Wat houdt deze control in?
Conflicterende taken en verantwoordelijkheden moeten worden gescheiden om fraude, fouten en ongeautoriseerde toegang te voorkomen.
Waarom is dit verplicht?
Functiescheiding is een fundamentele maatregel voor integriteitsbeheersing en wordt expliciet vereist in de BIO2
Praktische implementatie
- Breng conflicterende rollen in kaart
- Pas functiescheiding toe in financiële en autorisatieprocessen
- Documenteer uitzonderingen met compenserende maatregelen
- Controleer periodiek of scheiding nog effectief is
Aandachtspunten voor de overheid
Kleine gemeenten met beperkt personeel moeten compenserende maatregelen documenteren zoals extra logging of vier-ogen-principe.
Relatie met andere controls
Gerelateerd aan 5.2 (rollen en verantwoordelijkheden), 5.18 (toegangsrechten) en 8.2 (geprivilegieerde toegang).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je scheidt conflicterende taken en bevoegdheden zodat één persoon niet ongecontroleerd een heel proces kan uitvoeren en misbruiken. Functiescheiding is een fundamentele integriteitsmaatregel: ze voorkomt fraude, fouten en ongeautoriseerde toegang. Waar scheiding niet haalbaar is (bijv. bij kleine teams), tref en documenteer je compenserende maatregelen. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Breng in kaart welke rollen en taken conflicteren (bijv. aanvragen én goedkeuren, ontwikkelen én naar productie brengen).
- ›Pas functiescheiding toe in gevoelige processen zoals financiële transacties en autorisatiebeheer.
- ›Documenteer noodzakelijke uitzonderingen met compenserende maatregelen, zoals extra logging of het vier-ogen-principe (relevant voor kleine gemeenten met beperkt personeel).
- ›Controleer periodiek of de functiescheiding nog effectief is, zeker na reorganisaties of personele wijzigingen.
- ›Ondersteun functiescheiding technisch via rolgebaseerde toegang (RBAC) en geautomatiseerde detectie van conflicterende rechten.verdieping
Bewijs dat je kunt verzamelen
- ›Overzicht (matrix) van conflicterende rollen en de toegepaste scheiding
- ›Autorisatie-inrichting waaruit functiescheiding blijkt (bijv. RBAC-configuratie)
- ›Gedocumenteerde uitzonderingen met bijbehorende compenserende maatregelen
- ›Verslag van de periodieke controle op functiescheiding
Wat je bij een audit moet kunnen aantonen
- ›Dat conflicterende taken zijn geïdentificeerd en gescheiden
- ›Dat uitzonderingen bewust zijn gemaakt én gecompenseerd (niet genegeerd)
- ›Dat de scheiding technisch is afgedwongen waar mogelijk
- ›Dat periodiek wordt gecontroleerd of de scheiding nog werkt
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is vastgesteld welke taken/rollen conflicteren?
- ›Is functiescheiding ontworpen in de gevoelige processen?
- ›Is een procedure voor uitzonderingen en compenserende maatregelen aanwezig?
- ›Is de functiescheiding daadwerkelijk ingericht in de systemen?
- ›Zijn gedocumenteerde uitzonderingen voorzien van compenserende maatregelen?
- ›Zijn de betrokken rechten conform het ontwerp toegekend?
- ›Is in de afgelopen periode gecontroleerd op conflicterende rechten?
- ›Zijn geconstateerde conflicten opgelost of gecompenseerd?
- ›Blijft de scheiding intact na personele of proceswijzigingen?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.