Fraud Risk bei internen Rollenwechseln

Fraud-Risiken entlang des Employee Lifecycle – Fraud Risk bei internen Rollenwechseln

Dieser Beitrag ist der dritte Deep Dive in der Artikelserie Fraud-Risiken entlang des Employee Lifecycle.

Der Dachartikel hat den Employee Lifecycle als praktische Perspektive eingeführt, um HR Fraud Risk entlang von Hiring, Onboarding, Rollenwechseln, Incentives, Access Rights und Offboarding sichtbar zu machen.

Der erste Deep Dive, Identitätsrisiken beginnen im HR, fokussierte auf die früheste kontrollrelevante Frage:

Wer ist diese Person?

Der zweite Deep Dive, Onboarding macht aus Identität Zugriff, untersuchte die nächste Frage:

Was darf diese Person jetzt tun?

Dieser dritte Deep Dive fokussiert auf das, was passiert, wenn sich die Antwort verändert.

Mitarbeitende wechseln Rollen. Manager ändern sich. Projekte beginnen und enden. Temporäre Verantwortlichkeiten werden dauerhaft. Teams werden reorganisiert. Personen werden befördert, versetzt, temporär ausgeliehen, neu zugeordnet oder gebeten, “kurz in einem anderen Prozess auszuhelfen”.

Aus People-Management-Sicht ist das normaler Organisationsalltag.

Aus Fraud-Risk-Sicht entsteht dadurch eine zentrale Kontrollfrage:

Passen Zugriffsrechte, Freigabeautorität und Kontrollverantwortung noch zur aktuellen Rolle dieser Person?

Sehr oft ist die Antwort nicht vollständig klar.

Genau hier beginnt Control Drift.

Interne Bewegung als Kontrollereignis

Interne Bewegung wird häufig als Karriere-, HR- oder Organisationsereignis behandelt. Eine Person erhält einen neuen Titel. Ein neuer Manager wird zugewiesen. Eine neue Kostenstelle erscheint. Eine Projektrolle wird ergänzt. Eine neue Teamstruktur wird kommuniziert.

Aus Kontrollsicht ist ein interner Rollenwechsel jedoch mehr als eine Änderung im Organigramm.

Er ist ein Kontrollereignis.

Ein Rollenwechsel kann betreffen	Kontrollrelevanz
Systemzugriff	Welche Applikationen, Daten, Plattformen und Workflows die Person nutzen kann
Freigabeautorität	Welche Transaktionen, Limiten, Ausnahmen oder Releases die Person genehmigen kann
Funktionstrennung (Segregation of Duties)	Ob alte und neue Berechtigungen toxische Kombinationen erzeugen
Reporting Lines	Welcher Manager, Workflow oder Eskalationspfad die Person kontrolliert
Kontrollverantwortung	Welche Reviews, Abstimmungen, Freigaben oder Monitoring-Aktivitäten die Person durchführt
Datenzugriff	Welche personenbezogenen, finanziellen, kommerziellen oder operativen Daten sichtbar sind
Budget- oder Kostenstelleneinfluss	Welche Ausgaben, Zuordnungen oder Performance-Strukturen die Person beeinflussen kann

Das Risiko liegt nicht nur darin, dass neuer Zugriff falsch vergeben wird.

Das grössere Risiko liegt darin, dass alter Zugriff, alte Autorität und alte Kontrollverantwortung bestehen bleiben, nachdem die Person die Rolle gewechselt hat.

Warum interne Rollenwechsel fraud-relevant sind

Fraud Risk wird häufig mit bewusster Umgehung verbunden: Jemand hackt ein System, fälscht ein Dokument, manipuliert eine Freigabe oder umgeht eine Kontrolle.

Viele zugriffsbezogene Fraud Risks sind jedoch weniger dramatisch.

Sie entstehen, wenn legitime Rechte mit der Zeit übermässig, veraltet oder unzureichend überprüft werden.

Genau deshalb sind interne Rollenwechsel so wichtig.

Eine Person, die intern wechselt, kann über mehrere Rollen hinweg Zugriffsrechte ansammeln. Eine Finance-Person, die früher in Accounts Payable gearbeitet hat, kann nach einem Wechsel ins Controlling weiterhin lieferantenbezogene Berechtigungen behalten. Eine Procurement-Person kann nach dem Wechsel ins Contract Management weiterhin Zugriff auf Supplier Master Data haben. Eine frühere Payroll-Spezialistin kann nach einem Wechsel in HR Operations weiterhin Einblick in Payroll-Daten behalten.

In jedem dieser Fälle kann der Zugriff eine legitime Vergangenheit haben.

Aber keinen legitimen aktuellen Zweck mehr.

Fraud Risk erfordert nicht immer illegalen Zugriff. Manchmal reicht gültiger Zugriff, der unangemessen geworden ist.

Access Accumulation und Authority Drift

Control Drift zeigt sich häufig in zwei verbundenen Formen: Access Accumulation und Authority Drift.

Drift-Muster	Was passiert	Fraud-relevante Wirkung
Access Accumulation	Bei einem Rollenwechsel wird neuer Zugriff ergänzt, aber alter Zugriff nicht entfernt.	Die Person kann über mehr Systeme, Prozesse oder Datenbereiche handeln, als die aktuelle Rolle erfordert.
Authority Drift	Freigaberechte, Zeichnungsberechtigungen, Release Permissions oder Workflow-Rollen bleiben nach dem Rollenwechsel aktiv.	Die Person kann weiterhin Transaktionen genehmigen, freigeben, übersteuern oder beeinflussen, die sie nicht mehr kontrollieren sollte.
Control Ownership Drift	Eine Person besitzt einen Prozess operativ nicht mehr, erscheint aber weiterhin als Control Owner, Reviewer oder Eskalationsstelle.	Kontrollen werden durch die falsche Person durchgeführt oder faktisch nicht mehr wirksam durchgeführt.
Data Visibility Drift	Eine Person behält Zugriff auf Daten aus einer früheren Funktion, Projektrolle oder Managementposition.	Vertrauliche Payroll-, Kunden-, Lieferanten-, Finanz- oder operative Daten bleiben ohne aktuellen Bedarf sichtbar.

Access Accumulation entsteht oft aus praktischen Gründen. Die neue Rolle benötigt zusätzliche Systeme. Der Manager will einen reibungslosen Übergang. Die Mitarbeitende hilft noch dem alten Team. Niemand ist ganz sicher, welche Berechtigungen noch benötigt werden. Zugriff zu entfernen wirkt riskanter, als ihn stehen zu lassen.

Authority Drift ist teilweise noch schwerer zu erkennen, weil sie im System legitim aussehen kann. Der Workflow akzeptiert die Freigabe. Die Authority Matrix enthält die Person weiterhin. Der Audit Trail zeigt eine benannte und aktive Benutzerin.

Die eigentliche Kontrollfrage lautet jedoch anders:

Hätte diese Person diese Autorität noch haben dürfen?

Wenn die Antwort nein lautet, dokumentiert der Freigabepfad möglicherweise keine wirksame Kontrolle, sondern eine Kontrollschwäche.

Dynamische Funktionstrennung

Funktionstrennung (Segregation of Duties) wird häufig zu einem bestimmten Zeitpunkt geprüft. Rollen von Mitarbeitenden sind aber nicht statisch.

Eine Person hatte beim Onboarding vielleicht keinen Konflikt. Der Konflikt entsteht später, wenn neue Verantwortlichkeiten hinzukommen und alte Zugriffe aktiv bleiben.

Interne Bewegung	Mögliches Problem bei der Funktionstrennung
Accounts-Payable-Mitarbeitende wechselt in eine Payment-Approval-Rolle	Invoice-Entry-Zugriff bleibt aktiv, während Payment-Approval-Autorität hinzukommt
Procurement-Mitarbeitende erhält Supplier-Approval-Autorität	Vendor-Master-Data-Rechte bleiben aktiv
Payroll-Spezialist wechselt ins HR Management	Payroll-Change-Zugriff oder Payroll-Datenzugriff bleibt aktiv
Systemadministrator wechselt in Access Governance	Privileged operational access bleibt aktiv
Project Controller erhält Budget Approval Rights	Transaction-Entry- oder Cost-Allocation-Rechte bleiben aktiv
Warehouse Manager wechselt in Finance Operations	Inventory-Adjustment-Berechtigungen bleiben aktiv

Jede einzelne Berechtigung kann eine nachvollziehbare Vergangenheit haben.

Die Kombination schafft das Problem.

Deshalb sollte Funktionstrennung nicht nur beim Onboarding geprüft werden. Sie sollte auch bei internen Rollenwechseln, Beförderungen, temporären Assignments und Reorganisationen geprüft werden.

Temporärer Zugriff, der dauerhaft wird

Viele Control-Drift-Probleme beginnen mit temporärem Zugriff.

Temporärer Zugriff wird häufig aus legitimen Gründen vergeben: Eine Kollegin ist abwesend, eine Projektdeadline ist dringend, eine Systemmigration benötigt Unterstützung, ein neuer Prozess wird stabilisiert, ein Manager braucht Stellvertretung für Freigaben oder eine Mitarbeitende unterstützt während einer Übergangsphase ein anderes Team.

Das Problem ist nicht temporärer Zugriff an sich.

Das Problem ist temporärer Zugriff ohne Abschluss.

Temporärer Zugriff ohne Ablaufdatum ist kein temporärer Zugriff. Er ist unkontrollierter Zugriff.

Ein Zugriff, der für zwei Wochen gewährt wurde, kann zwei Jahre aktiv bleiben. Eine Emergency Permission wird nie überprüft. Eine Projektrolle überlebt das Projekt. Eine Stellvertretungsfreigabe läuft weiter, obwohl die Stellvertretung beendet ist.

Dadurch entsteht eine Kontrollrealität, die den ursprünglichen organisatorischen Grund für den Zugriff nicht mehr abbildet.

Reorganisationen, Manager-Wechsel und Projektrollen

Einige interne Bewegungen sind formal und sichtbar. Andere entstehen durch organisatorische Veränderungen, Reporting-Line-Updates, Projektarbeit oder informelle Assignments.

Bewegungskontext	Typisches Kontrollrisiko
Reorganisation	Systemrollen, Access Groups, Approval Workflows und Kostenstellenverantwortung spiegeln weiterhin die alte Struktur.
Manager-Wechsel	Workflow-Freigaben, Access Requests, Expense Reviews, Time Approvals oder Eskalationen folgen weiterhin der alten Reporting Line.
Projektrolle	Temporärer Projektzugriff, Master-Data-Rechte oder Implementation Permissions bleiben nach Projektende aktiv.
Informal Process Ownership	Eine Person wird zur praktischen Entscheidungsperson, ohne dass Rolle, Control Ownership oder Review-Struktur formell angepasst werden.
Post-Merger Integration	HR Master Data, Identity and Access Management, Finance Workflows und Approval Matrices sind über übernommene Systeme hinweg nicht abgestimmt.

Manager-Wechsel sind besonders wichtig, weil das Manager-Feld häufig mehr ist als eine Information. Es kann Workflows, Freigaben, Eskalationspfade, Access Requests, Expense Reviews, Time Approvals und performancebezogene Entscheidungen steuern.

Ein Manager-Wechsel ist deshalb nicht nur ein HR-Update.

Er kann ein Kontroll-Update sein.

Welche Kontrollen verlassen sich auf das Manager-Feld als organisatorische Wahrheit?

Wenn die Antwort unklar ist, kann ein Manager-Wechsel versteckten Control Drift erzeugen.

Die Joiner-Mover-Leaver-Lücke

Viele Organisationen haben einen Joiner-Mover-Leaver-Prozess.

Der Joiner-Teil ist oft relativ strukturiert. Der Leaver-Teil wird meist als wichtig erkannt. Der Mover-Teil ist häufig schwächer.

Das ist nachvollziehbar. Joiners sind sichtbar, weil sie aktiviert werden müssen. Leavers sind sichtbar, weil sie deaktiviert werden müssen. Movers sind schwieriger, weil sie in der Organisation bleiben.

Die Person ist weiterhin beschäftigt. Der Account bleibt aktiv. Das Gerät bleibt zugewiesen. Die E-Mail-Adresse bleibt unverändert.

Das Risiko ist deshalb weniger offensichtlich.

Movers können komplexer sein als Joiners oder Leavers, weil sie sowohl Ergänzung als auch Entfernung erfordern.

Mover-Frage	Warum sie wichtig ist
Welcher neue Zugriff ist erforderlich?	Die Person benötigt möglicherweise operative Fähigkeit für die neue Rolle.
Welcher alte Zugriff muss entfernt werden?	Die Person kann weiterhin Fähigkeiten aus der früheren Rolle behalten.
Welche Autorität muss geändert werden?	Freigaberechte passen möglicherweise nicht mehr zur aktuellen Verantwortung.
Welche Konflikte bei der Funktionstrennung entstehen?	Alte und neue Berechtigungen können toxische Kombinationen bilden.
Welcher temporäre Zugriff sollte ablaufen?	Projekt-, Stellvertretungs- oder Emergency Access kann aktiv bleiben.
Welche Workflows hängen an der alten Rolle?	Freigaben, Eskalationen und Control Ownership können alten Strukturen folgen.

Risk Pattern Matrix

Die MOVE-Phase kann unterschiedliche Formen von Control Drift erzeugen. Die folgende Matrix fasst typische Muster zusammen.

Bewegungsmuster	Typischer Control Drift	Fraud-relevante Folge
Beförderung	Neue Approval Rights werden ergänzt, während alter Prozesszugriff aktiv bleibt.	Konflikt bei der Funktionstrennung, übermässige Autorität oder Umgehung von Freigabelimiten.
Lateraler Wechsel	Alter Abteilungszugriff bleibt aktiv, nachdem die Person in eine neue Funktion gewechselt ist.	Cross-Process Visibility, Missbrauch von Zugriffsrechten oder Datenmanipulation.
Temporäres Assignment	Temporärer Zugriff hat kein Ablaufdatum oder wird nach Ende des Assignments nicht überprüft.	Unkontrollierter Langzeitzugriff.
Manager-Wechsel	Workflow-Freigaben und Access Requests folgen weiterhin der alten Reporting Line.	Ungültiger Freigabepfad oder schwache Accountability.
Projektrolle	Projektberechtigungen überleben den Projektabschluss.	Residual Access vor formalem Offboarding.
Reorganisation	HR Master Data, IAM-Rollen, Workflows und Approval Matrices sind nicht mehr abgestimmt.	Kontrollrealität entfernt sich von der organisatorischen Struktur.
Systemmigration	Alte Berechtigungen werden übertragen, dupliziert oder zu breit gemappt.	Privileged Access, übermässiger Zugriff oder Auditability-Probleme.
Wechsel von Process Ownership	Frühere Process Owners behalten Master-Data-, Approval- oder Review-Rechte.	Schwache Kontrollverantwortung und unklare Accountability.

Red Flags

Control Drift zeigt sich häufig als kleine Inkonsistenz statt als offensichtliches Kontrollversagen. Die folgenden Red Flags sind besonders relevant nach internen Wechseln, Beförderungen, temporären Assignments und Reorganisationen.

Access Red Flags

alter Zugriff bleibt nach internem Transfer aktiv
neuer Zugriff wird vergeben, ohne veralteten Zugriff zu entfernen
Benutzer haben Zugriffsrechte über unvereinbare Prozessschritte hinweg
Business Owner können nicht erklären, weshalb ein Benutzer noch bestimmte Rechte hat
Rollenvorlagen werden aktualisiert, bestehende Benutzer aber nicht bereinigt
High-Risk Permissions überleben Reorganisationen

Authority Red Flags

Freigabeautorität bleibt nach Rollenwechsel aktiv
Mitarbeitende genehmigen Transaktionen für ein Team, das sie nicht mehr führen
Authority Matrices passen nicht zu Systemberechtigungen
Workflow-Freigaben folgen veralteten Reporting Lines
Stellvertretungsfreigaben laufen weiter, obwohl die Stellvertretung beendet ist
Approval Limits passen nicht zur aktuellen Rolle

Temporary and Project Access Red Flags

temporärer Zugriff hat kein Ablaufdatum
Projektzugriff bleibt nach Projektabschluss aktiv
externe oder temporäre Rollen bleiben nach Ende des Assignments aktiv
Emergency Permissions sind in Access Reviews nicht sichtbar
Projektrollen sind nicht in Joiner-Mover-Leaver Controls abgebildet
temporäre Process Ownership wird faktisch dauerhaft

Data and Alignment Red Flags

Manager-Felder unterscheiden sich zwischen HR, Identity and Access Management und Finance-Systemen
Kostenstellenverantwortung passt nicht zu Workflow-Freigabepfaden
Konflikte bei der Funktionstrennung treten erst nach Rollenwechseln auf
Access Reviews bestätigen Zugriff aus Gewohnheit statt aufgrund aktueller Rolle
HR Master Data und Systemberechtigungen beschreiben unterschiedliche organisatorische Realitäten
High-Risk Roles wurden nach organisatorischen Veränderungen nicht neu beurteilt

Keine dieser Red Flags beweist für sich allein Fraud.

Jede davon sollte aber eine Kontrollfrage auslösen.

Kontrollfragen

Ein praktisches Fraud Risk Assessment kann interne Rollenwechsel als Kontrollereignisse untersuchen.

Trigger für Rollenwechsel

Die erste Frage ist, ob die Organisation eine interne Bewegung überhaupt als kontrollrelevant erkennt.

Welche Ereignisse lösen eine Mover Control aus?
Sind Beförderungen, laterale Transfers, Secondments, Projektzuweisungen und Manager-Wechsel enthalten?
Werden temporäre Assignments erfasst?
Werden Reorganisationen als Mass-Mover-Events behandelt?
Wer besitzt den Mover-Prozess?

Entfernung von Zugriff

Ein Mover-Prozess ist unvollständig, wenn er nur neue Rechte hinzufügt.

Welche Access Rights sollten entfernt werden, wenn eine Person die Rolle wechselt?
Wird alter Zugriff vor oder gleichzeitig mit neuem Zugriff entfernt?
Werden Access Removals durch System Owner bestätigt?
Werden obsolete Permissions automatisch erkannt?
Werden Privileged Access Rights separat überprüft?

Autorität und Freigaben

Autorität sollte der aktuellen Rolle folgen, nicht der historischen Rolle.

Ändert sich Freigabeautorität, wenn sich die Rolle ändert?
Werden Workflow-Rollen aktualisiert, wenn Manager, Kostenstelle oder Organisationseinheit wechseln?
Werden Zeichnungsrechte und Delegationsregeln überprüft?
Sind Approval Limits mit der aktuellen Rolle abgestimmt?
Sind Stellvertretungsfreigaben zeitlich begrenzt?

Funktionstrennung

Funktionstrennung sollte dynamisch sein, nicht nur ein Onboarding-Check.

Werden Segregation-of-Duties-Prüfungen nach internen Rollenwechseln durchgeführt?
Berücksichtigen diese Prüfungen kumulierte Zugriffe aus alter und neuer Rolle?
Werden Konflikte bereinigt oder formal risikobasiert akzeptiert?
Sind kompensierende Kontrollen definiert?
Werden wiederholte Konflikte als Role-Design-Problem analysiert?

HR Master Data und Systemabgleich

Control Drift zeigt sich häufig dort, wo Systeme auf unterschiedliche Versionen organisatorischer Wahrheit vertrauen.

Welche Systeme verlassen sich auf HR Master Data für Rolle, Manager, Kostenstelle oder Beschäftigungsstatus?
Werden HR, Identity and Access Management, Finance, Procurement und Workflow-Systeme nach Rollenwechseln abgeglichen?
Kann eine Person in HR eine Rolle haben und im IAM ein anderes Access Profile?
Werden Manager-Wechsel in Approval Workflows abgebildet?
Werden organisatorische Veränderungen in Access Groups nachvollzogen?

Temporärer und projektbezogener Zugriff

Temporäre Fähigkeit sollte ein kontrolliertes Ende haben.

Hat jede temporäre Rolle ein Enddatum?
Werden Projektrollen bei Projektabschluss überprüft?
Wer bestätigt, dass temporärer Zugriff entfernt wurde?
Sind Emergency Permissions in Access Reviews sichtbar?
Werden projektbezogene Berechtigungen in Segregation-of-Duties-Prüfungen berücksichtigt?

Praktische Kontrollmassnahmen

Control Drift lässt sich nicht nur durch periodische Access Reviews steuern. Es braucht Kontrollen im Moment der Bewegung.

Kontrollmassnahme	Zweck
Rollenwechsel als Kontrollereignisse behandeln	Review von Zugriff, Autorität, Funktionstrennung und Kontrollverantwortung auslösen.
Mover Controls ausdrücklich definieren	Sicherstellen, dass der Mover-Prozess veraltete Rechte entfernt und nicht nur neue Rechte hinzufügt.
Wo möglich entfernen, bevor hinzugefügt wird	Den Zeitraum reduzieren, in dem eine Person alte und neue Fähigkeiten gleichzeitig hält.
Kumulierten Zugriff überprüfen	Beurteilen, was eine Person über Systeme und Prozesse hinweg tun kann.
Rollenwechsel mit Funktionstrennungsprüfungen verknüpfen	Konflikte erkennen, die durch die Kombination alter und neuer Berechtigungen entstehen.
Temporäre Rollen zeitlich begrenzen	Verhindern, dass temporärer Zugriff zu unkontrolliertem Zugriff wird.
HR, IAM und Workflow-Daten abgleichen	Organisatorische Wahrheit und Kontrollrealität abgestimmt halten.
Autorität separat von Zugriff überprüfen	Sicherstellen, dass Systemzugriff nicht automatisch Freigabeautorität bedeutet.
Projekte und informelle Assignments einbeziehen	Versteckte Access Accumulation ausserhalb formaler HR-Rollenwechsel erfassen.
Audit Trail sichern	Spätere Rekonstruktion von Zugriff, Autorität und Ausnahmeentscheidungen ermöglichen.

Für sensible Rollen sollte Least Privilege nicht nur beim Onboarding gelten, sondern bei jeder wesentlichen Bewegung. Eine Person benötigt möglicherweise weiterhin Leserechte, aber nicht mehr die Autorität, Informationen freizugeben, zu ändern oder zu übersteuern.

Das ist besonders wichtig in Finance, Procurement, Payroll, HR Master Data, Master Data Management, Systemadministration und anderen Bereichen mit High-Risk Process Exposure.

NIST Identity and Access Management ist in diesem Zusammenhang relevant, weil “right access” von Rolle, Kontext, aktuellem Bedarf und organisatorischem Zweck abhängt. NIST SP 800-53 ist zudem ein hilfreicher Referenzpunkt für Access Control, Least Privilege, Separation of Duties und auditbezogene Kontrollkonzepte.

Forensische Relevanz

Wenn ein Fall Missbrauch von Zugriffsrechten, Umgehung interner Kontrollen, Datenmanipulation, Lieferantenbetrug, Payroll Fraud, Spesenbetrug oder Procurement Fraud betrifft, beginnt die Untersuchung häufig bei der Handlung.

Wer hat die Daten geändert?

Wer hat die Transaktion freigegeben?

Wer hat die Zahlung ausgelöst?

Wer hat auf das System zugegriffen?

Wer hatte das Credential?

Diese Fragen sind notwendig.

Die Employee Lifecycle Fraud Risk Lens ergänzt sie jedoch um eine andere Frage:

War dieser Zugriff für die aktuelle Rolle der Person noch angemessen?

Beweisbereich	Was er zeigen kann
HR Role Change Records	Wann sich die organisatorische Rolle geändert hat und wer dies genehmigt hat
Promotion- oder Transfer-Dokumentation	Ob der Rollenwechsel formal, temporär oder ausnahmsweise erfolgte
Manager Change History	Ob Freigabepfade aktuellen oder veralteten Reporting Lines folgten
Cost Centre Change Logs	Ob finanzielle Verantwortung zusammen mit der Rolle geändert wurde
IAM Provisioning und Deprovisioning Logs	Welche Access Rights ergänzt, behalten oder entfernt wurden
Role Template History	Ob sich Access Profiles über Zeit verändert haben und bestehende Benutzer bereinigt wurden
Approval Authority Matrices	Ob Autorität zur aktuellen Rolle passte
Workflow Configuration History	Ob Freigaben aktuellen oder veralteten Organisationsstrukturen folgten
Segregation of Duties Check Results	Ob alte und neue Berechtigungen Konflikte erzeugten
Access Review Records	Ob fortbestehender Zugriff aktiv validiert oder nur aus Gewohnheit bestätigt wurde
Project Role Assignments	Ob temporäre oder informelle Rollen zusätzliche Fähigkeit geschaffen haben
Exception Registers	Ob temporärer Zugriff, Stellvertretungsfreigaben oder Emergency Permissions geschlossen wurden
Audit Logs	Welche Handlungen vorgenommen wurden und ob die Person mit formal gültigem Zugriff handelte

Das ist besonders wichtig, wenn eine Person mit formal gültigem Zugriff gehandelt hat.

Das System kann zeigen, dass die Person berechtigt war. Der Workflow kann zeigen, dass die Freigabe akzeptiert wurde. Der Audit Trail kann eine benannte aktive Mitarbeitende zeigen.

Das forensische Problem kann trotzdem upstream liegen:

Die Person hätte diese Berechtigung nicht mehr haben dürfen.

Warum das wichtig ist

Control Drift ist gefährlich, weil er selten wie ein einzelnes Kontrollversagen aussieht.

Er sieht aus wie normale organisatorische Veränderung.

Eine Beförderung. Ein Transfer. Ein temporäres Assignment. Eine Restrukturierung. Eine Projektrolle. Ein Manager-Update. Ein Workaround in einer arbeitsintensiven Phase.

Über Zeit können diese Veränderungen jedoch übermässigen Zugriff, veraltete Autorität, schwache Funktionstrennung und unklare Kontrollverantwortung erzeugen.

Das ist wichtig, weil viele Fraud Risks keinen illegalen Zugriff benötigen.

Sie benötigen gültigen Zugriff, der unangemessen geworden ist.

Die Person muss nicht in ein System einbrechen. Das System lässt sie bereits hinein. Der Workflow lehnt die Freigabe nicht ab. Der Freigabepfad akzeptiert sie weiterhin. Der Audit Trail zeigt keinen Outsider. Er zeigt einen Insider mit Rechten, die hätten überprüft werden müssen.

Deshalb ist die MOVE-Phase zentral für die Employee Lifecycle Fraud Risk Lens.

Fazit

Fraud Risk beginnt nicht immer, wenn Zugriff erstmals gewährt wird.

Manchmal beginnt es, wenn Zugriff die Rolle überlebt, die ihn ursprünglich gerechtfertigt hat.

Der erste Deep Dive dieser Serie fokussierte auf Identität.

Der zweite fokussierte auf Onboarding und die Entstehung operativer Fähigkeit.

Dieser dritte Deep Dive fokussierte auf interne Rollenwechsel und Control Drift.

Interne Wechsel, Beförderungen, temporäre Assignments und Reorganisationen sind nicht nur HR-Ereignisse.

Sie sind Kontrollereignisse.

Jeder Rollenwechsel kann verändern, worauf eine Person zugreifen, was sie genehmigen, beeinflussen oder kontrollieren sollte.

Wenn eine Organisation neuen Zugriff hinzufügt, ohne alten Zugriff zu entfernen, Job Titles aktualisiert, ohne Autorität anzupassen, oder Reporting Lines verändert, ohne Workflows zu aktualisieren, beginnt die Kontrollrealität von der organisatorischen Wahrheit abzuweichen.

Die Employee Lifecycle Fraud Risk Lens hilft, diesen Zusammenhang sichtbar zu machen.

Bevor Organisationen fragen, ob eine Transaktion technisch autorisiert war, sollten sie auch fragen:

Hatte die Person noch einen legitimen Grund, den genutzten Zugriff, die Autorität oder die Kontrollfähigkeit zu besitzen?

Weitere Perspektiven

Dieser Beitrag ist Teil der Artikelserie Fraud Risk along the Employee Lifecycle.

Der Dachartikel hat den Employee Lifecycle als praktische Perspektive auf Fraud Risk in Hiring, Onboarding, Rollenwechseln, Incentives, Access Rights und Offboarding eingeführt.

Der erste Deep Dive untersuchte Identity Risk.

Der zweite Deep Dive fokussierte auf Onboarding, Rollenzuweisung und Access Creation.

Dieser dritte Deep Dive untersuchte die MOVE-Phase: interne Rollenwechsel, Access Accumulation und Control Drift.

Der nächste Beitrag wird untersuchen, wie Incentives, Zielsysteme und Performance Pressure zu Red Flags für Fraud Risk werden können.

Quellen und Referenzen

Wie bewerten Sie diesen Beitrag?