يعد تخطيط مهمة التدقيق لتقييم المخاطر والضوابط حجر الزاوية في أي مهمة تدقيق داخلي فعالة. فهو يضمن أن يركز المدققون الداخليون جهودهم على المجالات الأكثر أهمية للمؤسسة، وبالتالي تقديم قيمة مضافة حقيقية. في هذه المرحلة، لا يتعلق الأمر بإجراء التقييم التفصيلي للمخاطر (الذي سنتناوله في درس لاحق)، بل بتحديد النهج العام والمجالات الرئيسية التي سيتم التركيز عليها لتقييم المخاطر والضوابط في سياق أهداف المهمة.

1. الارتباط بالأهداف الاستراتيجية للمؤسسة

يجب أن يكون تخطيط تقييم المخاطر والضوابط متجذرًا بعمق في الأهداف الاستراتيجية للمؤسسة. هذا يضمن أن يوجه التدقيق نحو المخاطر التي يمكن أن تعيق بشكل كبير تحقيق هذه الأهداف. ولتحقيق ذلك، يجب على المدققين:

• فهم رؤية ورسالة المؤسسة: استيعاب الاتجاه العام والأولويات العليا.
• تحليل الأهداف الاستراتيجية: تحديد الأهداف الرئيسية للمؤسسة وكيفية قياس أدائها.
• تحديد المخاطر الاستراتيجية: التعرف على المخاطر الكلية التي قد تؤثر على تحقيق هذه الأهداف، مثل المخاطر السوقية، المخاطر التشغيلية الكبرى، أو المخاطر التنظيمية.
• منهجية من الأعلى للأسفل: البدء بتحليل المخاطر على مستوى المؤسسة ثم الانتقال لتحديد المخاطر على مستوى العمليات والأنشطة التي تخدم تلك الأهداف.

2. تقييم مخاطر وتقنيات المعلومات (IT Risks & Controls)

في المشهد الرقمي المعقد اليوم، أصبحت مخاطر تقنية المعلومات عنصرًا محوريًا لا يمكن إغفاله. يجب أن يشمل تخطيط تقييم المخاطر فهمًا شاملاً لبيئة تكنولوجيا المعلومات بالمؤسسة ومخاطرها المحتملة، بما في ذلك:

• مخاطر الأمن السيبراني: التهديدات المتعلقة باختراق الأنظمة، سرقة البيانات، وهجمات الفدية.
• مخاطر خصوصية البيانات: الامتثال للوائح حماية البيانات (مثل GDPR) وإدارة معلومات العملاء والموظفين الحساسة.
• سلامة وموثوقية البيانات: التأكد من دقة واكتمال ومعالجة البيانات بشكل صحيح لدعم اتخاذ القرار.
• توافر الأنظمة: المخاطر المرتبطة بتعطل الأنظمة الحيوية وعدم قدرة المستخدمين على الوصول إليها.
• تغيرات التكنولوجيا: تقييم المخاطر المتعلقة بالتحولات نحو الحوسبة السحابية، الذكاء الاصطناعي، أو تبني تقنيات جديدة.

يجب أن يشمل التخطيط تقييم ضوابط تقنية المعلومات الأساسية مثل ضوابط الوصول المنطقي والمادي، إدارة التغيير، إدارة الحوادث، وضوابط النسخ الاحتياطي والاستعادة.

3. خطط استمرارية الأعمال والتعافي من الكوارث (BCP & DRP)

تعد القدرة على الصمود في وجه الأزمات أمرًا بالغ الأهمية. يتضمن التخطيط لتقييم المخاطر فحص خطط استمرارية الأعمال (BCP) وخطط التعافي من الكوارث (DRP) للتأكد من فعاليتها وجاهزية المؤسسة. يجب أن يركز التخطيط على ما يلي:

• مدى شمولية الخطط: هل تغطي الخطط جميع العمليات والأنظمة الحيوية؟
• التحديث الدوري والاختبار: هل يتم تحديث الخطط بانتظام واختبارها بشكل دوري؟ ما هي نتائج هذه الاختبارات؟
• أدوار ومسؤوليات واضحة: هل توجد أدوار ومسؤوليات محددة لفريق الاستجابة للأزمات؟
• استراتيجيات الاسترداد: فهم استراتيجيات المؤسسة لاستعادة العمليات والبيانات بعد وقوع كارثة.

4. المفاهيم المالية والمحاسبية ومخاطر العمليات الرئيسية

يتطلب التخطيط الفعال لتقييم المخاطر فهمًا عميقًا للمفاهيم المالية والمحاسبية والمخاطر الشائعة في العمليات التشغيلية ذات الأثر المالي الكبير. يجب على المدقق الداخلي تحديد العمليات التي تنطوي على مخاطر جوهرية عالية، مثل:

• دورة المشتريات والمدفوعات: مخاطر الاحتيال، المدفوعات غير المصرح بها، عدم كفاية التوثيق.
• دورة المبيعات والإيرادات: مخاطر الاعتراف بالإيرادات بشكل غير صحيح، عدم تحصيل المستحقات، أو خصومات غير مصرح بها.
• إدارة المخزون: مخاطر التلف، السرقة، التقييم غير الصحيح، أو عدم كفاية الرقابة المادية.
• كشوف المرتبات والموارد البشرية: مخاطر المدفوعات غير الصحيحة، الموظفين الوهميين، أو عدم الامتثال لقوانين العمل.
• عمليات إعداد التقارير المالية: مخاطر الأخطاء الجوهرية، التحريف المتعمد، أو عدم الامتثال للمعايير المحاسبية.

بالإضافة إلى ذلك، يجب على المدققين فهم الفرق بين المخاطر المتأصلة (Inherent Risk) والمخاطر المتبقية (Residual Risk) في كل عملية، وكيف تؤثر الضوابط على تخفيف المخاطر المتأصلة.

5. تحديد أهداف الضوابط وأنواعها

كجزء من التخطيط، يجب على المدقق تحديد أهداف الضوابط المتوقعة في المجالات عالية المخاطر. الضوابط مصممة لضمان تحقيق هدف معين أو تخفيف خطر محدد. يمكن تصنيف الضوابط على النحو التالي:

• حسب التوقيت:
  • الضوابط الوقائية (Preventive Controls): تمنع وقوع الخطأ أو الحدث غير المرغوب فيه (مثال: الفصل بين الواجبات، ضوابط الوصول).
  • الضوابط الكشفية (Detective Controls): تكشف الأخطاء أو المخالفات بعد وقوعها (مثال: التسويات، المراجعات، الرقابة الإشرافية).
  • الضوابط التصحيحية (Corrective Controls): تصحح الأخطاء التي تم اكتشافها وتستعيد الوضع الطبيعي (مثال: خطط التعافي من الكوارث، معالجة شكاوى العملاء).
• حسب الطبيعة:
  • الضوابط اليدوية (Manual Controls): تتطلب تدخلًا بشريًا (مثال: توقيعات الاعتماد).
  • الضوابط الآلية (Automated Controls): يتم تنفيذها بواسطة أنظمة تكنولوجيا المعلومات (مثال: التحقق من صحة البيانات المدخلة).
  • الضوابط شبه الآلية (Semi-Automated Controls): مزيج من الاثنين (مثال: تقارير استثناءات يتم مراجعتها يدويًا).

6. استخدام أطر عمل تقييم المخاطر والضوابط

لضمان منهجية متسقة وشاملة، غالبًا ما يعتمد المدققون الداخليون على أطر عمل معترف بها دوليًا لتخطيط وتقييم المخاطر والضوابط. من أبرز هذه الأطر:

• إطار عمل COSO المتكامل للرقابة الداخلية (COSO Internal Control – Integrated Framework): يوفر نموذجًا شاملاً لتصميم وتنفيذ وتقييم الرقابة الداخلية.
• إطار عمل COSO لإدارة مخاطر المؤسسة (COSO Enterprise Risk Management – Integrated Framework): يركز على كيفية إدارة المخاطر لتحقيق الأهداف الاستراتيجية.
• معيار ISO 31000: معيار دولي لإدارة المخاطر يوفر مبادئ وإرشادات لتصميم وتنفيذ إطار إدارة المخاطر.

يساعد استخدام هذه الأطر في توحيد لغة المخاطر والضوابط داخل المؤسسة وتوفير نهج منظم للتقييم.

الخلاصة

إن التخطيط السليم لتقييم المخاطر والضوابط هو مفتاح نجاح مهمة التدقيق الداخلي. من خلال ربط جهود التدقيق بالأهداف الاستراتيجية للمؤسسة، والتعامل مع المخاطر الناشئة (خاصة في تكنولوجيا المعلومات)، وضمان مرونة الأعمال، وفهم الجوانب المالية والتشغيلية، يمكن للمدققين الداخليين تحديد الأولويات بشكل فعال وتخصيص الموارد بكفاءة للدرس التالي الذي سيتناول “إجراء تقييم تفصيلي للمخاطر”.