Functiescheiding is het organisatieprincipe waarbij taken in een proces zo worden verdeeld dat geen één persoon tegelijkertijd kan beschikken, autoriseren en registreren. Geen één medewerker kan daardoor een volledige financiële transactie van begin tot eind zelfstandig uitvoeren zonder dat een ander die handeling ziet of controleert. Dit artikel legt uit wat functiescheiding inhoudt, waarom het een fundament is van interne controle en hoe het werkt in de praktijk van finance en operations.
Wat is functiescheiding?
Functiescheiding (ook wel segregation of duties of SoD) is het verdelen van kritische taken over verschillende personen zodat fraude, fouten en misbruik worden voorkomen of tijdig worden ontdekt.
De kern van het principe is dat drie typen handelingen nooit bij dezelfde persoon mogen liggen:
- Beschikken: het uitvoeren van een handeling, zoals het plaatsen van een bestelling of het aanmaken van een leverancier.
- Autoriseren: het goedkeuren van die handeling door een bevoegd persoon.
- Registreren: het vastleggen van de handeling in de administratie.
Als één persoon alle drie kan uitvoeren, kan diegene een frauduleuze transactie aanmaken, goedkeuren en registreren zonder dat iemand het merkt. Functiescheiding doorbreekt die mogelijkheid.
Waarom is functiescheiding belangrijk?
Functiescheiding is een van de meest effectieve maatregelen tegen interne fraude. Onderzoek toont keer op keer aan dat fraude in organisaties vaker wordt gepleegd door medewerkers met te veel bevoegdheden dan door externe partijen.
Naast fraudepreventie dient functiescheiding een tweede doel: foutdetectie. Als twee verschillende mensen betrokken zijn bij een transactie, is de kans groter dat een fout wordt opgemerkt voordat die gevolgen heeft.
Drie redenen waarom functiescheiding de moeite waard is:
Fraudepreventie. Iemand die weet dat een collega zijn handeling controleert, heeft minder gelegenheid en minder motief om te frauderen.
Foutreductie. Vier ogen zien meer dan twee. Een tweede persoon die een transactie beoordeelt, vangt fouten die de eerste niet heeft opgemerkt.
Compliance. Wet- en regelgeving, auditeisen en certificeringen (zoals ISO of SOC) vereisen aantoonbare interne controle. Functiescheiding is daarin een basisvereiste.
Hoe werkt functiescheiding in de praktijk?
Functiescheiding werkt door rollen en bevoegdheden zo in te richten dat conflicterende taken bij verschillende personen liggen.
In een inkoopproces ziet dat er zo uit:
- De inkoper plaatst een bestelling (beschikken).
- De manager keurt de bestelling goed (autoriseren).
- De financieel medewerker boekt de factuur (registreren).
- De betalingsopdracht wordt aangemaakt door een andere medewerker dan degene die de factuur heeft goedgekeurd.
In systemen wordt functiescheiding geborgd via de autorisatiestructuur: gebruikers krijgen alleen toegang tot de functies die bij hun rol horen. Iemand die facturen invoert, kan geen betalingsopdrachten aanmaken. Iemand die leveranciers aanmaakt in de masterdata, kan geen facturen van diezelfde leveranciers goedkeuren.
Hoe richt je functiescheiding stap voor stap in?
- Breng kritische processen in kaart
Identificeer de processen waarbij fraude of fouten de grootste impact hebben: crediteuren, debiteuren, voorraadbeheer, salarisverwerking.
- Benoem de kritische handelingen
Bepaal per proces welke handelingen kritisch zijn en welke categorie ze hebben: beschikken, autoriseren of registreren.
- Wijs rollen toe
Verdeel de handelingen over rollen zodat conflicterende taken niet bij dezelfde rol liggen.
- Leg bevoegdheden vast in systemen
Configureer de autorisatiestructuur in het ERP zodat gebruikers alleen toegang hebben tot de handelingen die bij hun rol horen.
- Test op conflicten
Controleer of er rollen zijn waarbij conflicterende bevoegdheden toch samenkomen. Dat zijn SoD-conflicten die moeten worden opgelost.
- Monitor doorlopend
Controleer regelmatig of de bevoegdheden nog kloppen met de huidige rolverdeling, zeker na reorganisaties of personeelswisselingen.
- Documenteer en rapporteer
Leg de functiescheiding vast en rapporteer over eventuele afwijkingen aan het management.
Hoe gaan organisaties om met functiescheiding?
In grotere organisaties is functiescheiding doorgaans formeel ingericht via rollenmodellen in het ERP-systeem. Elke gebruiker heeft een profiel met bijbehorende bevoegdheden. Periodieke reviews controleren of die bevoegdheden nog kloppen.
Kleine organisaties hebben minder mensen en daarmee minder mogelijkheden voor strikte functiescheiding. Als een organisatie maar drie medewerkers in de financiële administratie heeft, is het soms niet mogelijk om alle taken strikt te scheiden. In die gevallen worden compenserende maatregelen ingezet: directiegoedkeuring voor betalingen boven een bepaald bedrag, externe controle via de accountant, of versterkte monitoring van transacties.
Automatisering van documentverwerking ondersteunt functiescheiding. Een systeem dat automatisch herkent, extraheert en een boekingsvoorstel genereert, scheidt die stap van de goedkeuringsstap die door een ander persoon wordt uitgevoerd. De technologie borgt de scheiding, ook als de organisatiestructuur dat niet altijd volledig kan.
Veelgestelde vragen
Een SoD-conflict (Segregation of Duties conflict) ontstaat als één gebruiker bevoegdheden heeft die in combinatie tot fraude of fouten kunnen leiden. Bijvoorbeeld: iemand die zowel leveranciers kan aanmaken als facturen van die leveranciers kan goedkeuren. SoD-conflicten worden geïdentificeerd via een SoD-analyse en opgelost door bevoegdheden te splitsen of compenserende maatregelen in te stellen.
Er is geen specifieke wet die functiescheiding verplicht stelt voor alle organisaties. Wel vereisen boekhoudkundige standaarden, auditeisen en sectorspecifieke regelgeving aantoonbare interne controle, waarvan functiescheiding een kernonderdeel is. Beursgenoteerde bedrijven en organisaties die werken met bepaalde certificeringen of klantcontracten hebben doorgaans een explicietere verplichting.
Door compenserende maatregelen: directiecontrole op betalingen, periodieke steekproeven, externe accountantscontrole. Volledige functiescheiding is niet altijd mogelijk bij kleine teams, maar het risico kan worden beperkt door kritische handelingen extra te monitoren.
De meest voorkomende zijn: leveranciers aanmaken én facturen goedkeuren, bestellingen plaatsen én ontvangsten boeken, betalingsopdrachten aanmaken én uitvoeren, en salarisgegevens wijzigen én salarisbetalingen verwerken.
Door periodieke reviews van de toegewezen bevoegdheden, transactiemonitoring op ongebruikelijke patronen, en steekproefsgewijze controle van goedkeuringshandelingen. Een externe auditor kan ook een onafhankelijk oordeel geven.
De informatie in dit artikel is bedoeld als algemene toelichting op functiescheiding in finance- en operationsprocessen. Het is geen juridisch of fiscaal advies. Voor specifieke situaties raden we aan om contact op te nemen met een deskundige.
