Separation of duties
فرائض کی علیحدگی (ایس او ڈی)، جسے فرائض کی علیحدگی بھی کہا جاتا ہے، ایک کام کو مکمل کرنے کے لیے ایک سے زیادہ افراد کی ضرورت کا تصور ہے۔ یہ ایک انتظامی کنٹرول ہے جسے تنظیمیں دھوکہ دہی، تخریب کاری، چوری، معلومات کے غلط استعمال اور دیگر حفاظتی سمجھوتوں کو روکنے کے لیے استعمال کرتی ہیں۔ سیاسی دائرے میں، اسے اختیارات کی علیحدگی کے نام سے جانا جاتا ہے، جیسا کہ جمہوریتوں میں دیکھا جا سکتا ہے جہاں حکومت کو تین آزاد شاخوں میں تقسیم کیا جاتا ہے: مقننہ، ایگزیکٹو اور عدلیہ۔ عمومی وضاحت فرائض کی علیحدگی اندرونی کنٹرول کا ایک کلیدی تصور ہے۔ دھوکہ دہی اور غلطیوں سے تحفظ میں اضافہ درکار بڑھتی ہوئی لاگت/کوشش کے ساتھ متوازن ہونا چاہیے۔ مختصرا، ایس او ڈی افراد کی سرگرمیوں پر مناسب سطح پر چیک اینڈ بیلنس نافذ کرتا ہے۔ آئی بی ایم سسٹمز جرنل میں آر اے بوتھا اور جے ایچ پی ایلوف ایس او ڈی کو اس طرح بیان کرتے ہیں۔ حفاظتی اصول کے طور پر ڈیوٹی کی علیحدگی کا بنیادی مقصد دھوکہ دہی اور غلطیوں کی روک تھام ہے۔ یہ مقصد متعدد صارفین کے درمیان ایک مخصوص کاروباری عمل کے لیے کاموں اور متعلقہ مراعات کو پھیلا کر حاصل کیا جاتا ہے۔ اس اصول کا مظاہرہ ڈیوٹی کی علیحدگی کی روایتی مثال میں کیا گیا ہے جو چیک پر دو دستخطوں کی ضرورت میں پایا جاتا ہے۔ کاروبار کے سائز اور نوعیت کے لحاظ سے اصل ملازمت کے عنوانات اور تنظیمی ڈھانچہ ایک تنظیم سے دوسری تنظیم میں بہت مختلف ہو سکتے ہیں۔ اس کے مطابق، درجہ یا درجہ بندی شامل افراد کی مہارت اور صلاحیتوں سے کم اہم ہے۔ ایس او ڈی کے تصور کے ساتھ، کاروباری اہم فرائض کو چار قسم کے افعال میں درجہ بند کیا جا سکتا ہے: اختیار، تحویل، ریکارڈ رکھنا، اور مفاہمت۔ ایک کامل نظام میں، کسی ایک شخص کو ایک سے زیادہ قسم کے افعال کو نہیں سنبھالنا چاہیے۔ اصول بنیادی طور پر متعدد نقطہ نظر جزوی یا مکمل طور پر مختلف نمونوں کے طور پر اختیاری طور پر قابل عمل ہیں: ترتیب وار علیحدگی (دو دستخطی اصول) انفرادی علیحدگی (چار آنکھوں کا اصول) مقامی علیحدگی (الگ الگ مقامات پر الگ عمل) فیکٹوریل علیحدگی (کئی عوامل تکمیل میں معاون ہوتے ہیں) معاون نمونے متعدد فعال کرداروں والے شخص کو ان اختیارات کا غلط استعمال کرنے کا موقع ملتا ہے۔ خطرے کو کم کرنے کا نمونہ یہ ہے: ایک ایسے فنکشن سے شروع کریں جو ناگزیر ہو، لیکن ممکنہ طور پر غلط استعمال کا شکار ہو۔ فنکشن کو الگ الگ مراحل میں تقسیم کریں، ہر ایک فنکشن کے کام کرنے کے لیے یا اس طاقت کے لیے ضروری ہے جو اس فنکشن کو غلط استعمال کرنے کے قابل بناتی ہے۔ ہر قدم کو کسی مختلف شخص یا تنظیم کو تفویض کریں۔ افعال کے عمومی زمرے جنہیں الگ کیا جانا ہے: اختیار فنکشن ریکارڈنگ فنکشن، مثال کے طور پر۔ ماخذ دستاویزات یا کوڈ یا کارکردگی کی تیاری اثاثے کی تحویل کی اطلاع دیتی ہے چاہے وہ براہ راست ہو یا بالواسطہ، جیسے۔ میل میں چیک وصول کرنا یا سورس کوڈ یا ڈیٹا بیس میں تبدیلیوں کو نافذ کرنا۔ ذمہ دار افراد کے درمیان ایک حفاظتی کلید کو دو (مزید) حصوں میں تقسیم کرنا بنیادی طور پر انفرادی علیحدگی کو واحد انتخاب کے طور پر خطاب کیا جاتا ہے۔ عام کاروبار اور اکاؤنٹنگ میں اطلاق ایس او ڈی کی اصطلاح مالیاتی اکاؤنٹنگ کے نظام میں پہلے سے ہی مشہور ہے۔ تمام سائز کی کمپنیاں یہ سمجھتی ہیں کہ چیک وصول کرنا (اکاؤنٹ پر ادائیگی) اور رائٹ آف کی منظوری، نقد رقم جمع کرنا اور بینک اسٹیٹمنٹ کو ہم آہنگ کرنا، ٹائم کارڈ کی منظوری اور پے چیک کی تحویل وغیرہ جیسے کرداروں کو یکجا نہ کریں۔ ایس او ڈی زیادہ تر انفارمیشن ٹیکنالوجی (آئی ٹی) محکموں کے لیے کافی نیا ہے، لیکن ساربنز-آکسلے کے اندرونی آڈٹ کے مسائل کا ایک بڑا فیصد آئی ٹی سے آتا ہے۔ انفارمیشن سسٹمز میں، فرائض کی علیحدگی ایک شخص کے اعمال سے ہونے والے ممکنہ نقصان کو کم کرنے میں مدد کرتی ہے۔ آئی ایس یا اختتامی صارف کے محکمے کو اس طرح منظم کیا جانا چاہیے تاکہ فرائض کی مناسب علیحدگی حاصل کی جا سکے۔ آئی ایس اے سی اے کے سیگریگیشن آف ڈیوٹیز کنٹرول میٹرکس کے مطابق، کچھ فرائض کو ایک پوزیشن میں نہیں جوڑنا چاہیے۔ یہ میٹرکس صنعت کا معیار نہیں ہے، صرف ایک عمومی رہنما اصول ہے جس میں تجویز کیا گیا ہے کہ کون سی پوزیشنیں الگ کی جانی چاہئیں اور جن کو ملانے پر معاوضہ کنٹرول کی ضرورت ہوتی ہے۔ کمپنی کے سائز کے لحاظ سے، افعال اور عہدہ مختلف ہو سکتے ہیں۔ ایس او ڈی کی کمی والی چھوٹی کمپنیوں کو عام طور پر تقسیم کے چکروں میں خدشات کا سامنا کرنا پڑتا ہے جہاں غیر مجاز خریداری اور ادائیگیاں ہوسکتی ہیں۔ جب محصولات کو الگ نہیں کیا جا سکتا، تو معاوضے کے کنٹرول موجود ہونے چاہئیں۔ معاوضہ کنٹرول اندرونی کنٹرول ہیں جن کا مقصد موجودہ یا ممکنہ کنٹرول کمزوری کے خطرے کو کم کرنا ہے۔ اگر کوئی واحد شخص اپنی روزمرہ کی سرگرمیوں کو انجام دینے کے دوران غلطیوں اور/یا بے ضابطگیوں کو انجام دے سکتا ہے اور چھپاتا ہے، تو انہیں ایس او ڈی غیر مطابقت پذیر فرائض تفویض کیے گئے ہیں۔ کئی کنٹرول میکانزم ہیں جو فرائض کی علیحدگی کو نافذ کرنے میں مدد کر سکتے ہیں: آڈٹ ٹریلز آئی ٹی مینیجرز یا آڈیٹرز کو ایک تازہ ترین فائل پر اصل لین دین کے بہاؤ کو ابتدا کے مقام سے اس کے وجود تک دوبارہ تخلیق کرنے کے قابل بناتے ہیں۔ اچھے آڈٹ ٹریلز کو یہ معلومات فراہم کرنے کے لیے فعال کیا جانا چاہیے کہ لین دین کس نے شروع کیا، دن کا وقت اور اندراج کی تاریخ، اندراج کی قسم، اس میں کون سی معلومات موجود ہیں، اور اس میں کون سی فائلیں اپ ڈیٹ کی گئی ہیں۔ ایپلی کیشنز کی مصالحت اور ایک آزاد تصدیق کا عمل بالآخر صارفین کی ذمہ داری ہے، جس کا استعمال اس اعتماد کی سطح کو بڑھانے کے لیے کیا جا سکتا ہے کہ ایک ایپلی کیشن کامیابی سے چل رہی ہے۔ استثناء کی رپورٹوں کو نگران سطح پر سنبھالا جاتا ہے، جس کی حمایت شواہد کے ذریعے کی جاتی ہے جس میں کہا گیا ہے کہ استثناء کو مناسب طریقے سے اور بروقت طریقے سے سنبھالا جاتا ہے۔ رپورٹ تیار کرنے والے شخص کے دستخط عام طور پر درکار ہوتے ہیں۔ دستی یا خودکار نظام یا ایپلیکیشن ٹرانزیکشن لاگ برقرار رکھے جانے چاہئیں، جو تمام پروسیس شدہ سسٹم کمانڈز یا ایپلیکیشن ٹرانزیکشنز کو ریکارڈ کرتے ہیں۔ نگرانی کا جائزہ مشاہدے اور تفتیش کے ذریعے کیا جانا چاہیے۔ ایک مقررہ طریقہ کار پر عمل کرکے غلطیوں یا جان بوجھ کر ناکامیوں کی تلافی کے لیے، آزاد جائزوں کی سفارش کی جاتی ہے۔ اس طرح کے جائزے غلطیوں اور بے ضابطگیوں کا پتہ لگانے میں مدد کر سکتے ہیں۔ انفارمیشن سسٹمز میں اطلاق اکاؤنٹنگ کے پیشے نے سینکڑوں سالوں کے اکاؤنٹنگ پریکٹس میں جمع ہونے والے سمجھے جانے والے خطرات کی وجہ سے فرائض کی علیحدگی میں نمایاں سرمایہ کاری کی ہے۔ اس کے برعکس، ریاستہائے متحدہ میں بہت سی کارپوریشنوں نے پایا کہ ان کے سربانس-آکسلے اندرونی کنٹرول کے مسائل کا غیر متوقع طور پر زیادہ تناسب آئی ٹی سے آیا ہے۔ فرائض کی علیحدگی عام طور پر بڑی آئی ٹی تنظیموں میں استعمال کی جاتی ہے تاکہ کوئی بھی شخص پتہ لگائے بغیر دھوکہ دہی یا بدنیتی پر مبنی کوڈ یا ڈیٹا متعارف کرانے کی پوزیشن میں نہ ہو۔ کردار پر مبنی رسائی کنٹرول اکثر آئی ٹی سسٹمز میں استعمال ہوتا ہے جہاں ایس او ڈی کی ضرورت ہوتی ہے۔ حال ہی میں، جیسے جیسے بڑھتی ہوئی تنظیم میں کرداروں کی تعداد میں اضافہ ہوتا ہے، خاصیت پر مبنی رسائی کنٹرول کے ساتھ ایک ہائبرڈ رسائی کنٹرول ماڈل اپنے کردار پر مبنی ہم منصب کی حدود کو حل کرنے کے لیے استعمال کیا جاتا ہے۔ سافٹ ویئر اور ڈیٹا کی تبدیلیوں پر سخت کنٹرول کے لیے ضروری ہوگا کہ ایک ہی شخص یا تنظیمیں درج ذیل میں سے صرف ایک کردار ادا کریں: ضرورت کی شناخت (یا تبدیلی کی درخواست) ؛ مثال کے طور پر۔ کاروباری شخص کی اجازت اور منظوری ؛ مثال کے طور پر آئی ٹی گورننس بورڈ یا منیجر ڈیزائن اینڈ ڈیولپمنٹ ؛ مثال کے طور پر۔ ڈویلپر کا جائزہ، معائنہ اور منظوری ؛ جیسے۔ کوئی دوسرا ڈویلپر یا آرکیٹیکٹ۔ پیداوار میں نفاذ ؛ عام طور پر سافٹ ویئر کی تبدیلی یا سسٹم ایڈمنسٹریٹر۔ یہ سافٹ ویئر ڈویلپمنٹ لائف سائیکل کی ایک مکمل پیشکش نہیں ہے، بلکہ فرائض کی علیحدگی پر لاگو اہم ترقیاتی افعال کی ایک فہرست ہے۔ انفارمیشن سسٹمز میں فرائض کی علیحدگی کو کامیابی کے ساتھ نافذ کرنے کے لیے متعدد خدشات کو دور کرنے کی ضرورت ہے: سسٹم میں کسی شخص کے اختیار کے حقوق کو یقینی بنانے کے لیے استعمال ہونے والا عمل تنظیم میں اس کے کردار کے مطابق ہے۔ توثیق کا طریقہ استعمال کیا جاتا ہے جیسے پاس ورڈ کا علم، کسی شے کا قبضہ (کلید، ٹوکن) یا بائیومیٹریکل خصوصیت۔ سسٹم میں حقوق کا دائرہ کار ڈیٹا بیس انتظامیہ تک رسائی، صارف انتظامیہ تک رسائی، ایسے ٹولز جو بیک ڈور رسائی فراہم کرتے ہیں یا سپلائر کے انسٹال کردہ صارف اکاؤنٹس کے ذریعے ہو سکتا ہے۔ اس مخصوص تشویش کو دور کرنے کے لیے سرگرمی لاگ کا جائزہ لینے جیسے مخصوص کنٹرول کی ضرورت پڑ سکتی ہے۔ حوالہ جات بیرونی روابط نک زابو کا مضمون "فرائض کی علیحدگی/علیحدگی کی تعریف"، آئی ایس اے سی اے "سیکیورٹی کے خطرات کو کم کرنے کے لیے فرائض کو الگ کریں"، ڈیٹامیشن "شفافیت، تقسیم، علیحدگی، گردش اور ذمہ داریوں کی نگرانی"، آئی ایس ایم 3 آڈیٹنگ اصطلاحات ڈیٹا سیکیورٹی