De autorisatie-inventarisatietool van 4EyesOnly is bedoeld voor de penningmeester van de vereniging. De penningmeester vult de bestaande situatie in; de kascommissie gebruikt de uitkomst daarna om te beoordelen of de interne organisatie voldoende betrouwbaar en controleerbaar is ingericht.
Hoe bereidt u de inventarisatie voor?
Open eerst de autorisatie-inventarisatietool via www.4eyesonly.nl. Het is verstandig om daarnaast het voorbeeld van de transactiecycli en het autorisatiediagram erbij te houden, zodat u die als kapstok kunt gebruiken bij het invullen.
De transactiecycli laten zien welke financiële processen binnen een vereniging voorkomen, zoals contributies, inkopen, declaraties, subsidies, sponsorinkomsten en betalingen. Het autorisatiediagram laat vervolgens zien welke rollen en rechten daarbij horen.
Pas deze voorbeelden toe op uw eigen vereniging door per handeling na te lopen wie daarbij betrokken is. Stel uzelf daarbij de volgende vragen:
- Wie voert ledengegevens in?
- Wie past contributies aan?
- Wie maakt facturen aan?
- Wie verwerkt bankmutaties?
- Wie zet betalingen klaar?
- Wie keurt betalingen goed?
- Wie maakt rapportages?
- Wie kijkt uitsluitend mee voor controle?
Hoe legt u rollen en rechten vast in de tool?
Inventariseer per functionaris welke rol daarbij hoort, bijvoorbeeld de penningmeester, de voorzitter, de secretaris, de ledenadministrateur, een bestuurslid, een vrijwilliger met uitvoerende taken of een lid van de kascommissie. In de tool gebruikt u de dropdownmenu's om per handeling de juiste rol te kiezen. Zo ontstaat stap voor stap een autorisatiematrix van uw vereniging.
Vul daarbij de feitelijke situatie in, niet de theorie. Beschrijf dus hoe het nu werkelijk is geregeld in de boekhoudsoftware, de bankomgeving, de ledenadministratie en eventuele andere systemen. Ga daarbij onder meer na:
- Heeft iemand alleen leesrechten, of ook wijzigingsrechten?
- Mag iemand betalingen voorbereiden, maar niet goedkeuren?
- Kan dezelfde persoon een handeling zowel uitvoeren als autoriseren?
Wat levert het risicoprofiel op en wat doet u ermee?
Wanneer alle handelingen zijn ingevuld, komt er een risicoprofiel naar voren. Dat risicoprofiel laat zien waar de functiescheiding goed is geregeld en waar mogelijk te veel rechten bij één persoon liggen. Het doel is niet om personen te beoordelen, maar om de inrichting van de organisatie te beoordelen; een tweede paar ogen helpt om fouten, misverstanden en ongewenste risico's te beperken.
Beoordeel vervolgens of dit risicoprofiel aanvaardbaar is voor uw vereniging. Bij een kleine vereniging zal niet altijd volledige functiescheiding mogelijk zijn. Dat hoeft niet meteen een probleem te zijn, zolang het bestuur bewust kiest voor aanvullende maatregelen. Soms kan het profiel al met kleine aanpassingen verbeteren, bijvoorbeeld door een extra goedkeuring toe te voegen of wijzigingsrechten te beperken.
De uitkomst is daarmee direct bruikbaar voor het gesprek tussen penningmeester, bestuur en kascommissie. Het bestuur kan besluiten welke aanpassingen gewenst zijn. De kascommissie kan de uitkomst gebruiken als basis voor haar controleaanpak: bij een sterker profiel kan zij meer steunen op de interne organisatie, bij een zwakker profiel zijn meer aanvullende controles nodig.
Bewaar de uitkomst daarom bij de stukken van de vereniging. Download de uitkomst zodat voor het nageslacht vastligt hoe de autorisaties op dat moment waren ingericht, welke risico's zijn onderkend en welke verbeteringen eventueel zijn afgesproken. Zo blijft de kennis overdraagbaar als bestuursleden, penningmeester of kascommissieleden wisselen.