Segregación de funciones

Transcripción

1 D E S C R I P C I Ó N G E N E R A L D E L A S O L U C I Ó N CASEWARE MONITOR SOD Segregación de funciones Los principales elementos necesarios para el fraude son la motivación y la oportunidad. Por lo tanto, la mejor oportunidad que puede ofrecer una compañía a un estafador es una segregación de funciones (SoD) débil o inexistente. SoD es un control interno esencial destinado a limitar las posibilidades de violación por parte de una única persona, por ejemplo al exigir dos firmas en un cheque o al separar la creación y aprobación de transacciones sensibles. En los procesos de negocio automatizados de la actualidad, SoD se implementa en aplicaciones comerciales y ERP y las violaciones en estos controles pueden ser difíciles de detectar. En otras situaciones, los conflictos de segregación de funciones ocasionados por la falta de personal crean una incapacidad física para segregar funciones adecuadamente y se ven agravados por la falta o la deficiencia de los controles de compensación tales como autorización/aprobación o conciliaciones de presupuesto/actual. En un caso, una importante empresa de alta tecnología descubrió un fraude que había estado sucediendo por más de 7 años. Empleados que fueron verificados y validados dentro del sistema ERP contaban con privilegios adicionales en otros sistemas heredados en el mismo proceso de negocio. El fraude le costó a la compañía más de $18 millones, lo que tuvo como resultado la actualización de sus ingresos. Este caso resalta el hecho de que incluso con sistemas ERP maduros, pueden surgir problemas inadvertidos que conducen a violaciones de la segregación de funciones. Por ejemplo, se otorgan permisos elevados a una persona que está cubriendo a un empleado de vacaciones o un empleado que recibe privilegios elevados de otro grupo de seguridad. Estos tipos de problemas de segregación de funciones no son captados por los controles integrados del sistema ERP ya que las autoridades asignadas fueron validadas y aprobadas por el Administrador. En otro ejemplo, a un cliente se le dijo que su análisis de segregación de funciones SAP era inadecuado, que no sabían o no comprendían cómo o a qué se accedía en sus servidores de Windows y que nadie sabía qué privilegios tenían los usuarios del sistema de Ventas dentro de SAP. Después de una revisión formal del producto y una Prueba de concepto donde la solución CaseWare Monitor SoD analizó los tres entornos, la administración señaló que CaseWare Monitor SoD fue la única solución empresarial que pudo resolver la segregación de funciones en todos los sistemas. La solución le permitió a TI enviar automáticamente las excepciones a los propietarios del proceso de negocio para realizar comentarios y revisiones; las excepciones resueltas se enviaron de regreso a TI de manera automática para el cierre final y los auditores internos y externos tuvieron acceso a todos los resultados. La solución resalta la capacidad de CaseWare Monitor para analizar la Segregación de funciones en entornos heterogéneos. Estas cuestiones subrayan la necesidad de poder confirmar que los controles ERP preventivos funcionan y además, que es igualmente importante analizar el acceso a SoD en otros sistemas tanto ascendente como descendente desde la plataforma ERP. Esto es particularmente cierto en compañías que modifican sus procesos y las normas que rigen la segregación de funciones.

2 Monitoreo continuo Una solución efectiva de monitoreo continuo le ofrece a la organización un punto de observación independiente de las aplicaciones comerciales sobre los controles de SoD en cualquier proceso de negocio en la empresa. Permite la identificación de violaciones del control, fraude y fugas de dinero mediante la confirmación de que los controles integrados de la aplicación funcionan adecuadamente en todos los procesos de negocio. Es esencial contar con un punto de vista independiente para el monitoreo continuo. Como se demostró en el ejemplo anterior, las soluciones integradas en un ERP o las que son un complemento de una aplicación existente sólo son capaces de identificar excepciones dentro de los sistemas a los que están vinculadas. La solución CaseWare Monitor SoD permite el monitoreo integral de la segregación de funciones, lo que garantiza que las autoridades del usuario están bien compartimentadas independientemente de la aplicación comercial y, como beneficio adicional, garantiza que las interfaces entre sistemas diferentes y operaciones comerciales funcionan correctamente. El sistema de monitoreo continuo debe permitir el acceso de todas las personas clave en la organización. Dado que una solución de monitoreo efectiva puede tocar varios procesos de negocio, es importante que las partes interesadas puedan acceder y controlar los resultados. Esto es importante en situaciones donde varios tipos de usuarios operativos utilizan el sistema. Igualmente importante es la capacidad de distribuir excepciones a las personas pertinentes y asegurar que las excepciones se traten en forma oportuna dentro de un flujo de trabajo eficaz. CaseWare Monitor SoD La Solución permite el monitoreo de todos los puntos de contacto de SoD dentro de los procesos de negocio, independientemente de los sistemas subyacentes, las fuentes de datos, las plataformas o ubicaciones. Los resultados de estas fuentes dispares se presentan en el portal de CaseWare Monitor SoD para ser utilizado por cualquier usuario autorizado, sin importar su ubicación, capacidad técnica o función en el negocio. Con el marco de CaseWare Monitor, todos los aspectos del análisis de la segregación de funciones se pueden examinar sin importar la infraestructura subyacente. Dado que CaseWare Monitor es un marco más que una aplicación específica, cuando cambian los procesos de negocio, puede adaptarse fácilmente a los cambios. Las notificaciones y la gestión del flujo de trabajo están integradas en CaseWare Monitor, lo que garantiza que las excepciones reciben la atención adecuada y que se puede abordar su resolución. Beneficios principales Detección temprana de problemas en la segregación de funciones Cumplimiento sencillo de la normativa de presentación de informes Vista mejorada de posibles violaciones de la segregación de funciones Reducción del riesgo de fraude a través de violaciones de la segregación de funciones Registro histórico de las excepciones y correcciones de la segregación de funciones Portal común para la segregación de funciones en toda la empresa Mayor transparencia y efectividad en la protección de la información

3 Figura 1 Ejemplo de topografía de la segregación de funciones de CaseWare Monitor MARCO CASEWARE MONITOR Definición y monitoreo de gestión, riesgo y control Corrección Enrutamiento, Alertas, Seguimiento, Escalamientos, etc. Presentación de informes y visualización Cumplimiento, Regulatorio, Tableros, Métricas Sistemas heredados Solicitudes Sistema(s) ERP Desde la compra hasta el pago Órdenes de compra - Artículos - Facturación - Pagos División X Aplicaciones de manufactura Registro mensual del libro mayor a ERP Nómina personalizada Aplicaciones personalizadas País Y Orden de cobro Multilingual Issues Different Business Rules Pedidos - Envío - Facturación Devoluciones y notas de crédito Corrección -Enrutamiento, Alertas, Seguimiento, Escalamientos, etc. Plataforma de administración de riesgos empresariales Garantía de ingresos Flujo de trabajo y presentación de informes Cuando se produce un evento, se activan las alertas pertinentes y le sigue un estricto proceso de corrección para garantizar que cualquier actividad de alto riesgo se aborde según lo estipulado por los propietarios del proceso de negocio. Otros aspectos clave de la solución son la automatización de la función de presentación de informes y la visualización del entorno del proceso. CaseWare Monitor SoD automatiza la presentación de informes clave para las partes interesadas, incluidos los reguladores y la auditoría externa. Las capacidades incluyen: Métricas y tendencias clave de SoD Análisis del proceso interno/externo de Segregación de funciones (SoD) Notificación inmediata de excepciones por correo electrónico, SMS Identificación de posibles excepciones, es decir, Anulaciones excesivas de administración Administración de tiempos rápidos/lentos de corrección de excepciones

4 P U N T O S D E I N T E R É S C O M U N E S D E L A S E G R E G A C I Ó N D E F U N C I O N E S Orden de cobro Crear órdenes de venta Condiciones de aprobación de ventas Registrar órdenes de venta Facturar clientes Cobro de cuentas por cobrar Registro de los depósitos de efectivo Investigar discrepancias Mantenimiento de archivos maestros de cuentas por cobrar Emisión de órdenes de venta Mantenimiento de los precios de venta Devolución de ventas Facturación de ventas Acuerdos y contratos de ventas Desde la compra hasta el pago Crear órdenes de compra Recibo de mercancías en orden de compra Acuerdos de compra Solicitud de envío Autorizar o firmar cheques Envío de cheque por correo Investigar discrepancias o excepciones - Gastos Mantenimiento del archivo maestro de proveedores Inventario físico Borrar cuenta de proveedor

5 Cobro y facturación Inventario de compra Preparar cheques Recibir inventario Enviar inventario Mantener transacciones de inventario Mantener cuentas de inventario Mantener registros de inventario Liberar factura bloqueada Entrada del comprobante Aplicación de caja Conciliación bancaria Cierre financiero Iniciar transacciones manuales Aprobar transacciones manuales Iniciar entradas en el diario Aprobar entradas en el diario Registrar entradas en el diario en el libro mayor Generar estados financieros Revisar y aprobar estados financieros Gráfico de mantenimiento de cuentas

6 B E N E F I C I O S DESAFÍOS DEL NEGOCIO SOLUCIÓN DE CASEWARE MONITOR REQUISITOS DE LAS PARTES INTERESADAS Requisitos de cumplimiento y escalada Proporciona definición y monitoreo de controles a nivel de riesgos empresarial y garantiza su implementación efectiva en todos los procesos de negocio. AUTOMATIZACIÓN Automatizar la detección y corrección de Detecta violaciones en la fuente de datos. violaciones en el control Distribuye los datos en toda la empresa por normas definidas por el usuario a través de tableros, correo electrónico, SMS Proporciona un flujo de trabajo para la corrección, incluida la detección de la resolución de errores Permite a los usuarios definir controles en varios procesos de negocio con una vista consolidada Aumenta la eficiencia al hacer repetitivos los análisis con la capacidad de adaptar tolerancias Las reglas comerciales y los parámetros se pueden personalizar y las organizaciones pueden construir nuevas lógicas El monitoreo también puede aplicarse a las métricas del negocio Las excepciones se identifican tan pronto como se producen INTEGRACIÓN Se integra perfectamente a las soluciones No se requieren modificaciones a los sistemas subyacentes que existentes se monitorean Acceso no intrusivo a los datos y no se pueden modificar los datos de origen Seguridad del usuario y del grupo con soporte LDAP Criptografía de seguridad Arquitectura distribuida orientada al servicio (SOA). CaseWare RCM Inc Blair Place, Suite 400 Ottawa, Ontario, Canadá K1J 9L8 Teléfono: ext. 712 Fax: Correo electrónico: rcmsales@caseware.com Copyright 2010 CaseWare RCM Inc. Todos los derechos reservados. Ninguna parte de este manual deberá ser transmitida, en ninguna forma o por ningún medio (fotocopia, electrónico, mecánico, grabado o de otra forma) o reproducida, almacenada en un sistema de recuperación, sin el permiso por escrito del Editor. Todas las marcas registradas son propiedad de sus respectivas compañías.