معايير التدقيق الداخلي العالمية: ما الذي تغير على إدارات التدقيق؟

ما المعايير العالمية، ومتى أصبحت ملزمة؟

أصدر معهد المدققين الداخليين (The IIA) معايير التدقيق الداخلي العالمية في 9 يناير 2024، وأصبحت سارية في 9 يناير 2025، مع تشجيع التطبيق المبكر. ^{[1، 3]} وهي جوهر الإطار الدولي للممارسات المهنية (IPPF) بإصداره الجديد، الذي يتكون من ثلاثة عناصر: المعايير، والمتطلبات الموضوعية، والإرشادات العالمية. ^[4]

ولم يعد الإطار يضم مدونة أخلاقيات مستقلة. فقد حل المجال الثاني من المعايير، الأخلاقيات والمهنية، محل مدونة الأخلاقيات السابقة. ^[4] ويضم هذا المجال خمسة مبادئ: النزاهة، والموضوعية، والكفاءة، والعناية المهنية الواجبة، والسرية، ولكل مبدأ معاييره ومتطلباته الخاصة. ^[4] وذكر المعهد عند الإصدار أن المعايير تتضمن إرشادات خاصة لمدققي القطاع العام ولوظائف التدقيق الصغيرة. ^[1]

كيف بُنيت المعايير الجديدة؟

تتوزع المعايير على خمسة مجالات و15 مبدأ يدعمها 52 معيارًا. ^{[2، 4]} ويتكون كل معيار من ثلاثة أجزاء: المتطلبات، واعتبارات التطبيق، وأمثلة على أدلة المطابقة. ^{[2، 3]}

والتمييز بين الجزأين الأولين مهم عند التقييم. فالمتطلبات تستخدم صيغة “يجب” وتعني التزامًا غير مشروط، أما اعتبارات التطبيق فتستخدم “ينبغي” و”يجوز” للممارسات المفضلة أو الاختيارية. ^[4] وأمثلة الأدلة تفيد إدارة التدقيق في معرفة ما سيطلبه المقيّم فعلًا.

الشروط الأساسية: ما المطلوب من المجلس والإدارة العليا؟

أكبر تحول عملي في المعايير هو المجال الثالث. فكل معيار فيه يتضمن “شروطًا أساسية” تخص المجلس والإدارة العليا، وعلى رئيس التدقيق مناقشتها معهم وبيان أثر غياب الدعم على الوظيفة. ^[4] ومن هذه الشروط: ^[4]

• مناقشة تفويض التدقيق الداخلي مع رئيس التدقيق، واعتماد الميثاق ومراجعته معه عند حدوث تغييرات تمس الجهة (6.1 و6.2).
• اعتماد خطة التدقيق الداخلي وميزانيته وخطة موارده، واللقاء دوريًا برئيس التدقيق دون حضور الإدارة العليا (6.3).
• إقامة علاقة تبعية مباشرة مع رئيس التدقيق، واعتماد تعيينه وإعفائه، وتقديم مدخلات للإدارة العليا في تقييم أدائه ومكافأته (7.1).
• تحديد مؤهلات رئيس التدقيق والمشاركة في تعيين شخص مؤهل (7.2).
• إبلاغ رئيس التدقيق برؤية المجلس لاستراتيجية الجهة وأهدافها ومخاطرها، وتحديد توقعات التواصل ومعايير التصعيد (8.1).
• مناقشة كفاية الموارد سنويًا على الأقل، والنظر في أثر أي نقص فيها والمساعدة على معالجته (8.2).

وإذا لم يتحقق شرط ما، فعلى رئيس التدقيق أن يشرح أثره بأمثلة ويناقش البدائل. فإن اقتنع بعدم لزومه وثّق الأسباب والبدائل التعويضية، وإن لم يقتنع جاز له أن يستنتج أن الوظيفة لا تستطيع المطابقة، فيوثق ذلك ويبلغه للمجلس والإدارة العليا ويتيحه للمقيّم الخارجي. ^[4] وإذا شغر منصب رئيس التدقيق، فينبغي للمجلس تعيين شخص أو أكثر بصفة مؤقتة. ^[4]

وفي الجهات الحكومية الخليجية كثيرًا ما يأتي تفويض التدقيق من تشريع أو قرار تنظيمي لا من المجلس وحده، والمعايير تعترف بأن التفويض قد يصدر عن المجلس أو عن القوانين واللوائح. ^[4] لذلك يُستحسن أن يربط الميثاق بين النص النظامي ومتطلبات المجال الثالث. وإذا منعت القوانين أو اللوائح المطابقة لجزء من المعايير، فتبقى المطابقة لبقية الأجزاء واجبة مع الإفصاح المناسب عن ذلك. ^[4]

استراتيجية للتدقيق، لا خطة سنوية فقط

يلزم المعيار 9.2 رئيس التدقيق بإعداد استراتيجية للتدقيق الداخلي وتنفيذها، تدعم أهداف الجهة وتوقعات أصحاب المصلحة، وتتضمن رؤية وأهدافًا استراتيجية ومبادرات داعمة، توجه الوظيفة نحو الوفاء بتفويضها. ^[5] والفرق العملي أن الاستراتيجية تجيب عن سؤال: إلى أين تتجه الوظيفة خلال السنوات القادمة؟ أما الخطة فتحدد المهام التي تُنفذ في الفترة المقبلة.

أما الخطة فيشترط المعيار 9.4 أن تبنى على تقييم موثق لاستراتيجيات الجهة وأهدافها ومخاطرها، يُجرى سنويًا على الأقل ويأخذ بمدخلات المجلس والإدارة العليا. ^[5] ويجب أن تكون الخطة مرنة تُحدّث عند التغيير، وأن تحدد الموارد البشرية والمالية والتقنية اللازمة، وأن يعتمد المجلس الخطة وأي تعديلات جوهرية عليها. ^[5]

الجودة والتقييم الخارجي

يلزم المعيار 8.3 رئيس التدقيق ببرنامج لضمان الجودة والتحسين يشمل كل جوانب الوظيفة، ويضم تقييمات داخلية وخارجية. ^[4] ويُبلغ رئيس التدقيق بنتائج التقييم الداخلي سنويًا على الأقل، ويعتمد المجلس أهداف أداء الوظيفة سنويًا على الأقل، ويقيّم فاعليتها وكفاءتها. ^[4]

ويشترط المعيار 8.4 إجراء التقييم الخارجي مرة كل خمس سنوات على الأقل، على يد مقيّم أو فريق مؤهل ومستقل يضم شخصًا واحدًا على الأقل يحمل شهادة المدقق الداخلي المعتمد (CIA) سارية، ويجوز استيفاؤه بتقييم ذاتي مع تحقق مستقل. ^[5]

وعند تعذر المطابقة لمتطلب ما، يوثق رئيس التدقيق الظرف والإجراءات البديلة وأثرها ومبرراتها ويبلغها (4.1). ^[4] وإذا تعذرت المطابقة أثناء مهمة بعينها، يناقش المدققون الأمر وأثره مع رئيس التدقيق أو المشرف المكلف. ^[4] ولا يُذكر في تقرير المهمة أنها نُفذت وفق المعايير إلا إذا دعم ذلك الإشراف على المهمة ونتائج برنامج الجودة (15.1). ^[5]

المتطلبات الموضوعية: الأمن السيبراني وما بعده

المتطلبات الموضوعية عنصر ملزم في الإطار، تضع حدًا أدنى ومعايير لتقييم الحوكمة وإدارة المخاطر والرقابة في مجالات خطر محددة. ^[6] ويسري كل متطلب بعد 12 شهرًا من صدوره. ^[6]

ويُتوقع صدور متطلب مكافحة الفساد في الربع الأخير من 2026، ويُطرح متطلب إدارة المواهب للتشاور العام في يناير 2027. ^[6] وتطبيق المتطلب ملزم في خدمات التأكيد ومستحسن في الخدمات الاستشارية، ويتحدد انطباقه بنتائج تقييم المخاطر لدى وظيفة التدقيق، مع إعمال الحكم المهني والنهج القائم على المخاطر في مراحل المهمة كلها. ^[6]

مثال افتراضي: إعداد خطة التدقيق لعام 2027

إدارة تدقيق داخلي في جهة حكومية تعد خطتها لعام 2027. يُظهر تقييم المخاطر السنوي أن الأمن السيبراني والاعتماد على مزودي الخدمات الخارجيين من أعلى المخاطر.

• تُدرج مهمة تأكيد للأمن السيبراني، فيلزم تطبيق المتطلب الموضوعي الخاص به لأنه ساري. ^[6]
• تُدرج مهمة تأكيد لإدارة الموردين، فيلزم متطلب الأطراف الثالثة الساري منذ سبتمبر 2026. ^[6]
• إذا طلبت الإدارة العليا مراجعة استشارية لثقافة الامتثال، يكون متطلب السلوك المؤسسي مستحسنًا لا ملزمًا. ^[6]
• إذا جُدولت مهمة تأكيد لاستمرارية الأعمال في 30 أبريل 2027 أو بعده، فيلزم فيها متطلب المرونة المؤسسية، أما إن نُفذت قبل ذلك فلا يكون تطبيقه ملزمًا بعد. ^[6]
• تُعرض الخطة والميزانية وخطة الموارد على المجلس أو لجنة التدقيق لاعتمادها، مع مناقشة كفاية الموارد. ^[4]

قائمة عملية لسد الفجوات

ابدأ بمقارنة ممارساتك الحالية بالمتطلبات، لا بالاعتبارات. ثم رتب الفجوات حسب ما يحتاج قرارًا من المجلس، لأن هذه هي الأطول تنفيذًا.

الخلاصة

المعايير العالمية نقلت جزءًا من مسؤولية فاعلية التدقيق الداخلي إلى المجلس والإدارة العليا، وألزمت الإدارات باستراتيجية وخطة مبنية على المخاطر وبرنامج جودة موثق. وأضافت المتطلبات الموضوعية حدًا أدنى واضحًا لمهام التأكيد في الموضوعات الحساسة، فراجع خطتك القادمة على ضوئها.