מי מאשר תשלום לספק, ומי מבצע אותו

מה זו הפרדת סמכויות

הכלל עצמו הוא משפט אחד: מי שמאשר הוצאה אינו מי שמוציא את הכסף. שני אנשים שונים, שתי פעולות שונות, ותיעוד שמראה מי עשה מה.

הרעיון בא מעולם הביקורת החשבונאית, ושם הוא נשמע כמו בירוקרטיה. בעסק קטן הוא נשמע אחרת לגמרי, כי הוא לא מגן על החברה מפני עובדים. הוא מגן על העסק מפני טעות שאיש לא יתפוס, ועל האדם עצמו מפני מצב שבו הוא היחיד שיכול להסביר מה קרה.

למה זה לא רק לארגונים גדולים

בארגון גדול הפרדת סמכויות מונעת מעילה. בעסק קטן היא מונעת בעיקר דברים משעממים יותר וגם נפוצים הרבה יותר: תשלום כפול, תשלום על סחורה שלא הגיעה, מחיר שעלה בלי שאיש שם לב, זיכוי שהובטח ונשכח.

לאף אחד מהמקרים האלה אין רשע. יש בהם אדם עסוק שראה מסמך אחד ולא את השלושה, אישר, והעביר. כשאותו אדם עושה את שתי הפעולות, אין רגע שבו מישהו אחר מסתכל.

שלושה תפקידים, ומה כל אחד לא יכול לעשות

הרשימה למטה היא החלוקה שלפיה InPlace בנויה, והיא דוגמה לחלוקה שעובדת. מה שחשוב בה אינם השמות אלא העמודה השנייה: מה כל תפקיד אינו יכול לעשות.

שימו לב שאף אחד מהשלושה אינו מוגבל מפני שאין לו צורך. הם מוגבלים מפני שהצורך של אחד הוא בדיוק מה שהופך את הבדיקה של השני לחסרת ערך.

מה קורה בעסק בלי הפרדה

לא קורה כלום, במשך הרבה זמן. זה החלק שמטעה. עסק יכול לעבוד שנים עם אדם אחד שעושה הכול, ורוב ההזמנות באמת תקינות.

ההפסד אינו אירוע אחד גדול אלא הצטברות: מחיר שהשתנה, מוצר שלא הגיע, זיכוי שנשכח, חשבונית שלא נבדקה עד הסוף. כל אחד מהם קטן מכדי להצדיק בדיקה, וביחד הם הסכום שאיש לא ראה.

הסימן שזה קורה הוא לא גירעון. הוא השאלה „למה שילמנו לספק הזה כל כך הרבה החודש”, כששואלים אותה בסוף החודש ואין תשובה בלי לפתוח תיקיית מייל.

הנקודה שבה רוב העסקים נשברים

לא בהגדרה. בחריגה ממנה.

כמעט כל מערכת שמגדירה הרשאות מאפשרת גם לעקוף אותן: הרשאת מנהל, מסלול חירום, או פשוט העברה בנקאית שנעשתה מחוץ למערכת כי הספק התקשר ודחוף. ברגע שהמסלול הזה קיים, הוא נפתח בדיוק במקרים שבהם הבדיקה הייתה שווה הכי הרבה.

הפרדת סמכויות שאפשר לבטל בלחיצה בלחץ של סוף יום אינה הפרדת סמכויות. היא הצהרת כוונות.

איך מתחילים כשכולם עושים הכול

לא צריך לגייס אף אחד. ההפרדה המינימלית שכבר שווה משהו היא בין מי שמזמין לבין מי שמעביר את הכסף, וברוב העסקים הקטנים שני התפקידים האלה כבר מבוצעים על ידי שני אנשים שונים בפועל, רק בלי שזה כתוב בשום מקום.

• לקבוע מי מאשר. אדם אחד, בכתב, גם אם זה הבעלים
• לקבוע שהעברה לא יוצאת בלי האישור הזה, ושהאישור נשמר עם המסמך ולא בשיחה
• להוסיף את הבדיקה: השוואה בין ההזמנה, הסחורה שהתקבלה והחשבונית לפני שהאישור ניתן

הצעד השלישי הוא זה שהופך את השניים הראשונים ממשמעת לתהליך. אישור בלי בדיקה הוא חתימה על מסמך שאיש לא קרא.

ומה עם עסק של אדם אחד

שם אי אפשר להפריד בין אנשים, אבל אפשר להפריד בין רגעים. הבדיקה נעשית כשהחשבונית נכנסת, והאישור ניתן במועד קבוע ולא באותו רגע. זה נשמע קטן, וזה ההבדל בין להסתכל על מסמך לבין להשוות אותו לשניים אחרים.

מה שנשאר זהה הוא התיעוד. גם כשהמאשר והמבצע הם אותו אדם, התשובה לשאלה „מי אישר את זה ולמה” צריכה להיות שמורה במקום שאינו הזיכרון שלו.