نظرة عامة على اختبار CIA وبنيته
لمن أُعدّ هذا الدليل؟
يخاطب هذا الدليل المدققين الداخليين ومهنيي الامتثال والمخاطر، وكذلك المرشحين لشهادة Certified Internal Auditor (CIA) الذين يريدون فهم المفاهيم وتطبيقها، لا الاكتفاء بحفظ المصطلحات. تغطي المفاهيم الأجزاء الثلاثة: أساسيات التدقيق الداخلي، وتكليفات التدقيق، وإدارة وظيفة التدقيق الداخلي.
صيغة الاختبار وملاحظة الإصدار
وفق منهج CIA لعام 2025، يتكون الجزء الأول من 125 سؤالًا خلال 150 دقيقة، ويتكون كل من الجزأين الثاني والثالث من 100 سؤال خلال 120 دقيقة. تُعرض النتائج على مقياس من 250 إلى 750، ودرجة النجاح المحددة هي 600 لكل جزء. هذه اختبارات منفصلة، وليست اختبارًا واحدًا بهذه الأجزاء مجتمعة. المعايير العالمية للتدقيق الداخلي نافذة منذ يناير 2025. قد تتغير تفاصيل المنهج أو الحجز أو الأهلية؛ لذلك راجع أحدث معلومات The IIA قبل التقديم.
المادة هنا مكتوبة بالعربية لأغراض التحضير والفهم، ولا تعني أن الاختبار الرسمي متاح بالعربية. تحقق من اللغات التي يوفرها The IIA وقت الحجز. وهذا محتوى تعليمي مستقل، لا يتضمن أسئلة حقيقية أو مسترجعة ولا يضمن ورود موضوع بعينه.
خريطة الأجزاء الثلاثة
| الجزء | النطاق | أولوية المراجعة التحريرية |
|---|---|---|
| الجزء الأول — أساسيات التدقيق الداخلي | الأسس المهنية، الأخلاقيات، الحوكمة والمخاطر والضوابط، مخاطر الاحتيال، ووظيفة التدقيق الداخلي. | ركّز على حدود دور المدقق، والاستقلال التنظيمي والموضوعية، وتقييم المخاطر والضوابط. هذه أولوية تحريرية وليست وزنًا رسميًا. |
| الجزء الثاني — تكليف التدقيق الداخلي | التخطيط، جمع المعلومات وتحليلها، الأدلة والمعاينة، التقييم والإشراف والتواصل، ومتابعة خطط العمل. | تدرّب على اختيار الخطوة التالية الأنسب بالنظر إلى النطاق والمخاطر وجودة الأدلة. هذه أولوية تحريرية وليست وزنًا رسميًا. |
| الجزء الثالث — وظيفة التدقيق الداخلي | الاستراتيجية والتخطيط والموارد والتواصل والجودة وقياس الأداء والتنسيق مع مزوّدي التأكيد. | فكّر من منظور رئيس تنفيذي للتدقيق يوازن بين المخاطر والموارد والجودة ومسؤولية المجلس. هذه أولوية تحريرية وليست وزنًا رسميًا. |
60 مفهومًا من الأساسيات إلى التطبيق 1–10
1. غرض التدقيق الداخلي
الجزء الأول — الأساسيات
التدقيق الداخلي نشاط مستقل وموضوعي يقدم خدمات تأكيد ومشورة بهدف تعزيز قدرة المؤسسة على خلق القيمة وحمايتها واستدامتها. يدرس الحوكمة وإدارة المخاطر والضوابط، ثم يقيّم مدى ملاءمتها وفاعليتها. لا يحل محل الإدارة في اتخاذ القرارات أو تشغيل العمليات؛ بل يضيف منظورًا منظمًا قائمًا على الأدلة.
مثال تطبيقي: تراجع وظيفة التدقيق ضوابط اعتماد الموردين، وتعرض أوجه القصور ومخاطرها على الإدارة والجهة الرقابية المناسبة، بينما تظل الإدارة مسؤولة عن اختيار التحسين وتنفيذه.
خطأ شائع وتصحيحه: من الخطأ وصف التدقيق بأنه إدارة رقابية تشغّل الضوابط بنفسها. تولي المدقق مسؤولية تشغيلية قد يضعف موضوعيته ويجعل من الصعب عليه تقديم تأكيد مستقل على العمل الذي أداره.
2. ميثاق التدقيق الداخلي وتفويضه
الجزء الأول — الأساسيات
الميثاق وثيقة رسمية تحدد غرض التدقيق الداخلي وتفويضه، بما يشمل سلطته وأدواره ومسؤولياته ونطاق خدماته وأنواعها. ويوضح موقع الوظيفة وخطوط إبلاغها والوصول اللازم للمعلومات والأشخاص والأصول، والتزامها بالمعايير العالمية للتدقيق الداخلي. يُعدّه الرئيس التنفيذي للتدقيق ويناقشه مع المجلس والإدارة العليا، ويعتمده المجلس. ويُراجع عند تغير الظروف أو التفويض، وتُعرض تعديلاته على المجلس للاعتماد.
مثال تطبيقي: قبل مراجعة نظام حساس، يوضح الرئيس التنفيذي للتدقيق صلاحية الوصول استنادًا إلى الميثاق المعتمد من لجنة التدقيق المخوّلة من المجلس. ويُرتب الوصول الآمن مع الإدارة، ثم يبلغ المجلس بأي قيد جوهري يمنع تحقيق أهداف المهمة.
خطأ شائع وتصحيحه: لا يكفي اعتماد الميثاق من مدير تشغيلي أو الإدارة العليا وحدها بدل المجلس. كما أن سلطة الوصول لا تبرر تجاوز متطلبات حماية المعلومات، ولا تمنح الإدارة حق تعطيل نطاق مهمة معتمدة دون معالجة القيد وتصعيده.
3. التأكيد والمشورة
الجزء الأول — الأساسيات
يقدم تكليف التأكيد تقييمًا مستقلًا للأدلة مقابل معايير مناسبة، ويُستخدم لدعم أحكام المستخدمين بشأن الحوكمة أو المخاطر أو الضوابط. أما المشورة فتستجيب لحاجة العميل إلى رأي أو تيسير أو توصية، من دون أن يتولى المدقق قرار الإدارة أو مسؤولية التنفيذ. يتطلب كلا النوعين وضوح الغرض والحدود.
مثال تطبيقي: يقيّم الفريق تصميم ضوابط الصرف كتأكيد في تكليف محدد، ثم ييسّر ورشة للمخاطر بناءً على طلب الإدارة، مع توثيق اختلاف غرض العملين.
خطأ شائع وتصحيحه: ليس كل تواصل مع الإدارة تكليفًا استشاريًا، ولا تعني المشورة نقل المسؤولية إلى المدقق. إذا اختار الفريق الضابط أو شغّله، فقد ينشأ تهديد لموضوعيته عند تقييمه.
4. الحوكمة ونموذج الخطوط الثلاثة
الجزء الأول — الحوكمة والمخاطر والضوابط
الحوكمة هي ترتيبات التوجيه والإشراف والمساءلة التي تدعم تحقيق أهداف المؤسسة. يوضح نموذج الخطوط الثلاثة توزيع الأدوار: يقدم الخط الأول المنتجات والخدمات ويدير المخاطر المرتبطة بها؛ ويوفر الخط الثاني الخبرة والدعم والمتابعة والتحدي في مسائل المخاطر، مع بقائه ضمن الإدارة؛ ويقدم التدقيق الداخلي في الخط الثالث تأكيدًا ومشورة مستقلين عن مسؤوليات الإدارة. يشرف المجلس على المؤسسة ويحاسب الإدارة، وتتعاون هذه الأدوار دون نقل ملكية المخاطر إلى التدقيق.
مثال تطبيقي: يدير فريق التشغيل صلاحيات المستخدمين، وتتابع وظيفة الامتثال الالتزام بسياسة الوصول، ويقيّم التدقيق الداخلي بصورة مستقلة تصميم الضوابط وتشغيلها. وتتلقى لجنة التدقيق النتائج المهمة وتتابع مساءلة الإدارة عن المعالجة.
خطأ شائع وتصحيحه: الخطوط الثلاثة أدوار وليست بالضرورة ثلاثة أقسام أو مستويات هرمية. ولا تعني متابعة المخاطر في الخط الثاني أنها توفر الاستقلال نفسه الذي يقدمه التدقيق الداخلي، كما لا ينقل وجود الخط الثالث مسؤولية إدارة المخاطر من الإدارة إليه.
5. دور المجلس والرئيس التنفيذي للتدقيق
الجزء الأول — وظيفة التدقيق الداخلي
يشرف المجلس، أو لجنة مخوّلة منه، على وظيفة التدقيق الداخلي. وتشمل مسؤولياته اعتماد الميثاق والخطة وميزانية الوظيفة وخطة مواردها، والموافقة على تعيين الرئيس التنفيذي للتدقيق وعزله، ودعم الوصول والتواصل المباشر. أما الرئيس التنفيذي للتدقيق فيدير الوظيفة ويطور خطتها وينظم مواردها ويبلغ النتائج والقيود وفجوات التغطية. قد يختلف اسم الجهة الحاكمة وهيكلها، لكن هذا الاختلاف لا يلغي مسؤوليات الإشراف والاعتماد الأساسية.
مثال تطبيقي: يعرض الرئيس التنفيذي للتدقيق على لجنة التدقيق المخوّلة أثر نقص الموارد والبدائل الممكنة، بما فيها الاستعانة بخبرة خارجية أو تأجيل أعمال محددة. وتناقش اللجنة أثر ذلك على تغطية المخاطر وتعتمد التغييرات اللازمة بدل ترك فجوة التغطية دون علمها.
خطأ شائع وتصحيحه: لا يغني اعتماد الإدارة العليا للخطة أو الميزانية عن اعتماد المجلس المطلوب مهنيًا. وفي المقابل، لا يعني إشراف المجلس أنه يدير الاختبارات اليومية أو يحل محل الرئيس التنفيذي للتدقيق في إدارة الوظيفة.
6. الاستقلال التنظيمي لوظيفة التدقيق
الجزء الأول — الأساسيات
الاستقلال التنظيمي هو قدرة وظيفة التدقيق على أداء مسؤولياتها دون تدخل غير مناسب في نطاق عملها أو تنفيذ إجراءاتها أو إبلاغ نتائجها. يدعمه ارتباط مباشر بالمجلس وموقع تنظيمي يتيح الوصول والتصعيد. يؤكد الرئيس التنفيذي للتدقيق الاستقلال التنظيمي للمجلس مرة واحدة سنويًا على الأقل، ويبلغه بحالات الإضعاف والإجراءات أو الضمانات المتخذة. ويمكن وجود خط إبلاغ إداري للإدارة العليا، بشرط ألا يقوض علاقة الوظيفة بالمجلس أو صلاحياتها.
مثال تطبيقي: بعد التحقق من صحة ملاحظة جوهرية ومناقشتها مع الإدارة، يطلب مسؤول تشغيلي حذفها لحماية صورة إدارته. يرفض الرئيس التنفيذي للتدقيق الحذف غير المدعوم، ويوثق التدخل ويبلغ لجنة التدقيق وفق ترتيبات الإبلاغ المعتمدة.
خطأ شائع وتصحيحه: مجرد ظهور الوظيفة تحت المجلس في الهيكل التنظيمي لا يثبت استقلالها إذا كانت الإدارة تمنع الوصول أو تتحكم في النتائج. كذلك لا يعني الاستقلال تجنب التعاون مع الإدارة؛ الممنوع هو التدخل الذي يقوض الحكم المهني.
7. الموضوعية الفردية
الجزء الأول — الأخلاقيات والمهنية
الموضوعية هي ممارسة المدقق حكمه المهني دون تحيز أو تضارب مصالح أو تأثير غير مناسب. تُقيّم بالنظر إلى العلاقات والمصالح والمسؤوليات السابقة، لا بمجرد تأكيد المدقق أنه محايد. وفق المعايير العالمية للتدقيق الداخلي، يُفترض تأثر الموضوعية إذا قدم المدقق تأكيدًا على نشاط كان مسؤولًا عنه خلال الاثني عشر شهرًا السابقة؛ لذلك لا يُسند إليه هذا التقييم. وقد تظل مسؤولية أقدم من ذلك مصدر تهديد يحتاج إلى تقييم ومعالجة.
مثال تطبيقي: انتقل مدقق من إدارة المشتريات إلى التدقيق الداخلي قبل ثمانية أشهر. عند بدء مهمة تأكيد على المشتريات، يفصح عن دوره السابق ويُسند التقييم والاختبارات إلى مدقق آخر. ويمكنه تقديم معلومات تاريخية تحت الإشراف دون تقييم العمل الذي كان مسؤولًا عنه.
خطأ شائع وتصحيحه: لا تخلط بين موضوعية الفرد واستقلال الوظيفة. كما لا تعتبر انقضاء اثني عشر شهرًا ضمانًا تلقائيًا للموضوعية؛ فالمدة تحدد حالة افتراض الإضعاف مهنيًا، لكن العلاقات أو المصالح المستمرة قد تظل مؤثرة.
8. الإفصاح ومعالجة ما يضعف الموضوعية
الجزء الأول — الأخلاقيات والمهنية
يفصح المدقق فورًا للرئيس التنفيذي للتدقيق أو المشرف المختص عن أي إضعاف فعلي أو محتمل أو متصور لموضوعيته. ويقيّم الرئيس التنفيذي للتدقيق أثره ويحدد المعالجة والجهات التي يلزم إبلاغها؛ وإذا تعلق الإضعاف بموضوعيته هو، يفصح عنه للمجلس. قد تشمل المعالجة إعادة إسناد العمل أو الاستعانة بتقييم مستقل أو ضمانات أخرى مناسبة. الإفصاح ليس إعفاءً من المعالجة، ولا يجوز تضييق النطاق لإخفاء خطر جوهري أو تجاوز تعارض قائم.
مثال تطبيقي: قبل بدء اختبار المشتريات، يفصح مدقق عن أن قريبًا له يدير العملية محل الفحص. يقيّم المشرف أثر العلاقة، ويعيد إسناد الاختبارات والأحكام المتعلقة بها إلى مدقق غير متأثر، ويوثق القرار والضمانات اللازمة.
خطأ شائع وتصحيحه: تسجيل التعارض في ملف المهمة لا يجعل استمرار المدقق مقبولًا تلقائيًا. ويجب تقييم أثر الإضعاف ومعالجته فعليًا؛ أما حذف المجال المتأثر من النطاق فقد ينشئ قيدًا على التغطية يستلزم الإفصاح والتصعيد، لا حلًا للموضوعية.
9. النزاهة والسلوك المهني
الجزء الأول — الأخلاقيات والمهنية
تقتضي النزاهة الصدق والالتزام بالسلوك المهني عند جمع المعلومات وتحليلها وعرضها، بما يشمل عدم إخفاء الوقائع المخالفة أو تحريفها. كما يتطلب السلوك المهني احترام السياسات والالتزامات ذات الصلة وتجنب التصرفات التي تقوض الثقة في وظيفة التدقيق. وينبغي أن تعكس التقارير ما تدعمه الأدلة فعلًا.
مثال تطبيقي: يكتشف الفريق أن جدولًا أوليًا استبعد معاملة مهمة، فيصحح التحليل ويشرح أثر التعديل بدل إبقاء نتيجة مريحة لكنها غير مكتملة.
خطأ شائع وتصحيحه: النزاهة لا تعني نشر كل معلومة بلا تمييز. يجب أيضًا مراعاة السرية والصلاحيات، مع عدم استخدام هذه الاعتبارات ذريعة لإخفاء نتيجة جوهرية.
10. الكفاءة والعناية المهنية والشك المهني
الجزء الأول — الأخلاقيات والمهنية
تتطلب الكفاءة امتلاك المعرفة والمهارات اللازمة للعمل وتطويرها، والاستعانة بخبرة إضافية عند الحاجة. وتقتضي العناية المهنية بذل جهد يتناسب مع أهمية المخاطر وتعقيدها واحتمال الخطأ أو الاحتيال، دون ضمان اكتشاف كل مشكلة. أما الشك المهني فهو عقلية متسائلة وتقييم نقدي لموثوقية المعلومات، بما يشمل طلب الإيضاح والتحقق من الأدلة المتعارضة. وهو لا يعني افتراض سوء النية، بل تجنب قبول الادعاءات دون دعم مناسب.
مثال تطبيقي: عند مراجعة نموذج تسعير معقد، يستعين الفريق بخبير مؤهل. وحين يلاحظ اختلافًا بين بيانات النموذج والسجلات الأصلية، يتحقق من مصدر البيانات وسبب الاختلاف قبل الاعتماد على نتيجة الخبير أو إصدار الاستنتاج.
خطأ شائع وتصحيحه: لا تعني العناية المهنية اختبار كل معاملة، ولا يعني الشك المهني اتهام الإدارة. كذلك لا تعفي الاستعانة بخبير المدقق من تقييم ملاءمة عمله والأدلة التي يستند إليها.
60 مفهومًا من الأساسيات إلى التطبيق 11–20
11. السرية وحماية المعلومات
الجزء الأول — الأخلاقيات والمهنية
تقتضي السرية حماية المعلومات التي يحصل عليها المدقق واستخدامها لأغراض العمل المصرح بها، مع مراعاة السياسات والقوانين المنطبقة. ينبغي ضبط الوصول والتخزين والمشاركة، خصوصًا عند التعامل مع بيانات شخصية أو تجارية حساسة. ولا تمنع السرية الإبلاغ المهني الواجب عبر القنوات الملائمة عندما تقتضي الظروف ذلك.
مثال تطبيقي: يشارك الفريق مقتطفات لازمة لدعم ملاحظة مع أصحاب الصلاحية فقط، ويخفي البيانات غير الضرورية عند إعداد عرض أوسع.
خطأ شائع وتصحيحه: السرية لا تعني منع كل مشاركة للمعلومات، كما لا تبرر تداولها بحرية داخل المؤسسة. حدّد الغرض والصلاحية والحاجة إلى المعرفة قبل الإفصاح.
12. الالتزام بالمعايير وضمان الجودة
الجزء الأول — وظيفة التدقيق الداخلي
تُرشد المعايير العالمية للتدقيق الداخلي الممارسة المهنية، وتوفر متطلبات ومبادئ واعتبارات لتوجيه عمل الوظيفة وتقييمه. يدعم برنامج ضمان الجودة والتحسين تقييم مدى مطابقة العمل للمعايير والسياسات، ورصد فرص التطوير. يبدأ التطبيق بفهم النص الساري وسياقه، لا باستخدام اسم المعيار بديلًا عن الحكم المهني.
مثال تطبيقي: تراجع وظيفة التدقيق ملفات مختارة من تكليفات منتهية، وتحدد نقصًا متكررًا في توثيق الأدلة، ثم تضع إجراء تحسين وتتابع أثره.
خطأ شائع وتصحيحه: المعايير المهنية ليست بحد ذاتها قانونًا محليًا ولا تحدد تلقائيًا عقوبات قانونية. ميّز بين المتطلب المهني والقانون أو اللائحة المنطبقة في الولاية القضائية.
13. إدارة المخاطر ودور التدقيق
الجزء الأول — الحوكمة والمخاطر والضوابط
تحدد الإدارة المخاطر التي قد تعوق الأهداف وتختار كيفية الاستجابة لها، بينما يقيّم التدقيق مدى ملاءمة عملية إدارة المخاطر وفاعليتها. يمكن للمدقق أن يقدم مشورة ضمن حدود واضحة، لكن لا ينبغي له أن يملك المخاطر أو يختار استجاباتها نيابة عن الإدارة. هذا الفصل يحمي التأكيد المستقل.
مثال تطبيقي: يفحص الفريق طريقة تصنيف مخاطر سلسلة الإمداد، ويعرض ثغرات في البيانات المستخدمة، بينما تقرر الإدارة مستوى المخاطر المقبول وخطة المعالجة.
خطأ شائع وتصحيحه: من الخطأ تكليف التدقيق باعتماد كل قرار مخاطر. تقديم رأي مهني ممكن، لكن اتخاذ القرار أو تحمل مسؤوليته يبقى لدى الجهة الإدارية المختصة.
14. شهية المخاطر وحدود التحمل
الجزء الأول — الحوكمة والمخاطر والضوابط
شهية المخاطر هي مستوى ونوع المخاطر التي تقبل المؤسسة تحملها سعيًا إلى أهدافها، بينما تعبّر حدود التحمل عن نطاقات تشغيلية تساعد على تطبيق تلك الشهية ومراقبتها. يقيّم التدقيق مدى وضوح هذه المعايير واتساق القرارات معها. وقد تختلف الصياغة المناسبة بحسب النشاط والحوكمة والظروف.
مثال تطبيقي: تحدد المؤسسة هدفًا لجودة الخدمة وحدًا داخليًا للتأخير، ثم يفحص المدقق كيفية تصعيد التجاوزات وما إذا كانت التقارير دقيقة.
خطأ شائع وتصحيحه: لا تفترض أن كل حد تشغيلي يساوي شهية المخاطر أو أن تجاوز حد واحد يثبت فشل الحوكمة. افحص السياق ومسار التصعيد ومعنى الحد.
15. المخاطر الكامنة والمخاطر المتبقية
الجزء الأول — الحوكمة والمخاطر والضوابط
المخاطر الكامنة تصف مستوى التعرض قبل أخذ استجابات الإدارة والضوابط في الحسبان، أما المخاطر المتبقية فتصف ما يبقى بعد مراعاتها. يفيد التمييز في تحديد الحاجة إلى المعالجة والتأكيد، لكن تقدير المخاطر المتبقية يعتمد على جودة المعلومات عن فاعلية الضوابط. وقد تظل المخاطر الكامنة العالية أولوية للتدقيق حتى مع تقدير متبقٍ منخفض، خصوصًا إذا لم تتوفر أدلة موثوقة على استمرار فاعلية الضوابط.
مثال تطبيقي: تصنف الإدارة مخاطر الوصول غير المصرح به إلى نظام حساس بأنها منخفضة بعد تطبيق مراجعة دورية للصلاحيات. ولأن فاعلية هذه المراجعة لم تُختبر حديثًا، يضع التدقيق المجال ضمن أولوياته للتحقق من صحة التخفيض المقدّر في المخاطر.
خطأ شائع وتصحيحه: من الخطأ افتراض انخفاض المخاطر المتبقية لمجرد وجود ضابط مكتوب. وليس الاعتماد على المخاطر الكامنة خطأً في ذاته؛ فقد يكون مبررًا عند ضعف معلومات الضوابط، مع مراعاة أهداف المؤسسة والتغيرات والتغطية التأكيدية المتاحة.
16. تقييم المخاطر وترتيب الأولويات
الجزء الأول — الحوكمة والمخاطر والضوابط
يساعد تقييم المخاطر على تحديد ما قد يمنع تحقيق الأهداف، ثم ترتيب المسائل وفق عوامل مثل الأثر والاحتمال والتغيرات والالتزامات والسياق. لا ينبغي أن يتحول التقييم إلى درجة حسابية منفصلة عن الحكم المهني أو جودة البيانات. على المدقق فهم الافتراضات وتحديثها عند ظهور معلومات جديدة.
مثال تطبيقي: بعد تغيير مورد خدمة رئيسي، يعيد الفريق تقييم مخاطر الانقطاع بدل الاعتماد آليًا على تصنيف العام السابق.
خطأ شائع وتصحيحه: الدرجة المرتفعة لا تفسر نفسها ولا تثبت وحدها أن النشاط هو الأولوية الأعلى. افحص تعريفات المقياس ومصدر البيانات والعوامل النوعية التي قد تغير الترتيب.
17. أهداف الرقابة وتصميمها
الجزء الأول — الحوكمة والمخاطر والضوابط
يُصمم الضابط استجابةً لخطر محدد وبما يساعد على تحقيق هدف رقابي واضح، مثل صحة المعاملة أو اعتمادها أو حماية الأصل. يتطلب تقييم التصميم سؤالًا عن الصلة بين الخطر والضابط، وعن المسؤولية والتوقيت والمعلومات اللازمة للتنفيذ. وجود إجراء مكتوب لا يثبت وحده أن التصميم كافٍ.
مثال تطبيقي: يقارن المدقق خطر تغيير بيانات المستفيد بضابط يتطلب اعتمادًا مستقلًا، ثم يتحقق من أن الاعتماد يشمل التعديلات الحساسة فعلًا.
خطأ شائع وتصحيحه: لا تساوِ بين وجود سياسة وملاءمة تصميمها. قد تكون السياسة رسمية لكنها لا تغطي الخطر المحدد أو تترك استثناءات واسعة بلا معالجة.
18. فاعلية تشغيل الضابط
الجزء الأول — الحوكمة والمخاطر والضوابط
تتناول فاعلية التشغيل ما إذا كان الضابط قد نُفذ كما صُمم، وفي الأوقات المناسبة، وباستمرار كافٍ خلال الفترة المعنية. يتطلب الحكم أدلة على التطبيق الفعلي، لا مجرد وصف للعملية. وتُفسر الاستثناءات وفق طبيعتها وتكرارها وأسبابها وأثرها قبل تعميم نتيجتها.
مثال تطبيقي: يفحص المدقق سجلات الاعتماد لفترة محددة، ويقارن المعاملات التي تتطلب موافقة ثانية بما يظهر في النظام من موافقات مؤرخة.
خطأ شائع وتصحيحه: السياسة المكتوبة تدعم فهم التصميم لكنها لا تثبت التنفيذ. وبالمقابل، لا تجعل حالة شاذة واحدة الضابط فاشلًا تلقائيًا من دون تحليل مدى دلالتها.
19. أنواع الضوابط ومستوياتها
الجزء الأول — الحوكمة والمخاطر والضوابط
قد تكون الضوابط وقائية لتقليل احتمال وقوع مشكلة، أو كاشفة لتحديدها عند وقوعها أو بعده، أو تصحيحية لمعالجة آثارها واستعادة الوضع المطلوب. وقد تعمل على مستوى المؤسسة أو العملية أو النظام. يفيد التصنيف في فهم وظيفة الضابط وتكامل الضوابط، لكنه لا يثبت كفايتها أو فاعليتها؛ إذ يجب ربط كل ضابط بالخطر والهدف وتوقيت التنفيذ والأدلة.
مثال تطبيقي: لمعالجة خطر تغيير غير مصرح به في إعدادات نظام، تُقيد صلاحيات التعديل وتُشترط موافقة مسبقة كضوابط وقائية، وتُراجع سجلات التغييرات مقارنةً بالإعدادات المعتمدة كضابط كاشف، وتُستعاد الإعدادات الصحيحة وفق إجراء معتمد كضابط تصحيحي.
خطأ شائع وتصحيحه: لا تفترض أن وجود ضابط كاشف يغني دائمًا عن الوقاية، أو أن كثرة الضوابط تعني فاعلية أكبر. قيّم ما إذا كانت الضوابط تعالج الخطر نفسه في الوقت المناسب، وما إذا كان الكشف يقود إلى تصحيح فعلي.
20. مخاطر الاحتيال والمؤشرات
الجزء الأول — مخاطر الاحتيال
ينظر المدقق في مخاطر الاحتيال عند تقييم الحوكمة والمخاطر والضوابط، ويراعي فرص التلاعب والحوافز والضعف في الرقابة. المؤشر الأحمر أو النمط غير المعتاد يبرر فحصًا إضافيًا، لكنه ليس إثباتًا على ارتكاب مخالفة أو تحديدًا لهوية المسؤول. يجب أن يستند أي استنتاج إلى أدلة مناسبة.
مثال تطبيقي: يلاحظ الفريق تكرار مدفوعات لمورد جديد بعنوان يشبه عنوان موظف، فيتحقق من السجلات والعلاقات والسياسات قبل صياغة نتيجة.
خطأ شائع وتصحيحه: لا تصف شخصًا بأنه محتال لمجرد وجود مؤشر. المؤشر يوجّه الاختبارات والتصعيد الملائم، أما الاستنتاج فيتطلب أدلة وتقييمًا متناسبين مع دور المدقق.
60 مفهومًا من الأساسيات إلى التطبيق 21–30
21. مثلث الاحتيال بوصفه إطارًا للفهم
الجزء الأول — مخاطر الاحتيال
يصف مثلث الاحتيال عوامل قد ترتبط بوقوعه: ضغط أو حافز، وفرصة، وقدرة على تبرير السلوك. يساعد الإطار في التفكير بمصادر المخاطر وتصميم اختبارات مناسبة، لكنه ليس أداة تشخيص تثبت نية شخص بعينه. ينبغي استخدامه مع معلومات المؤسسة والضوابط والوقائع المتاحة.
مثال تطبيقي: في بيئة تتضمن أهدافًا مالية ضاغطة وصلاحيات منفردة، يوسّع الفريق فحص المعاملات الحساسة ويقيّم الضوابط التي تحد من الفرص.
خطأ شائع وتصحيحه: وجود ضغط أو فرصة لا يثبت احتيالًا ولا يسمح بالحكم على الدوافع. الإطار يساعد على توجيه تقييم المخاطر، وليس استبدال التحقيق بالأدلة.
22. حدود دور المدقق عند الاشتباه بالاحتيال
الجزء الأول — مخاطر الاحتيال
يساهم المدقق في تقييم مخاطر الاحتيال والضوابط، ويتبع إجراءات المؤسسة عند ظهور وقائع تستدعي التصعيد. ليس من دوره تلقائيًا إجراء تحقيق جنائي أو تقرير المسؤولية التأديبية؛ فقد تتطلب هذه الأعمال خبرة وصلاحيات مستقلة. ينبغي حفظ الأدلة وتوثيق الوقائع وإحالة المسألة عبر القنوات المناسبة.
مثال تطبيقي: بعد اكتشاف معاملات غير معتادة، يحافظ الفريق على السجلات ذات الصلة ويبلغ المسؤول المحدد في البروتوكول، ولا يستجوب الموظفين خارج نطاق تكليفه.
خطأ شائع وتصحيحه: لا تتجاهل المؤشر خوفًا من تجاوز الدور، ولا تبدأ تحقيقًا غير مخول. اتبع مسار التصعيد المعتمد، وميّز بين الملاحظة المدعومة والحكم على النية.
23. هدف التكليف ونطاقه
الجزء الثاني — التخطيط
يحدد الهدف ما يسعى التكليف إلى تقييمه أو الإجابة عنه، بينما يوضح النطاق العمليات والفترة والأنظمة والوحدات المشمولة. يجب توثيق الأهداف والنطاق، وأن يكون النطاق كافيًا لتحقيق الأهداف في ضوء المخاطر ذات الصلة. يعتمد الرئيس التنفيذي للتدقيق الأهداف والنطاق وأي تغييرات عليهما؛ ولا يبرر نقص الموارد وحده استبعاد مجال مهم دون معالجة أثر الاستبعاد.
مثال تطبيقي: في تكليف تأكيد بشأن اعتماد المدفوعات، يحدد الفريق الفترة والأنظمة والمواقع المشمولة بناءً على المخاطر، ويتحقق من كفاية التغطية لتحقيق الهدف، ثم يحصل على اعتماد الرئيس التنفيذي للتدقيق قبل تنفيذ الاختبارات.
خطأ شائع وتصحيحه: عنوان واسع مثل تدقيق المدفوعات لا يحدد هدفًا أو نطاقًا قابلًا للتنفيذ. كما أن استبعاد موقع مرتفع المخاطر لتوفير الوقت لا يصبح مقبولًا لمجرد توثيقه؛ يجب تقييم أثره ومعالجته واعتماد أي تغيير.
24. معايير التقييم
الجزء الثاني — التخطيط والتقييم
معيار التقييم هو الأساس الذي تُقارن به الحالة الفعلية، مثل سياسة أو هدف أو متطلب منطبق أو ممارسة مناسبة. في تكليف التأكيد، يحدد المدقق المعايير الأكثر صلة ويقيّم مدى كفاية المعايير التي وضعها المجلس والإدارة العليا. تُستخدم المعايير الكافية، أما إذا كانت غائبة أو غير كافية فتُحدد معايير مناسبة من خلال المناقشة مع الإدارة العليا أو المجلس، أو كليهما بحسب الحالة. اعتماد السياسة لا يثبت وحده أنها أساس كافٍ للتقييم.
مثال تطبيقي: قبل تقييم مراجعات الصلاحيات، يتحقق الفريق من انطباق السياسة على النظام والفترة، ومن كفايتها لتقييم مخاطر الوصول. وإذا لم تتناول السياسة صلاحيات حساسة ضمن النطاق، يناقش مع الإدارة العليا معيارًا مناسبًا لهذا الجانب.
خطأ شائع وتصحيحه: لا تعرض تفضيل المدقق الشخصي بوصفه متطلبًا ملزمًا، ولا تعتبر الالتزام بسياسة ناقصة دليلًا كافيًا على فاعلية الضوابط. قيّم كفاية أساس المقارنة ووثّق كيفية تحديده.
25. التقييم الأولي لمخاطر التكليف
الجزء الثاني — التخطيط
يركز التقييم الأولي على فهم العملية وأهدافها ومخاطرها وضوابطها المحتملة لتحديد أين يلزم مزيد من الاختبار. ويستخدم معلومات مثل التغييرات الحديثة والنتائج السابقة وملاحظات أصحاب المصلحة، مع التحقق من موثوقيتها. تظل الخطة قابلة للتعديل إذا كشفت الإجراءات الأولية عن مخاطر أو قيود لم تكن معروفة.
مثال تطبيقي: قبل فحص دورة الرواتب، يراجع الفريق تغييرات النظام وأوجه القصور السابقة، ثم يوجه الاختبارات إلى التعديلات اليدوية ذات المخاطر الأعلى.
خطأ شائع وتصحيحه: لا تعامل تقييم التخطيط الأولي كحقيقة نهائية. هو أساس لتصميم العمل، ويجب تحديثه إذا ظهرت أدلة تناقض الافتراضات أو تغيّر نطاق المخاطر.
26. برنامج العمل
الجزء الثاني — التخطيط والتنفيذ
يحوّل برنامج العمل أهداف التكليف ومعلومات التخطيط وتقييم المخاطر، عند انطباقه، إلى إجراءات موثقة. يحدد معايير التقييم والمهام وأساليب التحليل والاختبار والمسؤولين عن تنفيذها، بما يسمح بتتبع العلاقة بين الخطر والإجراء والنتيجة. يراجع الرئيس التنفيذي للتدقيق البرنامج ويعتمده قبل تنفيذه، ويعتمد تعديلاته سريعًا. تظل الإجراءات قابلة للتعديل عند ظهور معلومات جديدة، لكن التعديل لا يتم بلا مبرر واعتماد.
مثال تطبيقي: لمواجهة خطر اعتماد المستخدم معاملته بنفسه، يحدد البرنامج فحص الصلاحيات واختبار الموافقات الفعلية والمسؤول عن كل إجراء. وبعد اعتماد البرنامج، يكشف الاختبار نظامًا إضافيًا ذا صلة، فيوثق الفريق التعديل المقترح ويحصل على اعتماده سريعًا.
خطأ شائع وتصحيحه: نسخ برنامج سابق قد يترك مخاطر جديدة بلا تغطية. كذلك لا يكفي أن تبدو الإجراءات مناسبة؛ يجب اعتماد البرنامج وتعديلاته وفق المتطلبات المهنية.
27. القيود وتعديل النطاق
الجزء الثاني — التخطيط
قد يمنع قيد على الوصول أو البيانات أو الموارد تنفيذ العمل المخطط له، بينما قد يكون تعديل النطاق استجابة مبررة لتغير المخاطر. يقيّم الفريق أثر المسألة على أهداف التكليف ويبحث عن بدائل توفر أدلة مناسبة. في تكليف التأكيد، تُناقش قيود النطاق مع الإدارة عند تحديدها بهدف حلها. وإذا تعذر الحل، تُرفع المسألة إلى الرئيس التنفيذي للتدقيق ليصعّدها إلى المجلس وفق المنهجية المعتمدة. يجب توثيق القيد وبيان أثره، دون تقديم تأكيد يتجاوز التغطية والأدلة المتاحة.
مثال تطبيقي: ترفض إدارة موقع رئيسي إتاحة سجل لازم للاختبار. يناقش الفريق القيد معها ويقيّم المصادر البديلة؛ وإذا لم توفر البدائل أدلة كافية ولم يُحل القيد، يرفعه إلى الرئيس التنفيذي للتدقيق للتصعيد إلى المجلس.
خطأ شائع وتصحيحه: الإشارة إلى موقع مستثنى لا تعالج تلقائيًا قيدًا يمنع تحقيق الهدف. لا تقبل الاستبعاد بصمت، ولا توسع النطاق تلقائيًا؛ قيّم البدائل والأثر واتبع مسار المعالجة والاعتماد والتصعيد.
28. جمع المعلومات وفهم العملية
الجزء الثاني — جمع المعلومات
يبدأ جمع المعلومات بفهم أهداف العملية وتدفق العمل والأطراف والأنظمة والضوابط المتوقعة. يمكن استخدام المقابلات ومراجعة الوثائق والملاحظة وجولات تتبع المعاملة لبناء صورة أولية. هذه الخطوات تساعد على تصميم الاختبارات، لكنها لا تثبت وحدها أن الضوابط تعمل طوال الفترة أو أن رواية المسؤول كاملة.
مثال تطبيقي: يتتبع المدقق معاملة واحدة من طلب الشراء إلى الدفع، ثم يقارن ما شاهده بوصف المسؤول وبالسجلات النظامية.
خطأ شائع وتصحيحه: مقابلة ناجحة أو جولة واحدة لا تكفي لإثبات فاعلية مستمرة. استخدمها لفهم العملية وتحديد الاختبارات، ثم اجمع أدلة مناسبة للاستنتاج.
29. كفاية الأدلة وملاءمتها
الجزء الثاني — الأدلة
يجب أن تكون المعلومات المستخدمة في التحليل والتقييم ذات صلة بأهداف التكليف ونطاقه، وموثوقة، وكافية لدعم النتائج والاستنتاجات. تتعلق الصلة بما إذا كان الدليل يجيب عن سؤال التكليف، وتتعلق الموثوقية بإمكان الاعتماد عليه. أما الكفاية فليست عدد الوثائق وحده، بل مقدار المعلومات وقوتها بما يتيح لشخص مطّلع وكفؤ إعادة العمل والوصول إلى النتائج نفسها. يحدد المدقق الحاجة إلى أدلة إضافية وفق المخاطر وأهمية الاستنتاج.
مثال تطبيقي: لتقييم انتظام موافقات الدفع، يجمع الفريق سجلات موثوقة مرتبطة بمعاملات محددة وتغطي الفترة المطلوبة، ويوثق إجراء الاختبار ونتائجه. لا يستبدل ذلك بمراسلات كثيرة لا تثبت حدوث الموافقة.
خطأ شائع وتصحيحه: كثرة الملفات لا تعوض ضعف الصلة أو الموثوقية، ودليل قوي على حالة واحدة لا يكفي بالضرورة لاستنتاج يغطي فترة كاملة. اجمع ما يدعم الحكم المقصود، لا أكبر كمية ممكنة.
30. موثوقية مصدر الأدلة
الجزء الثاني — الأدلة
تتأثر موثوقية الدليل بمصدره وطريقة إنشائه وحفظه وإمكان التحقق منه، وبمدى استقلاله عن الشخص أو النظام محل الفحص. قد تكون السجلات المباشرة أقوى من ملخص شفهي، لكن يجب اختبار اكتمالها ودقتها وصلاحيات الوصول إليها. لا توجد قاعدة شكلية تجعل نوعًا واحدًا من الأدلة موثوقًا في كل ظرف.
مثال تطبيقي: يقارن المدقق تقريرًا مستخرجًا من النظام بمصدر البيانات وإعدادات التقرير، ويتحقق من اكتمال الفترة قبل استخدامه في العينة.
خطأ شائع وتصحيحه: لا تفترض أن مستندًا رسمي الشكل موثوق تلقائيًا. افحص مصدره وسلامته، ولا تعتبر تصريح الإدارة تأكيدًا مستقلًا لما يذكره.
60 مفهومًا من الأساسيات إلى التطبيق 31–40
31. الملاحظة والإقرار والأدلة المؤيدة
الجزء الثاني — جمع المعلومات والأدلة
تساعد الملاحظة المباشرة والإقرارات المكتوبة والمقابلات على فهم الوقائع، لكن طبيعة كل منها تحد من نوع الاستنتاج الذي تدعمه. قد تتأثر الملاحظة بكونها لحظية، وقد يعكس الإقرار وجهة نظر صاحبه. لذلك يُفضّل ربطها بسجلات أو مصادر مؤيدة حين تكون النتيجة مهمة أو المخاطر مرتفعة.
مثال تطبيقي: يرى المدقق موظفًا يراجع تنبيهًا مرة واحدة، ثم يفحص سجلات التنبيهات للفترة ليقيّم انتظام المراجعة بدل التعميم من المشاهدة.
خطأ شائع وتصحيحه: لا تجعل ما شاهده المدقق في يوم واحد دليلًا على ممارسة مستمرة. استخدمه كجزء من الصورة، واستكمل الاختبار بأدلة تغطي الفترة المطلوبة.
32. الإجراءات التحليلية
الجزء الثاني — التحليل
تقارن الإجراءات التحليلية بيانات أو علاقات متوقعة لاكتشاف تغير أو نمط يحتاج إلى تفسير، مثل الاتجاهات والفروقات بين الفترات أو الوحدات. تعتمد فائدتها على جودة البيانات وتحديد توقع معقول وحدود للتغير المقبول. النتيجة غير المعتادة توجه الاستقصاء، لكنها لا تثبت وحدها سببًا أو مخالفة.
مثال تطبيقي: يقارن الفريق الزيادة في ساعات العمل الإضافي بين الفروع، ثم يفحص الفروع ذات الانحرافات الملحوظة وسجلات الموافقات ذات الصلة.
خطأ شائع وتصحيحه: لا تكتب أن وجود انحراف يثبت احتيالًا أو خطأً. تحقّق من دقة البيانات واطلب تفسيرًا ثم اختبره بأدلة مستقلة مناسبة.
33. المجتمع والعينة ومخاطر المعاينة
الجزء الثاني — المعاينة
المجتمع هو مجموعة العناصر التي يراد أن تتناولها النتيجة، والعينة جزء منها يُختار للاختبار. يجب تحديد المجتمع والفترة ووحدة الاختيار والتحقق من اكتمال إطار المعاينة قبل السحب. مخاطر المعاينة هي احتمال اختلاف الاستنتاج المبني على العينة عن الاستنتاج الذي ينتج من تطبيق الإجراء نفسه على المجتمع كاملًا. وتختلف عنها المخاطر غير المرتبطة بالمعاينة، مثل استخدام إجراء غير مناسب أو تنفيذه خطأً أو سوء تفسير الأدلة.
مثال تطبيقي: يحدد الفريق جميع معاملات الاسترداد خلال فترة التكليف ويتحقق من اكتمال قائمتها قبل اختيار العينة. ويدرك أن العينة قد تدعم استنتاجًا مختلفًا عن فحص جميع المعاملات، وأن تنفيذ الاختبار خطأً يمثل خطرًا آخر مستقلًا عن اختيار العينة.
خطأ شائع وتصحيحه: لا تسحب عينة من تقرير ناقص ثم تعمم النتيجة على مجتمع أكبر. كما أن فحص المجتمع كاملًا يزيل مخاطر المعاينة لذلك الاختبار، لكنه لا يزيل أخطاء الإجراء أو التنفيذ أو التفسير.
34. اختيار طريقة العينة
الجزء الثاني — المعاينة
تُختار طريقة المعاينة وفق هدف الاختبار وطبيعة المجتمع والنتيجة المراد دعمها. تجمع المعاينة الإحصائية بين الاختيار الاحتمالي وتقييم النتائج وفق نظرية الاحتمالات، بما يسمح بقياس مخاطر المعاينة ضمن تصميم مناسب. أما الاختيار الحكمي فقد يستهدف عناصر مرتفعة المخاطر، لكنه لا يوفر أساسًا لإسقاط معدلات استثناءاته إحصائيًا على المجتمع. يجب توثيق سبب الاختيار وحجم العينة وحدود الاستدلال؛ فالاختيار العشوائي وحده لا يجعل التقييم إحصائيًا.
مثال تطبيقي: لتقييم انتظام موافقات الدفع خلال السنة، يستخدم الفريق اختيارًا عشوائيًا ضمن خطة معاينة إحصائية ذات حجم مبرر. ويفحص أيضًا مدفوعات مرتفعة المخاطر باختيار موجّه منفصل، دون إسقاط معدل استثناءات هذه المجموعة على جميع المدفوعات.
خطأ شائع وتصحيحه: العناصر الكبيرة أو المتاحة بسهولة ليست ممثلة تلقائيًا. لا تخلط بين فحص عناصر مختارة لمخاطرها وتقدير معدل استثناءات المجتمع، ولا تعتبر أي اختيار عشوائي خطة معاينة إحصائية مكتملة.
35. اختبار صحة المعاملات وفاعلية الضوابط
الجزء الثاني — التنفيذ
يفحص اختبار صحة المعاملة بياناتها أو خصائصها مقابل أدلة ومعايير محددة، بينما يفحص اختبار تشغيل الضابط ما إذا كان قد نُفذ فعلًا كما صُمم، بواسطة الشخص المناسب وفي التوقيت المطلوب. أما فحص ما إذا كان التصميم يتطلب مراجعة مستقلة فهو تقييم للتصميم، وليس إثباتًا للتشغيل. قد تخدم إجراءات مترابطة أكثر من هدف، لكن يجب تحديد ما يثبته كل إجراء وتعريف الاستثناء وتوثيق النتيجة.
مثال تطبيقي: يتحقق الفريق من صحة مبلغ دفعة بمقارنته بالفاتورة وسجل استلام البضاعة وإعادة حسابه. وفي اختبار تشغيل الضابط، يفحص الدليل على موافقة شخص مخول ومستقل قبل الدفع في معاملات مختارة من الفترة محل الفحص.
خطأ شائع وتصحيحه: صحة مبلغ المعاملة لا تثبت تنفيذ الموافقة، ووجود شرط الموافقة في السياسة لا يثبت أن الضابط عمل. ميّز بين صحة المعاملة وملاءمة التصميم وفاعلية التشغيل.
36. الاستثناءات وتفسير نتائج العينة
الجزء الثاني — التقييم
الاستثناء هو حالة لا تحقق المعيار أو الإجراء المتوقع، ويجب وصفها والتحقق منها قبل تقدير دلالتها. ينظر المدقق في سببها وتكرارها ونطاقها وأثرها وعلاقتها بالضوابط الأخرى. وقد يبرر نمط الاستثناءات توسيع الاختبار أو تعديل التقييم، بينما قد تتطلب حالة منفردة تحليلًا خاصًا.
مثال تطبيقي: يعثر الفريق على معاملة بلا موافقة ظاهرة، فيتحقق من السجلات البديلة وسبب الغياب، ثم يقرر إن كانت هناك حاجة إلى توسيع الاختبار.
خطأ شائع وتصحيحه: لا تعتبر استثناءً كل فرق شكلي قبل التحقق من المعيار والسياق، ولا تهمل استثناءً صحيحًا لأنه وحيد. الدلالة تُقيّم ولا تُفترض.
37. صياغة ملاحظة تدقيق قابلة للدفاع
الجزء الثاني — التقييم والتواصل
تربط ملاحظة التدقيق بين معيار مناسب وحالة مدعومة بالأدلة، وتوضح الأثر الفعلي أو الخطر المحتمل وأهمية الفجوة. يتعاون المدقق مع الإدارة لتحديد السبب الجذري عندما يكون ذلك ممكنًا، ولا ينسب الحالة إلى سبب غير مثبت لمجرد استكمال الصياغة. يجب التمييز بين ما لوحظ وما استُنتج وما لا يزال غير محسوم، وتجنب الادعاءات التي تتجاوز نطاق الاختبار أو قوة الأدلة.
مثال تطبيقي: يعرض الفريق غياب توثيق مراجعة الصلاحيات في حالات محددة، ويبين معيار التوثيق وخطر بقاء وصول غير مناسب. ولا يجزم بأن المراجعة لم تحدث أو بأن نقص التدريب هو السبب ما لم تدعم الأدلة ذلك.
خطأ شائع وتصحيحه: عبارة ضعف الرقابة لا تكفي دون حالة ومعيار وأثر واضح. كذلك لا تعرض خطرًا محتملًا بوصفه خسارة تحققت، ولا تقدم تفسيرًا غير مثبت بوصفه سببًا جذريًا.
38. تحليل السبب الجذري
الجزء الثاني — التقييم
يسعى تحليل السبب إلى فهم العوامل التي أدت إلى الحالة، مثل غموض المسؤولية أو خلل النظام أو نقص التدريب أو ضعف المتابعة. معرفة السبب تساعد على معالجة المشكلة بدل الاكتفاء بعرض أعراضها. يجب أن يكون السبب مدعومًا بالمعلومات، وقد تتطلب المسائل المعقدة أكثر من سبب واحد أو تحققًا إضافيًا.
مثال تطبيقي: بعد تكرار تأخر اعتماد الطلبات، يفحص الفريق توزيع الأدوار وإعداد التنبيهات بدل افتراض أن الموظفين أهملوا الإجراء.
خطأ شائع وتصحيحه: اعتبار خطأ الموظف سببًا جذريًا تلقائيًا قد يحجب قصور النظام أو التصميم. اسأل ما الذي سمح بتكرار الحالة، وادعم التفسير بأدلة.
39. تقدير أهمية النتيجة
الجزء الثاني — التقييم
تُقدّر أهمية الملاحظة من خلال تقييم احتمال تحقق الخطر المرتبط بها وأثره المحتمل أو الفعلي، مع مراعاة النطاق والسياق وأهداف المؤسسة والضوابط الأخرى. تكرار الحالة عامل مفيد، لكنه ليس بديلًا عن تقييم الخطر نفسه. يرتب المدقق الملاحظات وفق أهميتها باستخدام المنهجية التي يضعها الرئيس التنفيذي للتدقيق. قد تكون حالة محدودة ماليًا مهمة بسبب آثارها على الامتثال أو السمعة أو استمرارية العمل.
مثال تطبيقي: عند اكتشاف حساب نشط لمستخدم غادر المؤسسة، يفحص الفريق حساسية النظام وإمكان استخدام الحساب والضوابط التي تحد من الوصول، ثم يقيّم احتمال الوصول غير المصرح به وأثره وفق المنهجية المعتمدة، لا وفق عدد الحسابات وحده.
خطأ شائع وتصحيحه: لا تساوِ بين عدد الاستثناءات أو الأثر المالي وأهمية المخاطر كلها. ولا ترفع التصنيف للضغط على الإدارة؛ فسّر التقدير بأدلة ومنهجية متسقة.
40. التوثيق وأوراق العمل
الجزء الثاني — التوثيق
توثق أوراق العمل المعلومات والأدلة التي تدعم نتائج التكليف، بما يشمل أهداف الإجراءات ومصادر البيانات وما اختُبر وكيف اختُبر والنتائج والاستنتاجات والمراجعات. يجب أن تتيح لشخص مطّلع وكفؤ إعادة تنفيذ العمل والتوصل إلى النتائج نفسها، لا مجرد فهم ملخصه. تُراجع دقة التوثيق وصلته واكتماله، وتُحمى المعلومات ويُحتفظ بها وفق القوانين والمتطلبات والسياسات المنطبقة، دون جمع مواد لا تخدم الغرض.
مثال تطبيقي: يسجل المدقق تعريف مجتمع العينة وطريقة الاختيار والعناصر المختارة وخطوات اختبار كل عنصر ومراجع أدلته ونتائجه، بحيث يستطيع المراجع إعادة الاختبار وتتبع الاستنتاج إلى السجلات الأصلية.
خطأ شائع وتصحيحه: ملف كبير أو استنتاج مكتوب لا يعوض غياب خطوات الاختبار وأدلته. إذا تعذر على شخص مطّلع وكفؤ إعادة العمل وفهم أساس النتائج، فالتوثيق غير كافٍ مهما بلغ حجمه.
60 مفهومًا من الأساسيات إلى التطبيق 41–50
41. الإشراف ومراجعة العمل
الجزء الثاني — الإشراف
يدعم الإشراف تحقيق أهداف التكليف وجودة العمل عبر توجيه الفريق ومراجعة الإجراءات والاستنتاجات ومعالجة الأسئلة أو العقبات. يتناسب مستوى الإشراف مع خبرة المنفذين وتعقيد العمل ومخاطره. ينبغي توثيق المراجعات والقرارات المهمة، وأن تُعالج الملاحظات قبل اعتماد النتائج.
مثال تطبيقي: يراجع المشرف تصميم العينة قبل تنفيذها، ثم يفحص ما إذا كانت الاستثناءات موثقة ومحللة قبل أن يوافق على الاستنتاج.
خطأ شائع وتصحيحه: التوقيع على أوراق العمل من دون فحص مضمونها ليس إشرافًا فعالًا. كما لا يعني الإشراف أن المشرف يحل محل مسؤولية الفريق عن دقة العمل.
42. التواصل أثناء التكليف
الجزء الثاني — التواصل
يساعد التواصل المستمر مع أصحاب المصلحة على توضيح الغرض والنطاق والجدول الزمني، والتحقق من الوقائع ومناقشة العوائق والنتائج الأولية. ينبغي أن يكون التبادل مهنيًا ومتوازنًا، وأن يتيح ردود الأطراف دون السماح لها بإملاء الاستنتاج. توثيق المسائل الجوهرية يقلل الالتباس في نهاية التكليف.
مثال تطبيقي: يعرض المدقق الوقائع الأولية على المسؤول المعني للتحقق من دقتها، ثم يوثق ما قُدم من أدلة وما تغير في فهم الحالة.
خطأ شائع وتصحيحه: مناقشة مسودة ملاحظة لا تعني التفاوض على حذفها. استمع إلى الردود، وافحص ما يؤيدها، ثم اتخذ الحكم المهني وفق الأدلة.
43. التقرير النهائي
الجزء الثاني — التواصل
يتضمن التواصل النهائي أهداف التكليف ونطاقه واستنتاجاته، والتوصيات أو خطط العمل عند انطباقها. وفي تكليف التأكيد، يتضمن أيضًا النتائج وأهميتها وترتيب أولوياتها، وأي قيود على النطاق، والاستنتاج بشأن فاعلية الحوكمة وإدارة المخاطر والضوابط ذات الصلة. وعند وجود إجراءات للمعالجة، يحدد المسؤولين عنها وتواريخ إنجازها المخططة. يراجع الرئيس التنفيذي للتدقيق التواصل ويعتمده قبل إصداره ويحدد توزيعه المناسب؛ ويجوز تفويض هذه المهام مع بقاء مسؤوليته العامة. ينبغي أن يكون التواصل دقيقًا وموضوعيًا وواضحًا وموجزًا وبنّاءً وكاملًا وفي الوقت المناسب.
مثال تطبيقي: يتضمن تقرير تأكيد عن الموردين أهداف المراجعة ونطاقها، ونتائجها مرتبة بحسب الأهمية، وقيدًا على تغطية إحدى الوحدات، واستنتاجًا محددًا، وخطة معالجة بأسماء المسؤولين وتواريخ الإنجاز المخططة. يُراجع التقرير ويُعتمد قبل توزيعه على الجهات المخولة باتخاذ الإجراء.
خطأ شائع وتصحيحه: سرد الملاحظات وحده لا يستوفي متطلبات التواصل النهائي. لا تُصدر التقرير دون الاستنتاج والمعلومات المطلوبة، ولا تستخدم لغة قطعية تتجاوز النطاق والأدلة.
44. استنتاج التكليف وحدود التأكيد
الجزء الثاني — التقييم والتواصل
يلخص استنتاج التكليف الحكم المهني على النتائج مجتمعةً مقارنةً بأهداف التكليف، مع مراعاة أهميتها والأدلة والقيود. في تكليف التأكيد، يتضمن حكمًا بشأن فاعلية الحوكمة وإدارة المخاطر والضوابط ذات الصلة بالنشاط محل المراجعة، مع الاعتراف بما يعمل بفاعلية. أما استنتاج المشورة فيتسق مع أهدافها ونطاقها المتفق عليهما. لا يمثل استنتاج تكليف محدود استنتاجًا عن المؤسسة كلها، ولا يقدم ضمانًا مطلقًا بخلوها من المشكلات.
مثال تطبيقي: يخلص الفريق إلى أن ضوابط اعتماد الموردين في الوحدات والفترة المشمولتين تحتاج إلى تحسين، مع بيان الضوابط التي تعمل بفاعلية وقيد حال دون اختبار وحدة أخرى. ولا يعمم الحكم على جميع عمليات المؤسسة.
خطأ شائع وتصحيحه: لا تخلط بين استنتاج التكليف واستنتاج على مستوى المؤسسة. كما أن تجميع النتائج لا يبرر إخفاء خلل جوهري وراء تقييم إيجابي عام.
45. خطة العمل ومسؤولية المعالجة
الجزء الثاني — المتابعة
توضح خطة العمل الإجراءات التي توافق الإدارة على تنفيذها لمعالجة النتائج والمخاطر، مع تحديد مسؤول كل إجراء وتاريخ إنجازه المخطط، ويمكن إضافة مؤشرات وأدلة نجاح. يجوز للمدقق اقتراح توصيات أو التعاون مع الإدارة في تطوير إجراءات مناسبة، لكن الإدارة تملك القرار والتنفيذ. يقيّم التدقيق مدى ملاءمة الاستجابة لمعالجة الخطر والسبب. وإذا اختارت الإدارة قبول الخطر بدل المعالجة، يُوثق القرار ويُقيّم ضمن صلاحياتها وشهية المخاطر وحدود التحمل المعتمدة، مع التصعيد عند اللزوم.
مثال تطبيقي: يساعد المدقق مالك العملية على مقارنة خيارات معالجة صلاحيات النظام. تختار الإدارة الإجراء، وتحدد المسؤول وتاريخ الإنجاز ودليل التنفيذ، ثم يقيّم التدقيق كفاية الخطة ويتابعها.
خطأ شائع وتصحيحه: المساعدة في صياغة خطة لا تعني تولي مسؤولية الإدارة تلقائيًا. الخطأ هو أن يختار المدقق القرار التشغيلي أو يدير تنفيذه؛ كذلك لا تغني مؤشرات المتابعة عن تحديد المسؤول وتاريخ الإنجاز المخطط.
46. التحقق من تنفيذ الإجراءات
الجزء الثاني — المتابعة
يجب تأكيد تنفيذ التوصيات أو خطط العمل وفق منهجية متابعة معتمدة، تشمل الاستفسار عن التقدم، وإجراء تقييمات متابعة مبنية على المخاطر، وتحديث حالة الإجراءات في سجل المتابعة. يتناسب عمق التحقق مع أهمية النتيجة؛ فلا يلزم مستوى الاختبار نفسه لكل إجراء، لكن إعلان الإدارة الإغلاق لا يُقبل تلقائيًا دون تقييم مناسب. عند تجاوز المواعيد، تُطلب تفسيرات الإدارة وتُوثق، ويقيّم الرئيس التنفيذي للتدقيق ما إذا كان التأخر يمثل قبولًا لخطر يتجاوز شهية المؤسسة أو حدود تحملها.
مثال تطبيقي: بعد إعلان معالجة صلاحيات مرتفعة المخاطر، يفحص المدقق إعدادات النظام وعينة من الموافقات الحديثة، ويحدّث سجل المتابعة بنتيجة التحقق. وإذا بقي جزء من الإجراء متأخرًا، يوثق السبب والخطر المتبقي.
خطأ شائع وتصحيحه: انخفاض أهمية النتيجة يغيّر عمق المتابعة، ولا يجعلها اختيارية. وإتمام إجراء شكلي لا يثبت أنه عالج المشكلة أو خفّض الخطر كما هو متوقع.
47. المشورة وحدود مسؤولية الإدارة
الجزء الثاني — تقديم المشورة
قد يقدم التدقيق الداخلي رأيًا أو ييسّر نقاشًا أو يشارك معرفة، شرط وضوح الغرض والحدود وحماية الموضوعية. تحدد الإدارة أهداف العملية وتختار القرارات وتنفذها. ينبغي الانتباه إلى أثر المشورة في تكليفات لاحقة، خصوصًا إذا طلب من المدقق تقييم تصميم ساهم في تطويره.
مثال تطبيقي: يساعد المدقق فريق مشروع على تحديد أسئلة مخاطر مبكرة، لكنه لا يختار المورد ولا يعتمد الضوابط نيابة عن الإدارة.
خطأ شائع وتصحيحه: المشاركة في اجتماع لا تضعف الموضوعية تلقائيًا، لكن تولي قرار تشغيلي قد يفعل ذلك. عالج المخاطر ووضّح حدود دورك قبل بدء العمل.
48. مجالات التدقيق المحتملة (Audit Universe)
الجزء الثالث — التخطيط والاستراتيجية
مجالات التدقيق المحتملة، التي تسمى أيضًا «مجتمع التدقيق»، هي مجموعة الوحدات والعمليات والأنظمة والموضوعات التي يمكن النظر فيها عند تخطيط التغطية. المقصود هنا خريطة المجالات القابلة للتدقيق، لا مجتمع المهنيين أو مجتمع عناصر عينة اختبار. يساعد تحديدها على كشف المجالات غير المشمولة ومقارنة المخاطر على أساس متسق. ينبغي تحديثها عند التغير التنظيمي أو التقني، وألا تقتصر على الإدارات التقليدية عندما تكون المخاطر مشتركة بين وحدات أو مرتبطة بخدمات خارجية.
مثال تطبيقي: بعد إدخال خدمة رقمية مشتركة بين وحدات عدة، يضيف الرئيس التنفيذي للتدقيق الخدمة والعمليات المرتبطة بها إلى خريطة المجالات المحتملة، بدل حصرها ضمن إدارة واحدة.
خطأ شائع وتصحيحه: قائمة الإدارات وحدها قد تخفي مخاطر مشتركة أو خدمات خارجية. حدّد المجالات بما يعكس العمليات والأهداف والتغيرات الفعلية، ولا تخلط هذه الخريطة بمجتمع المعاينة لتكليف محدد.
49. الخطة القائمة على المخاطر
الجزء الثالث — التخطيط والاستراتيجية
توجه الخطة القائمة على المخاطر موارد التدقيق نحو المجالات الأهم لتحقيق أهداف المؤسسة، مع مراعاة المخاطر والتغيرات وتغطية التأكيد المتاحة. تستند إلى تقييم موثق لاستراتيجيات المؤسسة وأهدافها ومخاطرها، يُجرى على الأقل سنويًا ويستفيد من مدخلات المجلس والإدارة العليا ومن فهم الرئيس التنفيذي للتدقيق المستقل. يناقش الرئيس الخطة مع المجلس والإدارة العليا، ويحصل على اعتماد المجلس للخطة وتغييراتها المهمة. والمقصود بالمجلس أعلى جهة حوكمة مختصة أو لجنة مفوضة منها، لا جهة تنظيمية خارجية تلقائيًا.
مثال تطبيقي: بعد توسع المؤسسة في سوق جديد، يحدّث الرئيس التنفيذي للتدقيق تقييم المخاطر، ويقترح تقديم مراجعة تشغيلية وتأجيل عمل أقل أولوية، ويعرض أثر ذلك للحصول على اعتماد المجلس إذا كان التعديل مهمًا.
خطأ شائع وتصحيحه: اعتماد خطة سابقة لا يجعلها صالحة رغم تغير المخاطر. كذلك لا يكفي ترتيب آلي للدرجات أو موافقة الإدارة وحدها بدل اعتماد المجلس المطلوب.
50. مواءمة استراتيجية التدقيق مع المؤسسة
الجزء الثالث — الاستراتيجية
يطور الرئيس التنفيذي للتدقيق استراتيجية للوظيفة وينفذها بما يدعم أهداف المؤسسة ويتسق مع توقعات المجلس والإدارة العليا وأصحاب المصلحة الرئيسيين. تتضمن الاستراتيجية رؤية للوظيفة وأهدافًا استراتيجية ومبادرات داعمة، مثل تطوير المهارات والتقنيات ومنهجيات العمل. تُراجع دوريًا مع المجلس والإدارة العليا وتُحدّث عند الحاجة. وهي تحدد الاتجاه والقدرات المستقبلية، بينما تحول خطة التدقيق القائمة على المخاطر هذا الاتجاه إلى أعمال محددة وفق الأولويات والموارد.
مثال تطبيقي: مع توسع المؤسسة رقميًا، تضع وظيفة التدقيق هدفًا استراتيجيًا لتعزيز قدرتها على تقييم المخاطر التقنية، وتحدد مبادرات للتدريب والأدوات والخبرة المتخصصة، ثم تربطها بالتكليفات المخططة.
خطأ شائع وتصحيحه: قائمة المراجعات السنوية ليست استراتيجية مكتملة. كما أن الاستراتيجية لا تُبنى على توقعات جهة تنظيمية خارجية وحدها، بل على أهداف المؤسسة وتوقعات جهات الحوكمة وأصحاب المصلحة المعنيين.
60 مفهومًا من الأساسيات إلى التطبيق 51–60
51. تحديث الخطة وإبلاغ فجوات التغطية
الجزء الثالث — التخطيط والتواصل
تُراجع الخطة عند تغير المخاطر أو الموارد أو احتياجات المؤسسة، ويُقيّم أثر التعديل على التغطية والأعمال المؤجلة. يناقش الرئيس التنفيذي للتدقيق التغييرات وآثارها مع المجلس والإدارة العليا، ويحصل على اعتماد المجلس للتغييرات المهمة. يوضح التواصل المبكر البدائل، مثل إعادة ترتيب الأعمال أو زيادة الموارد أو التنسيق مع مزود تأكيد آخر. ينبغي توثيق المفاضلات وفجوات التغطية، لا إضافة أعمال أو إلغاؤها دون بيان أثر القرار.
مثال تطبيقي: يطلب المجلس مراجعة خطر ناشئ، فيوضح الرئيس التنفيذي للتدقيق الأعمال التي ستؤجل والموارد الإضافية والتغطية البديلة الممكنة، ثم يحصل على اعتماد التعديل المهم في الخطة.
خطأ شائع وتصحيحه: إضافة تكليف إلى خطة ممتلئة دون بيان ما سيُزاحمه تخفي فجوة التغطية. وإبلاغ المجلس بتغيير مهم لا يغني عن الحصول على اعتماده.
52. إدارة موارد وظيفة التدقيق
الجزء الثالث — الموارد
تشمل إدارة الموارد تقدير احتياجات الوظيفة من أشخاص ووقت وميزانية وأدوات لتحقيق استراتيجيتها وخطتها. يقارن الرئيس التنفيذي للتدقيق الاحتياجات بالقدرات المتاحة ويشرح أثر النقص على النطاق والجودة والتغطية. يطور الميزانية اللازمة، ويناقشها مع المجلس والإدارة العليا، ويطلب اعتمادها من المجلس. ينبغي أن يستند طلب الموارد إلى المخاطر والأعمال والقدرات المطلوبة، مع عرض بدائل عملية عندما لا تكفي الموارد المتاحة.
مثال تطبيقي: يعرض الرئيس التنفيذي للتدقيق على المجلس والإدارة العليا أثر نقص قدرات تحليل البيانات على مراجعات التقنية، ويقارن بين التدريب والاستعانة بخبير وتأجيل بعض الأعمال، ويطلب اعتماد الميزانية المناسبة.
خطأ شائع وتصحيحه: لا تعالج فجوة الموارد بإخفاء أثرها أو بخفض جودة العمل ضمنيًا. كما لا تفترض أن جهة تنظيمية خارجية تحل محل المجلس في اعتماد ميزانية وظيفة التدقيق.
53. المهارات والتطوير المهني
الجزء الثالث — الموارد
يوازن رئيس التدقيق بين مهارات الفريق الحالية وما يتطلبه المجتمع والخطة والمخاطر المتغيرة. قد تُسد الفجوات بالتدريب أو إعادة توزيع العمل أو الاستعانة بخبرة متخصصة، مع تقييم أثر ذلك على الجودة والتكلفة والتوقيت. من المهم تحديث فهم القدرات بدل الاعتماد على المسميات الوظيفية وحدها.
مثال تطبيقي: عند التخطيط لمراجعة منصة سحابية، يحدد الرئيس المهارات المطلوبة ويقرر إن كان الفريق يحتاج إلى تدريب أو دعم تقني متخصص.
خطأ شائع وتصحيحه: لا تفترض أن سنوات الخبرة العامة تكفي لكل موضوع. كما أن التدريب وحده قد لا يكون بديلًا مناسبًا لخبرة تخصصية عاجلة أو مستقلة.
54. الاستعانة بموارد خارجية
الجزء الثالث — الموارد والجودة
يمكن الاستعانة بخبير أو مزود خارجي لتغطية نقص مهارة أو قدرة أو وقت، مع بقاء مسؤولية رئيس التدقيق عن ملاءمة العمل والإشراف عليه. يتطلب ذلك تحديد النطاق والكفاءة والاستقلالية والتوقعات المتعلقة بالبيانات والتوثيق والتواصل. يقيّم الاختيار في ضوء الحاجة والمخاطر، لا على أساس توفر المورد وحده.
مثال تطبيقي: يستعين الفريق بخبير في بنية شبكة معقدة، ويحدد مسبقًا الأسئلة الفنية ومخرجات العمل وكيف ستُراجع وتُدمج في الاستنتاج.
خطأ شائع وتصحيحه: إسناد جزء من العمل لا ينقل تلقائيًا مسؤولية جودة وظيفة التدقيق. تحقق من كفاءة المزود وحدود دوره، وراجع عمله قبل الاعتماد عليه.
55. التنسيق مع مزوّدي التأكيد الآخرين
الجزء الثالث — التنسيق
يساعد التنسيق مع المخاطر والامتثال ومراجعي الحسابات والجهات الأخرى على فهم التغطية وتقليل الازدواجية وكشف المجالات التي قد لا يغطيها أحد. قبل الاعتماد على عمل طرف آخر، يقيّم رئيس التدقيق صلته بالهدف وجودته وكفاءة منفذه واستقلاليته بحسب السياق. لا يعني التنسيق نقل الحكم المهني إلى جهة أخرى.
مثال تطبيقي: يقارن رئيس التدقيق نطاق مراجعة امتثال حديثة بهدف التكليف الداخلي، ثم يحدد ما يمكن استخدامه وما يتطلب اختبارًا مستقلًا.
خطأ شائع وتصحيحه: لا تفترض أن وجود تقرير من جهة أخرى يسد فجوة التغطية. افحص نطاقه وتوقيته ومنهجه والأدلة قبل تقرير مدى إمكان الاستفادة منه.
56. التواصل مع المجلس والإدارة العليا
الجزء الثالث — التواصل
يتيح التواصل مع المجلس والإدارة العليا عرض الخطة والموارد والنتائج والقيود والمسائل التي تحتاج إلى إشراف. ينبغي أن يكون في الوقت المناسب وموجزًا بما يكفي لاتخاذ القرار، مع الحفاظ على دقة الوقائع وحدود التأكيد. تُكيّف التفاصيل مع احتياجات المتلقين دون حجب المخاطر الجوهرية. ولا يحل التواصل التشغيلي مع الإدارة العليا محل التواصل المباشر مع المجلس في المسائل التي تتطلب إشرافه على وظيفة التدقيق أو على المخاطر.
مثال تطبيقي: يعرض الرئيس التنفيذي للتدقيق على المجلس نمطًا متكررًا من تأخر المعالجة، موضحًا الأدلة والأثر واستجابات الإدارة والمسائل التي تحتاج إلى إشراف، مع إتاحة التفاصيل الداعمة.
خطأ شائع وتصحيحه: إرسال تقرير طويل لا يضمن فهم القضية. أبرز الرسالة والمخاطر وما يحتاج إلى متابعة، وحدد متلقيها بوضوح؛ فلا تستخدم وصفًا عامًا مثل «الجهة الرقابية» عندما يكون المقصود المجلس.
57. إبلاغ المخاطر التي تقبلها الإدارة
الجزء الثالث — التواصل والحوكمة
عندما يخلص الرئيس التنفيذي للتدقيق إلى أن الإدارة قبلت مستوى من الخطر يتجاوز شهية المؤسسة للمخاطر أو حدود تحملها، يجب أن يناقش المسألة مع الإدارة العليا. وإذا لم تُحل، يجب إبلاغها إلى المجلس. يستند الحكم إلى الأدلة والخطر المتبقي والحدود المعتمدة، لا إلى مجرد رفض توصية أو وجود خلاف مهني. لا يملك التدقيق قبول الخطر نيابة عن الإدارة، ولا يكون الرئيس التنفيذي للتدقيق مسؤولًا عن حل الخطر، لكنه مسؤول عن إبلاغ القلق عبر هذا التسلسل.
مثال تطبيقي: تؤجل الإدارة تحديث نظام حساس، ويبين التقييم أن الضوابط المؤقتة لا تُبقي الخطر ضمن حدود التحمل المعتمدة. يناقش الرئيس التنفيذي للتدقيق الأمر مع الإدارة العليا، ثم يبلغه إلى المجلس إذا بقي دون حل.
خطأ شائع وتصحيحه: ليس كل خلاف على توصية سببًا للتصعيد إلى المجلس. المعيار هو قبول خطر يتجاوز شهية المؤسسة أو حدود تحملها، مع مناقشته أولًا مع الإدارة العليا.
58. التقييم الداخلي للجودة
الجزء الثالث — الجودة
يجب أن تتضمن التقييمات الداخلية للجودة رصدًا مستمرًا للالتزام بالمعايير والتقدم نحو أهداف الأداء، وتقييمات ذاتية دورية أو تقييمات ينفذها أشخاص آخرون داخل المؤسسة لديهم معرفة كافية بممارسات التدقيق الداخلي. يفحص الرصد المستمر جودة العمل ضمن العمليات اليومية، بينما تنظر التقييمات الدورية بصورة أوسع في أداء الوظيفة والتزامها. تُوثق النتائج وإجراءات معالجة أوجه عدم الالتزام وفرص التحسين، وتُبلغ نتائج التقييمات وخطط العمل إلى المجلس والإدارة العليا.
مثال تطبيقي: تستخدم الوظيفة مراجعات ملفات التكليفات للرصد المستمر، وتجري تقييمًا ذاتيًا دوريًا للوظيفة. تكشف النتائج ضعفًا متكررًا في ربط الاستنتاجات بالأدلة، فتضع إجراء تحسين وتتابع تنفيذه.
خطأ شائع وتصحيحه: الرصد المستمر والتقييمات الدورية ليسا بديلين اختياريين أحدهما عن الآخر. وإكمال قائمة تحقق لا يثبت جودة الممارسة دون فحص التنفيذ والنتائج ومتابعة التحسين.
59. التقييم الخارجي للجودة
الجزء الثالث — الجودة
يجب إجراء تقييم خارجي للجودة مرة واحدة على الأقل كل خمس سنوات بواسطة مقيم مؤهل ومستقل أو فريق تقييم مؤهل ومستقل من خارج المؤسسة، على أن يحمل شخص واحد على الأقل شهادة CIA سارية. ويمكن استيفاء المتطلب بتقييم ذاتي مع تحقق خارجي مستقل. يضع الرئيس التنفيذي للتدقيق خطة للتقييم ويناقشها مع المجلس، الذي يشمل دوره مراجعة الخطة واعتمادها، بما في ذلك النطاق والتكرار ومؤهلات المقيمين واستقلالهم. تُستخدم النتائج لتقييم الالتزام بالمعايير والأداء ووضع إجراءات التحسين ومتابعتها.
مثال تطبيقي: تخطط الوظيفة قبل انقضاء فترة السنوات الخمس لتقييم خارجي. تتحقق من مؤهلات الفريق واستقلاله ومن وجود حامل لشهادة CIA سارية، وتعرض الخطة على المجلس للاعتماد، ثم تتابع إجراءات معالجة نتائج التقييم.
خطأ شائع وتصحيحه: التقييم الداخلي وحده لا يستوفي متطلب التقييم الخارجي؛ فمسار التقييم الذاتي يحتاج إلى تحقق خارجي مستقل. كما أن النتيجة الإيجابية ليست شهادة دائمة بجودة كل تكليف أو بزوال المخاطر.
60. قياس أداء وظيفة التدقيق والتحسين
الجزء الثالث — النتائج والأداء
توضح مؤشرات الأداء والنتائج ما إذا كانت وظيفة التدقيق تحقق أهدافها وتستخدم مواردها وتقدم أعمالًا ذات جودة وفائدة. ينبغي أن تجمع بين مؤشرات النشاط والجودة والأثر، وأن تُفسر في سياق المخاطر والتغيرات. العدد وحده، مثل عدد التقارير المنجزة، لا يكشف قيمة العمل أو ملاءمة التغطية.
مثال تطبيقي: يعرض رئيس التدقيق إنجاز الخطة إلى جانب أسباب التأجيل وجودة المتابعة والفجوات المهمة، فيناقش المجلس ما إذا كانت التغطية ما زالت مناسبة.
خطأ شائع وتصحيحه: تحسين رقم واحد، مثل سرعة إصدار التقارير، قد يأتي على حساب جودة الأدلة. استخدم مؤشرات متوازنة واربطها بالأهداف والمخاطر والنتائج.
خطة مراجعة عملية من ست خطوات
المصادر الرسمية
أُعد هذا الدليل بالاستناد إلى ملف المصادر الرسمي الموثق حتى 11 أكتوبر 2026: منهج CIA لعام 2025 للأجزاء الثلاثة، وصفحة الشهادة، والمعايير العالمية للتدقيق الداخلي النافذة منذ يناير 2025. الأوزان الواردة في المنهج تخص نطاقاتها المحددة؛ ولا يحوّل هذا الدليل أولويات المراجعة التحريرية إلى أوزان رسمية. راجع The IIA للتحقق من أي تحديث.