Brukertilgang som passer regnskapsoppgaven
Praktisk grunnlag, eksempler og kontrollpunkter for brukertilgang som passer regnskapsoppgaven.
Regnskapet kan inneholde kundedata, lønn, bank og forretningsavtaler. Brukertilgang bør følge faktisk oppgave og nødvendig kontroll, ikke bare stillingstittel. En person som leverer bilag trenger ikke automatisk rett til å se alle lønnsopplysninger eller godkjenne betaling.
Kartlegg hva hver rolle gjør
Skill lesing, registrering, godkjenning, eksport og administrasjon. Finn hvem som trenger hvilke deler av dokumentasjonen. Offentlig fullmakt, banktilgang og intern systemrolle er ulike forhold. Altinns veiledning om systemtilgang forklarer den tekniske tilgangen til offentlige tjenester; den erstatter ikke en intern vurdering av alle regnskapsrettigheter.
| Rolle | Typisk oppgave | Kontrollspørsmål |
|---|---|---|
| Bilagsleverandør | Levere dokument og formål | Kan oppgaven gjøres uten bredt innsyn? |
| Regnskapsansvarlig | Kontrollere og registrere | Hvilke data og endringer trengs? |
| Godkjenner | Bekrefte oppgjør | Er beslutningsfullmakt og teknisk rett avklart? |
Eksempel på for bred tilgang
En prosjektleder skal levere leverandørbilag for sitt oppdrag. Personen får full regnskapsadministrasjon for å gjøre dette raskt, inkludert tilgang til lønn og brukeroppsett. Oppgaven trenger et snevrere og dokumentert oppsett dersom systemet støtter det. Hvis passende rolle mangler, må virksomheten vurdere annen dokumentflyt og kompenserende kontroll.
Ved ferie kan en stedfortreder trenge midlertidig utvidelse. Angi varighet og hvem som skal fjerne eller revurdere rettigheten etterpå. Personlige innlogginger skal ikke deles for å slippe denne prosessen.
Test og gjennomgå tilgangene
La brukeren prøve den avgrensede oppgaven før rutinen settes i drift. Kontroller at nødvendige funksjoner virker og uvedkommende data ikke er tilgjengelige. Gjennomgå rettigheter ved rollebytte og fratredelse, og bevar beslutningsgrunnlaget uten å lagre hemmeligheter. Denne veiviseren gir en kontrollstruktur, ikke en påstand om bestemte rollefunksjoner i alle systemer. Personvern, offentlig delegasjon og bankens egne fullmaktskrav må vurderes konkret for virksomhetens situasjon.
Avklar hvem som kan opprette nye brukere og godkjenne utvidet tilgang. En administratorrolle kan gi mulighet til å omgå den vanlige arbeidsdelingen dersom den gis bredt. Dokumenter derfor hvorfor rollen trengs, og kontroller endringer ved faste intervaller. En logg over tilgangsbeslutninger bør vise ansvar og dato uten å inneholde passord, nøkkelmateriale eller andre hemmelige innloggingsopplysninger.