Kontrollit
Kontrollien soveltamisesta yleisellä tasolla
Ohjeistuksessa esitellään erilaisia kontrollikeinoja, joilla voidaan estää tai havaita jälkikäteen yllä olevassa kappaleessa kuvattuja rikostyyppejä. Nämä kontrollikeinot soveltuvat yhden tai useamman rikostyypin torjuntaan, joko yksin tai yhdessä muiden kontrollikeinojen kanssa sovellettuna. Alla esimerkkejä logiikasta:
- Maksunsaajan tarkastus ilmoittaa maksua suorittavalle henkilölle, jos maksuaineistossa oleva saajan nimi ei vastaa maksun saajan nimeä vastaanottavassa pankissa:
- Tämä kontrollikeino saattaa estää huijauslaskun maksamisen, mutta se ei estä rikokseen sortunutta työntekijää tai verkkorikollista suorittamasta maksuja
- Toimittajarekisterin perustietojen ylläpidon eriyttäminen eri käyttäjälle kuin maksatus ehkäisee jo varsin kattavasti sekä työntekijän että järjestelmään tunkeutuneen verkkorikollisen suorittamat maksut, koska maksatukseen pääsevä rikollinen ei voi maksaa kuin “oikeille” pankkitileille. Tämä kontrollikeino ei sen sijaan estä huijauslaskuun lankeamista.
Yleisiä toimintoriippumattomia kontrolleja
Käyttäjien perustamisen kontrollit
Tiedossa on tilanne, jossa verkkorikollinen pääsee ohjelmistoon pääkäyttäjätunnuksilla ja luo uusia käyttäjiä. Näillä käyttäjätunnuksilla hän voi ohittaa tässä aiemmin esitettyjä kontrolleja. Hän voi esimerkiksi muuttaa toimittajien pankkitilejä yhdellä tunnuksella ja suorittaa maksuja toisella. Vastaavasti hän voi ohittaa pakotetun neljän silmän periaatteen kahdella käyttäjällä.
Tilitoimiston tulee käyttäjähallintaa suunnitellessaan luoda riittävät kontrollit uusien käyttäjien luomiselle. Kontrollien tulisi olla ehkäiseviä eikä jälkikäteen havainnoivia, koska verkkorikollisen toimintamallina on suorittaa maksimaalinen määrä maksuja nopeasti.
Myös tilitoimiston työntekijä voi hyödyntää tätä haavoittuvuutta esimerkiksi perustamalla toisen käyttäjän, jonka avulla ohittaa käyttöoikeusrajoituksia.
Torjuu uhkaa: Erityisesti verkkorikollisen suorittamat maksut mutta myös työntekijän maksuvälinepetokset.
Lähipiiririskin eliminointi
Erityisesti palkanlaskennassa riskejä lisää se, jos tilitoimiston palkanlaskijan lähipiiriin kuuluva henkilö on palkansaajana asiakasyrityksessä. Tällöin palkanlaskijalla on heikosti kontrolloidussa palkanlaskennassa mahdollisuus maksaa aiheettoman suurta palkkaa tai yksittäisiä palkkaeriä.
Kohonneen petosriskin ohella asiassa on myös tietosuojaan liittyviä riskejä. Tämän vuoksi voi olla perusteltua järjestää tilitoimiston palkanlaskennan asiakkuudet niin, että palkanlaskija ei hoida niitä yrityksiä, joissa töissä on hänen lähipiiriään.
Toinen riskitilanne on se, jos tilitoimistossa ostolaskuja käsittelevän kirjanpitäjän lähipiiriläinen on edunsaajana tilitoimiston asiakasyrityksen säännöllisessä tavarantoimittajassa/palveluntarjoajassa. Tällöin kirjanpitäjä voi heikosti kontrolloidussa ostolaskuprosessissa maksaa esimerkiksi perusteettomia laskuja. Palkanlaskentaan verrattuna näitä tilanteita on kuitenkin vaikeampi ennakoida ja eliminoida.
Torjuu uhkaa: Työntekijän suorittama maksuvälinepetos
Useamman tilin käyttö ja maksatusoikeudet
Suurimmalla osalla tilitoimiston asiakkaista on yleensä pankkitileillään varoja ainoastaan kohtuullinen määrä, jolloin tilitoimiston ja asiakkaan näkökulmasta riski on useimmissa tapauksessa hallittavissa myös rikoksen sattuessa. Vaikka vakuutus ei korvaisi rikosvahinkoa, tilitoimisto pystyy usein korvaamaan mahdolliset rikosvahingot omista varoistaan.
Tilitoimisto ja asiakas voivat hallita riskiä siten, että asiakasyritykset, joilla on suuri määrä käteisvarallisuutta, perustavat ylimääräisen pankkitilin seuraavasti:
- Yrityksen ylimääräinen varallisuus pidetään erillisellä sijoitustilillä tai vastaavalla, johon käyttöoikeus on vain yrityksen vastuuhenkilöillä.
- Tilitoimistoilla on maksatusoikeus vain yrityksen maksuliikennetiliin, jossa yritys pitää varoja sovitun vaihteluvälin puitteissa.
Ylilikvidillä yrityksellä voidaan riskiä hallita perustamalla palkanlaskentaa varten oma pankkitili. Yritys siirtää tilille rahat palkanlaskentaa varten.
Rajoittaa riskiä: verkkorikollisen suorittamat maksut ja tilitoimiston työntekijän maksuvälinepetokset.
Käyttöoikeuksien hallinta yleisesti
- Talous- ja palkkahallinnon ohjelmistoissa jokaisella käyttäjällä tulee olla omat käyttäjätunnukset, joiden salasanan vain käyttäjä itse tietää.
- Kunkin käyttäjän käyttöoikeudet tulee rajata vain niihin yrityksiin ja toimintoihin, joita hän säännöllisesti hoitaa.
- Pidempien poissaolojen ajaksi käyttöoikeudet tulee passivoida, jos tämä on ohjelmistossa mahdollista
- Pääkäyttäjätunnuksen hallinnoinnissa pitää noudattaa erityistä huolellisuutta. Pääkäyttäjätunnuksella voi yleensä esimerkiksi luoda uusia käyttäjiä ja muokata käyttäjien käyttöoikeuksia.
- Pienissä tilitoimistoissa voi olla mahdollista luoda maksatusta varten kokonaan erillinen käyttäjätunnus. Tällöin muilla käyttäjätunnuksilla ei voisi suorittaa maksuja lainkaan. Näin rikollinen ei voisi suorittaa maksuja, jos hän saa kaapattua yksittäisen työntekijän tunnuksen. Yksittäinen tilitoimiston työntekijä ei voisi myöskään suorittaa itsenäisesti perusteettomia maksuja.
Ohjelmiston logitiedot
Monet ohjelmistot tuottavat selkeät logitiedot käyttäjien toimista: kuka on tehnyt mitä ja koska. Kun jokaisella käyttäjällä on omat tunnukset ja nämä salasana ovat vain kunkin käyttäjän tiedossa, voidaan väärinkäytöksiin syyllistyneet todeta luotettavasti ja teot katkaista varhaisessa vaiheessa.
Rajoittaa riskiä: tilitoimiston työntekijän maksuvälinepetokset.