إعداد الخطة السنوية لإدارة التدقيق الداخلي وفق التدقيق المبني على المخاطر

خطة إدارة التدقيق السنوية المقترحة وفق أسلوب المخاطر :

وفق أسلوب مقترح ضمن أطروحة دكتوراة تعود للمؤلف يتم بناء خطة زيارات التدقيق السنوية استناداً إلى المخاطر من خلال تحديد مراكز العمل التي تخضع لأنشطة إدارة التدقيق وعناصر الخطر التي من المحتمل أن تتعرض لها هذه المراكز، ويفضل أن يتم بناء هذا النموذج من خلال برنامج حاسوب.

وفيما يلي الإجراءات العملية لبناء نموذج خطة التدقيق السنوية المقترح :-

أولاً: مصفوفة المخاطر :  

وهو كشف يتم الوصول من خلاله إلى درجة الخطر Exposure Level لكل مركز من مراكز العمل الخاضعة للتدقيق ويتم تجهيزه كما يلي:ـ

ـ حصر كافة المراكز والأنشطة التي تخضع لعمليات التدقيق الداخلي لدى المؤسسة.

ـ تحديد عناصر الخطر التي يجب المفاضلة بموجبها بين مراكز العمل المختلفة ، وهذه العناصر وفق النموذج المقترح تتكون من 15 عنصراً كما يلي :-  

- الحجم   Volume .  

ـ تعقيد العمليات Operation Complicated .

ـ الأثر المالي  Financial Effect.

ـ كفاءة الموظفين Staff Efficiency .

ـ الأثر القانوني  Legal Effect .

ـ التغيرات في بيئة العمل Changes In Work Environment .

- موقع مركز العمل Location .

ـ التأثير على خدمة العملاء Customer Service.

ـ العلاقة بين مراكز العمل Reliability .

ـ التوقيت Time .

- السرية  Confidentiality.

- درجة أتمتة المعلومات  Automation .

ـ التعامل مع تقارير التدقيق Auditing Reports

ـ فجوة الرقابة  Control Gap.

- ضغوط الإدارة  Administration Pressures.

وفيما يلي شرحاً لكل عنصر من هذه العناصر وأسس المقارنة المعتمدة بين مراكز العمل لكل منها : ـ

1- الحجم Volume :

إن زيادة حجم مركز العمل أو النشاط يصاحبه زيادة في المخاطر التي يمكن أن يتعرض لها النشاط/ المركز ويمكن قياس الحجم بمبلغ الموجودات أو عدد الموظفين أو المباني التي يشغلها أو عدد المعاملات أو مبالغها، وبناء عليه فإن مراكز العمل أو الأنشطة الكبيرة يتم تثقيلها بنقاط خطر أكبر من مراكز العمل صغيرة الحجم نسبياً.

2 ـ تعقيد العمليات Operation Complicated :

إن زيادة تعقيد عمليات مركز العمل وفيما إذا تطلب وجود فنيات معينة لدى العاملين أو يتطلب التعامل مع أجهزة معقدة ودقيقة ستؤدي إلى زيادة المخاطر الناشئة عن ذلك. فعلى سبيل المثال، إن وحدة التعامل بالعملات الأجنبية لدى المصارف أو دائرة الحاسوب تكون طبيعة عملها أكثر تعقيداً من الوحدات الأخرى مثل الفروع أو الموارد البشرية ... الخ، ووحدة الصيانة في شركات الطيران أنشطتها أكثر تعقيداً من وحدة تقديم الخدمات الأرضية، وهذا يتطلب إعطاءها نقاط خطر أكبر قياساً مع غيرها من الوحدات.

3 ـ الأثر المالي Financial Effect :

تتميز المعاملات المالية بأن المخاطر الملازمة لها Inherent Risk مرتفعة ، لذلك فإن مراكز العمل التي تتضمن أنشطتها تعاملاَ بالنقدية أو معاملات مالية أو إعداد ودراسة تقارير مالية أو القيام بعمليات محاسبية تتعرض لمخاطر أعلى، لذلك يتم ترجيحها بنقاط خطر أكبر.  

4- كفاءة الموظفين Staff Efficiency :  

إن العنصر البشري يعتبر أهم عنصر من عناصر الإنتاج، لذلك فإن مراكز العمل التي يعمل فيها موظفون يتمتعون بكفاءة علمية وعملية عالية ويشعرون بالاستقرار والرضا الوظيفي تتصف بأنها مراكز ذات مخاطر أقل من مراكز العمل الأخرى التي تفتقد إلى هذه المميزات، لذلك يتم تثقيلها بنقاط خطر أقل.

5 ـ  الأثر القانوني Legal Effect  : 

تتميز غالبية أنشطة بعض مراكز العمل بالصبغة القانونية، مثل التعامل بعقود قانونية أو اتفاقيات مع أطراف أخرى كالمؤسسات الخارجية الدولية أو تتعامل مع جهات حكومية كالضريبة أو البنك المركزي أو الجمارك ... الخ، وبالتالي فإن أي خلل في عمل هذه المراكز قد يعرض المؤسسة إلى المساءلة القانونية، لذلك فإن هذه المراكز يجب تثقيلها بنقاط خطر أكبر من غيرها .  

6- التغيرات في بيئة العمل Changes In Work Environment:

إن التغيرات التي تتم داخل بيئة مركز العمل سواء كانت تغيرات تشغيلية أو تنظيمية أو محاسبية أو تكنولوجية تزيد من احتمالية التعرض للمخاطر، ومثال على هذه التغييرات التغير في إدارة مراكز العمل، أو موظفيه، أو التغير في أنظمة الحاسوب، أو الأنظمة المحاسبية، أو المنهاج المحاسبي، أو ادخال أنشطة، أو خدمات جديدة اليه. لذلك، فإن مراكز العمل التي تحدث لديها مثل هذه التغيرات يجب تثقيلها بنقاط خطر أكبر من غيرها.

7 ـ موقع مركز العمل Location :

إن بعد مركز العمل عن مركز الإدارة الرئيسي يزيد من احتمالية تعرضه للمخاطر، وذلك في ظل محدودية الإشراف عليه من قبل الإدارة، لذلك كلما زادت المسافة بين مركز العمل ومركز الإدارة زادت المخاطر، وبالتالي يجب تثقيله بنقاط خطر أكبر. 

8 ـ خدمة العملاء Customer Service:

إن مراكز العمل التي تتعامل مع عملاء خارجيين تكون مخاطرها أكبر من مراكز العمل التي غالبية عملائها داخليين، وتزيد احتمالية مخاطر فقدان العملاء في حالة ضعف جودة وسرعة الخدمة المقدمة، وتزداد هذه المخاطر في حالة التعامل مع عملاء خارجيين مصنفين على أنهم مهمين VIP، وكذلك هناك مراكز عمل لا تتعامل مع العملاء الخارجيين بشكل مباشر، ويمكن في حالة حدوث خلل لديه قد يؤدي إلى التأثير على خدمة العملاء الخارجيين يتم تثقيلها بنقاط خطر أعلى.

9 ـ العلاقة بين مراكز العمل Reliability :

إن مركز العمل الذي تعتمد على نشاطه مراكز عمل كثيرة لدى المؤسسة تكون مخاطره أكبر من تلك المراكز، حيث إن أي خلل أو ضعف لديه سيؤثر على المراكز الأخرى، فمثلاً إدارة الحاسوب يعتمد عليها ويتأثر بها غالبية مراكز العمل لدى المؤسسة، لذلك أي خلل فيها سينعكس على هذه المراكز، لذلك يجب تثقيله بنقاط خطر أكبر.

10- التوقيت Time :

يجب أن تهتم إدارات المؤسسات وتزيد من اهتمامها بالنسبة لمراكز العمل التي يجب تنفيذ عملها في وقت محدد وغالباً لحظياً، فمثلاً، المتعاملين في غرف التعامل Dealing Room في المصارف يجب تنفيذ صفقاتهم وقيدها لحظياً، كذلك إدارة الحاسوب لدى المؤسسات يجب أن تمرر برامج التحديث اليومي والشهري.. الخ في وقت محدد لأن أعمال المؤسسة يجب أن تتم ضمن وقت قياسي حتى لا تتأثر أعمال المؤسسة، وينعكس ذلك على خدمة عملائها مما يهددها بفقدانهم، لذلك فإن هذه المراكز تتعرض لمخاطر أكبر وبناء عليه، يجب تثقيل هذه المراكز بنقاط خطر أكبر. 

11- السرية Confidentiality :

بعض مراكز العمل تتميز أعمالها بالسرية العالية ويتم وضع ضوابط رقابية مناسبة للمحافظة على هذه السرية لاسيما وأن تسرب بعض هذه المعلومات قد يؤثر سلباً على المؤسسة، لذلك فإن المراكز التي تتميز أعمالها بالسرية العالية يتم تثقيلها بنقاط خطر أكبر.  

12 - درجة أتمتة المعلومات Automation :

إن زيادة أتمتة المعلومات لدى مراكز العمل يقلل من احتمالية المخاطر، خاصة التزوير والتلاعب والاختلاس والأخطاء قياساً مع العمل اليدوي، لذلك فإن مراكز العمل التي تتميز بالتعامل مع الحاسوب في معظم أنشطتها يتم تثقيلها بنقاط خطر أقل أخذين بعين الاعتبار بأن إدارة الحاسوب كلما زادت الأتمتة لديها زادت المخاطر التي تتعرض لها.

13 ـ التعامل مع تقارير التدقيق Auditing Reports : 

إن عدم متابعة الاستجابة للملاحظات الواردة في تقارير المدققين الداخليين والخارجيين ومدققي الجهات الرقابية الأخرى مثل البنك المركزي وديوان المحاسبة يعطي مؤشراً سلبياً عن مركز العمل ويزيد من احتمالية حدوث المخاطر لديه، لا سيما وأن هذه الملاحظات تتناول خلل في أنظمة الرقابة الداخلية، ومعالجتها تعني معالجة هذا الخلل، لذلك فإن مراكز العمل التي لا تتفاعل مع تقارير التدقيق يجب تثقيلها بنقاط خطر أكبر.

14- فجوة الرقابة Control Gap :  

في حال قيام المؤسسة بتطبيق" نظام التقييم الذاتي للمخاطر CRSA» فإن نتائج هذا النظام في النهاية بيان فجوة الرقابة لكل خطر من المخاطر، لذلك فإن مراكز العمل التي لديها فجوة رقابية كبيرة ولم يتم معالجتها يتم تثقيلها بنقاط خطر أكبر.

15- الضغوط الإدارية Administration Pressures :

هناك مراكز عمل تخضع لضغوط من الإدارة في تحقيق أهدافها في حالة وجود ضغوط من الإدارة على مراكز عمل يتم تثقيلها بنقاط خطر أعلى.

* تصميم المصفوفة بمحورين أفقي وعمودي، بحيث توضع مراكز العمل على المحور العمودي وعناصر الخطر Risk Factors التي يتم اعتمادها من قبل إدارة التدقيق في الجانب الأفقي ويتم تحديد عددها واختيارها طبقاً لطبيعة نشاط المؤسسة وعدد الوحدات الخاضعة للتدقيق، علماً بأن احدى المسوحات التي تم إعدادها من قبل معهد المدققين الداخليين الأمريكيين أشارت إلى أن ۷۷ % من المؤسسات تستخدم أقل من 10 عناصر خطر في خططها والجدول (۷-۱۰) يبين مصفوفة المخاطر.

* اختيار مدى معين للمخاطر يتم من خلاله ترجيح كل عنصر من العناصر وتحديد درجة أهميته وتأثيره على كل مركز من مراكز العمل، أو كل نشاط من الأنشطة. ووفق هذا الجدول تم اعتماد المدى من [ 1 - 10 ] .

* تحديد أهمية أثر كل خطر من المخاطر على مركز العمل من خلال المدى المشار اليه في البند السابق بحيث يعطى (۱۰) إذا كان الأثر كبيراً ويعطى (۱) إذا كان الأثر قليلاً وهكذا، فإن الأهمية تندرج من 10 إلى 1 في الخلية التي يلتقي فيها عنصر الخطر مع مركز العمل، وذلك لكل مركز عمل تم وضعه في النموذج.

تتم الإجراءات أعلاه من خلال ورشة عمل تضم مسؤولي إدارة التدقيق الداخلي والمدققين الرئيسيين، ولهم الاستعانة بالمدققين الآخرين إذا كان ذلك مناسباً، ويتم تحديد الأثقال بناء على الخبرة ونتائج زيارات التدقيق السابقة والمتغيرات التي تمت في بيئة المؤسسة.

* تجميع نقاط الخطر لكل مركز من المراكز التي تم وضعها في الجدول (7-10) وتثبيته في الخانة المخصصة على النموذج.  

* ترتيب مراكز العمل ضمن الجدول(7 – 10) تنازلياً حسب نقاط الخطر لكل مركز وبالتالي تكون مصفوفة المخاطر قد استكملت.