ERP yetkilendirme, kimin sistemde neyi görebileceğini ve neyi değiştirebileceğini belirler. Projelerde genellikle en sona bırakılır ve "canlıya geçişte herkes çalışabilsin" diye geniş yetkilerle çözülür. Sonuç, denetimde ortaya çıkan riskler ve fark edilmeden oluşan hatalardır.
Görevler ayrılığı (SoD) nedir?
Görevler ayrılığı, bir işlemin başından sonuna tek bir kişinin kontrolünde olmamasını sağlar. Klasik örnekler:
- Tedarikçi ana verisini değiştiren kişi, aynı tedarikçiye ödeme yapamamalı
- Satış siparişinde fiyatı değiştiren kişi, müşterinin kredi limitini artıramamalı
- Satınalma siparişi açan kişi, aynı siparişin mal girişini ve faturasını onaylayamamalı
Bu çatışmalar hem hata hem de suistimal riskini doğrudan artırır.
Rol bazlı yetki tasarımı
- İş rollerini tanımlayın: "Satış temsilcisi", "kredi yöneticisi", "muhasebe uzmanı" gibi gerçek görevlerden yola çıkın; kişilerden değil.
- Her rolü işlemlere ve verilere bağlayın: Hangi işlemler, hangi şirket kodu veya satış organizasyonu için, yalnızca görüntüleme mi değişiklik mi?
- SoD matrisini oluşturun: Birlikte verilmemesi gereken rol ve işlem kombinasyonlarını yazılı hâle getirin.
- Kişilere rol atayın: Atamalar onay akışıyla yapılır ve kayıt altına alınır.
Kritik yetkiler
Bazı yetkiler tek başına risklidir: tüm kullanıcıların parolasını sıfırlama, üretim sisteminde doğrudan tablo değiştirme, yapılandırma değişikliği, muhasebe dönemini açma. Bu yetkiler çok az kişide olmalı, kullanımı kayda alınmalı ve düzenli incelenmelidir. Acil durumlarda kullanılacak geçici "acil erişim" kullanıcıları ayrıca tanımlanıp her kullanımı raporlanmalıdır.
Küçük ekiplerde ne yapılır?
KOBİ'lerde her görevi farklı kişiye vermek her zaman mümkün değildir. Bu durumda telafi edici kontroller devreye girer: kritik ana veri değişikliklerinin haftalık raporu, belirli tutarı aşan işlemler için ikinci onay, yönetici tarafından imzalanan gözden geçirme listeleri. Önemli olan riskin bilinmesi ve kontrol altında tutulmasıdır.
Düzenli gözden geçirme
- Görev değiştiren veya ayrılan çalışanların yetkileri aynı gün güncellenir
- Yetkiler yılda en az bir kez süreç sahipleriyle birlikte gözden geçirilir
- Hiç kullanılmayan yetkiler kaldırılır
- SoD çatışma raporu düzenli çalıştırılır ve istisnalar yönetim onayıyla belgelenir
Yetkilendirme ve test
Yetki tasarımı, kullanıcı kabul testinde gerçek rollerle denenmelidir. Geliştirici yetkisiyle yapılan testler, canlıda ilk gün "yetkiniz yok" hatalarına dönüşür. S/4HANA'da Business Partner gibi birleşen işlemler, eski yetki tasarımının yeniden gözden geçirilmesini gerektirir.
Yetkilendirme bir güvenlik ayarı değil, bir iç kontrol tasarımıdır. ERP güvenlik ve risk analizi çalışmalarında en hızlı sonuç veren adım, mevcut SoD çatışmalarını görünür kılmaktır.
