L'approbation qui compromet votre audit vient de votre propre équipe. Voici comment prouver qui a pris cette décision et pourquoi.

Imaginez la situation lors de l'audit. Le vérificateur sélectionne quarante dossiers clients au hasard. Le dossier vingt-trois concerne un client dont le visage ne correspond pas à la photo figurant sur son dossier officiel. Le contrôle est donc infructueux. Le compte reste néanmoins ouvert et des transactions y sont effectuées depuis cinq mois.

Quelqu'un l'a approuvé. L'auditeur pose trois questions : Qui ? Sur quelle base ? Était-ce autorisé ?

Votre équipe se connecte à l'interface d'administration via un compte partagé. La première réponse est donc « opérations ». Aucune note n'est fournie, la deuxième réponse est donc une supposition. Tous les utilisateurs de ce compte peuvent approuver n'importe quelle action ; la troisième réponse est donc « oui », ce qui est la pire des trois.

Aucun piratage n'a été constaté. Aucun fraudeur n'a réussi à contourner vos contrôles. Le système de contrôle a fonctionné, et l'un de vos collaborateurs l'a désactivé pour un client. Il s'agit d'un risque interne inhérent aux opérations de conformité, et la plupart du temps, ce n'est pas un délit. C'est un service rendu, un raccourci pris un vendredi chargé, ou un objectif à atteindre.

Pourquoi la question de l'auditeur est-elle « qui a décidé ? »

Les normes par rapport auxquelles vous êtes évalués partent du principe que votre personnel fait partie du risque. FATF La recommandation 18 (s’ouvre dans un nouvel onglet) exige que les institutions financières mettent en œuvre des programmes de lutte contre le blanchiment d’argent, et sa note interprétative indique que ces programmes doivent inclure des politiques, des procédures et des contrôles internes, des procédures de sélection lors de l’embauche d’employés, une formation continue et « une fonction d’audit indépendante pour tester le système ».

Les lignes directrices du Comité de Bâle sur la saine gestion du risque de blanchiment d'argent (s’ouvre dans un nouvel onglet) décrivent trois lignes de défense, l'audit interne constituant la troisième. Parmi les éléments que l'audit doit évaluer figure « l'efficacité du personnel de la banque dans la mise en œuvre des politiques et procédures de celle-ci ». Ces mêmes lignes directrices précisent que les enregistrements doivent être suffisamment précis pour permettre de retracer les opérations en cas de litiges, de poursuites judiciaires ou d'enquêtes.

L'auditeur ne se contente donc pas de vérifier la qualité de vos contrôles. Il vérifie également si vos équipes les ont appliqués et si vous pouvez le démontrer. Une décision dont l'origine ne peut être attribuée échoue à ce test, même si elle était justifiée.

Il existe des éléments de preuve montrant à quelle fréquence les contrôles échouent de l'intérieur, bien qu'il s'agisse de fraudes à l'encontre des employeurs et non d'approbations de conformité. ACFE Le rapport « Fraude en milieu professionnel 2024 : un rapport aux nations » (s’ouvre dans un nouvel onglet) a analysé 1 921 cas dans 138 pays et territoires. Il attribue 32 % de ces fraudes principalement à un manque de contrôles internes et 19 % à un contournement des contrôles existants. En moyenne, la fraude a duré 12 mois avant d’être détectée. Nous n’avons pas trouvé de données aussi précises concernant les contournements de la conformité sur les marchés africains et ne les présenterons donc pas.

Quatre commandes qui répondent à cela

Rien de tout cela n'est nouveau. NIST Le SP 800-53 (s’ouvre dans un nouvel onglet) , catalogue des contrôles de sécurité du gouvernement américain, est une référence utile en langage clair, même si vous n'êtes pas tenu de le respecter.

• Principe du moindre privilège. Ce contrôle vous demande d'autoriser uniquement les accès autorisés nécessaires à l'exécution des tâches assignées. Au sein d'une équipe de conformité, cela signifie que la personne qui consulte les alertes ne peut pas modifier les règles qui les génèrent.

• Une deuxième personne impliquée dans des actions délicates. NIST La séparation des tâches « permet de prévenir les abus de pouvoir et de réduire les risques d'actes malveillants sans collusion ». Une personne peut commettre une erreur ou rendre service. L'accord de deux personnes est nécessaire.

• Un seul identifiant par personne, avec une authentification à deux facteurs. Le catalogue exige une identification unique pour chaque utilisateur et l'utilisation de l'authentification multifacteurs pour les comptes à privilèges. Un identifiant partagé annule tous les autres contrôles, car le journal ne peut mentionner que le compte.

• Une piste d'audit mentionnant la personne concernée. Les enregistrements d'audit doivent établir ce qui s'est passé, quand, où, le résultat et l'identité des personnes impliquées.

Voici à quoi cela ressemble dans Toden

Voici comment chaque commande correspond au produit actuel.

• Rôles. Chaque personne possède un seul rôle, et un rôle correspond à un ensemble d'autorisations que vous choisissez. Approuver ou refuser une vérification nécessite une autorisation.verifications:reviewIl faut passer outre une décision de fraudefraud_prevention:overrideÉvolution des besoins en matière de dépistagescreening:manageet la modification d'un flux de travail nécessiteworkflows:manageLes rôles intégrés de Membre et de Visionneur sont en lecture seule. Les permissions sont vérifiées sur le serveur, et personne ne peut accorder une permission qu'il ne possède pas lui-même.

• Une modification qui reste visible. Lorsqu'un réviseur approuve une vérification, celle-ci n'est pas réécrite. Son statut indique toujours les résultats des vérifications, et l'historique des statuts répertorie chaque modification, son auteur et la date. Le réviseur peut ajouter une note expliquant la raison de cette modification ; celle-ci est conservée dans le journal d'audit et sur la chronologie.

• Une commande désactivée. Un flux de travail avec AML La désactivation du filtrage ne concerne personne ; cette modification doit donc être signalée. La publication d'un flux de travail est consignée dans le journal d'audit. La désactivation du filtrage pour l'ensemble de l'organisation requiert une autorisation spécifique et une confirmation explicite, et est également enregistrée.

• Authentification à deux facteurs. Les membres s'authentifient à l'aide de codes d'application ou d'un mot de passe. Une organisation peut exiger l'authentification à deux facteurs pour chaque membre, et toute session peut être révoquée instantanément.

• Le journal d'audit. Chaque entrée contient le nom et l'adresse électronique de la personne tels qu'ils étaient au moment de l'incident, son rôle, l'action effectuée, l'enregistrement concerné et l'adresse IP. Il est en lecture seule : il est impossible de modifier ou de supprimer une entrée depuis la console ou le journal d'audit. API Il ne contient aucun numéro d'identification, image ou information confidentielle ; vous pouvez donc le remettre à un auditeur. Actions Toden Les demandes d'assistance concernant votre compte apparaissent dans votre journal, signalées comme telles.

• Deux personnes interviennent dans la rédaction d'un rapport. La personne qui rédige un rapport d'activité suspecte ne peut jamais être celle qui le dépose. Nous abordons la rédaction du rapport lui-même dans la section « Rédaction d'un rapport d'activité suspecte » , et le travail préparatoire dans les sections « Traitement des alertes et gestion des cas » .

Quoi Toden ne fait pas

Ce sont les limites qui importent plus que les fonctionnalités.

• Cela impose l'intervention d'une seconde personne pour une seule action : le dépôt d'un rapport. Pour les approbations et les dérogations, la séparation des rôles est assurée par la définition de ces rôles. Si une seule personne détient toutes les autorisations, elle peut toujours tout faire.

• Cela n'arrête pas un initié déterminé. Un examinateur dûment habilité peut approuver un contrôle ayant échoué. Toden Cela consiste simplement à s'assurer que l'approbation porte leur nom et que le chèque sans provision reste inscrit au registre.

• Il est impossible de savoir si deux personnes partagent un même identifiant. L'authentification à deux facteurs complique le partage, mais ne l'empêche pas. La politique à ce sujet vous appartient.

• Les décisions prises par votre backend via le API sont enregistrés par rapport à API Une clé, pas une personne. L'identité de la personne ayant appuyé sur le bouton dans votre système figure dans vos journaux, pas dans les nôtres. Voir les journaux publiables et secrets. API clés .

• Le journal d'audit couvre Toden Il ne sait rien de votre système bancaire central, de vos feuilles de calcul ni des instructions reçues par message instantané.

• Toden ne tient pas SOC 2 ou ISO Certification 27001 obtenue aujourd'hui. Notre page de sécurité le confirme et liste les contrôles existants.

Les exigences des autorités de réglementation en matière de contrôles internes, de vérification du personnel et de tenue des registres varient selon les pays. Nous avons cité les FATF , le Comité de Bâle et NIST Ce document ne s'adresse ni à la Banque centrale du Nigéria ni à aucun autre organisme de réglementation national. Il ne constitue pas un avis juridique applicable à votre situation.

Cinq choses à vérifier cette semaine

• Chaque personne possède-t-elle son propre identifiant ? Comptez les comptes, puis comptez les personnes.

• L'authentification à deux facteurs est-elle obligatoire pour tous, ou seulement recommandée ?

• Qui peut approuver un chèque sans provision, et cette liste est-elle plus courte que la liste des personnes qui peuvent le consulter ?

• La personne qui modifie une règle peut-elle également supprimer les alertes qu'elle génère ?

• Choisissez une approbation du mois dernier. Pouvez-vous nommer qui l'a accordée et pourquoi, en moins de cinq minutes ?

Si la dernière réponse est non, c'est ce dossier que l'auditeur consultera.

Vous voulez savoir qui peut faire quoi dans votre espace de travail ? Ouvrez le Toden console (s’ouvre dans un nouvel onglet) ou lire comment Toden gère la sécurité .