هل تعمل نظم الرقابة الداخلية فعلاً؟ من التقرير السنوي إلى الجاهزية الرقابية المستمرة
قد تكون لدى كيان الأعمال سياسات معتمدة، ومصفوفة صلاحيات، وأدلة إجراءات، وأنظمة إلكترونية متقدمة؛ ومع ذلك قد تكشف المراجعة السنوية أن أحد الضوابط لم يُنفذ، أو أن تنفيذه لا يمكن إثباته، أو أن الإجراء الفعلي لم يعد يتوافق مع الوثيقة المعتمدة. هنا يظهر السؤال الذي ينبغي أن يسبق موعد التقرير الرقابي بوقت طويل: هل تعمل نظم الرقابة الداخلية فعلاً، أم أنها تبدو مكتملة على الورق فقط؟
في البيئة الرقابية الكويتية، لا تمثل مراجعة نظم الرقابة الداخلية مجرد إجراء إداري يُستكمل قبل الموعد النهائي. فكيانات الأعمال الخاضعة لتعليمات هيئة أسواق المال أو بنك الكويت المركزي، بحسب نوع الكيان وترخيصه، مطالبة بالمحافظة على نظم رقابة تتناسب مع طبيعة أعمالها وحجمها ومخاطرها، وقد تُلزم بتكليف مراقب حسابات أو مكتب تدقيق مستقل لإجراء المراجعة وإصدار التقرير المطلوب. لكن القيمة الحقيقية تبدأ عندما تتحول المراجعة من سباق سنوي لجمع المستندات إلى ممارسة مؤسسية مستمرة تعزز الحوكمة، وتحسن جودة المعلومات، وتكشف مواطن الضعف قبل أن تتحول إلى إخفاقات رقابية أو تشغيلية.
اقرآ المزيد عن: العلاقة بين الرقابة الداخلية والتدقيق الداخلي
لماذا تكشف المراجعة المتأخرة مشكلات كان يمكن تجنبها؟
عندما يبدأ الاستعداد قبل موعد التقرير بفترة قصيرة، تنشغل الإدارات بطلب النسخ الأحدث من السياسات، واستكمال التوقيعات، والبحث عن أدلة تنفيذ تعود إلى أشهر سابقة. وقد تظهر عندئذ فجوة بين ما تنص عليه الإجراءات وما يجري في الواقع؛ أو يتبين أن مسؤولية أحد الضوابط غير محددة؛ أو أن تقريراً رقابياً يُعد بصورة منتظمة من دون دليل واضح على مراجعته واعتماده.
هذه الحالات لا تعني بالضرورة غياب الرقابة بالكامل، لكنها تدل على ضعف في تصميم الضابط أو توثيقه أو استدامة تشغيله. وكلما تأخر اكتشافها، ضاقت الفترة المتاحة لتحليل السبب الجذري، وتنفيذ المعالجة، ثم إنتاج أدلة تشغيل كافية تثبت أن التصحيح أصبح جزءاً من العمل المعتاد. لذلك، فإن الجاهزية الحقيقية لا تعني إعداد ملف قبل زيارة المراجع؛ بل تعني أن دورة حياة الضابط نفسها قابلة للتتبع في أي وقت.
السياسة المعتمدة ليست دليلاً على فعالية الضوابط
وجود سياسة مكتوبة شرط أساسي، لكنه لا يكفي وحده لإثبات أن الرقابة تعمل. فالمراجع المستقل ينظر عادةً إلى أكثر من مستوى مترابط: هل صُمم الضابط لمعالجة الخطر المحدد؟ هل أُسند إلى شخص يمتلك الصلاحية والكفاءة؟ هل نُفذ بالتواتر المطلوب؟ هل كانت المراجعة أو الموافقة ذات معنى، أم اقتصرت على توقيع شكلي؟ وهل يوجد دليل مؤرخ وكامل يسمح لطرف مستقل بإعادة تتبع ما حدث؟
لنأخذ مثالاً بسيطاً: تنص السياسة على إجراء مراجعة شهرية لصلاحيات المستخدمين. لا يكفي تقديم نسخة من السياسة أو قائمة مستخدمين مستخرجة في نهاية السنة. الدليل الأقوى يبين مجتمع المستخدمين الذي خضع للمراجعة، وهوية من أجرى المراجعة، والاستثناءات المكتشفة، والقرارات المتخذة بشأنها، وتاريخ إغلاقها. وبالمثل، فإن محضر اللجنة لا يثبت وحده فعالية الإشراف ما لم يُظهر المعلومات التي عُرضت، والأسئلة أو القرارات الجوهرية، ومسؤوليات المتابعة، وحالة الإجراءات السابقة.
ما الذي يجعل كيان الأعمال جاهز للمراجعة على مدار العام؟
تبدأ الجاهزية بخريطة واضحة للمتطلبات الرقابية المطبقة على الكيان. فالالتزامات تختلف باختلاف الجهة الرقابية، ونوع الترخيص، والأنشطة، والمنتجات، والهيكل القانوني. وينبغي ربط كل متطلب بالسياسة ذات الصلة، والخطر الذي يعالجه، والضابط المسؤول عن الاستجابة له، ومالك الضابط، ودورية التنفيذ، والدليل المتوقع. هذا الربط يحول المتطلبات المتفرقة إلى منظومة قابلة للإدارة والاختبار.
ويأتي بعد ذلك تحديد مالكي الضوابط بوضوح. فإدارة الالتزام أو التدقيق الداخلي قد تنسق المتابعة، لكنها لا ينبغي أن تتحمل تلقائياً ملكية ضوابط تنفذها الإدارات التشغيلية أو المالية أو التقنية. المالك الحقيقي هو من يملك القدرة على تنفيذ الضابط ومعالجة الانحرافات. وعندما تكون الملكية غير واضحة، تتكرر الإجابات العامة، وتتأخر الأدلة، وتظل الملاحظات مفتوحة بين أكثر من إدارة.
كما تتطلب الجاهزية إدارة منضبطة للأدلة. وينبغي أن يكون لكل ضابط وصف محدد لما يمثل دليلاً مناسباً، ومكان حفظه، ومدة الاحتفاظ به، وآلية حماية سلامته وسريته. ولا تعني كثرة الملفات جودة الدليل؛ فقد يكون مستند واحد يبين المدخلات، والمراجعة، والاستثناءات، والاعتماد، والمتابعة أكثر قيمة من عشرات لقطات الشاشة غير المؤرخة أو غير المرتبطة بعينة واضحة.
ويجب كذلك أن تُدار التغييرات فور حدوثها. فإطلاق منتج جديد، أو تعديل الهيكل التنظيمي، أو ترقية نظام، أو الاستعانة بمقدم خدمة خارجي، أو تغيير حدود الصلاحيات قد يجعل الضابط السابق غير ملائم. لذلك ينبغي أن تتضمن عملية إدارة التغيير تقييماً لأثر التغيير في المخاطر والضوابط والسياسات ومصفوفات الصلاحيات والتقارير الرقابية، بدلاً من انتظار المراجعة السنوية لاكتشاف أن الوثائق والممارسات لم تعد متسقة.
التقنية والاستعانة بمصادر خارجية جزء من بيئة الرقابة
تعتمد العمليات اليوم على الأنظمة والبيانات والتكاملات التقنية، ولذلك لا يمكن تقييم كثير من الضوابط التشغيلية أو المالية بمعزل عن أدوات الرقابة العامة لتكنولوجيا المعلومات. فصلاحيات الدخول، وإدارة التغييرات، والفصل بين مهام التطوير والتشغيل، والنسخ الاحتياطي، ومعالجة الحوادث، وجودة البيانات، كلها قد تؤثر مباشرة في موثوقية الضوابط والتقارير.
وينطبق الأمر نفسه على الخدمات المسندة إلى أطراف خارجية. فقد ينفذ مقدم الخدمة جزءاً من العملية، لكن الاستعانة به لا تنقل مسؤولية الإدارة عن الرقابة. يجب أن تحدد العقود مستويات الخدمة، ومتطلبات السرية والأمن، وحقوق المراجعة، وآليات الإبلاغ عن الحوادث، وخطط الاستمرارية والخروج. كما ينبغي أن يتابع كيان الأعمال أداء مقدم الخدمة وأوجه القصور والإجراءات التصحيحية بأدلة يمكن الاعتماد عليها.
اقرأ المزيد عن: الفرق بين تدقيق البيانات المالية ومراجعة الرقابة الداخلية في الشركات العامة
الملاحظات السابقة: الإغلاق الإداري لا يساوي المعالجة الفعلية
من أكثر نقاط الضعف شيوعاً اعتبار الملاحظة مغلقة بمجرد إصدار سياسة معدلة أو إرسال رسالة تفيد باستكمال الإجراء. الإغلاق المهني يتطلب التحقق من أن السبب الجذري عولج، وأن الضابط المعدل طُبق، وأنه عمل لفترة تسمح بإنتاج دليل مناسب، وأن المخاطر المتبقية مقبولة لدى المستوى الإداري المختص. وقد تستلزم الملاحظة اختبار متابعة مستقل أو عينة جديدة، بحسب طبيعتها وأهميتها.
ومن المفيد أيضاً تجميع الملاحظات بحسب الأسباب والاتجاهات، لا الاكتفاء بمتابعتها كحالات منفصلة. فتكرار التأخير في الاعتمادات عبر إدارات مختلفة قد يشير إلى خلل في مصفوفة الصلاحيات أو تصميم سير العمل، وليس إلى حالات فردية. وتكرار نقص الأدلة قد يكشف أن الضابط يعتمد على ممارسة يدوية غير محددة أو أن النظام لا يحتفظ بسجل تدقيق مناسب. بهذه النظرة، تتحول نتائج المراجعة إلى معلومات تساعد مجلس الإدارة ولجنة التدقيق والإدارة التنفيذية على تحديد أولويات التحسين.
مسؤولية واضحة وتأكيد مستقل
تظل مسؤولية تصميم نظم الرقابة الداخلية وتنفيذها ومراقبتها على عاتق مجلس الإدارة والإدارة التنفيذية، كلٌ ضمن اختصاصه. وتساند وظائف المخاطر والالتزام والتدقيق الداخلي هذه المسؤولية وفق أدوارها المعتمدة، بينما يقدم المراجع المستقل تقييماً موضوعياً في ضوء المتطلبات الرقابية ونطاق المهمة وأسس التقرير المطبقة. ولا تحل المراجعة المستقلة محل المتابعة اليومية، كما أنها ليست ضماناً بعدم وقوع خطأ أو تجاوز مستقبلاً؛ فالضوابط توفر مستوى مناسباً من التأكيد ضمن حدودها الملازمة، وتتأثر بالأحكام البشرية، والتواطؤ، وتجاوز الإدارة، والتغير في الأنظمة والعمليات.
اختبار عملي للجاهزية
يمكن للإدارة أن تسأل، في أي وقت خلال السنة: هل نعرف جميع المتطلبات الرقابية التي تنطبق علينا؟ هل لكل خطر جوهري ضابط محدد ومالك مسؤول؟ هل تتوافق السياسات المعتمدة مع الممارسة الفعلية والأنظمة المستخدمة؟ هل يمكن استخراج أدلة مكتملة ومؤرخة لأي فترة أو عينة؟ هل تُصعّد الاستثناءات وتُعالج ضمن آجال محددة؟ وهل تم التحقق من فعالية معالجة الملاحظات السابقة، لا مجرد تحديث حالتها؟
إذا تعذر تقديم إجابة مدعومة بالدليل عن واحد أو أكثر من هذه الأسئلة، فالمشكلة ليست في قرب موعد المراجعة؛ بل في الحاجة إلى رفع مستوى الجاهزية المستمرة. والبدء المبكر لا يهدف إلى تهيئة مظهر مؤقت للامتثال، وإنما إلى ضمان أن الضوابط المناسبة جزء من طريقة عمل كيان الأعمال طوال العام.
ابدأ قبل أن يبدأ العد التنازلي
أفضل وقت لمناقشة مراجعة نظم الرقابة الداخلية ليس عند اقتراب موعد تقديم التقرير، بل عند وجود وقت كافٍ لفهم نطاق التعليمات المطبقة، وتحديد المعلومات المطلوبة، وتنسيق مشاركة الإدارات، ومعالجة نقاط الاختناق في جمع الأدلة. التخطيط المبكر يجعل المراجعة أكثر كفاءة، ويمنح مجلس الإدارة والإدارة التنفيذية رؤية أوضح إلى مستوى نضج الرقابة والمخاطر التي تستحق الأولوية.
تقدم بيكر تلي الكويت خدمات مراجعة نظم الرقابة الداخلية بواسطة مراقبي حسابات وفريق عمل متخصص، وفق المتطلبات ذات الصلة الصادرة عن الجهات الرقابية في دولة الكويت ونطاق المهمة المتفق عليه. إذا كانت مؤسستكم تستعد لدورة المراجعة المقبلة، فتواصلوا معنا مبكراً لمناقشة المتطلبات المطبقة، ونطاق العمل، والجدول الزمني المناسب لإصدار التقرير الرقابي.
يرجى الاتصال بإدارة تطوير الأعمال، هاتف: +965 1887 799 داخلي رقم: 335 وسوف نحدد لكم موعد اجتماع لمزيد من المناقشة.