لماذا يفشل تصميم الرقابة الداخلية وكيف تصلحه الفرق؟

الخلاصة: معظم أوجه القصور في تصميم الرقابة الداخلية لا تنتج عن غياب إطار مرجعي، بل عن ضوابط مكتوبة بعبارات عامة، أو مسؤوليات بلا صلاحيات، أو أدلة لا تثبت ما حدث، أو أنشطة رقابية لا تعالج الخطر الفعلي.

أكبر استفادة تكون لدى أصحاب الضوابط والمراجعين الداخليين ومتخصصي المخاطر والامتثال والمديرين الذين يريدون رقابة تعمل داخل سير العمل، لا رقابة تظهر فقط عند طلب ملف المراجعة.

ماذا ستتمكن من القيام به بعد ذلك؟

• تحويل هدف العمل إلى صياغة واضحة للخطر قبل اختيار النشاط الرقابي.
• التمييز بين الضوابط الوقائية والكاشفة والتصحيحية وتحديد وظيفة كل منها.
• كتابة وصف رقابي يوضح المسؤول والإجراء والدليل ومسار معالجة الاستثناء.
• تقييم ما إذا كان الدليل يثبت تنفيذ الرقابة أم يثبت وجود مستند فقط.
• الفصل بين ضعف التصميم والإخفاق في التنفيذ حتى تكون المعالجة مناسبة.
• ربط أوجه القصور بإجراءات تحسين عملية وملكية واضحة ومتابعة قابلة للإثبات.
• إلغاء التكرار الرقابي الذي يستهلك وقت الفريق من دون أن يغيّر مستوى الخطر.

لمن يناسب هذا المجال، ولمن لا يناسب؟

يناسب العاملين في المراجعة الداخلية الذين يقيّمون كفاية التصميم وفعالية التشغيل، وفرق المخاطر التي تربط الأهداف بالأحداث والاستجابات، وفرق الامتثال التي تتابع المتطلبات، والمديرين المسؤولين عن العمليات. كما يفيد المختصين في المالية والمشتريات والموارد البشرية والتقنية والعمليات عندما تكون لديهم مسؤولية توثيق الضوابط أو تحسينها.

لا يناسب من يبحث عن قائمة جاهزة ينسخ منها ضوابط موحدة لكل إدارة. مكتبة الضوابط أداة مساعدة، لكنها لا تعوّض فهم الهدف وسير العملية ونقاط القرار وأسباب التعثر. كما لا يناسب فريقاً يريد لغة تدقيق قوية من دون أن يقبل ملكية التنفيذ؛ فالرقابة تعيش داخل العملية وليست مجرد فقرة في ملف المراجعة.

لمن يحتاج منهجاً مركزاً في التصميم واختبار الأدلة وتقييم أوجه القصور، تقدم دورة تصميم وتقييم الرقابة الداخلية وفق إطار COSO مساراً مباشراً. أما القيادات التي تريد ربط الرقابة بالإشراف المؤسسي الأوسع فيمكنها مراجعة الرؤى الاستراتيجية في الحوكمة وإدارة المخاطر والامتثال. وللفرق التي تدرس أتمتة الأدلة والمراقبة المستمرة، تتناول دورة مراقبة وضبط الحوكمة والمخاطر والامتثال بالذكاء الاصطناعي هذا الجانب مع بقاء المراجعة البشرية.

لماذا تفشل ضوابط تبدو قوية على الورق؟

الخطأ الأول هو البدء بالنشاط قبل تحديد الخطر. قد تفرض الإدارة موافقة مدير على كل معاملة، لكنها لا تحدد الخطأ أو إساءة الاستخدام أو القرار الضعيف الذي يفترض أن تمنعه الموافقة. عندها يراجع كل مدير ما يراه مهماً، ويبقى التوقيع موجوداً بينما يظل الهدف الرقابي غامضاً.

المعالجة تبدأ بصياغة الهدف، ثم تحديد الحدث الذي قد يمنع تحقيقه، ثم شرح الكيفية التي يغيّر بها النشاط الرقابي ذلك الخطر. هذا التسلسل يجعل التنفيذ والاختبار أوضح، وقد يكشف أن الموافقة غير ضرورية أو أن رقابة أخرى أكثر ملاءمة.

الخطأ الثاني هو اعتبار السياسة رقابة. السياسة تحدد التوقع، أما الرقابة فهي فعل متكرر يطبق ذلك التوقع على معاملة أو قرار أو نظام أو استثناء. نشر السياسة لا يثبت أن القاعدة أثرت في العمل اليومي.

الحل هو تحديد الإجراء التشغيلي: من يتحقق من المتطلب، وفي أي نقطة، وبالاعتماد على أي مصدر، وما الذي يحدث عند عدم تحقق الشرط. تبقى السياسة مرجعاً، لكن الرقابة تصبح قابلة للملاحظة والاختبار.

كيف تكتب وصفاً رقابياً قابلاً للتنفيذ؟

الوصف الجيد يشبه تعليمات العمل، لا العبارة العامة. جملة مثل «تراجع الإدارة الأداء» لا تكفي. المطلوب تحديد الدور المسؤول، والمعلومات التي يراجعها، والمقارنة أو الحكم الذي يجريه، والدليل الذي يحتفظ به، وطريقة تصعيد الاستثناءات.

توقيت الرقابة يجب أن يتبع سرعة الخطر. المراجعة المتأخرة لا تمنع قراراً لا يمكن التراجع عنه، والمراجعة المتكررة بلا حاجة قد تتحول إلى إجراء شكلي. لذلك ينظر الفريق إلى وقت تغير النشاط، وسرعة ظهور الأثر، والنقطة التي ما زال التدخل عندها مفيداً.

الملكية تحتاج أيضاً إلى واقعية. تسمية إدارة كاملة لا تحدد المسؤولية. يجب أن يملك الدور المحدد حق الوصول إلى المعلومات، والقدرة على الحكم، والصلاحية لإيقاف الإجراء أو تصعيده. وإلا أصبح مالك الرقابة مسجلاً للمشكلات فقط.

ما الذي يجعل الدليل الرقابي مقنعاً؟

الدليل الجيد يوضح ما تمت مراجعته وما النتيجة التي توصل إليها المراجع. قد يثبت التوقيع أو حالة النظام أن خطوة حدثت، لكنه لا يثبت أن الشخص فحص المعلومات الصحيحة أو مارس التحدي المطلوب. الدليل الأقوى يربط المدخلات بالتقييم والاستثناء والمعالجة.

الاحتفاظ بمجلدات كبيرة لا يعني تأكيداً أقوى. كثرة المستندات قد تخفي العنصر الحاسم. الأفضل تحديد الحد الأدنى من الأدلة التي تثبت الهدف الرقابي، وحماية سلامتها، وجعلها قابلة للاسترجاع. تصميم الدليل جزء من تصميم الرقابة وليس مهمة مؤجلة حتى موعد الاختبار.

ولا تلغي الأتمتة هذه الحاجة. تستطيع مسارات العمل جمع السجلات ورصد الإشارات، لكن لا بد من فحص جودة البيانات ومنطق القاعدة وصلاحيات الوصول وحوكمة النماذج ومسار التصعيد البشري. التقنية توسع التغطية، لكنها قد تكرر قاعدة خاطئة على نطاق واسع.

كيف تطبق المهارات في موقف عملي؟

لنفترض أن فريق مشتريات يواجه طلبات عاجلة متكررة. توجد موافقة إدارية، لكن سبب الاستعجال لا يخضع لتحدٍ فعلي، كما أن دليل اختيار المورد غير متسق.

يبدأ الفريق بتحديد المخاطر: استعجال كان يمكن تجنبه، وتجاوز المنافسة، وتعارض مصالح غير معالج، وضعف في إثبات القيمة. ثم يقسم الاستجابة إلى أنشطة واضحة. يوثق مقدم الطلب الحاجة التشغيلية، ويتحقق دور مستقل من الاستثناء، ويسجل فريق المشتريات مبررات اختيار المورد، وتنتقل حالات التعارض إلى جهة مخولة بالقرار.

يعاد تصميم الدليل حول جودة القرار لا حول وجود توقيع. يصبح الاختبار قادراً على تحديد ما إذا كان الاستثناء مبرراً، وهل توفرت للمراجع المعلومات اللازمة، وهل عولجت الملاحظات. وإذا استمرت المشكلات يمكن التمييز بين تصميم ناقص وتنفيذ غير منضبط.

كيف تمنع تضخم الضوابط وإبطاء العمل؟

زيادة عدد الضوابط لا تعني بالضرورة تحكماً أفضل. تكرار الموافقات والمطابقات والقوائم قد يؤخر العمل بينما يبقى الخطر الأهم بلا معالجة. على المدير أن يسأل: هل يغيّر هذا النشاط الخطر؟ هل ينتج دليلاً مختلفاً؟ وهل يعمل في نقطة مفيدة من العملية؟

يجب أن تتناسب الرقابة مع مستوى الحكم وتعقيد النشاط. الأعمال المستقرة والمتكررة قد تناسبها قواعد تحقق آلية وتقارير استثناء. القرارات التي تعتمد على تقدير مهني تحتاج تحدياً موثقاً من دور ذي خبرة. الهدف هو منظومة مترابطة، لا أكبر سجل ممكن للضوابط.

الخلاصة العملية: يبدأ التصميم الفعال بالأهداف والمخاطر، ثم يحولها إلى إجراءات محددة ويزرع الدليل والتصعيد داخل سير العمل. تكون المهارات مفيدة عندما يعمل المشاركون على عمليات حقيقية ويملكون صلاحية التحسين. اطّلع على صفحة الدورة للمنهج الكامل والمواعيد القادمة والرسوم.