Tilganger og fullmakter i holding og hovedkontor
Felles eierskap er ikke det samme som felles tilgang eller rett til å godkjenne en disposisjon.
Når flere personer eller leverandører arbeider med en selskapsstruktur, må de vite både hva de har lov til å gjøre og hva systemet lar dem gjøre. Disse to forholdene kan være forskjellige. En tilgang i programvaren dokumenterer ikke alene en gyldig fullmakt.
Lag matrisen per selskap og oppgave
| Oppgave | Eksempel på avklaring |
|---|---|
| Lese rapporter | Hvilke enheter og dokumenter trenger personen å se? |
| Registrere eller importere | Hvem kan endre grunnlag og hvordan kontrolleres det? |
| Godkjenne kostnad | Hvem kjenner tjenesten og har riktig godkjenningsmyndighet? |
| Betale | Hvem oppretter oppdrag, hvem godkjenner, og hvem er stedfortreder? |
| Signere eller sende inn | Hvilken formell rolle/fullmakt krever den aktuelle tjenesten? |
| Administrere brukere | Hvem kan gi andre tilgang, og hvem kontrollerer endringen? |
Formelle roller, signatur og prokura må vurderes etter selskapets faktiske forhold. Altinn beskriver selskapsorganene og rollene i organisering og roller i aksjeselskap. Praktiske systemtilganger kommer i tillegg og må avstemmes med oppgavene.
Eksempel: en ekstern regnskapsfører får for mye innsyn
En leverandør skal føre Holding AS, men en felles administratorinvitasjon gir også tilgang til Drift AS og lønnsdokumenter som ikke inngår i oppdraget. Før tilgangen brukes, avgrenses den til riktig enhet og oppgaver. Hvis løsningen ikke kan støtte nødvendig avgrensning, må oppsett eller arbeidsdeling endres.
Invitasjonen bør kunne prøves med riktig rolle før ordinær bruk. Ikke test med eierens personlige innlogging og konkluder med at alle fremtidige brukere har passende tilgang.
Skill godkjenning fra utførelse
Et lite selskap har ikke alltid mange personer å fordele oppgavene på. Da må dere likevel ha et tydelig spor for grunnlag, beslutning og betaling, og avtale ekstra kontroll der samme person gjør flere trinn. Beløpsgrenser og stedfortredere følger faktisk vedtatt og avtalt ordning, ikke en grense kopiert fra et annet konsern.
Ved endret mottakerkonto, uvanlig eieroverføring eller uklar avtalepart skal saken kunne stoppes for kontroll. Betalingsrutinen bruker denne arbeidsdelingen i praksis.
Følg tilgangens levetid
Registrer hvem som bestilte tilgangen, hvem som godkjente den og når behovet skal vurderes på nytt. Ved ny leverandør, salg av datterselskap, endret styre eller fratreden kontrolleres både systemer, bank og relevante offentlige tjenester.
Avslutt gamle tilganger først når nødvendig overlevering er sikret, men ikke la dem leve videre uten ansvar og sluttdato. Leverandørexit har en egen overleveringsprøve. Ingen bør være avhengig av at en tidligere ansatt fortsetter å dele en privat konto.