La separación de funciones (SoD), también conocida como segregación de funciones , es el concepto de que se requiere más de una persona para completar una tarea. Es un control administrativo utilizado por las organizaciones para prevenir fraudes, sabotajes, robos, uso indebido de información y otros compromisos de seguridad. En el ámbito político , se conoce como separación de poderes , como se puede observar en las democracias donde el gobierno está separado en tres poderes independientes: un legislativo , un ejecutivo y un judicial .
La separación de funciones es un concepto clave de los controles internos. Una mayor protección contra el fraude y los errores debe equilibrarse con el mayor costo/esfuerzo requerido.
En esencia, SoD implementa un nivel apropiado de controles y contrapesos sobre las actividades de los individuos. RA Botha y JHP Eloff en IBM Systems Journal describen SoD de la siguiente manera.
La separación de funciones, como principio de seguridad, tiene como objetivo primordial la prevención del fraude y los errores. Este objetivo se logra mediante la difusión de las tareas y los privilegios asociados para un proceso de negocio específico entre múltiples usuarios. Este principio se demuestra en el ejemplo tradicional de separación de funciones que se encuentra en el requisito de dos firmas en un cheque. [1]
Los títulos de trabajo reales y la estructura organizacional pueden variar mucho de una organización a otra, según el tamaño y la naturaleza de la empresa. En consecuencia, el rango o la jerarquía son menos importantes que las habilidades y capacidades de los individuos involucrados. Con el concepto de SoD, las tareas críticas para el negocio se pueden clasificar en cuatro tipos de funciones: autorización, custodia, mantenimiento de registros y conciliación. En un sistema perfecto, ninguna persona debería encargarse de más de un tipo de función.
Principalmente, varios enfoques son opcionalmente viables como paradigmas parcial o totalmente diferentes:
Una persona con múltiples roles funcionales tiene la oportunidad de abusar de esos poderes. El patrón para minimizar el riesgo es:
Categorías generales de funciones a separar:
Principalmente se aborda la separación individual como única elección.
El término SoD ya es bien conocido en los sistemas de contabilidad financiera. Las empresas de todos los tamaños entienden que no deben combinar funciones como recibir cheques (pago a cuenta) y aprobar cancelaciones, depositar efectivo y conciliar extractos bancarios, aprobar tarjetas de tiempo y custodia de cheques de pago, etc. SoD es bastante nuevo para la mayoría de la información. departamentos de tecnología (TI), pero un alto porcentaje de los problemas de auditoría interna Sarbanes-Oxley provienen de TI. [2]
En los sistemas de información, la segregación de funciones ayuda a reducir el daño potencial de las acciones de una persona. El departamento de SI o usuario final debe organizarse de manera que se logre una adecuada separación de funciones. Según la matriz de Control de Segregación de Funciones de ISACA, [3] algunas funciones no deben combinarse en un solo puesto. Esta matriz no es un estándar de la industria, solo una guía general que sugiere qué posiciones deben separarse y cuáles requieren controles compensatorios cuando se combinan.
Dependiendo del tamaño de una empresa, las funciones y designaciones pueden variar. Las empresas más pequeñas con falta de SoD generalmente enfrentan preocupaciones en los ciclos de desembolso donde pueden ocurrir compras y pagos no autorizados. [4] Cuando no es posible separar funciones, deben establecerse controles compensatorios. Los controles compensatorios son controles internos que tienen como objetivo reducir el riesgo de una debilidad de control existente o potencial. Si una sola persona puede cometer y ocultar errores y/o irregularidades en el desempeño de sus actividades diarias, se le han asignado tareas incompatibles con SoD. Existen varios mecanismos de control que pueden ayudar a hacer cumplir la segregación de funciones:
La profesión contable ha invertido significativamente en la separación de funciones debido a los riesgos acumulados durante cientos de años de práctica contable.
Por el contrario, muchas corporaciones en Estados Unidos descubrieron que una proporción inesperadamente alta de sus problemas de control interno según la ley Sarbanes-Oxley procedían de TI. La separación de funciones se utiliza comúnmente en grandes organizaciones de TI para que ninguna persona esté en condiciones de introducir códigos o datos fraudulentos o maliciosos sin ser detectados. El control de acceso basado en roles se utiliza con frecuencia en sistemas de TI donde se requiere SoD. Más recientemente, a medida que aumenta el número de roles en una organización en crecimiento, se utiliza un modelo de control de acceso híbrido con control de acceso basado en atributos para resolver las limitaciones de su contraparte basado en roles. [5]
Un control estricto de los cambios de software y datos requerirá que la misma persona u organización desempeñe solo una de las siguientes funciones:
Esta no es una presentación exhaustiva del ciclo de vida del desarrollo de software , sino una lista de funciones de desarrollo críticas aplicables a la separación de funciones.
Para implementar con éxito la separación de funciones en los sistemas de información es necesario abordar una serie de preocupaciones: