In de Belgische vestiging van een grote internationale groep werden SAP-toegangsrechten beheerd zonder duidelijke methodologie.
Telkens wanneer rechten van medewerkers moesten worden toegekend of aangepast, werd het IT-team ingeschakeld. Dat leidde er niet alleen toe dat IT-professionals werden afgeleid van hun kerntaken, maar legde ook de verantwoordelijkheid voor het rechtenbeheer bij hen, ondanks hun gebrek aan inzicht in de redenen achter de aanvragen.
Het IT-team werkte op basis van standaardcriteria en reageerde enkel op verzoeken zonder verdere bevraging, wat resulteerde in tal van anomalieën:
- Afdelingshoofden kregen slechts gedeeltelijke toegangsrechten, terwijl stagiairs soms overmatige machtigingen hadden (zoals firefighter-rollen).
- Medewerkers die van functie veranderden, behielden toegangsrechten uit hun vorige rol en kregen niet de juiste nieuwe rechten.
Voor de financiële controle leidde dit tot aanzienlijke problemen rond de scheiding van taken, zoals éénzelfde persoon die betalingen uitvoerde, controleerde, ingaf en valideerde.
