Vierogenprincipe en functiescheiding

Wat is het vierogenprincipe en functiescheiding?

Het vierogenprincipe betekent dat een handeling pas doorgaat nadat een tweede persoon ernaar gekeken heeft en ja gezegd heeft. De ene bereidt voor, de andere geeft vrij. Functiescheiding betekent dat dezelfde persoon niet twee stappen mag doen die samen een fout of een fraude ongemerkt laten passeren. Wie een leverancier mag aanmaken, mag de betalingen aan die leverancier niet vrijgeven.

Beide komen uit dezelfde bezorgdheid: dat één iemand iets kan starten, afwerken en als enige ooit bekijken. Een auditor vraagt er standaard naar, omdat het de goedkoopste vraag is die toont hoe een bedrijf echt draait. Geen van beide gaat ervan uit dat je mensen oneerlijk zijn. Wat ze meestal tegenhouden is een gewone vergissing, een cijfer weggevallen uit een rekeningnummer of een creditnota voor de volledige factuur in plaats van één lijn. Fraude zorgt dat de controle in het auditdossier belandt. Vergissingen zorgen dat ze zichzelf terugbetaalt.

Vierogenprincipe versus functiescheiding

De twee worden vaak door elkaar gebruikt, en dat kost bescherming.

Het vierogenprincipe is een tweede blik op één handeling. De ene maakt het betaalbestand klaar, de andere geeft het vrij. Ze kijken op hetzelfde moment naar hetzelfde, en daar zit de controle.

Functiescheiding is een splitsing tussen twee handelingen. Iemand wijzigt in maart het rekeningnummer van een leverancier, iemand betaalt die leverancier in april. Er is geen gedeeld moment, dus moet de controle in de rechten zitten.

Dat verschil bepaalt welke fouten je vangt. Vier ogen op het betaalbestand houden geen rekeningnummer tegen dat een maand eerder stil gewijzigd is, want op dat moment ziet de betaling er correct uit: echte leverancier, echte factuur, echte levering. Enkel de splitsing vangt die. Een bedrijf met een tweede handtekening op betalingen en geen afspraak over wie de leveranciersfiches mag aanpassen, heeft de verkeerde controle gekocht voor zijn grootste risico.

Welke taken je niet bij één persoon legt

In de auditpraktijk worden taken in vier soorten opgedeeld: een transactie goedkeuren, het geld of de goederen onder je beheer hebben, het in de boeken zetten, en het aftoetsen aan de werkelijkheid. De implementatiegids van ISACA vertrekt van net die vier, en de koppels die tellen zijn die waar één persoon er twee van dekt voor hetzelfde goed. In een Belgische kmo is die lijst kort.

• Een leverancier aanmaken of wijzigen, en betalingen vrijgeven. Pak dit koppel eerst aan. Het is het koppel waar factuurfraude op draait.

• Een bestelling ingeven, en de ontvangst bevestigen. Wie bestelt en ook bevestigt dat het geleverd is, kan iets betalen dat nooit toegekomen is.

• De factuur maken, en de betaling erop afpunten. Dezelfde persoon aan beide kanten van het klantenboek kan een factuur afpunten met geld dat ergens anders naartoe ging.

• Een prijs of een korting wijzigen, en de order met die korting goedkeuren. Zonder splitsing heeft marge die je achteraf niet terugvindt geen eigenaar.

De Dynamics 365-documentatie van Microsoft gebruikt het eerste geval als standaardvoorbeeld: je wil niet dat dezelfde persoon de leveranciersgegevens beheert, de ontvangst van de goederen bevestigt en de betaling aan die leverancier verwerkt.

Een betaling die vier ogen tegengehouden hadden

Een installatiebedrijf, veertig mensen. Eén persoon op de aankoopadministratie houdt de leveranciersfiches bij en maakt het wekelijkse betaalbestand klaar. Er komt een mail binnen van wat de vaste kabelleverancier lijkt: een factuur van 18.400 euro voor materiaal dat twee weken eerder echt geleverd is, plus een lijn dat het bedrijf van bank veranderd is. Ze legt de factuur naast een echte leveringsbon, past het rekeningnummer aan want dat is haar werk, en zet de factuur in het bestand van vrijdag. De zaakvoerder tekent dat bestand af op het totaal en het aantal lijnen, zoals altijd. Drie weken later belt de echte leverancier over een openstaande factuur.

De factuurcontrole werkte, dus een tweede persoon had die factuur ook goedgekeurd. De stap die niemand controleerde was het rekeningnummer, en wie dat wijzigde was dezelfde die de betaling klaarzette. Dat is een taakkoppel, geen moment van onoplettendheid. De controle die dit tegenhoudt duurt twee minuten: elke wijziging van een leveranciersrekeningnummer gaat naar een tweede persoon, die de leverancier belt op het nummer dat al in je eigen bestand staat en niet op het nummer op de factuur, precies wat Febelfin bedrijven aanraadt rond factuurfraude. Bij een tiental wijzigingen per jaar kost die controle je een half uur.

Wat doe je met vijf mensen op de boekhouding?

Dit is het stuk dat het meeste advies overslaat. Met vijf mensen op de financiële dienst, waarvan één deeltijds, kan je niet alles scheiden. Iemand moet de betalingen kunnen doen wanneer de twee anderen in juli weg zijn, en een zesde persoon aanwerven om een matrix in te vullen is geen optie.

De kaders zeggen dat zelf. Het COSO-raamwerk voor interne controle, dat de meeste auditors in hun achterhoofd hebben, zet het in één lijn: waar functiescheiding niet haalbaar is, kiest en ontwikkelt het management alternatieve maatregelen. Microsoft schrijft hetzelfde in zijn Dynamics-richtlijnen voor kleinere entiteiten. Hou de rollen modulair, laat het conflict toe, schrijf de uitzondering op.

Wat de splitsing vervangt, is detectie. Je aanvaardt dat één persoon beide helften kan doen, en je zorgt dat iemand anders het achteraf ziet, snel genoeg om er nog iets aan te doen.

• Een maandelijkse lijst van nieuwe en gewijzigde leveranciers, met wie ze aanpaste. Eén blad naar de zaakvoerder, niet naar de financiële dienst zelf, rekeningnummers bovenaan. De meeste maanden zijn dat vier lijnen en twee minuten lezen.

• Een verwittiging buiten de boekhouding bij elke wijziging van een rekeningnummer. Naar één iemand die niet in het boekhoudpakket werkt. Die persoon hoeft geen goedkeuringsrechten te hebben, de mail moet gewoon toekomen.

• De zaakvoerder die de rekeninguittreksels als eerste opent. Wie de rekeningen afpunt, mag niet de enige zijn die ze ooit leest.

• Een tweede handtekening boven een bedrag in je bankpakket. Bankpakketten en bankportalen laten toe om een tweede ondertekenaar te verplichten, en de tekenbevoegdheid zelf komt uit het mandaat dat je bank heeft. Leg de drempel waar het je een minuut per week kost.

Schrijf de compenserende maatregel op naast het koppel waarvoor hij compenseert. Een auditor die "conflict aanvaard, maandelijkse leverancierscontrole door de zaakvoerder, met datum" leest, leest een beslissing. Een leeg vakje betekent meestal dat niemand erover nagedacht heeft.

Hoe je de scheiding in het systeem afdwingt

Rolontwerp. In Dynamics 365 finance and operations zitten losse rechten in privileges, worden privileges gebundeld in duties, en gaan duties naar rollen. Een regel voor functiescheiding benoemt twee duties die elkaar niet mogen raken, met een ernstniveau en een geschreven beschrijving van het risico en van hoe je het opvangt als je het toch toelaat. Geef je iemand een rol die beide combineert, dan weigert het systeem. Een beheerder die dat overrulet, moet een reden intikken die op een conflictenpagina belandt. Die ingetikte reden is meer waard dan de blokkade zelf, want dat is het stuk dat een auditor kan lezen. Let op één ding: een nieuwe regel wordt niet getoetst aan wat er al staat, dus draai de validatie per regel apart nadat je ze toevoegt, anders geldt ze enkel voor wie na die dag in dienst komt.

Goedkeuringslimieten. Een bedrag bepaalt wie tekent. Onder 500 euro niemand, tot 5.000 de budgethouder, daarboven de zaakvoerder. Leg de drempels op basis van je eigen factuurverdeling en niet op een rond getal: als acht op tien aankoopfacturen onder de 1.000 euro zitten, koop je met een drempel op 250 een wachtrij, geen controle.

Een systeem dat de aanvrager niet laat goedkeuren. Dit is de regel die het vaakst ontbreekt, en ze breekt altijd op dezelfde manier. De goedkeurder staat ingesteld als de leidinggevende van de aanvrager, de aanvrager is die leidinggevende, en de flow legt de taak terug bij wie ze indiende. Test het: dien een aanvraag in op je eigen naam en kijk of je ze kan goedkeuren.

Wat er met de scheiding gebeurt als een agent het werk doet

Een agent die binnenkomende facturen leest, een leveranciersfiche aanmaakt als hij er geen vindt, en de betaling in het bestand zet, heeft een gescheiden koppel in handen. Niemand heeft dat zo bedoeld. De rechten zijn integratie per integratie toegekend en niemand heeft ze samengeteld tot taken. Tel ze dus op: schrijf uit wat de agent mag doen als een lijst taken, en laat er dezelfde conflictregels over lopen als over een medewerker.

Dan is er identiteit. Een vierogencontrole betekent enkel iets tussen twee partijen die het echt oneens kunnen zijn. Als de aanvrager een mens is en de goedkeurder de eigen agent van die mens, draaiend op een token dat hij zelf aanmaakte, dan toont het logboek twee actoren en zit er één iemand in de kamer. Daarom heeft een agent een eigen identiteit nodig, te onderscheiden van wie hem gebouwd heeft, waar de entries over agent identity en non-human identity dieper op ingaan.

Het scherpste probleem komt als laatste. Een tweede controle die altijd akkoord gaat, is geen controle. Een agent in de goedkeurdersstoel die al zes maanden alles goedkeurt wat hij ziet, geeft je geen enkele zekerheid, en het nette logboek maakt het erger, want dat ziet eruit als bewijs. Dit is automation bias in de vorm van een controle, en de meting is simpel. Tel hoe vaak het tweede paar ogen het niet eens was. Nul keer over enkele maanden is een bevinding, of die beoordelaar nu een model is of iemand die gestopt is met lezen.

De Europese AI Act grijpt naar diezelfde oude controle op de plek waar ze het meest telt. Artikel 14(5) zegt dat er bij biometrische identificatie op afstand geen actie of beslissing genomen mag worden op basis van een identificatie, tenzij die apart geverifieerd en bevestigd is door minstens twee natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid. Natuurlijke personen: twee mensen, geen mens plus een model. Er geldt een uitzondering voor rechtshandhaving, migratie, grenscontrole en asiel waar het Unierecht of het nationale recht dat onevenredig vindt, en bijna geen enkele Belgische kmo draait zo'n systeem. Wat voor de rest van ons telt, is welke controle de wetgever koos op het punt waar een vergissing het moeilijkst recht te zetten is, en dat was geen beter algoritme.

Begin bij de vier riskantste handelingen

Je hebt geen matrix van al je processen nodig. Je hebt vier lijnen nodig.

1. Benoem de handelingen waar één verkeerde beweging echt geld of echt vertrouwen kost. Meestal: een betaling vrijgeven, wijzigen wie er betaald wordt, een creditnota of korting toestaan, toegang geven tot klantendata.

2. Schrijf van elke handeling de twee helften op, met namen. Wie voorbereidt, wie vrijgeeft, en de vervanger tijdens verlof. Namen en geen functietitels, want een rol die op dit moment niemand invult, is hoe een splitsing stilletjes verdwijnt.

3. Probeer het te breken. Log in als de voorbereider en probeer je eigen lijn vrij te geven. De helft van de splitsingen waar mensen op rekenen, bestaat niet in het systeem.

4. Voor een koppel dat je niet kan splitsen, schrijf je de detectiemaatregel op en wie ze uitvoert. Trek daarnaast elk kwartaal de lijst met rechten en leg ze naast wat je opschreef, want mensen veranderen van job en houden hun oude rechten.