Sisäinen valvonta - SecMeter

Suunnittelu ja ohjausjärjestelmä

Toiminnot noudattavat johtoryhmän hyväksymässä toimintaohjeessa määriteltyä suunnittelu- ja ohjausjärjestelmää.

Organisaatio, tehtävät ja käyttövaltuudet

Organisaatiokaaviot tulee ylläpitää ja julkaista. Organisaatiokaaviosta tulee ilmetä esimies-alaissuhteet.

Toimenkuvat

Toimenkuvat laatii esimies johtoryhmässä annettujen ohjeiden mukaisesti. Toimenkuvat tarkistetaan aina henkilön työtehtävien vaihtuessa ja vuosittain toimintasuunnitelman laatimisen (kehityskeskustelu) yhteydessä sekä säilytetään keskitetysti hallintoryhmässä.

Organisaatiomuutosten yhteydessä siirtyvän henkilön, luovuttavan esimiehen ja vastaanottavan esimiehen sekä luottamusmiehen kesken käydään YT-prosessin mukaiset neuvottelut, joista laaditaan pöytäkirja.

Omaisuuserien inventointi

Omaisuuserien kirjanpito ja inventointi tulee määritellä inventointiohjeessa. Omaisuuden hankinta tulee määritellä hankintaohjeessa. Toimintojen johtajat vastaavat ohjeiden noudattamisesta.

Omaisuuserien käyttöoikeudet

Omaisuuden käyttöoikeuksien varmistamiseksi tulee jokaisella toiminnolla olla käytössään luettelo, josta käy ilmi kullekin henkilölle käyttöön luovutettu omaisuus. Luettelosta tulee ilmetä jokaisen henkilön osalta seuraavat tiedot:

• resurssien kokonaistaloudellinen ja tarkoituksenmukainen käyttö
• etätyötä varten luovutetut laitteet
• luovutetut ohjelmistot
• luottokortit
• toimistokoneet
• avaimet
• työsuhdeauto ja -puhelimet
• muu henkilökohtaisessa käytössä oleva yrityksen omaisuus.

Luettelo on tarkistettava vuosittain ajantasaisuuden varmistamiseksi. Henkilön erotessa palveluksesta tai siirtyessä toisiin tehtäviin, on luetteloa käyttäen varmistuttava siitä, että omaisuus, jota ei uudessa tehtävässä tarvita tulee palautetuksi.

Tietojärjestelmien käyttövaltuudet

Tietojärjestelmien käyttövaltuudet tulee pohjautua hyvän tiedonkäsittelytavan periaatteisiin ja muihin yleisesti hyväksyttyihin tietoturvakäytänteisiin. Käyttövaltuudet tulee olla raportoitavissa riittävällä tarkkuudella ja niiden ajantasaisuus tarkistettava esimiesten toimesta vuosittain.

Työnkulkukaaviot ja vastuualueluettelot

Työnkulkukaaviot on laadittava, jos tehtävät ovat laajoja tai sisältävät vaihtoehtoisia työmenetelmiä. Kaavioiden tavoitteina on selkiyttää työtehtävien liittymistä toisiinsa ja varmistaa, ettei työnkulkuun tai työnseurantaan jää aukkoja.

Esimiesten tehtävänä on arvioida, milloin työnkulkukaavion laatiminen on tarpeellista ja tarkistaa niiden ajantasaisuus vuosittain.

Vastuualueluettelot tulee laatia ja ylläpitää toiminnoittain (hallinto, tuotanto, myynti- ja markkinointi, tuotekehitys). Luetteloita säilytetään sisäisen valvonnan yleisohjeen liitteinä.

Varahenkilöjärjestelyt

Toimintojen esimiehet tarkistavat kerran vuodessa, että vastuuhenkilöille on nimetty varahenkilöt. Varahenkilön ei tarvitse osata varallaoloalueensa työtehtäviä syvällisesti, vaan tarkoituksena on, että varahenkilöllä on tarvittaessa valmius ottaa tehtävistä vastuu.

Päivittäinen työaika

Esimiehet seuraavat päivittäistä työajan noudattamista.

Ylityöt

Työtehtävien etukäteissuunnittelun avulla on luotava järjestelmä, joka minimoi ylitöiden määrän. Esimies seuraa ylitöiden määrää kuukausittain. Henkilöstöpäällikkö seuraa ylitöiden määrää esimerkiksi kolmannes vuosittain.

Poissaolot

Poissaolojen ilmoitus- ja raportointimenettelystä on sovittava erikseen. Lähiesimiesten tulee kiinnittää huomiota toistuviin poissaoloihin ja selvittää niiden syyt. Henkilöstöhallinto hoitaa keskitetysti poissaolojen seurannan.

Lomat

Vuosilomien osalta noudatetaan voimassa olevaa työsopimusta. Esimiesten tulee huolehtia vuosittaisesta henkilöstön lomasuunnittelusta. Vuosilomasuunnitelmat toimitetaan keskitetysti hallintoon.

Sivutoimet

Sivutoimien hyväksymisessä ja ilmoittamisessa toimitaan johtoryhmän antamien ohjeiden mukaisesti. Sivutoimilupia myönnettäessä kiinnitetään huomiota sivutoimen ja henkilön päätoimen yhteensopivuuteen sekä sivutoimen vaatimaan ajankäyttöön.

Henkilöstöhallinto ylläpitää sivutoimirekisteriä, ja varmistaa, että muutoksista ilmoitetaan ja että sivutoimirekisterissä olevien tietojen oikeellisuus vahvistetaan vuosittain. Sivutoimiluvat saatetaan keskitetysti johtoryhmän käsittelyyn.

Matkat

Työmatkojen osalta noudatetaan johtoryhmän hyväksymää ohjesääntöä.

Työntekijän irtisanoutuminen

Työntekijän irtisanoutuessa työsuhteesta on valvottava, että tilanteessa noudatetaan erillistä henkilöasioista annettua ohjetta. Esimies valvoo ohjeiden noudattamista.

Liiketoiminta

Toiminnot vastaavat omien liiketoimintaprosessien kuvaamisesta. Prosessit ja niihin liittyvät ohjeet käsitellään työryhmien omissa kokouksissa. Kirjallisia ohjeita laaditaan tarpeen mukaan.

Liikesalaisuudet

Vakinaisten ja määräaikaisten henkilöiden sekä palveluntarjoajien henkilökunnan tietoon on saatettava liikesalaisuutta koskevat ohjeet ja periaatteet. Periaatteita rikottaessa noudatetaan johdon hyväksymiä toimenpiteitä ja salassapitosopimusten sanktioita.

Yleinen turvallisuus

Toiminnot noudattavat johdon hyväksymiä kirjallisia turvallisuusohjeita. Esimiehet valvovat, että ohjeita noudatetaan.

Asiakasvalitusten ja palveluvirheiden käsittely

Toimintojen johtajien tulee varmistua, että asiakkaiden esittämät valitukset ja merkittävät palveluvirheet sekä -häiriöt tulevat asianmukaisesti selvitettyä ja merkittävät tapaukset saatetaan johtoryhmän tietoon.

Toiminnan laadunvarmistus

Kaiken laadun lähtökohtana on henkilökohtainen laatu. On tärkeätä, että palvelut toteutuvat suunnitellusti ja laadullisesti korkealuokkaisina. Toimintojen johtajien tulee varmistua toiminnan laatutasosta.

Toiminnan erityisriskit

Toimintojen johtajien tulee seurata toimintaolosuhteissa ja tehtävien organisoinnissa tapahtuvien muutosten vaikutuksia riskitasoon.

Erityisvaltuudet

Toimintojen johtajien tulee valvoa, että erityisvaltuudet ovat asianmukaisesti määritelty ja niiden käyttöä seurataan.

Valtuuksien myöntäminen ja valtuusrikkomusten seuranta

Esimiesten tulee valvoa, että käyttövaltuuksien myöntäminen ja valtuuksien käyttö tapahtuvat asianmukaisesti.

Sovellusmuutosten valvonta

Yrityksessä tulee olla muutostenhallintaryhmä (MUHA), jonka tehtävänä on varmistua, että tietojärjestelmien ohjelmistomuutoksissa ja päivityksissä noudatetaan riittävää huolellisuus- ja varovaisuusperiaatetta.

Kilpailutus

Hankintojen kilpailuttamista varten yrityksellä tulee olla ajantasainen hankintaohjeistus ja hankintojen kilpailuttamisesta vastaava henkilö nimetty.

Tietojärjestelmien kehittämisessä ja ylläpitämisessä sekä laitteistojen hankinnassa noudatetaan kilpailuttamisesta annettuja ohjeita sekä tietohallintolinjauksissa mainittuja periaatteita.

Laskujen hyväksymis- ja maksatusjärjestelmä

Laskut tulee hyväksyä voimassa olevien valtuuksien mukaisesti. Tositevalvontaa suorittavat toimintojen esimiehet tai heidän määräämänsä henkilöt.

Laitteisto- ja järjestelmävastuut

Toimintojen johtajat yhdessä tietohallintopäällikön kanssa seuraavat käytössä olevien tietojärjestelmien asianmukaisuutta.

Varalaitteistot ja -järjestelmät

Liiketoiminnan jatkuvuuden turvaamiseksi tietojärjestelmät tulee suunnitella mahdollisimman vika- ja häiriösietoisiksi. Tietojärjestelmistä vastaavat henkilöt varmistavat käytössä olevan asianmukaisen varalaitteiston ja -järjestelmän sekä tarpeellisten tietovarastojen kopiokappaleiden olemassaolon ja käytettävyyden.

Dokumentointi ja ohjeistus

Tietojärjestelmät ja sovellukset tulee dokumentoida asianmukaisesti. Dokumentoinnissa ja ohjeistuksessa noudatetaan kulloinkin voimassa olevaa ohjeistusta.

Kyberturvallisuus

Toiminnot noudattavat ja tarvittaessa soveltavat tietoturvapolitiikassa määriteltyjä toimintaperiaatteita. Jokaisen henkilökuntaan kuuluvan on tunnettava kulloinkin voimassa olevat ohjeet. Noudattamisen seuranta kuuluu esimiehen tehtäviin.

Luottamuksellisten asiakirjojen arkistointi ja säilytys

Luottamuksellisten asiakirjojen käsittelyä, säilytystä ja lähettämistä koskevat ohjeet tulee saattaa henkilökunnan tietoon. Esimiehet seuraavat ohjeiden noudattamista. Arkistoaines säilytetään arkistonmuodostussuunnitelman mukaisesti.

Yrityksen maksuliikenteen turvajärjestelyt

Yrityksen maksuliikenteellä tarkoitetaan rahansiirtoja, jotka liittyvät sen päivittäiseen toimintaan, kuten mm. ostolaskujen ja palkkojen maksaminen, asiakassuoritusten vastaanotto ja muut taloudelliset transaktiot.

Koska maksuliikenteessä liikkuu merkittäviä summia rahaa ja luottamuksellista tietoa, on turvallisuus kriittinen osa yrityksen taloushallintoa. Maksuliikenteen turvajärjestelyt suojaavat yritystä taloudellisilta menetyksiltä, petoksilta ja mainehaitoilta.

Maksuliikenteen turvajärjestelyt ovat keskeinen osa yrityksen riskienhallintaa ja taloudellista vakautta. Teknisten ratkaisujen lisäksi turvallisuus rakentuu selkeistä prosesseista, henkilöstön osaamisesta ja ennakoivasta toiminnasta. Kun nämä osa-alueet ovat kunnossa, yritys voi luottaa siihen, että sen maksuliikenne on suojattu mahdollisimman hyvin ulkoisilta ja sisäisiltä uhilta.

Käyttövaltuudet ja valvonta

Yksi keskeisimmistä maksuliikenteen turvatoimista on selkeän käyttövaltuushallinnon järjestäminen. Yrityksen maksujärjestelmiin, kuten verkkopankkiin tai taloushallinnon ohjelmistoihin pääsy on rajattava vain niille henkilöille, joilla on siihen työtehtäviensä puolesta tarve.

Lisäksi kaksoisvaltuutus (neljän silmän periaate) on tehokas tapa estää yksittäisten henkilöiden tekemät virheet tai väärinkäytökset, esimerkiksi luvattomat tilisiirrot, suuret maksut tai tilinumeroiden muutokset.

Tekninen tietoturva

Maksuliikenteen järjestelmien tekninen suojaus on kriittinen osa turvallisuutta. Käytössä tulee olla vahva tunnistautuminen, kuten kaksivaiheinen todennus tai sähköinen tunniste. Lisäksi kaikki maksuliikenteeseen liittyvä tietoliikenne tulee suojata salauksella. Yrityksen sisäiset tietoverkot, laitteistot ja ohjelmistot tulee pitää ajan tasalla, ja niissä tulee olla toimivat palomuurit, virustorjunta ja haittaohjelmien torjuntaohjelmistot.

Petosten torjunta ja tunnistaminen

Maksuliikenteeseen kohdistuvat ulkoiset petokset ovat yleistyneet, ja ne tulevat yritykselle yllätyksenä. Tunnettuja esimerkkejä ovat toimitusjohtajahuijaukset ns. "CEO fraud", joissa huijarit esiintyvät yrityksen johdon nimissä ja pyytävät kiireellisiä maksusuorituksia ja tilinumeroiden huijausmuutokset, joissa oikeaa laskua muokataan väärin tilitiedoin. Näitä voidaan torjua esimerkiksi siten, että kaikki tilinumeromuutokset varmistetaan toista kautta, kuten ennalta sovituilta yhdyshenkilöiltä.

Seuranta ja auditointi

Tehokkaat turvajärjestelyt sisältävät maksuliikenteen reaaliaikaisen seurannan ja lokituksen. Yrityksen tulee kyetä nopeasti jäljittämään kaikki maksutapahtumat ja valvomaan mahdollisia poikkeamia, kuten epätavallisen suuria maksusuorituksia tai maksuaikoja. Auditointiprosessien avulla voidaan varmistaa, että käytännöt ovat ajan tasalla ja niitä noudatetaan.

Henkilöstön koulutus

Ihmisen toiminta on usein heikoin lenkki turvallisuusketjussa. Siksi maksuliikenteen turvallisuus edellyttää, että henkilöstöä koulutetaan säännöllisesti tunnistamaan yleisimmät huijaustekniikat, kuten tietojenkalasteluviestit ja epäilyttävät maksupyynnöt. Myös käytännön toimintatavat, kuten tietyn rajan ylittävien maksujen tarkistaminen useamman henkilön toimesta, tulee jalkauttaa osaksi yrityksen arkea.

Yhteistyö pankkien ja järjestelmätoimittajien kanssa

Yrityksen on tärkeää tehdä tiivistä yhteistyötä pankin ja maksujärjestelmän toimittajan kanssa. Usein ne tarjoavat lisätyökaluja maksujen tarkistamiseen, automatisoituja hälytyksiä poikkeavuuksista ja neuvoja turvallisuuskäytännöistä. Näiden yhteistyökumppaneiden osaamista kannattaa hyödyntää maksuliikenteen turvallisuuden kehittämisessä.

Sisäinen valvonta

Sisäisen tarkastuksen rooli maksuliikenteen tarkastuksessa on elintärkeä. Tavoitteena on varmistaa, että maksuliikenne on läpinäkyvää, turvallista ja tehokasta, ja että liiketoimet noudattavat yrityksen sisäisiä sääntöjä, lakeja sekä sääntelyvaatimuksia. Tehokkaalla valvonnalla, tarkastuksella ja koulutuksella yritys voi suojautua petoksilta, virheiltä ja sääntöjenvastaisilta toimilta, mikä suojaa yrityksen maksuvalmiutta ja mainetta.

Maksatusprosessin tarkastaminen

Sisäinen tarkastus varmistaa, että

• yrityksen maksatusprosessin on oltava hyvin dokumentoitu ja toimittava tehokkaasti.
• maksut ja tilisiirrot käyvät läpi asianmukaisen tarkastuksen ja hyväksynnän.
• ostolaskujen hyväksyntä ja asiatarkistus noudattaa sovittua dokumentoitua prosessia.

Roolipohjaiset käyttöoikeudet

Sisäinen tarkastus varmistaa, että

• maksuliikenteen käsittelyyn ja hyväksyntään osallistuvat henkilöt on määritelty yksiselitteisesti ja ettei yksi henkilö hallitse koko prosessia ilman valvontaa.
• käytössä on kaksoisvaltuutusjärjestelmiä toimesta (ns. neljän silmän periaate), joilla estetään väärinkäytökset tilanteissa, joissa maksetaan ulos suuria summia.
• käytössä on erilliset roolit talous- ja maksuprosessien valvonnassa.

Maksujen ja tilisiirtojen tarkastus

Sisäinen tarkastus varmistaa, että

• kaikki maksut ja tilisiirrot on käsitelty ja dokumentoitu asianmukaisesti.
• maksetut summat vastaavat laskuja ja että tilinumeroita ei voi muuttaa ilman tarkastusta ja hyväksyntää.
• poikkeaviin maksutapahtumiin liittyy tarkastus ja selitys.

Petosten ja väärinkäytösten tunnistaminen

Petosten ja väärinkäytösten ennaltaehkäisy ja havaitseminen on sisäisen tarkastuksen keskeinen tehtävä. Väärinkäytösten paljastamiseen sisäisen tarkastuksen tulee käyttää automaattisia järjestelmiä ja algoritmeja, jotka tunnistavat poikkeavuuksia maksuliikenteessä ja hälyttää potentiaalisista petoksista. Sisäinen tarkastus varmistaa, että

• maksuvälineet, kuten pankkitilit ja korttitiedot ovat oikein ja että niitä ei ole muutettu ilman asianmukaista vahvistusta.
• poikkeavat maksut, jotka on tehty epätavallisiin aikoihin tai tilapäisesti poikkeavissa olosuhteissa, kuten juhlapäivinä tai lomakaudella ovat asianmukaisen kontrollin piirissä.
• pienien summien siirtoihin, joilla voidaan yrittää vältellä kontrollia, on kohdistettu riittäviä valvontatoimenpiteitä.
• palveluostot, kuten konsultointipalveluiden laskut perustuvat todellisiin ostoihin.
• henkilökohtaiset ostot yhtiön rahalla tai luottokorteilla ovat yrityksen ohjesäännön mukaisia.

Maksuliikenteen lokitus ja jäljitettävyys

Sisäinen tarkastus varmistaa, että

• kaikki maksutapahtumat ja maksuliikenne voidaan jäljittää ja ne on dokumentoitu asianmukaisesti.
• maksutapahtumat kirjautuvat lokiin (audit trail), josta käy ilmi maksujen tekijä, summa, päivämäärä ja aika.

Koulutus ja tietoisuuden lisääminen

Sisäinen tarkastus varmistaa, että

• henkilöstön koulutus ja tietoisuutta maksuliikenteen turvallisuuskäytännöistä on riittävällä tasolla.
• prosessit ja käytännöt on dokumentoitu selkeästi ja kommunikoitu yrityksen työntekijöille, jotta he voivat noudattaa niitä päivittäisessä työssään.

Lainsäädännön ja sääntelyn noudattaminen

Sisäinen tarkastus varmistaa, että

• yritys noudattaa kaikkia sovellettavia lakeja ja sääntelyvaatimuksia, jotka liittyvät maksuliikenteeseen.
• maksuliikenteessä noudatetaan paikallisia ja kansainvälisiä sääntöjä rahansiirroista, kuten rahanpesun estämiseen liittyviä sääntöjä.
• yrityksen käyttämien pankkien ja maksupalveluntarjoajien turvakäytännöt ja valvonta ovat asianmukaisella tasolla.

Palkkojen maksu

Sisäinen tarkastus varmistaa, että

• yrityksen palkkalistoilla ei ole haamutyöntekijöitä.
• palkanmaksu perustuu työsopimukseen ja hyväksyttyihin ylityötunteihin
• tuntityöntekijöiden palkat perustuvat hyväksyttyihin työ- ja ylityötunteihin.
• provisiopalkat perustuvat sovittuun provisioprosenttiin ja todellisen myynnin arvoon.

Kulukorvaukset

Sisäinen tarkastus varmistaa, että

• matkakulut, kuten lentoliput ja hotellilaskut perustuvat hyväksyttyyn matkaan ja yrityksen sisäiseen ohjesääntöön.
• matkaraportista selviää matkan ja kustannusten peruste, päivämäärä, aika ja paikka, missä ne ovat syntyneet.
• matkaraportin liitteenä ovat maksutositteet.
• matkakuluja ei ole kohdistettu yritykselle yhdistämällä liike- ja lomamatka.
• neuvottelu- ja edustuskulut ovat asianmukaisen kontrollin piirissä ja perustuvat yrityksen sisäiseen ohjesääntöön. Edustus -ja neuvottelukuluilla on yrityksen kannalla erilainen verokäsittely, joka on huomioitava.
• edustuskulut liittyvät liiketoimintaan, eivät yksityisiin menoihin.
• edustuskuluja ei ole liioiteltu tai keinotekoisesti aiheutettu.
• edustuskulujen kohteina ei ole ystäviä tai perhettä.
• luksustuotteita, kuten alkoholia, lahjoja tai kukkia ei ole ostettu ilman liiketoimintaperustetta.
• säännöllisiä lounaita ei ole kirjattu edustukseksi.
• edustuskuluja ei ole jaettu pienempiin osiin, jotta ne eivät ylitä tarkastusrajaa.

Väärät kuitit ja dokumentit

Sisäinen tarkastus varmistaa, että

• kuitteja ei ole muokattu esimerkiksi käsin kirjoitetuilla lisäyksillä tai käytetty vanhoja kuitteja uudelleen.