Przeglądy dostępów użytkowników – jak prowadzić je tak, żeby miały realną wartość?

W wielu organizacjach przeglądy dostępów realizowane są wyłącznie dlatego, że wymagają tego procedury wewnętrzne, grupowe standardy kontroli lub audytorzy. W efekcie proces ten często sprowadza się do zatwierdzenia wygenerowanej z systemu listy użytkowników, czyli czynności wykonywanej rutynowo i bez głębszej analizy rzeczywistych ryzyk związanych z nadanymi uprawnieniami. A to niestety niesie ze sobą liczne zagrożenia. Jakie dokładnie i dlaczego nie można ich ignorować?

Przede wszystkim należy podkreślić, że dobrze przeprowadzony przegląd dostępów może stanowić jeden z kluczowych elementów środowiska kontroli wewnętrznej. Pozwala bowiem zweryfikować, czy użytkownicy systemu posiadają wyłącznie uprawnienia niezbędne do wykonywania swoich obowiązków, a także zidentyfikować obszary mogące negatywnie wpływać na:

• bezpieczeństwo informacji, 
• integralność danych, 
• wiarygodność sprawozdawczości finansowej.

Przegląd dostępów nabiera przy tym szczególnego znaczenia w przypadku systemów wspierających kluczowe procesy biznesowe, takich jak chociażby systemy ERP. Nadmierne uprawnienia, niekontrolowane dostępy uprzywilejowane lub nierozwiązane konflikty obowiązków mogą w ich przypadku prowadzić nie tylko do błędów operacyjnych, ale również osłabiać mechanizmy kontrolne, na których opiera się proces raportowania finansowego. Warto więc spojrzeć na przegląd dostępów nie jak na cykliczną formalność, lecz jak na narzędzie wspierające skuteczne zarządzanie ryzykiem w organizacji.

Od kontroli dostępu do których systemów warto rozpocząć analizę ryzyk związanych z uprawnieniami pracowników?

Nie wszystkie systemy wykorzystywane przez organizację generują takie samo ryzyko. Decydując się na audyt wewnętrzny mający na celu ograniczenie zaniedbań w pierwszej kolejności warto skupić się na aplikacjach wspierających kluczowe procesy biznesowe oraz systemach, których działanie może pośrednio lub bezpośrednio wpływać na sprawozdawczość finansową.

W zależności od specyfiki organizacji systemami najbardziej narażonymi na ryzyko związane z niewłaściwym zarządzaniem dostępami mogą być: 

• systemy ERP i aplikacje finansowo-księgowe, 
• systemy magazynowe, 
• systemy produkcyjne, 
• systemy sprzedażowe, 
• aplikacje i rozwiązania służące do zarządzania tożsamością i dostępami użytkowników.

Jak ocenić czy pracownik rzeczywiście potrzebuje wszystkich nadanych mu uprawnień?

Wiele organizacji podczas przeprowadzanych w trakcie procesów kontrolnych cyklicznych przeglądów dostępów do ról koncentruje się na potwierdzeniu listy aktywnych użytkowników i pomija analizę zakresu posiadanych przez nich uprawnień. Tymczasem to właśnie nadmierne dostępy stanowią w systemach biznesowych jedno z najczęściej występujących ryzyk wpływających na bezpieczeństwo danych i poufność informacji.

Zmiana stanowiska, udział w nietypowym projekcie lub czasowe zastępstwo mogą powodować nadawanie dodatkowych uprawnień, które nie zawsze są później usuwane przez administratora dostępu użytkowników.

Dlatego właśnie każdy przegląd powinien odpowiadać na dwa kluczowe pytania: 

• Kto ma dostęp? 
• Czy poziom tego dostępu jest nadal uzasadniony biznesowo?

Analiza uprawnień uprzywilejowanych

Warto pamiętać, że audytorzy wewnętrzni powinni podczas regularnych przeglądów dostępów szczególną uwagę poświęcić użytkownikom posiadającym tzw. uprawnienia uprzywilejowane, obejmujące np. uprawnienia administratora.

Osoby z uprawnieniami uprzywilejowanymi często mają możliwość zarządzania kontami użytkowników, modyfikowania i konfigurowania systemu lub wykonywania czynności niedostępnych dla standardowych użytkowników. Z tego względu organizacja dbająca o skuteczne zarządzanie dostępem powinna okresowo weryfikować zasadność takich ról oraz upewniać się, że zostały one przyznane wyłącznie osobom, które rzeczywiście potrzebują ich do wykonywania swoich obowiązków.

Taka pogłębiona analiza powinna dotyczyć wszystkich kont użytkowników, które często wykorzystywane są do integracji systemów, realizacji automatycznych procesów lub działania aplikacji. Oznacza to, że organizacje w trakcie przeglądu dostępu uprzywilejowanego powinny położyć szczególny nacisk na kontrolę:

• kont administratorów, 
• kont technicznych, 
• kont serwisowych. 

Ze względu na szeroki zakres uprawnień – oraz ograniczoną identyfikowalność użytkownika odpowiedzialnego za ich wykorzystanie – konta takie powinny posiadać przypisanego właściciela biznesowego lub technicznego oraz podlegać regularnej weryfikacji.

Ryzyko związane z pominięciem konfliktów obowiązków (SoD)

Należy podkreślić, że przegląd dostępów do systemów nie powinien ograniczać się wyłącznie do oceny pojedynczych uprawnień użytkownika. Kontrolę kont należy bowiem przeprowadzać przyjmując szeroką i holistyczną perspektywę, a to oznacza, że istotne jest zrozumienie nie tylko tego, jakie procesy dana osoba może realizować w systemie, ale też określenie, czy przypisane jej dostępy nie pozwalają przypadkiem na wykonywanie wzajemnie kontrolujących się czynności.

Przykładem wzajemnie kontrolujących się czynności może być:

• możliwość jednoczesnego tworzenia dostawców, wprowadzania przelewów i zatwierdzania płatności, 
• możliwość wprowadzania i księgowania dokumentów, 
• możliwość nadawania uprawnień innym użytkownikom. 

Takie konflikty obowiązków (Segregation of Duties – SoD) należą do najczęściej identyfikowanych podczas audytów nieprawidłowości i mogą znacząco osłabiać funkcjonujące w organizacji mechanizmy kontrolne.

Dlatego właśnie analiza SoD powinna stanowić jeden z podstawowych elementów każdego wartościowego przeglądu dostępów do uprawnień przydzielanych w ramach organizacji.

Konta byłych pracowników i nieaktywne dostępy – ryzyko, którego nie warto ignorować

Jednym z podstawowych celów regularnych przeglądów dostępów do danych i aplikacji jest potwierdzenie, że dostęp do systemów posiadają wyłącznie osoby, które rzeczywiście go potrzebują. Mimo to podczas audytów i świadczenia usług atestacyjnych mających potwierdzić jakość procesów zachodzących wewnątrz organizacji biegli rewidenci regularnie identyfikują aktywne konta należące do byłych pracowników lub użytkowników, którzy od dłuższego czasu nie korzystają z systemu.

Obecność takich niewygaszonych ról zwiększa ryzyko nieautoryzowanego wykorzystania kont oraz utrudnia skuteczne zarządzanie środowiskiem kontroli. Dlatego każdy przegląd dostępu do zasobów przedsiębiorstwa powinien obejmować analizę nieużywanych kont oraz surową weryfikację ich dalszej zasadności. Warto też pamiętać, że problem ten nie dotyczy wyłącznie kont osobistych. Podobne ryzyko może wiązać się z zarządzaniem uprzywilejowanym dostępem i występować w przypadku nieużywanych kont technicznych, serwisowych lub tymczasowych, które pozostały w systemie po zakończeniu projektów lub zmianach organizacyjnych.

Regularna identyfikacja takich kont pozwala ograniczyć ryzyko i zwiększa przejrzystość środowiska kontroli.

Jak dokumentować wyniki przeglądu uprawnień?

Co istotne, przegląd dostępu do uprawnień nie kończy się w momencie zidentyfikowania nieprawidłowości. Równie ważne jest odpowiednie udokumentowanie wyników przeprowadzonej analizy. Dokumentacja taka powinna wskazywać:

• kto przeprowadził przegląd, 
• jaki był zakres przeglądu, 
• jakie ryzyka zostały zidentyfikowane w trakcie przeglądu, 
• jakie decyzje podjęto w odniesieniu do poszczególnych użytkowników lub uprawnień.

Kluczowe znaczenie ma również określenie osoby odpowiedzialnej za akceptację wyników przeglądu dostępu. W praktyce taką rolę najczęściej pełni właściciel procesu biznesowego, właściciel systemu lub kierownik jednostki organizacyjnej najlepiej rozumiejący sposób wykorzystania danego systemu i związane z nim ryzyka. To właśnie ta osoba powinna dokonać niezależnej weryfikacji wyników przeglądu co pozwala ograniczyć ryzyko przeoczenia nieprawidłowości.

Warto również wdrożyć procesy ułatwiające w przyszłości skuteczne zarządzanie kontrolą dostępu i udokumentować działania naprawcze, uwzględniając osoby odpowiedzialne za ich realizację oraz planowane terminy wdrożenia zmian. Dzięki temu organizacja może monitorować postęp prac i potwierdzić, że wykryte nieprawidłowości zostały skutecznie usunięte. Odpowiednio przygotowana dokumentacja stanowi także ważny dowód funkcjonowania kontroli dla audytorów, kierownictwa oraz osób odpowiedzialnych za nadzór nad systemem kontroli wewnętrznej.

Dokumentacja i monitorowanie wyjątków

Celem przeglądu dostępów do aplikacji oraz systemów wykorzystywanych w organizacji nie jest wyłącznie identyfikacja nieprawidłowości, ale również podjęcie świadomej decyzji dotyczącej sposobu postępowania z wykrytym ryzykiem.

W niektórych przypadkach usunięcie konfliktu obowiązków, ograniczenie uprawnień uprzywilejowanych lub odebranie określonego dostępu może nie być możliwe bez negatywnego wpływu na działalność operacyjną organizacji. Dotyczy to szczególnie mniejszych podmiotów, organizacji znajdujących się w trakcie transformacji, restrukturyzacji lub przekształcenia, a także obszarów, w których ograniczone zasoby kadrowe uniemożliwiają pełne wdrożenie modelowego środowiska kontroli.

W takich sytuacjach zidentyfikowany podczas przeglądu dostępu do ról wyjątek powinien zostać formalnie zaakceptowany przez właściciela procesu, właściciela systemu lub osobę odpowiedzialną za zarządzanie danym ryzykiem. Sporządzona przez audytorów dokumentacja powinna przy tym jasno określać przyczynę odstępstwa, poziom związanego z nim ryzyka, przewidywany czas jego obowiązywania oraz dodatkowe mechanizmy kontrolne wdrożone w celu ograniczenia ryzyka do akceptowalnego poziomu.

Przykładem rozwiązań pozwalających obniżyć zagrożenia związane z istnieniem wyjątków utrudniających kontrolę dostępów mogą być: 

• okresowa kontrola raportów, 
• dodatkowa akceptacja wykonywanych operacji, 
• niezależny przegląd działań wykonywanych przez użytkownika posiadającego podwyższone uprawnienia.

Kluczowe znaczenie ma również regularna weryfikacja zaakceptowanych wyjątków. Ryzyka, które były uzasadnione biznesowo kilka miesięcy wcześniej, nie zawsze pozostają aktualne po zmianie struktury organizacyjnej, wdrożeniu nowego systemu lub zwiększeniu liczby pracowników. Z tego względu każda organizacja powinna określić częstotliwość przeglądu wyjątków oraz wskazać osoby odpowiedzialne za monitorowanie ich aktualnej zasadności.

Dzięki takiemu podejściu wyjątki przestają być nieformalnymi odstępstwami od zasad, a stają się elementem świadomego procesu zarządzania ryzykiem. Pozwala to zachować równowagę pomiędzy wymaganiami kontrolnymi a potrzebami biznesowymi organizacji, jednocześnie zwiększając przejrzystość i skuteczność całego procesu przeglądu dostępów.

O czym warto pamiętać przeprowadzając przegląd dostępów do systemów wpływających na sprawozdawczość finansową?

Podsumowując działania pozwalające na skuteczne zarządzanie dostępem trzeba przede wszystkim wyraźnie zaznaczyć, że skuteczny przegląd dostępów do aplikacji i systemów nie powinien sprowadzać się do okresowego zatwierdzania list użytkowników wygenerowanych z systemu. Jego celem jest przede wszystkim potwierdzenie, że dostęp do kluczowych aplikacji posiadają wyłącznie osoby, które rzeczywiście potrzebują go do wykonywania swoich obowiązków, a zakres nadanych uprawnień pozostaje adekwatny do pełnionej przez nie roli.

Warto przy tym pamiętać, że największą wartość przynoszą przeglądy oparte na analizie ryzyka, czyli koncentrujące się na: 

• analizie systemów wspierających kluczowe procesy biznesowe, 
• weryfikacji uprawnień uprzywilejowanych, 
• identyfikacji konfliktów obowiązków, 
• regularnym monitorowaniu nieaktywnych kont użytkowników. 

Równie istotne jest oczywiście odpowiednie dokumentowanie wyników przeglądu oraz świadome zarządzanie wyjątkami, których nie da się wyeliminować z przyczyn biznesowych lub organizacyjnych.

Dobrze przeprowadzony przegląd dostępów pozwala nie tylko ograniczyć ryzyko nieautoryzowanego dostępu do danych i funkcjonalności systemów, ale również wzmacnia środowisko kontroli wewnętrznej oraz zwiększa wiarygodność informacji wykorzystywanych w procesie sprawozdawczości finansowej. Dzięki temu staje się on realnym mechanizmem kontrolnym wspierającym organizację w zarządzaniu ryzykiem, a nie wyłącznie formalnością realizowaną na potrzeby audytu lub wymagań regulacyjnych.