الضوابط وأدلة التدقيقControls and audit evidence

«الضابط» Control إجراء تضعه لتقليل خطر بعينه، كأن يوافق شخصان على كل تحويل كبير. و«الدليل» Evidence هو السجلّ الذي يثبت أن الضابط عمل فعلاً، لا أنه مكتوب في سياسة.

يبدأ الضابط الجيد بخطر محدد وينتهي بسجل يستطيع شخص غائب قراءة نتيجته.

ليش يفشل ضابط كان يعمل بامتياز من سنة؟

وهذا ما يفاجئ الفرق في التدقيق: ضابط صُمِّم جيداً، وعمل شهوراً، ثم اكتُشف أنه توقّف عن الحماية دون أن ينهار أحد.

والسبب أن الضوابط تتآكل، ونادراً ما تتآكل بضجيج.

فتخيّل قاعدة تُوقف أي تحويل يتجاوز خمسين ألفاً للمراجعة اليدوية. وقد وُضعت حين كان متوسط تحويلات عملائك ثلاثة آلاف. ثم دخلت شركات في قاعدة عملائك، فصار المتوسط سبعين ألفاً. فالقاعدة ما زالت تعمل تماماً كما كُتبت، وصارت توقف كل شيء، فبدأ الفريق يوافق دون قراءة لأن الطابور مستحيل.

فالضابط قائم على الورق، ولا يحمي شيئاً على الأرض.

وأشكال التآكل الأخرى مألوفة: موظف غادر ولم يُنقل دوره لأحد، ونظام جديد استُبدل بالقديم ولم يُربط بالفحص، واستثناء مؤقت مُنح لعميل كبير ثم نُسي فصار دائماً.

ولهذا فإثبات أن الضابط موجود لا يكفي، ويجب إثبات أنه ما زال يعمل. ومن هنا جاء اختبار الضوابط دورياً بعيّنة، لا الاكتفاء بوثيقة تصميم كُتبت مرة.

والسؤال الذي يجب أن تسأله لكل ضابط عندك: متى آخر مرة تأكّدنا أنه يمسك شيئاً فعلاً؟ فإن كان الجواب «حين كتبناه»، فأنت لا تعرف حالته الآن.

اربط الخطر بالفعل

ويعني «الضابط» Control إجراء يمنع مشكلة محددة أو يكتشف وقوعها. فلا تقل إن مراجعة المدير ضابط جيد فقط. وقل إنها تمنع موظفاً واحداً من إنشاء دفعة فوق ١٠٠ ألف ريال واعتمادها.

واكتب لكل ضابط أربعة أجزاء: الخطر، والفعل، والمالك، والدليل. فإذا غاب الخطر، لا تعرف ما تختبر. وإذا غاب المالك، لا يعمل أحد. وإذا غاب الدليل، لا تستطيع إثبات التشغيل.

ولا تجمع عشرة أخطار في عبارة واحدة. فخطر دفع غير مصرح يختلف عن خطر مبلغ خاطئ أو مستفيد خاطئ. وقد يعالج الفصل بينها كل خطر بضابط أدق.

امنع واكتشف

وتوقف الضوابط الوقائية الخطأ قبل حدوثه. فقد تمنع قاعدة مبلغاً يتجاوز الحد، أو ترفض صلاحية ناقصة، أو تطلب موافقة ثانية. وتقلل هذه الضوابط الخسارة المباشرة.

وتكشف الضوابط الكشفية ما مر رغم الوقاية. فقد تطابق الشركة سجلها مع كشف البنك يومياً، أو تراجع صلاحيات الموظفين شهرياً، أو تنبه إلى دفعة خارج النمط. وتثبت أن الوقاية لم تكن كاملة.

ولا تختَر نوعاً واحداً دائماً. فقد يتعطل حد الدفع أو يملك موظف صلاحية خاطئة. وتكشف المطابقة المشكلة بعد ذلك. ويكون الجمع بين المنع والكشف أقوى من الثقة بضابط منفرد.

افصل المهام الحساسة

ويعني «فصل المهام» Segregation of duties ألا يستطيع شخص واحد إكمال عملية عالية الخطر وحده. فينشئ موظف الخزانة ملف الدفع، ويراجع مدير آخر المستفيد والمبلغ، ثم يرسله النظام.

ولا يفيد الفصل إذا شارك الموظفان كلمة مرور أو كان الأول يستطيع تغيير صلاحية الثاني. ويجب أن تكون الحسابات شخصية والموافقات مستقلة والأثر واضحاً. ولا يعتمد المدير ملفاً أنشأه بنفسه تحت دور آخر.

وحدد بديلاً للإجازات والطوارئ. فلا تمنح شخصاً واحداً كل الأدوار لأن زميله غائب. ويمكن إعطاء وصول مؤقت بموافقة ووقت انتهاء ومراجعة لاحقة.

صمم الدليل مع الضابط

ولا تعتبر لقطة شاشة محفوظة يدوياً أفضل دليل متاح. فقد تُلتقط قبل اكتمال المراجعة أو بعد تعديل المرشح. ويكون الدليل الآلي أقوى حين يسجل المدخل والنتيجة والفاعل والوقت ونسخة القاعدة.

وقد ينتج فحص يومي ملفاً يحمل العمليات المفحوصة والاستثناءات واسم من أغلقها. وقد تسجل مراجعة الصلاحيات القائمة قبل التغيير والقرارات والموافق. ويجب أن يثبت الدليل التشغيل والنتيجة لا وجود زر فقط.

واحفظه في مكان لا يستطيع منفذ الضابط تغييره بلا أثر. وحدد مدة الاحتفاظ وصلاحيات القراءة. ولا تضع بيانات العملاء في مجلد عام بحجة التدقيق.

اجعل أثر التدقيق مفهوماً

ويعني «أثر التدقيق» Audit trail سجلاً بمن فعل ماذا ومتى ولماذا. ولا يكفي رمز تقني لا يعرفه سوى المهندس الذي غادر. فيجب أن يربط معرف المستخدم بالدور والعملية والقرار.

وسجل القيم المهمة قبل التغيير وبعده. فإذا تغير حد تحويل من ٥٠ ألفاً إلى ٥٠٠ ألف، يبين الأثر القيمتين والموافق والسبب. ولا تسجل كلمة تغير الإعداد فقط.

وامنع الحذف والتعديل، واستخدم قيداً أو حدثاً مقابلاً للتصحيح. فإذا أُدخل سبب خاطئ، يظهر التصحيح بجواره. ويظل التاريخ قابلاً لإعادة البناء.

حدد التكرار والعتبة

ولا يعمل الضابط عند الحاجة إذا لم تحدد متى يعمل. فقد يفحص النظام كل دفعة فوراً، أو يطابق يومياً، أو يراجع المورد سنوياً. ويجب أن يناسب التكرار سرعة الخطر.

وحدد العتبة ومصدرها. فإذا راجعت دفعات فوق ١٠٠ ألف، اكتب هل الحد للعملية أم اليوم أم المستفيد. واكتب العملة وسعر التحويل. ويمنع ذلك اختلاف فريقين في التطبيق.

وأضف اتفاقاً للتعامل مع الاستثناء. فقد يحتاج فرق المطابقة تحقيقاً خلال يوم عمل، بينما يحتاج وصول إداري مجهول إيقافاً فورياً. ولا يكتمل الضابط عند إطلاق التنبيه، بل عند إغلاق النتيجة.

اختبر التشغيل والتصميم

وقد يكون الضابط مصمماً جيداً لكنه لم يعمل يومين بسبب عطل. وقد يعمل كل يوم لكنه لا يغطي القناة الجديدة. ولذلك اختبر التشغيل والتصميم منفصلين.

ولا تختبر عينة اختارها صاحب الضابط وحده. فاختر فترة وعمليات بطريقة يمكن تفسيرها، وافحص الفشل والنجاح والاستثناءات. وإذا وجدت فجوة، سجل أثرها وإصلاحها وإعادة الاختبار.

وراجع الضابط عند تغير المنتج أو النظام أو المورد. فقد تبقى وثيقة تقول إن المدير يعتمد في بريد إلكتروني بينما انتقل العمل إلى تطبيق. ويصبح الدليل القديم غير مرتبط بالواقع.

جهز سجل الضوابط

واجمع الضوابط في سجل واحد يذكر الخطر والمالك والتكرار والنظام والدليل وآخر اختبار. ولا تجعل الملف نسخة منفصلة عن التشغيل تنسى تحديثها. واربطه بالتذاكر والسجلات والتقارير الفعلية.

وحدد الضوابط الرئيسية التي تعتمد عليها الإدارة والترخيص. فأي فشل فيها يحتاج تصعيداً أسرع. ولا تسم كل إجراء رئيسياً، لأن ذلك يخفي الأولوية.

أجب المدقق من الأثر

وقد يختار المدقق دفعة من شهر مارس ويسأل من أنشأها ومن اعتمدها وهل طابقت البنك. فيجب أن تصل من معرف الدفعة إلى القيود والموافقات ونتيجة المطابقة دون جمع رسائل شخصية.

ولا يكفي أن تقول إن الفريق يفعل ذلك دائماً. فأظهر السياسة والضبط الآلي وعينة التشغيل والاستثناءات. وإذا غاب يوم، قل ذلك واشرح الأثر والإصلاح بدلاً من صنع دليل متأخر.

ويصبح الامتثال قابلاً للتشغيل حين تبنى الأدلة داخل المنتج. فيعرف الموظف دوره، ويمنع النظام التعارض، وتظهر الاستثناءات، ويبقى التاريخ. وعندها لا يكون أسبوع التدقيق مشروع إنقاذ، بل قراءة منظمة لما حدث فعلاً.