Tilgangsstyring i regnskapssystemet
Praktisk oppsett av roller og tilganger i regnskapssystem, bank og Altinn, med sjekkliste for jevnlig kontroll.
Tilgangsstyring i regnskapssystemet handler om at hver bruker bare har de rettighetene oppgaven krever, og at ingen alene kan både registrere, godkjenne og betale. Det beskytter mot feil og misligheter, og gjør det lettere å dokumentere hvem som har gjort hva.
Hva sier regelverket?
Bokføringsloven § 4 krever blant annet at regnskapsopplysninger skal sikres mot urettmessig endring, sletting eller tap, og at det skal være toveis kontrollspor. Loven sier ikke hvilke roller du skal ha, men uten styrte tilganger og logg er det vanskelig å vise at kravene er oppfylt. Les mer om kontrollspor i regnskap.
En enkel rollemodell
| Rolle | Typiske rettigheter | Bør ikke kunne |
|---|---|---|
| Daglig leder | Se alt, godkjenne inngående fakturaer og lønn | Endre leverandørens kontonummer alene |
| Bokfører eller regnskapsfører | Registrere bilag, avstemme, kjøre rapporter | Godkjenne egne utbetalinger |
| Attestant | Attestere fakturaer innen eget ansvarsområde | Se eller endre lønn |
| Lønnsansvarlig | Lønnskjøring og a-melding | Endre hovedbokposteringer utenfor lønn |
| Styre og revisor | Lesetilgang til rapporter og hovedbok | Registrere eller endre |
I små selskaper er full arbeidsdeling ofte umulig. Da er det viktigst at betaling krever to personer i banken, eller at en uavhengig person kontrollerer utbetalinger og endringer i leverandørregisteret etterpå.
Tilganger utenfor regnskapssystemet
- Bank: hvem kan opprette og godkjenne betalinger, og hva er beløpsgrensene?
- Altinn: hvem har roller som regnskapsfører, lønns- og MVA-rapportering? Se Altinn-roller ved overtakelse av regnskap.
- Integrasjoner: betalingsløsninger, nettbutikk og lønnssystem som skriver direkte til regnskapet.
- Delte brukere: felles innlogginger gjør det umulig å se hvem som har gjort endringene.
Sjekkliste for kvartalsvis kontroll
- Ta ut brukerliste fra regnskapssystem, bank og Altinn.
- Fjern brukere som har sluttet, eller tidligere regnskapsfører som ikke lenger har oppdrag.
- Kontroller at ingen har både registrerings-, godkjennings- og betalingsrett uten kompenserende kontroll.
- Gå gjennom logg for endringer i kontonummer hos leverandører.
- Dokumenter gjennomgangen med dato og hvem som godkjente den.
Ved bytte av regnskapsfører
Når ny regnskapsfører tar over, bør gamle tilganger stenges samme dag som oppdraget avsluttes, etter at historikk og bilag er sikret. Tidligere byrå skal fortsatt kunne levere dokumentasjon, men trenger ikke skrivetilgang. Se dokumentasjon fra tidligere regnskapsfører.
Slik hjelper AIAK
AIAK setter opp roller og attestasjonsflyt i regnskapssystemet dere bruker, og gjennomgår tilganger som en del av internkontroll i regnskapet. Kontakt AIAK for en gjennomgang.