La segregation of duties (séparation des tâches) découpe un processus pour qu'aucune personne ne puisse à la fois créer, approuver et payer une transaction.
La segregation of duties, abrégée en SoD et souvent appelée principe des quatre yeux, est l'idée de contrôle interne selon laquelle les étapes d'une transaction doivent revenir à des personnes différentes. En comptabilité fournisseurs, le découpage classique compte cinq étapes: créer le fournisseur et ses coordonnées bancaires, passer la commande, réceptionner, comptabiliser la facture, libérer le paiement. Les contrôles se présentent sous deux formes. Les contrôles préventifs empêchent la combinaison de se produire, généralement via les droits système. Les contrôles détectifs admettent qu'elle a eu lieu et garantissent qu'une personne la revoit après coup.
La raison d'être du découpage est simple: une personne qui cumule plusieurs étapes peut mener une fraude de bout en bout sans que personne d'autre n'intervienne, en créant un fournisseur, en pointant son compte bancaire vers le sien, en comptabilisant une facture, en l'approuvant et en la payant. La même concentration produit aussi des erreurs de bonne foi que personne ne rattrape, facture en double ou compte bancaire erroné, faute d'une seconde lecture avant la sortie d'argent. Les auditeurs externes testent ces combinaisons directement, et une remarque à cet endroit tend à élargir l'audit plutôt qu'à le clore, ce qui a son propre coût.
Business Central fournit les briques, pas le verdict. Les ensembles d'autorisations accordent des droits de lecture, insertion, modification, suppression et exécution par objet, ce qui permet de séparer les droits de comptabilisation des droits sur les données de base. Les workflows d'approbation acheminent les documents vers un approbateur, la configuration des utilisateurs d'approbation portant les approbateurs, les remplaçants et les limites de montant, et des modèles existent pour les documents d'achat, les lots de journaux et les données de base comme les fournisseurs. Les journaux de paiement peuvent être isolés dans des lots distincts, et le journal des modifications enregistre les changements de données de base, dont le compte bancaire d'un fournisseur, une fois activé sur les tables concernées. Ce qui manque, c'est la couche de contrôle au-dessus: pas de matrice d'incompatibilités, pas de rapport indiquant quels utilisateurs cumulent une combinaison interdite, et rien n'empêche un administrateur d'attribuer des ensembles incompatibles à la même personne. SUPER court-circuite l'ensemble, et dans un petit environnement un nombre surprenant d'utilisateurs le détiennent encore. Le paramétrage d'approbation peut aussi désigner le demandeur comme son propre approbateur, ce qui annule discrètement le contrôle.
Un dispositif praticable dans une PME ressemble à ceci. Anna, à la comptabilité fournisseurs, comptabilise une facture de CHF 24 700.00 du fournisseur V10480 et l'envoie en approbation. La limite d'approbation achat du contrôleur est de CHF 50 000.00, la facture s'arrête donc chez lui; au-delà, elle monte au directeur financier. Anna n'a aucun droit sur le lot de journal de paiement, que seul le trésorier peut comptabiliser, et la banque exige deux signatures pour les virements supérieurs à CHF 10 000.00. Les modifications de comptes bancaires fournisseurs sont capturées dans le journal des modifications et revues une fois par mois par une personne extérieure à la comptabilité fournisseurs. Anna peut créer, mais ni approuver, ni payer, ni détourner discrètement un paiement.
En pratique, le dispositif se dégrade plus qu'il n'échoue franchement. Tout le monde reçoit SUPER au démarrage et personne ne le retire. Une limite d'approbation passe en illimité pour des vacances et y reste. Un approbateur remplaçant est configuré comme la personne qui a émis la demande. Un collaborateur parti conserve un compte actif pendant des mois. Les revues portent donc sur qui détient quels ensembles d'autorisations, combien d'approbations ont été données par l'auteur du document, combien de lignes de paiement ont été comptabilisées par quelqu'un disposant de droits sur les données fournisseurs, et si chaque changement de compte bancaire du journal renvoie à une demande écrite. Les mêmes questions valent pour tout outil ou toute intégration qui écrit dans Business Central: il hérite des droits sous lesquels il s'exécute et entre donc dans la revue au même titre qu'un utilisateur.
Une séparation complète n'est pas réaliste à cette taille: on passe par des contrôles compensatoires, deux signatures à la banque, une personne hors comptabilité fournisseurs qui revoit les nouveaux fournisseurs et les changements de coordonnées bancaires, et le dirigeant qui revoit la liste des paiements avant libération.
Non. Il offre des ensembles d'autorisations, des workflows d'approbation et un journal des modifications, mais aucune matrice d'incompatibilités ni rapport de violations: la revue de qui détient quoi se fait manuellement ou avec un outil tiers.
Les outils d'IA de Zentriq automatisent de nombreux processus manuels liés à segregation of duties (séparation des tâches) dans Business Central. Découvrez l'Agent Zentriq ou essayez Zentriq PunchOut pour voir comment l'IA simplifie les achats dans BC.