La separación de funciones (SoD), también conocida como segregación de funciones , es el concepto de que se requiera que más de una persona complete una tarea. Es un control administrativo utilizado por las organizaciones para prevenir fraudes, sabotajes, robos, uso indebido de la información y otros riesgos de seguridad. En el ámbito político , se conoce como separación de poderes , como se puede ver en las democracias donde el gobierno está dividido en tres ramas independientes: una legislativa , una ejecutiva y una judicial .
La separación de funciones es un concepto clave de los controles internos. La mayor protección contra el fraude y los errores debe equilibrarse con el mayor esfuerzo y costo requerido.
En esencia, SoD implementa un nivel adecuado de controles y equilibrios sobre las actividades de los individuos. RA Botha y JHP Eloff en IBM Systems Journal describen SoD de la siguiente manera.
La separación de funciones, como principio de seguridad, tiene como objetivo principal la prevención de fraudes y errores. Este objetivo se logra difundiendo las tareas y los privilegios asociados para un proceso empresarial específico entre múltiples usuarios. Este principio se demuestra en el ejemplo tradicional de separación de funciones que se encuentra en el requisito de dos firmas en un cheque. [1]
Los títulos de los puestos y la estructura organizativa pueden variar mucho de una organización a otra, dependiendo del tamaño y la naturaleza de la empresa. En consecuencia, el rango o la jerarquía son menos importantes que el conjunto de habilidades y capacidades de las personas involucradas. Con el concepto de SoD, las tareas críticas para la empresa se pueden clasificar en cuatro tipos de funciones: autorización, custodia, mantenimiento de registros y conciliación. En un sistema perfecto, ninguna persona debería manejar más de un tipo de función.
Básicamente, varios enfoques son opcionalmente viables como paradigmas parcial o totalmente diferentes:
Una persona con múltiples funciones tiene la oportunidad de abusar de esos poderes. El patrón para minimizar el riesgo es el siguiente:
Categorías generales de funciones a separar:
En primer lugar se aborda la separación individual como única opción.
El término SoD ya es bien conocido en los sistemas de contabilidad financiera. Las empresas de todos los tamaños entienden que no deben combinar funciones como recibir cheques (pago a cuenta) y aprobar cancelaciones, depositar efectivo y conciliar extractos bancarios, aprobar tarjetas de tiempo y tener la custodia de cheques de pago, etc. SoD es bastante nuevo para la mayoría de los departamentos de Tecnología de la Información (TI), pero un alto porcentaje de los problemas de auditoría interna de Sarbanes-Oxley provienen de TI. [2]
En los sistemas de información, la segregación de funciones ayuda a reducir el daño potencial que pueden causar las acciones de una persona. El departamento de SI o de usuario final debe organizarse de manera que se logre una separación adecuada de funciones. Según la matriz de control de segregación de funciones de ISACA [3] , algunas funciones no deben combinarse en un solo puesto. Esta matriz no es un estándar de la industria, sino solo una guía general que sugiere qué puestos deben separarse y cuáles requieren controles compensatorios cuando se combinan.
Dependiendo del tamaño de la empresa, las funciones y designaciones pueden variar. Las empresas más pequeñas que carecen de una separación de funciones suelen enfrentarse a problemas en los ciclos de desembolso, en los que pueden producirse compras y pagos no autorizados. [4] Cuando no es posible separar las funciones, deben establecerse controles compensatorios. Los controles compensatorios son controles internos cuyo objetivo es reducir el riesgo de una debilidad de control existente o potencial. Si una sola persona puede llevar a cabo y ocultar errores o irregularidades en el curso de la realización de sus actividades cotidianas, se le han asignado funciones incompatibles con la separación de funciones. Existen varios mecanismos de control que pueden ayudar a hacer cumplir la segregación de funciones:
La profesión contable ha invertido significativamente en la separación de funciones debido a los riesgos comprendidos y acumulados durante cientos de años de práctica contable.
En cambio, muchas corporaciones de los Estados Unidos descubrieron que una proporción inesperadamente alta de sus problemas de control interno derivados de la ley Sarbanes-Oxley provenían de TI. La separación de funciones se utiliza habitualmente en las grandes organizaciones de TI para que ninguna persona esté en posición de introducir código o datos fraudulentos o maliciosos sin ser detectada. El control de acceso basado en roles se utiliza con frecuencia en los sistemas de TI donde se requiere separación de funciones. Más recientemente, a medida que aumenta el número de roles en una organización en crecimiento, se utiliza un modelo de control de acceso híbrido con control de acceso basado en atributos para resolver las limitaciones de su contraparte basada en roles. [5]
El control estricto de los cambios de software y datos requerirá que la misma persona u organización desempeñe solo una de las siguientes funciones:
Esta no es una presentación exhaustiva del ciclo de vida del desarrollo de software , sino una lista de funciones de desarrollo críticas aplicables a la separación de funciones.
Para implementar con éxito la separación de funciones en los sistemas de información es necesario abordar una serie de cuestiones: