إطار COSO للرقابة الداخلية: المكونات الخمسة والمبادئ السبعة عشر بأمثلة

ما هو إطار COSO للرقابة الداخلية؟

أصدرت لجنة المنظمات الراعية لهيئة تريدواي (COSO) إطار الرقابة الداخلية المتكامل بنسخته المحدثة في مايو 2013. ويعرّف الإطار الرقابة الداخلية بأنها عملية ينفذها مجلس الإدارة والإدارة وسائر الموظفين، وتهدف إلى توفير تأكيد معقول على تحقيق أهداف في ثلاث فئات: ^[1]

• العمليات: فعالية العمليات وكفاءتها، بما في ذلك حماية الأصول من الخسارة.
• التقارير: التقارير المالية وغير المالية، الداخلية والخارجية.
• الالتزام: التقيد بالقوانين والأنظمة التي تخضع لها الجهة.

وأبقى تحديث 2013 على التعريف الأساسي والمكونات الخمسة كما هي، لكنه صاغ المفاهيم الأساسية في 17 مبدأ مرتبطة بالمكونات. ^[2] وتعد COSO إطار 1992 الأصلي مستبدلًا بعد 15 ديسمبر 2014. ^{[2، 3]} والإطار ينطبق على أي جهة: عامة أو خاصة، كبيرة أو صغيرة، حكومية أو غير ربحية. ^[2]

بيئة الرقابة: الأساس الذي تقوم عليه بقية المكونات

بيئة الرقابة هي مجموعة المعايير والعمليات والهياكل التي تقوم عليها الرقابة الداخلية، وتشمل النبرة التي تضعها القيادة العليا. ^[1] ومبادئها الخمسة:

1. الالتزام بالنزاهة والقيم الأخلاقية.
2. استقلال مجلس الإدارة عن الإدارة وإشرافه على الرقابة الداخلية.
3. وضع الهياكل وخطوط التقارير والصلاحيات بإشراف المجلس.
4. استقطاب الكفاءات وتطويرها والاحتفاظ بها.
5. مساءلة الأفراد عن مسؤولياتهم الرقابية. ^[1]

مثال تطبيقي: ميثاق سلوك يوقعه الموظفون، ومصفوفة صلاحيات معتمدة تحدد من يعتمد الشراء والصرف وبأي حدود، ولجنة تدقيق تناقش تقارير الرقابة مع الإدارة وتسائلها. فإذا كانت الإدارة العليا نفسها تتجاوز الإجراءات “للاستعجال”، فلن تنقذ أي ضوابط لاحقة النظام.

تقييم المخاطر: من الأهداف إلى مخاطر الاحتيال والتغيير

لا يمكن تقييم المخاطر قبل وضوح الأهداف، ولذلك يبدأ هذا المكون بها. ومبادئه الأربعة: ^[1]

6. تحديد الأهداف بوضوح كافٍ يسمح بتحديد المخاطر المرتبطة بها وتقييمها.
7. تحديد المخاطر على مستوى الجهة كلها وتحليلها لتقرير طريقة إدارتها.
8. مراعاة احتمال الاحتيال عند تقييم المخاطر.
9. تحديد التغييرات التي قد تؤثر جوهريًا في نظام الرقابة وتقييمها.

مثال تطبيقي: عند الانتقال إلى نظام تخطيط موارد جديد (تغيير جوهري)، تراجع الجهة المخاطر المرتبطة: ترحيل بيانات الموردين، وصلاحيات المستخدمين، والضوابط اليدوية التي كانت تعتمد على النظام القديم.

أنشطة الرقابة: سياسات وإجراءات وضوابط تقنية

أنشطة الرقابة هي السياسات والإجراءات التي تضمن تنفيذ توجيهات الإدارة لتخفيف المخاطر. ^[1] ومبادئها:

10. اختيار أنشطة رقابية تخفض المخاطر إلى مستوى مقبول وتطويرها.
11. اختيار ضوابط عامة على التقنية وتطويرها.
12. تطبيق الضوابط عبر سياسات تحدد المتوقع وإجراءات تضعها موضع التنفيذ. ^[1]

أمثلة شائعة: الفصل بين من يطلب الشراء ومن يعتمده ومن يسدد، والمطابقة بين أمر الشراء وإيصال الاستلام والفاتورة، والتسويات البنكية الشهرية، وإدارة صلاحيات الدخول إلى الأنظمة ومراجعتها دوريًا. والضابط الجيد مرتبط بخطر محدد في السجل، لا إجراء يضاف لأنه “معتاد”.

المعلومات والاتصال وأنشطة المتابعة

يتطلب مكون المعلومات والاتصال ثلاثة مبادئ: الحصول على معلومات ملائمة وعالية الجودة واستخدامها (13)، وإيصال المعلومات داخليًا بما فيها الأهداف والمسؤوليات الرقابية (14)، والتواصل مع الأطراف الخارجية في الأمور التي تؤثر في الرقابة (15). ^[1] مثال ذلك قناة إبلاغ عن المخالفات يعرفها الموظفون، وإشعار الموردين بأن الجهة لا تعدّل بياناتهم البنكية بناءً على بريد إلكتروني وحده.

أما أنشطة المتابعة فتشمل تقييمات مستمرة أو منفصلة أو كليهما للتأكد من أن المكونات قائمة وتعمل (16)، وتقييم أوجه القصور وإبلاغها في الوقت المناسب للمسؤولين عن التصحيح، بما فيهم الإدارة العليا والمجلس (17). ^[1] والتقييم المستمر جزء من العمل اليومي، مثل تقارير الاستثناءات الشهرية، والمنفصل يأتي من التدقيق الداخلي أو التقييم الذاتي.

مثال افتراضي: تغيير الحساب البنكي لمورد

تلقت إدارة المشتريات في جهة افتراضية بريدًا يبدو صادرًا عن مورد معتمد يطلب تحويل دفعاته إلى حساب جديد. هكذا يتعامل كل مكون مع هذا الخطر:

لو وُجد الضابط في الإجراءات دون أن يُنفذ فعليًا، أو نُفذ دون أن يصل تقرير الاستثناءات إلى أحد، فالرقابة غير فعالة رغم وجودها على الورق.

متى تكون الرقابة الداخلية فعالة؟

يشترط الإطار أن يكون كل مكون وكل مبدأ ذي صلة قائمًا (موجودًا في التصميم والتطبيق) ويعمل (مستمرًا في التشغيل)، وأن تعمل المكونات الخمسة معًا بوصفها نظامًا متكاملًا. وإذا وُجد قصور جوهري في أي مكون أو مبدأ ذي صلة، فلا يمكن للجهة أن تستنتج أن نظامها فعال. ^[1]

ومهما كان التصميم جيدًا، فالرقابة تعطي تأكيدًا معقولًا لا مطلقًا. فالحكم البشري قد يخطئ، والأخطاء البسيطة تقع، ويمكن للإدارة تجاوز الضوابط، ويمكن لشخصين أو أكثر التواطؤ للالتفاف عليها، وقد تمنع أحداث خارجية تحقيق الأهداف. ^[1]

وتختلف المتطلبات التنظيمية في الخليج بحسب الدولة والقطاع. ففي السعودية تلزم لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية مجلس إدارة الشركة المدرجة باعتماد نظام للرقابة الداخلية، وتكلف لجنة المراجعة بدراسة أنظمة الرقابة الداخلية والمالية وإدارة المخاطر ومراجعتها. ^[4] راجع اللوائح السارية لدى الجهة التنظيمية في بلدك وقطاعك.

وتواصل COSO إصدار إرشادات تطبق الإطار على مجالات جديدة، منها تقارير الاستدامة (2023)، وأتمتة العمليات الروبوتية (2024)، والذكاء الاصطناعي التوليدي (2026). ^[3]

كيف تبدأ تقييم الرقابة الداخلية في جهتك؟

لا يفرض الإطار طريقة محددة للتقييم، ولا يلزم بفحص كل نقطة تركيز منفردة. ^[2] لكن الخطوات التالية تصلح بداية عملية لأي جهة:

1. حدد النطاق: اختر عملية واحدة مهمة، مثل المشتريات والصرف أو الرواتب، بدل محاولة تقييم الجهة كلها مرة واحدة.
2. اكتب الأهداف والمخاطر: ما الذي يجب أن تحققه العملية، وما الذي قد يمنعها، بما في ذلك الاحتيال والتغييرات الأخيرة.
3. اربط الضوابط بالمخاطر: لكل خطر جوهري ضابط موثق ومالك واضح، ولكل ضابط خطر يبرر وجوده.
4. اختبر التشغيل: اطلب أدلة من عينة معاملات فعلية، مثل محاضر الاعتماد وتقارير التسوية، لا الإجراء المكتوب فقط.
5. قيّم القصور وأبلغ عنه: صنّف الملاحظات بحسب أثرها، وأوصل الجوهري منها إلى من يملك صلاحية التصحيح.
6. تابع المعالجة: حدد موعدًا ومسؤولًا لكل ملاحظة، وأعد الاختبار بعد التصحيح.

بعد عملية أو عمليتين، يصبح لديك نموذج تقييم قابل للتكرار، وتظهر الأنماط المشتركة التي يكون مصدرها غالبًا بيئة الرقابة لا الضابط نفسه.

الخلاصة

إطار COSO للرقابة الداخلية ليس قائمة ضوابط، بل طريقة لفحص ما إذا كانت الجهة تعرف أهدافها ومخاطرها، وتضع ضوابط مرتبطة بها، وتكتشف قصورها وتعالجه. اتخذ المبادئ السبعة عشر قائمةً للتقييم الذاتي، وابحث عن الأدلة على أن كل ضابط يعمل فعلًا لا على وجوده في الدليل فقط.