La séparation des tâches (SoD) expliquée en mots simples

La division des responsabilités (DDR) constitue un pilier fondamental des stratégies de gestion des risques au sein de toute structure organisationnelle.

Une étude de 2022 menée par l'Association of Certified Fraud Examiners (ACFE) révèle que les entreprises essuient des pertes avoisinant 1 783 000 $ par incident de fraude commise par des employés.

Ce chiffre met en lumière la nécessité pour les entreprises modernes de déployer une gestion des risques solide et durable, face à la recrudescence des cas de fraude, d'escroquerie et d'erreurs.

La DDR vise précisément à surveiller, maîtriser, voire atténuer ces dangers afin d'optimiser les contrôles organisationnels, en renforçant la sécurité et la sensibilisation.

Dans cet exposé, nous allons explorer la notion de DDR, son importance cruciale, ainsi que d'autres concepts essentiels qui lui sont liés.

Entamons dès maintenant cette exploration pour reprendre le contrôle !

Qu'entend-on par division des responsabilités ?

La division des responsabilités (DDR) représente un concept fondamental dans la gestion des risques et les contrôles internes d'une organisation. Elle consiste à impliquer plusieurs individus dans la réalisation des différentes phases d'une tâche. Cette approche est adoptée afin de prévenir les abus d'informations, les fraudes, les vols, ainsi que d'autres menaces à la sécurité.

Bien qu'une tâche puisse être exécutée par une seule personne, la DDR préconise son fractionnement en plusieurs étapes. Cette pratique garantit qu'aucun individu ne détient un pouvoir exclusif sur la tâche ou des contrôles excessifs, susceptibles de permettre des abus à des fins illégales ou des activités frauduleuses. Au contraire, les responsabilités sont réparties entre au moins deux personnes.

De nos jours, la DDR est mise en œuvre dans une multitude de domaines, tels que la comptabilité, la finance, la gestion de la paie, l'administration, etc. Dans le domaine politique, elle se manifeste par la séparation des pouvoirs dans les démocraties, où le gouvernement est divisé en branches judiciaire, exécutive et législative.

La DDR au cœur de la gestion des risques

La DDR repose sur le principe du partage des responsabilités et stipule que la gestion d'une organisation ou d'une entreprise ne doit pas être confiée à un seul individu. Il est impératif de ne pas donner à une seule personne le contrôle total d'une tâche susceptible d'entraîner des fraudes, des erreurs, ou de nuire à la réputation de votre entreprise.

En effet, la DDR représente un élément vital de la gestion des risques et de la conformité de l'entreprise aux réglementations telles que la loi Sarbanes-Oxley de 2002 (SOX).

La séparation des tâches entre plusieurs membres du personnel réduit les risques qu'un employé ou un tiers puisse :

• Utiliser abusivement les informations confidentielles de l'organisation
• Détourner des fonds
• Falsifier des documents (notamment financiers) dans le but de tromper les parties prenantes ou de gonfler les cours des actions
• Mettre en œuvre une vengeance suite à un traitement inapproprié
• Se livrer à de l'espionnage industriel

Si vous négligez une stratégie de sécurité telle que la DDR, cela pourrait causer des dommages considérables à votre organisation sur le plan financier, entraîner des sanctions pour non-conformité et ternir votre image de marque. C'est pourquoi il est vivement conseillé d'appliquer la DDR à l'ensemble de l'entreprise, de la comptabilité et de la gestion de la paie aux services informatiques et de cybersécurité.

Illustrations de la DDR

Examinons quelques exemples d'applications de la DDR.

Comptabilité

En comptabilité, les organisations peuvent empêcher qu'une seule personne n'acquière un pouvoir excessif qui lui permettrait de dissimuler des actifs ou des erreurs financières.

La DDR vous impose d'analyser en profondeur tous les rôles comptables au sein de votre organisation et de répartir les tâches de manière à ce qu'une même personne ne puisse pas contrôler totalement une fonction donnée. Par exemple, il est crucial d'éviter de confier la réception et l'enregistrement des chèques à la même personne.

Informatique et cybersécurité

Les politiques de DDR peuvent contribuer à prévenir les risques liés au contrôle d'accès au sein du département informatique. Cela implique de segmenter les étapes d'un flux de travail, en s'assurant qu'un même groupe ou les mêmes personnes ne reçoivent pas de multiples autorisations d'accès.

Si une seule personne bénéficie d'un pouvoir qui dépasse ses fonctions, elle peut en abuser et divulguer des informations à un tiers ou lui accorder des autorisations d'accès sans que personne d'autre ne le sache.

Une telle situation peut s'avérer désastreuse. Par exemple, il est indispensable de ne pas autoriser une même personne à recevoir les alertes des systèmes de sécurité et à gérer les autorisations d'accès à ces systèmes.

Conformité et contrôles

La mise en œuvre de stratégies de DDR solides peut aider à éliminer les erreurs, qu'elles soient intentionnelles ou non. Elle peut également contribuer à détecter les déclarations frauduleuses, le cas échéant. De cette manière, vous pouvez protéger votre organisation contre les manquements à la conformité. Par exemple, la personne responsable du dépôt des informations financières ne doit pas être la même que celle qui les vérifie.

Autres exemples

Il est impératif d'éviter de confier à une seule personne les responsabilités suivantes :

• La création et l'approbation des demandes d'achat
• La création et la validation des factures fournisseurs
• La préparation de la facture et la saisie des transactions de vente dans le grand livre
• Le paiement des salaires et l'embauche des employés
• L'enregistrement des encaissements et la création de notes de crédit
• La négociation d'actions et la gestion des fusions et acquisitions
• Le paramétrage des acheteurs et l'approbation des demandes d'achat ou des bons de commande

Les bénéfices de la DDR

Voici quelques-uns des avantages que procure la mise en œuvre de la DDR au sein de votre organisation :

#1. Prévention et détection de la fraude

Les organisations sont aujourd'hui plus que jamais vulnérables à la fraude. Celle-ci peut prendre diverses formes, telles que la falsification de chèques, l'écrémage d'espèces, le détournement d'actifs, la falsification de documents, la falsification de reçus et de factures, les erreurs dans les registres comptables, etc.

Grâce à la DDR, vous pouvez garantir qu'aucune personne ni aucun groupe n'est responsable de l'exécution de toutes les fonctions d'une tâche donnée. Cela réduit la possibilité de commettre une fraude et de la dissimuler. La présence de plusieurs intervenants sur une tâche signifie que n'importe qui peut détecter, signaler et contribuer à prévenir la fraude, qu'elle soit d'origine externe ou interne.

#2. Diminution des erreurs humaines

Si vous mettez en œuvre correctement la DDR au sein de votre organisation, vous observerez une réduction significative des erreurs humaines et des risques associés dans vos processus financiers critiques. Ces erreurs peuvent prendre la forme d'une documentation insuffisante des transactions, d'un manque d'effectif en comptabilité, d'erreurs de saisie de données ou encore d'audits négligents.

L'implication de plusieurs personnes dans les transactions cruciales augmente la probabilité qu'une erreur soit remarquée et corrigée.

#3. Amélioration des audits

La réduction des risques et des erreurs améliorera la tenue des dossiers de votre département financier, de la paie, de la comptabilité, de l'informatique ou de la cybersécurité. La DDR permet de s'assurer que les dossiers sont correctement organisés, en évitant les problèmes tels que les doublons, les frais de retard, les risques de conformité, etc.

Ainsi, vous serez mieux préparé aux audits, qu'ils soient annuels, semestriels ou trimestriels. Vous vous sentirez également plus confiant pour vous conformer aux réglementations et éviter les pénalités.

#4. Accroissement de l'efficacité

Certains pourraient penser que l'ajout de rôles entraînera des inefficacités et des coûts plus élevés. Toutefois, si vous planifiez correctement la DDR, elle favorisera l'efficacité. En effet, elle consiste à diviser une tâche en plusieurs sous-tâches, chacune étant exécutée par une personne compétente et spécialisée, avec une meilleure précision et une plus grande rapidité.

Cela permet non seulement de réduire les risques, mais aussi de gagner en efficacité par rapport à une situation où une seule personne doit réaliser l'ensemble de la tâche. De plus, le coût des dommages subis par l'entreprise en l'absence de DDR est bien supérieur à l'investissement dans l'embauche de personnel supplémentaire.

Concepts clés de la DDR

Pour mieux appréhender la DDR, il est essentiel de connaître les notions suivantes :

#1. Conflits de DDR

Un conflit de DDR peut survenir lorsqu'une personne agit contre l'intérêt de l'organisation et dans son propre intérêt. Cela signifie qu'elle a acquis plusieurs rôles lui permettant d'effectuer plusieurs fonctions importantes au sein d'un processus, ce qui peut compromettre l'intégrité du processus et de l'entreprise.

Les conflits de DDR peuvent apparaître dans différents domaines d'une organisation, tels que le processus Order to Cash (O2C) ou le processus Purchase to Pay (P2P). Pour atténuer ces conflits, il est impératif d'analyser et d'évaluer ces incidents. Les organisations doivent également mettre en place des contrôles solides et se prémunir contre les employés impliqués dans des activités illégales.

Une stratégie efficace pour prévenir les conflits de DDR consiste à adopter des contrôles d'accès basés sur les rôles (RBAC) à l'échelle de votre organisation. Le RBAC garantit que les autorisations d'accès et les contrôles sont accordés aux utilisateurs en fonction de leurs rôles et responsabilités au sein de l'organisation, et pas au-delà.

Dans cette optique, vous pouvez désigner une personne autorisée à analyser chaque rôle et autorisation d'accès attribuée afin de détecter les chevauchements de DDR entre les rôles et au sein des rôles.

Il est important de souligner que tous les conflits ne sont pas intentionnellement nuisibles et n'entraînent pas forcément des actions illégales. Un utilisateur peut agir de manière involontaire, par négligence, ou effectuer une fonction requise pour l'entreprise qui nécessite des autorisations supplémentaires.

C'est pourquoi il est crucial que les entreprises examinent attentivement chaque cas et évaluent leurs politiques de violation de DDR afin de s'assurer que les conflits ne se transforment pas en fraude ou en activité illégale.

#2. Violation de la DDR

Une violation de la DDR peut se produire si un employé d'une organisation exploite son rôle et accède intentionnellement à des informations ou exerce une activité interdite. Cela signifie qu'il enfreint les politiques internes de l'organisation ou les réglementations externes.

Les employés peuvent commettre une violation de la DDR lorsqu'ils prennent le contrôle de plusieurs étapes d'un processus, en allant au-delà des étapes autorisées. Ils peuvent ensuite abuser de cet accès à leur avantage.

Par exemple, une entreprise peut établir une règle interdisant à la personne qui embauche des employés de distribuer également les chèques de paie. En effet, si cette personne exerce les deux activités, elle pourrait en tirer profit et orchestrer une fraude ou une activité illégale. Il s'agit alors d'une violation de la DDR.

Voilà à quoi ressemble une violation interne de la DDR. Examinons maintenant comment une violation externe peut se produire. Prenons l'exemple d'un décideur de haut niveau, tel que le PDG d'une organisation, qui se livre à la manipulation des états financiers, en violation des réglementations SOX.

Une telle violation peut entraîner des amendes considérables pour l'organisation, et l'employé peut également être condamné à une peine de prison. Cela est préjudiciable pour l'organisation en termes de réputation et de coût.

Pour atténuer les violations de la DDR, une organisation doit surveiller les violations et l'activité de chaque employé. Il est également essentiel de mettre régulièrement à jour leurs politiques en fonction des évolutions du paysage technologique.

#3. Matrice de DDR

La matrice de DDR est une approche adoptée par les gestionnaires afin de réduire les complexités de la DDR. Elle permet aux responsables de distinguer les différentes responsabilités, rôles et risques au sein d'une organisation.

De plus, la matrice de DDR peut détecter les conflits potentiels au sein de l'organisation et aider à les résoudre à temps, tout en assurant la protection contre les dommages graves.

Les matrices de DDR sont générées automatiquement dans les entreprises modernes qui utilisent un logiciel ERP. Une matrice de DDR générée repose sur les tâches et les rôles d'un utilisateur définis dans son logiciel ERP.

Chaque tâche doit correspondre à un processus dans un flux de travail de transaction donné afin de regrouper les tâches et les rôles, en veillant à ce qu'aucun utilisateur ne soit autorisé à effectuer plus d'une étape dans le flux de travail.

De plus, une matrice de DDR peut être représentée par un graphique où les rôles des utilisateurs sont conservés sur les deux axes, X et Y, qui mettent en évidence les conflits de DDR. Par ailleurs, elle mappe les tâches et les activités aux rôles dans un flux de travail afin de permettre aux équipes de conformité de séparer les responsabilités incompatibles.

Vous pouvez créer une matrice de DDR à l'aide d'un logiciel tel que MS Excel, ou manuellement sur une feuille de papier. Elle peut également être générée à l'aide d'un outil ERP.

Voici un exemple de création d'une matrice de DDR pour la paie d'un employé. Vous pouvez utiliser n'importe quel signifiant, tel que oui/non, des drapeaux ou des flèches de couleur, une coche, etc. pour les rôles et les responsabilités. Dans le tableau suivant, nous utiliserons la notation Y/N.

Le tableau ci-dessus indique que l'employé 2 a l'autorisation de créer et d'effacer les chèques de paie. Il n'est donc pas autorisé à modifier les avantages ou à embaucher des employés. S'il le fait, un conflit de DDR peut survenir. De même, l'employé 1 est responsable de l'embauche de nouveaux employés et ne doit donc pas créer de chèques de paie, gérer les avantages ni effacer les paiements. Dans le cas contraire, un conflit de DDR peut se produire.

Comment mettre en œuvre la DDR

Si vous envisagez d'appliquer la DDR, voici les étapes à suivre :

Définir les processus et politiques organisationnels

Dans un premier temps, il est nécessaire de définir tous les processus organisationnels clés dont les employés sont responsables. Cette définition dépend de la taille de votre organisation et du secteur d'activité. Une fois que vous avez déterminé chaque processus et chaque tâche, il est impératif de répertorier vos politiques. Définissez des politiques pour vos employés internes, vos fournisseurs externes et les autres entités avec lesquelles vous interagissez.

Par exemple, au sein de votre service des ressources humaines, vous pouvez répertorier des tâches telles que l'embauche et l'intégration des employés, la création d'avantages et de rémunérations, la compensation des paiements, la tenue des registres, etc. En ce qui concerne votre département financier, les tâches peuvent inclure la signature de chèques, le paiement de factures, etc.

De plus, il convient de décrire les politiques que vous avez élaborées pour vos services et vos employés. Par exemple, un employé qui émet un paiement ne doit pas être la même personne que celle qui signe les chèques. Un autre exemple de politique pourrait être : l'employé responsable de la vente d'un produit ne doit pas être la même personne qui confirme sa livraison.

Élaborer une matrice de DDR

Après avoir défini vos tâches et politiques, il convient d'élaborer une matrice de DDR afin de répertorier tous les rôles et les tâches. Cela vous aidera à comprendre quels employés sont responsables de quelles tâches et si un conflit ou une violation de la DDR est possible.

Le tableau ci-dessus vous aidera à créer une matrice de DDR pour votre organisation. Cependant, il est parfois difficile de détecter les conflits de DDR, notamment lorsque les représentations ne correspondent pas correctement aux tâches. Pour cela, vous pouvez adopter deux approches lors de la création d'une matrice de DDR :

Définir clairement toutes les tâches et étiqueter chaque conflit de DDR : cette méthode permet de créer une grande matrice, tout en offrant une meilleure précision dans la représentation visuelle des tâches et des rôles.

Omettre certaines tâches ou les regrouper : cette approche vous fournira une matrice condensée, facile à analyser et axée sur les conflits de DDR. Cependant, elle peut entraîner des faux positifs et des erreurs affectant les résultats et les conflits de DDR.

Attribuer les tâches

Une fois que vous avez identifié tous les conflits de DDR, commencez à attribuer les tâches et les sous-tâches aux employés en vous appuyant sur le concept de division des responsabilités. Si vous êtes confronté à un scénario où il est impossible d'appliquer la DDR, mettez en place un moyen solide de contrôler et de surveiller l'employé qui exécute la tâche afin de minimiser tout risque.

Gérer et réviser

Il est essentiel de surveiller et de réviser vos tâches et vos rôles afin de garantir que la DDR est correctement mise en œuvre et qu'il n'y a pas de conflit ou de violation potentielle. Si vous détectez un conflit ou une violation, adaptez vos rôles et vos tâches en les réaffectant. La surveillance doit être continue afin de prévenir les risques.

Conclusion

La division des responsabilités (DDR) est un moyen efficace de gérer les contrôles internes et de prévenir la fraude et les erreurs. Elle contribue à la sécurité de l'organisation en veillant à ce qu'aucun individu n'acquière un pouvoir excessif qui lui permettrait de nuire à votre organisation par le biais de fuites de données, de fraude ou d'activités illégales. Mettez en œuvre la DDR au sein de votre organisation et faites preuve de prudence et de vigilance.

Vous pouvez également explorer des outils de détection et de prévention de la fraude pour les entreprises en ligne.