قطع دسترسی کارکنان مالی؛ چه زمانی پرونده خروج را ببندیم؟

قطع دسترسی کارکنان مالی چه تصمیمی را از مدیر می‌خواهد؟

قطع دسترسی کارکنان مالی یک درخواست ساده برای تغییر رمز نیست. تصمیم مدیر مالی این است: آیا می‌توان بخش دسترسیِ پرونده خروج را بست، یا هنوز اختیاری از فرد باقی است و باید پیگیری شود؟ پرونده‌ای که در آن حساب غیرفعال شده ولی وضعیت یک نشست تأیید هزینه نامعلوم است، با پرونده‌ای که همه مسیرهای حساس آن آزموده شده‌اند یکسان نیست. از طرف دیگر، از دسترس خارج‌کردن مدارک لازم برای بستن حساب‌ها نیز موفقیت کنترلی محسوب نمی‌شود. پایان اختیار و ادامه کار مجاز باید هم‌زمان احراز شوند.

کنترل ۶٫۲ در مشخصات ارزیابی CIS نسخه ۸٫۱، وجود فرایند لغو دسترسی هنگام پایان همکاری، سلب اختیار یا تغییر نقش را مطرح می‌کند و غیرفعال‌سازی فوری حساب در زمان آن رویداد را توصیه می‌کند. همان بند توضیح می‌دهد حفظ ردپای ممیزی ممکن است غیرفعال‌سازی به‌جای حذف حساب را ضروری کند. این منبع مبنای تفکیک «پایان دسترسی» از «پاک‌کردن هویت» است، نه تعیین‌کننده تشریفات خروج کارمند در ایران. ^[۱]

چارچوب پذیرش، مثال و چک‌لیست این مقاله پیشنهاد تحلیلی ژرف‌بان‌اند، نه تجربه مشتری یا الزام حقوقی. پیش از اقدام فنی، شخص دارای اختیار باید هویت فرد، دامنه تغییر و زمان مؤثر را تأیید کند. خاتمه قرارداد، تسویه حقوق، اجازه دسترسی به مکاتبات و مدت نگهداری اسناد موضوع بررسی جداگانه منابع انسانی و مشاور مسئول‌اند. منابع خارجی این مقاله قانون ایران نیستند و هیچ مهلت قانونی نگهداری یا دستور بانکی داخلی از آن‌ها استخراج نمی‌شود. این کنترل برای خروج عادی و تغییر مسئولیت نیز کاربرد دارد؛ اجرای آن اتهام سوءرفتار به فرد نیست.

به‌جای فهرست کارکنان، فهرست مسیرهای دسترسی بسازید

برای هر شخص یک برگه با ردیف‌های «سامانه، شناسه حساب، اختیار مؤثر، مالک سامانه، روش لغو، شاهد پذیرش» بسازید. از نرم‌افزار حسابداری شروع کنید، اما ایمیل سازمانی، مخزن فایل، مدیریت هزینه، اتصال از راه دور و ابزارهای پشتیبانی را نیز بررسی کنید. فهرست را با صاحبان فرایند تطبیق دهید؛ پرسش از فردِ در حال خروج برای تحویل کار مفید است، اما نباید تنها روش کشف حساب‌ها باشد. خروجی مدیریتی مورد نیاز، تعداد مسیرهای شناسایی‌نشده یا بدون مسئول است، نه صرفاً تعداد نام‌های حذف‌شده از یک گروه.

اختیار را به عملیات مشخص ترجمه کنید: مشاهده فایل حقوق، تغییر اطلاعات فروشنده، ثبت سند، تأیید هزینه یا مدیریت کاربران. نقش مدیر سامانه ممکن است امکان اعطای دوباره یک اختیار را فراهم کند؛ بنابراین فقط نقش روزمره حسابداری را نبینید. اگر اختیار بانکی یا نمایندگی در سامانه‌ای بیرون از شرکت وجود دارد، مسئول پیگیری باید مسیر رسمی همان ارائه‌دهنده و مدرک تأیید آن را مشخص کند. تغییر داخلی نرم‌افزار را به‌جای تأیید لغو اختیار نزد نهاد بیرونی ننشانید؛ رویه و زمان اثر آن را جداگانه احراز کنید.

در نقشه پیشنهادی، حساب اختصاصی فرد، حساب مشترک و حساب خدماتی سه نوع جدا هستند. برای حساب مشترک، دانستن یک رمز توسط چند نفر را با داشتن چند هویت مستقل اشتباه نگیرید؛ دامنه دسترسی و روش تعویض امن اعتبارنامه باید روشن شود. شماره یا ایمیل بازیابی، عامل احراز هویت و مجوز اتصال برنامه‌های جانبی را نیز از مسئول فنی بپرسید. خودِ رمز، کد بازیابی یا توکن را در برگه تحویل ننویسید؛ برگه باید محل نگهداری امن و مسئول آن را نشان دهد، نه اینکه به مخزن تازه‌ای از اسرار تبدیل شود.

• برای هر ردیف دو زمان جدا ثبت کنید: زمان مقرر پایان اختیار و زمان احراز قطع مؤثر آن؛ زمان ایجاد درخواست جای هیچ‌کدام نیست.
• هر مسیر نامعلوم باید صاحب و موعد بررسی داشته باشد؛ نامعلوم را با عبارت «احتمالاً از ورود یکپارچه استفاده می‌کند» بسته تلقی نکنید.

لغو نشست‌های فعال را جدا از مسدودکردن ورود بسنجید

راهنمای Microsoft Entra توضیح می‌دهد برنامه مرورگری می‌تواند هم نشست ارائه‌دهنده هویت و هم نشست متعلق به خود برنامه را داشته باشد. پس از صدور نشست برنامه، سیاست همان برنامه اهمیت دارد؛ Entra نمی‌تواند مستقیماً کوکی نشستی را که برنامه صادر کرده لغو کند. مستندات، جلوگیری از ورود جدید و لغو توکن‌های نوسازی را نیز دو اقدام متمایز می‌دانند و زمان قطع دسترسی موجود را وابسته به سازوکار و تنظیمات برنامه توضیح می‌دهند. بنابراین وعده «یک کلیک و قطع فوری همه سامانه‌ها» از این منبع نتیجه نمی‌شود. ^[۳]

ترجمه مدیریتی این سازوکار، دو ستون پذیرش برای هر سامانه است: «ورود جدید مسدود» و «دسترسی نشست یا اتصال موجود خاتمه یافته». از مالک نرم‌افزار بخواهید روش مستند همان نسخه را برای هر ستون تعیین کند. اگر فقط تغییر رمز انجام شده، تا وقتی اثر آن بر نشست‌ها احراز نشده است ستون دوم را تأیید نکنید. اگر سامانه اقدام مستقلی می‌خواهد، مسئول و زمان اجرای آن را وارد برنامه کنید. این مقاله فرمان اجرایی عمومی ارائه نمی‌کند؛ انتخاب اقدام فنی بدون شناخت نسخه، اتصال‌ها و اختیار مدیر می‌تواند نتیجه نادرست بدهد.

محدودیت دیگری هم وجود دارد: مستند Microsoft تصریح می‌کند دستگاه آفلاین همچنان می‌تواند به داده ذخیره‌شده محلی دسترسی داشته باشد؛ حتی اقدامات مدیریتی دستگاه نیز برای دریافت فرمان به ارتباط نیاز دارند. پس قطع حساب آنلاین را گواه پس‌گرفتن همه نسخه‌های قبلی فایل ندانید. در پیشنهاد ما، تحویل تجهیزات و تعیین تکلیف نسخه‌های کاری مجاز، ردیفی مستقل با مسئول و مدرک دارد. پاک‌سازی سراسری دستگاه شخصی یا بررسی بی‌ضابطه محتوای خصوصی، جزء این چک‌لیست نیست و نباید برای سریع‌تر بستن پرونده انجام شود. ^[۳]

حفظ اسناد مالی را با بازماندن حساب اشتباه نگیرید

راهنمای خروج کارمند در Microsoft 365، جلوگیری از ورود، نگهداری محتوای صندوق نامه، رسیدگی به دسترسی جانشین، مجوز محصول و حذف حساب را مراحل جدا معرفی می‌کند. راهنمای Google Workspace نیز انتقال داده‌های مهم به مالک دیگر را پیش از حذف مطرح می‌کند و میان انواع داده و اختیارات مدیر تفاوت می‌گذارد. از این دو منبع فقط اصل تفکیک دسترسی، مالکیت محتوا و حذف را می‌گیریم؛ جزئیات اشتراک، نگهداری و بازیابی آن‌ها را به نرم‌افزار حسابداری یا مقررات شرکت ایرانی تعمیم نمی‌دهیم. ^{[۴] [۵]}

برای اجرای این اصل، صاحب مالی فرایند باید یک بسته تحویل مشخص کند: کاربرگ‌های باز، مستندات مانده‌ها، مکاتبات سازمانیِ لازم برای پیگیری و فهرست کارهای دارای موعد. مسئول نگهداری اسناد، محل مصوب و حدود دسترسی گیرنده را تأیید کند. جانشین باید چند نمونه انتخاب‌شده از پرونده‌های مهم را با حساب خودش باز کند و مطمئن شود نسخه، پیوست و سابقه مورد نیاز قابل استفاده است. وجود یک پوشه با نام فرد، بدون آزمون محتوای لازم، شاهد تحویل نیست. دسترسی به کل مکاتبات هم نباید پیش‌فرضِ رفع یک نیاز محدود باشد.

پیشنهاد ما این است که شناسه و انتساب اقدامات گذشته حفظ شود؛ نام حساب قدیمی را برای ادامه ثبت‌های جانشین بازاستفاده نکنید. انتقال مسئولیت به معنای بازنویسی تاریخچه ثبت‌کننده نیست. برای فایل‌هایی که به اتصال داده یا اجرای خودکار وابسته‌اند، راهنمای «کنترل فایل‌های اکسل مالی؛ کدام صفحه‌گسترده را به سیستم منتقل کنیم؟» در بخش مسیر بعدی مکمل است: مالک فایل، نسخه معتبر و وابستگی اجرایی باید با هم تحویل شوند. حذف نهایی حساب و محتوا، پس از تصمیم مسئول نگهداری و بررسی الزام‌های قابل‌اعمال، پرونده‌ای جدا از قطع دسترسی است.

حساب‌های خدماتی را تحویل دهید، حساب شخصی را زنده نگه ندارید

حساب خدماتی هویتی است که برنامه یا اتصال با آن کار می‌کند، نه نام دیگری برای حساب شخصی یک حسابدار. کنترل ۵٫۵ در مشخصات CIS نسخه ۸٫۱ برای این حساب‌ها فهرستی شامل واحد مالک، تاریخ بازبینی و هدف می‌خواهد و بازبینی دوره‌ای مجازبودن آن‌ها را توصیه می‌کند. این حداقل، نقطه شروع مناسبی برای کشف اتصال‌هایی است که با رفتن یک نفر بی‌صاحب می‌شوند؛ داشتن نام فنی به‌تنهایی به معنای مالکیت سازمانی روشن نیست. ^[۲]

در برنامه پیشنهادی، مسئول فنی پیش از زمان خروج بررسی می‌کند کدام گزارش زمان‌بندی‌شده، ورود داده یا اتصال خارجی به اعتبارنامه فرد وابسته است. برای هر وابستگی، مالک جدید و هویت مناسب با حداقل اختیار تعیین می‌شود؛ سپس اجرای کنترل‌شده با اعتبارنامه جدید آزمایش و نتیجه ثبت می‌شود. فقط بعد از احراز جایگزین، وابستگی قبلی طبق برنامه لغو می‌شود. اگر زمان کافی وجود ندارد، توقف موقت کنترل‌شده کار و مسئول پیگیری آن را ثبت کنید؛ تمدید نامحدود حساب فرد برای روشن‌ماندن یک گزارش، تحویل معتبر نیست.

ادامه عملیات نباید تعارض اختیار تازه ایجاد کند. جانشینی که کاربرگ تهیه می‌کند لزوماً نباید تأییدکننده همان کار نیز شود. راهنمای «تفکیک وظایف در تیم مالی کوچک؛ کدام تعارض را می‌توان کنترل کرد؟» در مسیر بعدی کمک می‌کند اختیار جانشین را با سایر مسئولیت‌های او بسنجید. معیار پذیرش پیشنهادی این بخش سه شاهد است: مالک انسانی مشخص، اجرای موفق کار لازم با هویت مجاز و نبود نیاز به اعتبارنامه قبلی. اگر فقط نام مالک در یک فایل عوض شده ولی اتصال هنوز با هویت سابق اجرا می‌شود، این بخش باز می‌ماند.

مثال فرضی: تکمیل ۹۰ درصد چک‌لیست چرا کافی نیست؟

این مثال کاملاً آموزشی است و زمان‌ها، سامانه‌ها و نتیجه آن به شرکت یا محصول واقعی اشاره ندارند. فرض کنید پایان اختیار یک حسابدار برای ساعت ۱۶:۰۰ تأیید شده است. پنج سامانه در دامنه قرار دارند: حسابداری، ایمیل، فایل مشترک، مدیریت هزینه و دسترسی از راه دور. برای هرکدام دو آزمونِ ورود جدید و نشست موجود تعریف شده؛ بنابراین ده آزمون دسترسی داریم. تحویل مدارک و ادامه کار جانشین در چک‌لیستی جدا بررسی می‌شوند تا درصد دسترسی با آمادگی عملیاتی مخلوط نشود.

در ساعت ۱۶:۱۰ هر پنج ورود جدید و چهار مسیر نشست تأیید شده‌اند؛ اما نشست مدیریت هزینه هنوز آزموده نشده است. گزارش پیشرفت ۹ از ۱۰، یعنی ۹۰ درصد است. چون آن مسیر اختیار تأیید هزینه دارد، پیشنهاد این چارچوب بستن پرونده نیست: وضعیت «مسیر حساس تأییدنشده» ثبت و موضوع به مالک سامانه و مدیر مالی ارجاع می‌شود. کنترل موقت مصوب باید جلوی اقدام پرریسک را بگیرد؛ اگر چنین محدودیتی قابل احراز نیست، همان فرایند تا رفع ابهام متوقف می‌ماند.

در ساعت ۱۶:۳۲، مالک سامانه لغو نشست و نتیجه آزمون مجاز را ثبت می‌کند. فاصله زمان مقرر تا احراز آخرین مسیر حساس ۳۲ دقیقه است؛ این عدد مدت احراز است، نه اثبات اینکه فرد در تمام آن مدت دسترسی داشته یا اقدامی کرده است. حال ده آزمون دسترسی کامل‌اند، اما بستن کل بخش تحویل هنوز به شواهد حفظ مدارک و اجرای کار جانشین نیاز دارد. اگر یکی از آن‌ها ناقص باشد، می‌توان زیرکار «لغو دسترسی» را تکمیل دانست ولی پرونده مشترک خروج امن را باز نگه داشت؛ نام وضعیت باید دقیقاً دامنه تأیید را نشان دهد.

چک‌لیست پذیرش خروج امن کارکنان؛ سه زمان و دو نوع شاهد

پیش از زمان مؤثر، مسئول پرونده دامنه، مجوز اقدام، مالک هر سامانه، برنامه حفظ مدارک و جانشین را نهایی کند. در زمان مؤثر، مجری مجاز اقدام‌های مصوب را انجام دهد و نتیجه هرکدام را ثبت کند. پس از اجرا، بازبینِ آشنا با سامانه شواهد پایان اختیار و ادامه کار مجاز را بررسی کند. در تیم کوچک اگر جداسازی کامل ممکن نیست، دست‌کم پذیرش مدیریتی به شرح شفاهی همان مجری محدود نباشد؛ خروجی قابل بررسی از سامانه و مسئولیت روشن برای موارد باز لازم است.

شاهد منفی نشان می‌دهد دسترسی قبلی دیگر پذیرفته نمی‌شود؛ شاهد مثبت نشان می‌دهد جانشین می‌تواند کار ضروری را با اختیار خودش انجام دهد. آزمون باید از قبل مجاز، محدود و بی‌خطر باشد: از محیط آزمایشی مناسب، ابزار مدیریتی ارائه‌دهنده یا نشست آزمایشی تحت کنترل تیم فنی استفاده کنید. با رمز فرد خارج‌شده وارد نشوید و برای اثبات کنترل، پرداخت واقعی یا تغییر سند تولیدی ایجاد نکنید. اگر آزمون مستقیم ممکن نیست، نوع شاهد جایگزین و محدودیت اطمینان را بنویسید؛ نبود فعالیت در گزارش، به‌تنهایی نبود امکان دسترسی را ثابت نمی‌کند.

• مجوز و دامنه: شخص، زمان مؤثر، سامانه‌ها و مسئول اقدام تأیید شده‌اند؛ هیچ ردیف حساس بدون مالک باقی نمانده است.
• پایان اختیار: ورود جدید، نشست موجود و اتصال وابسته با شاهد متناسب بررسی شده‌اند؛ زمان احراز و نام بازبین ثبت است.
• حفظ و تحویل: مدارک لازم در محل مجاز قابل استفاده‌اند، انتساب سوابق حفظ شده و جانشین با حساب خودش آزمون را گذرانده است.
• تداوم و استثنا: کار خودکار لازم با مالک و هویت جدید اجرا شده؛ هر مورد باز، محدودیت موقت، موعد و مسئول پذیرش ریسک دارد.

پس از امضا چه چیزی را پایش و چه زمانی بازنگری کنیم؟

برای مدیر مالی یک گزارش کوتاه کافی است: تعداد مسیرهای حساس تأییدنشده، بیشترین فاصله زمان مقرر تا احراز قطع، تعداد حساب‌های خدماتی بدون مالک و تعداد کارهای ضروری ناموفق پس از تحویل. زمان ثبت درخواست را در این شاخص‌ها جای زمان اثر نگذارید. درصد تکمیل را همراه تعداد استثناهای حساس نشان دهید؛ میانگین سریع شرکت نباید یک پرونده باز با اختیار مهم را پنهان کند. آستانه هشدار را متناسب با حساسیت فرایند و قابلیت واقعی سامانه تعیین کنید، نه با یک مهلت یکسان و بی‌پشتوانه برای همه ابزارها.

در نخستین اجرای بعدی هر کار زمان‌بندی‌شده و نخستین موعد مالی مرتبط، ادامه کار جانشین را بازبینی کنید. رویداد منتسب به هویت سابق پس از زمان مقرر نیازمند بررسی مسئول فنی است؛ پیش از نتیجه‌گیری درباره شخص، نوع رویداد، زمان ثبت، اتصال خودکار و وضعیت همگام‌سازی روشن شود. با اضافه‌شدن نرم‌افزار، تغییر ارائه‌دهنده هویت یا تغییر نقش‌ها، نقشه مسیرها و روش آزمون را بازنگری کنید. درس هر مورد ناقص باید به فرایند ایجاد دسترسی برگردد تا مالکیت و برنامه خروج از ابتدا ثبت شوند، نه در آخرین ساعت همکاری.

منابع در ۱۳ سپتامبر ۲۰۲۶ بررسی شده‌اند. دو صفحه CIS تاریخ مستقل صفحه ندارند و با نسخه ۸٫۱ مشخص شده‌اند؛ تاریخ‌های منابع Microsoft و Google در فهرست، تاریخ به‌روزرسانی اعلام‌شده صفحه‌اند. تنظیمات و قابلیت محصولات می‌تواند تغییر کند؛ مالک سامانه باید هنگام اجرا مستند همان محیط را دوباره بررسی کند. پرسش نهایی مدیر این نیست که «آیا تیک خروج زده شد؟»؛ این است که «چه شاهدی نشان می‌دهد اختیار قبلی پایان یافته، سوابق سالم مانده و کار بعدی با مسئولیت روشن ادامه دارد؟»