksomheter å fastsette minimumsgrenser (vanligvis angitt i dollar) for transaksjoner som kan behandles utenfor standardiserte SoD-kontroller. For eksempel kan en leder gi teammedlemmer fullmakt til å godkjenne og betale kvalifiserte utgifter under $500 uten ekstern godkjenning. Slike små unntak gjør at teamene kan holde større fokus på helheten. 

Bruk intern og ekstern revisjon: Regelmessig revisjon er viktig for enhver virksomhet. Selv om mange oppgaver kan håndteres internt ved hjelp av programvare for revisjonsstyring, kan det også være nyttig å hente inn eksterne revisorer og konsulenter. En dyktig konsulent kan foreta en detaljert og helt upartisk gjennomgang av organisasjonsstrukturen, arbeidsflytene og tilgangsnivåene for de ansatte for å identifisere sårbarheter som teamet ditt kan ha oversett (eller enda verre, skjult). 

Verktøy som bidrar til å skille arbeidsoppgaver

Rutiner for å skille arbeidsoppgaver kan støttes av ulike verktøy, blant annet programvare og eksterne konsulenter/revisorer. 

Programvareverktøy for SoD

I noen tilfeller har virksomhetsprogramvare innebygde SoD-rammeverk som hjelper team med å opprette en SoD-matrise, identifisere potensielle konflikter og til og med overvåke og registrere brudd. 

Programvare for virksomhetsressursplanlegging (ERP) fra leverandører som Oracle, Sage og SAP har ofte innebygde funksjoner for å skille arbeidsoppgaver. Programvare for risikostyring i virksomheten kan også være nyttig for team. Funksjonene varierer avhengig av programvareleverandøren og til og med hvilket tjenestenivå man abonnerer på, men generelt kan disse verktøyene være nyttige for team som arbeider mot beste praksis for SoD. 

Det finnes også programvareløsninger som er utviklet spesielt for SoD-samsvar, interne tilgangskontroller og intern styring av SoD-retningslinjer. 

Revisjon og konsulenter for å skille arbeidsoppgaver

Som nevnt kan det også være klokt å hente inn revisorer. Dette kan gjøres uavhengig eller som en del av en større internrevisjon. 

Mange revisjonsfirmaer tilbyr revisjonstjenester for SoD. Spesialiserte konsulenter kan også tilby støtte ved den første implementeringen av et SoD-rammeverk. 

SoD: En velprøvd metode for organisatoriske kontrollmekanismer og balanser

I likhet med de ulike grenene av statsapparatet er hensikten med å skille arbeidsoppgaver å skape et system med kontrollmekanismer og balanser. Hvis SoD-rammeverk implementeres riktig, kan de redusere risikoen for svindel, ondsinnede handlinger, industrispionasje og enkle menneskelige feil.

Ser du etter mer verdifull innsikt i selskapsøkonomi for teknologiselskaper? The CFO Club-nyhetsbrevet gir verdifull informasjon hver uke fra økonomiledere, til økonomiledere – helt gratis. Abonner i dag.