Гатоўнасць да аўдыту выдаткаў: поўны даведнік

Ці будзе ваша сістэма кіравання выдаткамі гатовая, калі аўдытары пастукаюць у вашы дзверы? Для большасці арганізацый адказ на гэтае пытанне — трывожнае «напэўна». Гатоўнасць да аўдыту не ўзнікае за адну ноч. Яна патрабуе сістэматычных працэсаў, усёабдымнай дакументацыі і тэхналогіі, якая фіксуе кожную транзакцыю і кожнае рашэнне ў вашым працэсе выдаткаў.

Гэты даведнік ахоплівае ўсё, што трэба ведаць пра дасягненне і падтрыманне гатоўнасці да аўдыту выдаткаў. Незалежна ад таго, ці рыхтуецеся вы да ўнутранага аўдыту, знешняга фінансавага аўдыту, ці працуеце над сертыфікацыяй SOC 2 або ISO 27001, прынцыпы і практыкі, апісаныя тут, дапамогуць вам пабудаваць працэс кіравання выдаткамі, гатовы да аўдыту ў любы момант.

Разуменне патрабаванняў да аўдыторскага следу

Аўдыторскі след — гэта краевугольны камень гатоўнасці да аўдыту выдаткаў. Ён стварае храналагічны запіс кожнай транзакцыі ў вашай сістэме кіравання выдаткамі, ад моманту, калі выдатак адбыўся, да яго канчатковай зверкі ў галоўнай кнізе.

Што павінен фіксаваць поўны аўдыторскі след

Надзейны аўдыторскі след выдаткаў павінен фіксаваць наступныя элементы для кожнай транзакцыі:

• Крыніца транзакцыі: калі і дзе адбыўся выдатак; назва прадаўца, месцазнаходжанне, дата і час.
• Дэталі падачы: калі быў пададзены выдатак, кім і праз які канал (мабільны, вэб, электронная пошта, паток карпаратыўнай карты).
• Пацвярджальныя дакументы: арыгінальныя чэкі, рахункі-фактуры і дадатковыя дакументы, прымацаваныя да выдатку.
• Ланцужок зацвярджэння: кожнае дзеянне зацвярджэння, уключаючы тое, хто зацвердзіў, калі зацвердзіў, зробленыя каментарыі і пройдзены шлях іерархіі зацвярджэння.
• Праверкі палітыкі: вынікі аўтаматычнага прымянення палітыкі, уключаючы выяўленыя парушэнні, выдадзеныя папярэджанні і дазволеныя выключэнні.
• Змены: кожная змена, унесеная ў выдатак пасля першай падачы; хто ўнёс змену, што было зменена, старыя і новыя значэнні.
• Апрацоўка плацяжу: калі і як была апрацавана кампенсацыя; спосаб аплаты, спасылка на пакетную аперацыю і бухгалтарскія запісы.
• Сістэмныя аперацыі: аўтаматычныя аперацыі, якія выконваюцца сістэмай, такія як прымененыя канверсіі валютнага курсу, разлікі падаткаў і ацэнкі правілаў палітыкі.

Нязменнасць: неабходнае патрабаванне

Аўдыторскія сляды павінны быць нязменнымі (immutable). Пасля таго як запіс створаны, яго нельга змяніць або выдаліць. Гэта не проста добрая практыка, а асноўнае патрабаванне адпаведнасці аўдыту. Masraff забяспечвае нязменнасць аўдыторскага следу дзякуючы архітэктуры вядзення запісаў толькі з дадаваннем (append-only), крыптаграфічнай праверцы і ўстойлівым да ўмяшання сховішчы.

Кожны запіс у аўдыторскім следзе Masraff змяшчае крыптаграфічны хэш, звязаны з папярэднім запісам, што ўтварае ланцужок запісаў, які немагчыма змяніць незаўважна. Гэты падыход падобны да тэхналогіі блокчэйн, але аптымізаваны пад патрабаванні прадукцыйнасці карпаратыўнага кіравання выдаткамі.

Лічбавыя подпісы і цэласнасць дакументаў

Лічбавыя подпісы адыгрываюць вырашальную ролю ў гатоўнасці да аўдыту выдаткаў, забяспечваючы неадмоўнасць (non-repudiation). Яны з'яўляюцца неабвержным доказам таго, што пэўная асоба выканала пэўнае дзеянне ў пэўны час.

Як працуюць лічбавыя подпісы ў кіраванні выдаткамі?

• Подпісы падачы: калі супрацоўнік падае выдатак, яго асоба крыптаграфічна прывязваецца да падачы, што ўтварае неаспрэчны доказ таго, хто яе падаў.
• Подпісы зацвярджэння: дзеянне кожнага зацвярджаючага падпісваецца лічбава, што дае праверальны доказ ланцужка зацвярджэння.
• Праверка чэкаў: загружаныя чэкі атрымліваюць лічбавую пазнаку часу і хэш цэласнасці, што пацвярджае, што яны не былі зменены пасля загрузкі.
• Подпісы выключэнняў палітыкі: калі кіраўнік адмяняе правіла палітыкі, яго паўнамоцтва падпісваецца лічбава з узмоцненым крокам аўтэнтыфікацыі.

Захаванне і цэласнасць дакументаў

Гатоўнасць да аўдыту патрабуе, каб усе пацвярджальныя дакументы заставаліся даступнымі і нязменнымі на працягу ўсяго законнага тэрміну захавання. Masraff забяспечвае наступнае:

• Наладжвальныя тэрміны захавання, якія адпавядаюць мясцовым нарматыўным патрабаванням (звычайна 7–10 гадоў)
• Аўтаматычную праверку цэласнасці праз кантрольную суму SHA-256 для ўсіх захаваных дакументаў
• Рэзерваванае захоўванне ў геаграфічна размеркаваных цэнтрах апрацоўкі даных
• Функцыю юрыдычнай блакіроўкі (legal hold) для дакументаў, звязаных з бягучымі расследаваннямі або судовымі справамі

Падзел абавязкаў (SoD)

Падзел абавязкаў — гэта асноўны прынцып унутранага кантролю, які прадухіляе тое, каб любая асоба мела непадкантрольныя паўнамоцтвы над поўным фінансавым працэсам. У кіраванні выдаткамі падзел абавязкаў гарантуе, што асоба, якая стварыла выдатак, не зацвярджае яго адначасова, не апрацоўвае плацёж і не робіць яго зверку ў галоўнай кнізе. Гэтыя кантролі — адзін з найбольш эфектыўных спосабаў прадухіліць махлярства з выдаткамі.

Асноўныя кантролі SoD у кіраванні выдаткамі

• Падзел падатчыка/зацвярджаючага: супрацоўнік не можа зацвярджаць свае ўласныя справаздачы аб выдатках. Сістэма павінна аўтаматычна накіроўваць зацвярджэнні іншай асобе — звычайна непасрэднаму кіраўніку супрацоўніка або прызначанаму зацвярджаючаму.
• Падзел зацвярджаючага/апрацоўшчыка: асоба, якая зацвярджае выдатак, не павінна быць той жа асобай, што апрацоўвае кампенсацыю.
• Падзел канфігурацыі/прымянення: асоба, якая наладжвае правілы палітыкі і працоўныя працэсы зацвярджэння, не павінна быць той жа асобай, што падае або зацвярджае штодзённыя выдаткі.
• Незалежнасць зверкі: асоба, якая выконвае зверку выдаткаў у галоўнай кнізе, павінна быць незалежнай ад тых, хто падае і зацвярджае выдаткі.

Прымяненне падзелу абавязкаў у Masraff

Masraff прымяняе падзел абавязкаў праз сістэму ролевага кантролю доступу (RBAC). Платформа ўключае папярэдне наладжаныя правілы SoD, якія прадухіляюць распаўсюджаныя збоі кантролю:

• Аўтаматычнае выяўленне і блакіроўка спроб самазацвярджэння
• Наладжвальныя іерархіі зацвярджэння, якія прымусова забяспечваюць арганізацыйны падзел
• Выяўленне канфлікту роляў, якое папярэджвае адміністратараў, калі камбінацыя роляў карыстальніка ўтварае парушэнне SoD
• Кампенсуючыя кантролі (напрыклад, узмоцненыя патрабаванні да праверкі) у выпадках, калі поўны падзел SoD немэтазгодны для малых каманд

Ролевы кантроль доступу (RBAC)

RBAC — гэта механізм, з дапамогай якога арганізацыі кантралююць, хто што можа рабіць у сістэме кіравання выдаткамі. Добра распрацаваная мадэль RBAC неабходная як для бяспекі, так і для гатоўнасці да аўдыту.

Стандартныя ролі кіравання выдаткамі

• Падатчык: можа ствараць і падаваць справаздачы аб выдатках, праглядаць уласную гісторыю выдаткаў і прымацоўваць чэкі. Не можа зацвярджаць выдаткі або атрымліваць доступ да даных іншых карыстальнікаў.
• Зацвярджаючы: можа праглядаць і зацвярджаць/адхіляць справаздачы аб выдатках для прызначанай яму каманды або цэнтра выдаткаў. Можа праглядаць пададзеныя выдаткі ў чарзе на зацвярджэнне, але не можа іх змяняць.
• Фінансавы менеджэр: можа наладжваць палітыкі, кіраваць працоўнымі працэсамі зацвярджэння, апрацоўваць плацяжы і ствараць справаздачы. Не можа падаваць выдаткі ад імя іншых без аўдыторскага следу.
• Аўдытар (толькі чытанне): можа праглядаць усе даныя аб выдатках, аўдыторскія сляды і справаздачы, але не можа змяняць ніякія даныя. Гэтая роля звычайна прызначаецца камандам унутранага і знешняга аўдыту.
• Сістэмны адміністратар: можа кіраваць уліковымі запісамі карыстальнікаў, наладжваць параметры сістэмы і кіраваць інтэграцыямі. Не можа зацвярджаць выдаткі або апрацоўваць плацяжы.

Лепшыя практыкі RBAC для гатоўнасці да аўдыту

1. Прынцып найменшых прывілеяў: прызначайце карыстальнікам толькі мінімальныя дазволы, неабходныя для іх роляў.
2. Рэгулярныя праверкі доступу: праводзьце штоквартальныя праверкі доступу, каб гарантаваць, што ролі застаюцца адпаведнымі па меры змены пасад асоб.
3. Дакументаванне прызначэння роляў: дакументуйце, чаму кожнаму карыстальніку прызначана пэўная роля, і стварайце запіс для аўдытараў.
4. Аўтаматычны адзыў доступу: забяспечце інтэграцыю з сістэмамі HR для аўтаматычнага адзыву доступу да сістэмы выдаткаў, калі супрацоўнікі пакідаюць арганізацыю.
5. Працэдуры экстраннага доступу: вызначце і дакументуйце працэдуры прадастаўлення часовага падвышанага доступу ў экстранных сітуацыях, уключаючы абавязковую праверку і графікі адзыву.

Адсочванне выключэнняў палітыкі

Выключэнні палітыкі — неабходная частка кожнай сістэмы кіравання выдаткамі. Законныя бізнес-патрэбы часам патрабуюць выключэнняў са стандартных палітык. Аднак выключэнні ўяўляюць адну з зон найвышэйшага рызыку з пункту гледжання аўдыторскай праверкі, што робіць іх усёабдымнае адсочванне абавязковым.

Што трэба адсочваць для кожнага выключэння

• Той, хто запытвае выключэнне: хто запытаў выключэнне і чаму
• Зыходнае парушэнне: якое правіла палітыкі было парушана і канкрэтныя дэталі
• Бізнес-абгрунтаванне: дакументаваная прычына, чаму выключэнне было неабходным
• Той, хто дазваляе зацвярджаючы: хто зацвердзіў выключэнне і ўзровень яго паўнамоцтваў
• Пазнака часу: калі выключэнне было запатрабавана, зацверджана і прыменена
• Аналіз частаты: як часта гэты карыстальнік або аддзел запытваў выключэнне для гэтага канкрэтнага правіла

Кіраванне выключэннямі (governance)

Эфектыўнае кіраванне выключэннямі ўключае наступнае:

• Парогі эскалацыі: выключэнні звыш пэўных сум або ў пэўных катэгорыях патрабуюць зацвярджэння больш высокага ўзроўню.
• Ліміты частаты: аўтаматычнае пазначэнне, калі асоба або аддзел перавышае парогавую колькасць выключэнняў за пэўны перыяд. Паўтаральныя схемы выключэнняў могуць быць ранняй прыкметай ўнутрыфірмавага махлярства.
• Рэгулярны агляд: штомесячны агляд усіх выключэнняў фінансавым кіраўніцтвам для выяўлення схем і прабелаў у палітыцы.
• Аналіз каранёвай прычыны: калі з'яўляюцца схемы выключэнняў, прааналізуйце, ці трэба скарэктаваць базавую палітыку замест таго, каб працягваць выдаваць выключэнні.

Кіраванне выключэннямі

Кіраванне выключэннямі выходзіць за межы асобных выключэнняў палітыкі і ахоплівае больш шырокі працэс апрацоўкі нестандартных сітуацый у кіраванні выдаткамі.

Тыпы выключэнняў

• Адсутныя чэкі: сітуацыі, калі арыгінальны чэк страчаны або недаступны. Патрабуе падпісанай заявы аб страце чэка разам з дэталямі выдатку.
• Рэтраспектыўныя падачы: выдаткі, пададзеныя пасля стандартнай даты падачы. Патрабуе зацвярджэння кіраўніком і дакументаванай прычыны затрымкі.
• Разыходжанні валютнага курсу: калі канвертаваная сума значна адхіляецца ад чаканага дыяпазону з-за ваганняў валютнага курсу.
• Выключэнні, згенераваныя сістэмай: аўтаматычныя папярэджанні ад сістэмы сканіравання чэкаў на аснове штучнага інтэлекту, калі здабытыя даныя не супадаюць з пададзенымі данымі.
• Выключэнні адпаведнасці: сітуацыі, калі мясцовае заканадаўства супярэчыць глабальнай палітыцы; патрабуе выключэння з улікам юрысдыкцыі. У выпадку Турцыі выдаткі, якія не прымаюцца згодна з законам з'яўляюцца тыповым прыкладам гэтага.

Пабудова структуры кіравання выключэннямі

1. Класіфікуйце выключэнні па ўзроўні рызыкі: нізкі, сярэдні, высокі і крытычны. Кожны ўзровень мае розныя патрабаванні да апрацоўкі і паўнамоцтвы зацвярджэння.
2. Вызначце працоўныя працэсы вырашэння: вызначце канкрэтныя крокі, зацвярджэнні і дакументы, неабходныя для кожнага тыпу выключэння і ўзроўню рызыкі.
3. Устанавіце SLA на вырашэнне: вызначце максімальныя тэрміны вырашэння, каб прадухіліць тое, што выключэнні застаюцца нявырашанымі.
4. Адсочвайце і справаздачайце: сачыце за аб'ёмамі выключэнняў, іх тыпамі і тэрмінамі вырашэння для выяўлення сістэмных праблем.

Адпаведнасць SOC 2 і ISO 27001

Для арганізацый, якія імкнуцца атрымаць афіцыйную сертыфікацыю бяспекі, сістэмы кіравання выдаткамі павінны адпавядаць пэўным кантрольным патрабаванням.

Сувязь SOC 2 з кіраваннем выдаткамі

Адпаведнасць SOC 2 арганізавана вакол пяці крытэрыяў давернага абслугоўвання (Trust Service Criteria):

• Бяспека: кантролі доступу, шыфраванне і сеткавая бяспека, якія абараняюць даныя аб выдатках ад несанкцыянаванага доступу.
• Даступнасць: час бесперабойнай працы сістэмы, аднаўленне пасля аварый і бесперапыннасць бізнесу для сістэм апрацоўкі выдаткаў.
• Цэласнасць апрацоўкі: дакладнасць і паўната разлікаў выдаткаў, валютных канверсій і ацэнак палітыкі.
• Канфідэнцыяльнасць: абарона канфідэнцыяльных фінансавых даных, уключаючы асабістыя банкаўскія рэквізіты, якія выкарыстоўваюцца для кампенсацый.
• Прыватнасць: апрацоўка асабіста ідэнтыфікуемай інфармацыі (PII) у запісах аб выдатках у адпаведнасці з дзеючым заканадаўствам.

Патрабаванні ISO 27001

Асноўныя кантролі, звязаныя з кіраваннем выдаткамі:

• A.9 Кантроль доступу: рэгістрацыя карыстальнікаў, размеркаванне доступу, кіраванне паўнамоцтвамі і патрабаванні да аўтэнтыфікацыі.
• A.10 Крыптаграфія: шыфраванне даных аб выдатках у стане спакою і пры перадачы, працэдуры кіравання ключамі.
• A.12 Аперацыйная бяспека: кіраванне зменамі, кіраванне магутнасцю і абарона ад шкоднаснага праграмнага забеспячэння для сістэм выдаткаў.
• A.16 Кіраванне інцыдэнтамі: працэдуры выяўлення інцыдэнтаў бяспекі, якія ўплываюць на даныя аб выдатках, і рэагавання на іх.
• A.18 Адпаведнасць: вызначэнне дзеючых прававых і рэгуляторных патрабаванняў і доказы адпаведнасці.

Падрыхтоўка да ўнутраных аўдытаў

Кантрольны спіс перад аўдытам

1. Перагледзьце і абнавіце палітыкі выдаткаў: пераканайцеся, што ўсе палітыкі актуальныя, дакладна дакументаваныя і даступныя для супрацоўнікаў. На гэтым кроку вы можаце скарыстацца нашым даведнікам па палітыцы выдаткаў.
2. Праверце эфектыўнасць кантролю: праверце, што ўсе аўтаматычныя кантролі працуюць правільна.
3. Стварыце ўзорныя справаздачы: сфарміруйце ўзорныя справаздачы аб выдатках і праверце наяўнасць поўных аўдыторскіх слядоў.
4. Праверце доступ карыстальнікаў: перагледзьце бягучыя ролі і дазволы карыстальнікаў.
5. Праверце журналы выключэнняў: перагледзьце ўсе выключэнні палітыкі за аўдытарскі перыяд.
6. Праверце кіраванне выключэннямі: пераканайцеся, што працэсы кіравання выключэннямі прымяняюцца паслядоўна.
7. Падрыхтуйце аналітыку: стварыце справаздачы аб тэндэнцыях, зводкі выключэнняў і метрыкі адпаведнасці.

Распаўсюджаныя вынікі ўнутранага аўдыту

• Адсутныя або няпоўныя чэкі для выдаткаў звыш парогу чэка
• Зацвярджэнні, зробленыя несанкцыянаваным персаналам
• Састарэлыя ўліковыя запісы карыстальнікаў з актыўным доступам
• Правілы палітыкі, не абноўленыя для адлюстравання бягучых бізнес-патрабаванняў
• Непаслядоўнае прымяненне працэдур выключэнняў паміж аддзеламі

Падрыхтоўка да знешніх аўдытаў

Патрабаванні да дакументацыі

• Дакументы палітыкі: поўныя палітыкі выдаткаў з кантролем версій, з датамі зацвярджэння і подпісамі.
• Дакументацыя працэсаў: падрабязныя апісанні працэсаў падачы выдаткаў, зацвярджэння, аплаты і зверкі.
• Кантрольныя матрыцы: супастаўленне рызык з кантролямі разам з доказамі эфектыўнасці кантролю.
• Журналы доступу да сістэмы: запісы аб тым, хто, калі меў доступ да сістэмы выдаткаў і якія аперацыі выконваў.
• Запісы кіравання зменамі: дакументаванне зменаў у канфігурацыі сістэмы, палітыках або працоўных працэсах на працягу аўдытарскага перыяду.

Падтрымка вашых знешніх аўдытараў

1. Прадастаўце доступ толькі для чытання: дайце знешнім аўдытарам спецыяльны доступ толькі для чытання да сістэмы выдаткаў.
2. Падрыхтуйце ўзоры загадзя: папрацуйце з аўдытарамі, каб зразумець іх метадалогію выбаркі, і майце адпаведныя запісы напагатове.
3. Прызначце кантактную асобу: вызначце дасведчанага члена каманды як асноўны кантакт для аўдытарскіх запытаў.
4. Стварыце трэкер вынікаў: дакументуйце ўсе вынікі, адказы кіраўніцтва і графікі выпраўлення.

Бесперапынная гатоўнасць да аўдыту з Masraff

Найбольш эфектыўны падыход да гатоўнасці да аўдыту — зрабіць яе бесперапыннай, а не перыядычнай. З Masraff арганізацыі могуць падтрымліваць пастаянную гатоўнасць да аўдыту з дапамогай наступнага:

• Панэлі адпаведнасці ў рэальным часе: сачыце за ўзроўнямі адпаведнасці палітыцы, аб'ёмамі выключэнняў і эфектыўнасцю кантролю ў рэальным часе.
• Аўтаматычныя справаздачы адпаведнасці: плануйце рэгулярныя справаздачы адпаведнасці, якія генеруюцца аўтаматычна і распаўсюджваюцца сярод зацікаўленых бакоў.
• Бесперапынны маніторынг кантролю: сістэма аўтаматычна правярае эфектыўнасць кантролю і папярэджвае адміністратараў, калі кантролі не спрацоўваюць або слабеюць.
• Экспарты, гатовыя да аўдыту: стварайце ўсёабдымныя аўдытарскія пакеты адным націскам.
• Аналіз гістарычных тэндэнцый: адсочвайце тэндэнцыі адпаведнасці з цягам часу, каб паказаць аўдытарам бесперапыннае паляпшэнне.

Заключэнне

Гатоўнасць да аўдыту выдаткаў — гэта не пункт прызначэння, а бесперапынная практыка. Укараняючы надзейныя аўдыторскія сляды, лічбавыя подпісы, падзел абавязкаў, ролевыя кантролі доступу і ўсёабдымнае кіраванне выключэннямі, вы можаце пабудаваць працэс кіравання выдаткамі, адкрыты да аўдыту ў любы момант.

Ключ — выкарыстанне тэхналогіі, якая робіць гатоўнасць да аўдыту аўтаматычнай, а не ручной. Калі ваша сістэма кіравання выдаткамі фіксуе кожную транзакцыю, прымяняе кожны кантроль і генеруе кожную справаздачу аўтаматычна, гатоўнасць да аўдыту становіцца натуральным вынікам звычайных аперацый, а не перыядычнай мітуснёй.

Гатовыя дасягнуць бесперапыннай гатоўнасці да аўдыту? Запытайце дэма Masraff, каб убачыць, як наш усёабдымны аўдыторскі след, аўтаматычныя кантролі і справаздачнасць па адпаведнасці могуць падрыхтаваць вашу арганізацыю да кожнага аўдыту.