معيار التدقيق الدولي رقم 265: “التواصل بشأن أوجه القصور في الرقابة الداخلية“
مقدمة
تُعد الرقابة الداخلية أحد العناصر المهمة في بيئة الأعمال، لما لها من دور في الحد من المخاطر، وحماية الأصول، وتحسين موثوقية المعلومات المالية، ودعم الالتزام بالسياسات والإجراءات والأنظمة ذات العلاقة.
وخلال عملية تدقيق القوائم المالية، قد يحدد المدقق أوجه قصور في تصميم أو تنفيذ أو تشغيل بعض الضوابط الداخلية.
وهنا يأتي دور معيار التدقيق الدولي ISA 265 – التواصل بشأن أوجه القصور في الرقابة الداخلية إلى المسؤولين عن الحوكمة والإدارة، الذي يحدد مسؤوليات المدقق المتعلقة بالتواصل عن أوجه القصور التي يتم تحديدها أثناء التدقيق.
ويهدف المعيار إلى ضمان وصول المعلومات المهمة المتعلقة بأوجه القصور في الرقابة الداخلية إلى الأطراف المسؤولة عن اتخاذ الإجراءات التصحيحية في الوقت المناسب. وقد اعتمد مجلس معايير التدقيق والتأكيد الدولية (IAASB) المعيار ISA 265 ضمن معايير التدقيق الدولية.
ما المقصود بالرقابة الداخلية؟
الرقابة الداخلية هي مجموعة من السياسات والإجراءات والضوابط التي تضعها المنشأة وتطبقها بهدف إدارة المخاطر وتحقيق أهدافها، بما في ذلك دعم موثوقية التقارير المالية وحماية الأصول وتحسين العمليات والالتزام بالمتطلبات ذات العلاقة.
وقد تشمل الرقابة الداخلية، على سبيل المثال:
- بيئة الرقابة: وتشمل ثقافة المنشأة ونزاهة الإدارة والهيكل التنظيمي وتوزيع المسؤوليات.
- تقييم المخاطر: تحديد المخاطر التي قد تؤثر على تحقيق أهداف المنشأة وتقييمها.
- أنشطة الرقابة: مثل الموافقات والتفويضات والمطابقات والفصل بين المهام.
- المعلومات والاتصال: ضمان توفير المعلومات المناسبة للأشخاص المسؤولين وفي الوقت المناسب.
- المتابعة: تقييم مدى استمرار فعالية الضوابط ومعالجة أوجه القصور التي يتم اكتشافها.
ما هو معيار ISA 265؟
ISA 265 هو معيار تدقيق دولي يتناول مسؤولية المدقق عن التواصل بشأن أوجه القصور في الرقابة الداخلية التي يحددها أثناء تدقيق القوائم المالية.
ولا يعني ذلك أن هدف التدقيق هو إبداء رأي مستقل في فعالية الرقابة الداخلية للمنشأة ككل.
فالمدقق يقوم بتقييم الرقابة الداخلية بالقدر اللازم لتحديد وتقييم مخاطر التحريف الجوهري وتصميم إجراءات التدقيق المناسبة للاستجابة لتلك المخاطر.
وعندما يحدد المدقق أوجه قصور في الرقابة الداخلية أثناء عملية التدقيق، فإن ISA 265 يحدد متى وكيف يتم التواصل بشأن هذه الأوجه مع الإدارة والمسؤولين عن الحوكمة.
ما المقصود بقصور الرقابة الداخلية؟
يقصد بقصور الرقابة الداخلية وجود خلل في تصميم أو تنفيذ أو تشغيل إحدى وسائل الرقابة بما قد يمنع أو يكشف ويصحح التحريفات في القوائم المالية في الوقت المناسب.
وقد يظهر القصور في عدة صور، منها:
1. قصور في تصميم الرقابة
يحدث عندما تكون الرقابة المصممة غير كافية لمعالجة الخطر المرتبط بها.
مثال:
عدم وجود إجراء لمراجعة واعتماد المدفوعات التي تتجاوز مبلغًا معينًا.
2. قصور في تنفيذ الرقابة
يحدث عندما تكون الرقابة المناسبة موجودة، ولكن لم يتم تطبيقها بالشكل المطلوب.
مثال:
وجود سياسة تتطلب مطابقة حسابات البنوك شهريًا، ولكن عدم تنفيذ هذه المطابقة بصورة منتظمة.
3. قصور في تشغيل الرقابة
قد تكون الرقابة مصممة ومطبقة، لكنها لا تعمل بصورة فعالة أو لا يتم تنفيذها من قبل الأشخاص المسؤولين عنها بالشكل المطلوب.
متى يصبح قصور الرقابة الداخلية “قصورًا مهمًا”؟
ليس كل قصور يتم اكتشافه أثناء التدقيق بالضرورة قصورًا مهمًا.
ويقوم المدقق بتقييم أهمية القصور استنادًا إلى مدى أهمية القصور منفردًا أو بالاشتراك مع أوجه قصور أخرى، واحتمال أن يؤدي إلى تحريفات في القوائم المالية، وحجم وطبيعة الآثار المحتملة.
وقد يكون القصور مهمًا عندما يكون من النوع الذي يستحق اهتمام المسؤولين عن الحوكمة.
ولهذا، فإن تقييم أهمية القصور يتطلب حكمًا مهنيًا من المدقق، ولا يعتمد فقط على وجود خطأ فعلي في القوائم المالية.
أمثلة على أوجه القصور في الرقابة الداخلية
يمكن أن تشمل أوجه القصور، على سبيل المثال:
- عدم وجود فصل مناسب بين مهام إعداد المعاملات واعتمادها وتسجيلها.
- ضعف إجراءات الموافقة على المدفوعات.
- عدم إجراء تسويات بنكية بصورة منتظمة.
- ضعف الرقابة على المخزون.
- عدم إجراء جرد دوري للأصول.
- عدم وجود ضوابط كافية على المستخدمين وصلاحيات الدخول إلى النظام المحاسبي.
- عدم مراجعة القيود المحاسبية الحساسة أو غير المعتادة.
- عدم وجود ضوابط مناسبة على المبيعات الآجلة والتحصيل.
- ضعف الرقابة على المصروفات النقدية.
- عدم وجود مراجعة مستقلة لبعض التقديرات أو المعاملات المهمة.
- عدم معالجة الفروقات المكتشفة في عمليات المطابقة والجرد في الوقت المناسب.
ولا يعني وجود أي من هذه الحالات تلقائيًا أنها تمثل “قصورًا مهمًا” وفق ISA 265، إذ يجب تقييم طبيعة القصور وظروف المنشأة وآثاره المحتملة.
ما مسؤولية المدقق عند اكتشاف أوجه القصور؟
عند تحديد أوجه قصور في الرقابة الداخلية أثناء التدقيق، يقوم المدقق بتقييمها وتحديد ما إذا كانت تمثل قصورًا مهمًا يستوجب التواصل وفق متطلبات ISA 265.
كما يجب أن يكون التواصل واضحًا ومناسبًا للأطراف المعنية، بحيث يساعد الإدارة والمسؤولين عن الحوكمة على فهم طبيعة القصور وآثاره المحتملة.
ولا تقتصر أهمية هذه العملية على مجرد إبلاغ المنشأة بوجود مشكلة، بل تمتد إلى مساعدة الأطراف المسؤولة على اتخاذ الإجراءات المناسبة لمعالجة أوجه القصور.
التواصل مع الإدارة والمسؤولين عن الحوكمة
من النقاط الأساسية في ISA 265 أن التواصل لا يكون بالضرورة مع طرف واحد في جميع الحالات.
فبحسب طبيعة القصور وأهميته، قد يكون التواصل مع:
- الإدارة.
- المسؤولين عن الحوكمة.
- لجنة التدقيق، عندما تكون موجودة.
- أطراف أخرى إذا تطلبت القوانين أو الأنظمة ذلك.
ويجب عدم افتراض أن “لجنة التدقيق” هي الطرف الوحيد المقصود؛ فالمعيار يستخدم مفهوم المسؤولين عن الحوكمة بصورة أوسع.
التواصل الكتابي عن أوجه القصور المهمة
تكتسب أوجه القصور المهمة أهمية خاصة، ولذلك يتطلب المعيار التواصل عنها كتابيًا مع المسؤولين عن الحوكمة في الوقت المناسب.
ويجب أن يساعد التواصل الإدارة والمسؤولين عن الحوكمة على فهم:
- طبيعة أوجه القصور.
- الأسباب أو الظروف المرتبطة بها بحسب ما هو مناسب.
- الآثار المحتملة.
- أهمية معالجة القصور.
- الحاجة إلى اتخاذ إجراءات تصحيحية.
وقد يشمل التواصل أيضًا معلومات عن أوجه قصور أخرى يرى المدقق أنه من المناسب إبلاغ الإدارة بها.
وقد أكد IAASB أن ISA 265 يميز بين أوجه القصور المهمة وغيرها من أوجه القصور، وأن أوجه القصور المهمة ترتبط بمتطلبات تواصل أكثر تحديدًا، بما في ذلك التواصل الكتابي مع المسؤولين عن الحوكمة.
أمثلة عملية على التواصل بشأن القصور
مثال 1: ضعف الفصل بين المهام
إذا كان الموظف نفسه يستطيع:
- إنشاء أمر شراء.
- اعتماد الشراء.
- تسجيل الفاتورة.
- إصدار أمر الدفع.
فقد يشكل ذلك خطرًا على المنشأة، خصوصًا إذا لم توجد ضوابط تعويضية مناسبة.
وفي هذه الحالة، يقوم المدقق بتقييم تصميم الرقابة والمخاطر الناتجة عنها، وتحديد ما إذا كان القصور يستوجب التواصل وفق متطلبات المعيار.
مثال 2: عدم إجراء التسويات البنكية
إذا كانت المنشأة لا تقوم بإجراء تسويات بنكية بصورة منتظمة، فقد يؤدي ذلك إلى عدم اكتشاف:
- أخطاء التسجيل.
- معاملات غير مسجلة.
- عمليات غير مصرح بها.
- فروقات بين سجلات المنشأة وكشوف البنك.
ويقوم المدقق بتقييم طبيعة القصور ومدى أهميته قبل تحديد طريقة التواصل المناسبة.
مثال 3: ضعف الرقابة على المخزون
قد يؤدي عدم وجود جرد دوري أو عدم وجود ضوابط مناسبة على حركة المخزون إلى زيادة مخاطر:
- السرقة أو الاختلاس.
- الأخطاء في الكميات.
- تسجيل مخزون غير موجود.
- عدم اكتشاف المخزون التالف أو الراكد.
- أخطاء تقييم المخزون.
وهنا ينبغي تقييم أثر هذه المخاطر على القوائم المالية وعلى عملية التدقيق.
ما الفرق بين قصور الرقابة والخطأ المحاسبي؟
من المهم التمييز بين الخطأ المحاسبي وقصور الرقابة الداخلية.
فالخطأ المحاسبي قد يكون نتيجة تسجيل معاملة بطريقة غير صحيحة، بينما يشير قصور الرقابة إلى وجود خلل في النظام أو الإجراء الذي كان من المفترض أن يمنع الخطأ أو يكشفه ويصححه في الوقت المناسب.
وقد يؤدي قصور واحد في الرقابة إلى حدوث أخطاء متعددة، ولذلك قد يكون إصلاح السبب الأساسي أكثر أهمية من معالجة كل خطأ على حدة.
العلاقة بين ISA 265 وISA 260
يرتبط ISA 265 بصورة وثيقة بـ ISA 260 – التواصل مع المسؤولين عن الحوكمة.
ويتعامل ISA 260 بصورة عامة مع مسؤوليات المدقق المتعلقة بالتواصل مع المسؤولين عن الحوكمة، بينما يركز ISA 265 بصورة أكثر تحديدًا على التواصل بشأن أوجه القصور في الرقابة الداخلية التي يتم تحديدها أثناء التدقيق.
ولهذا، يجب النظر إلى المعيارين ضمن الإطار الأوسع لمسؤوليات المدقق المتعلقة بالتواصل مع المسؤولين عن الحوكمة.
ما أثر أوجه القصور في الرقابة الداخلية على المنشأة؟
قد تؤدي أوجه القصور في الرقابة الداخلية إلى زيادة تعرض المنشأة لمجموعة من المخاطر، منها:
مخاطر التقارير المالية
قد تزيد احتمالية وجود أخطاء أو تحريفات غير مكتشفة في القوائم المالية.
مخاطر الاحتيال
قد يؤدي ضعف الفصل بين المهام أو الموافقات أو المراجعة المستقلة إلى زيادة فرص ارتكاب بعض عمليات الاحتيال أو صعوبة اكتشافها.
مخاطر فقدان الأصول
قد يؤدي ضعف الرقابة على النقد والمخزون والأصول الثابتة إلى زيادة احتمالية فقدانها أو إساءة استخدامها.
مخاطر الامتثال
قد يؤدي ضعف الضوابط إلى عدم الالتزام ببعض المتطلبات القانونية والتنظيمية أو السياسات الداخلية.
مخاطر اتخاذ القرارات
إذا كانت المعلومات المالية غير دقيقة أو غير مكتملة، فقد تتأثر جودة القرارات التي تتخذها الإدارة.
هل يعني وجود قصور في الرقابة الداخلية أن القوائم المالية خاطئة؟
ليس بالضرورة.
وجود قصور في الرقابة الداخلية لا يعني تلقائيًا أن القوائم المالية تحتوي على تحريف جوهري.
فقد يكتشف المدقق قصورًا في الرقابة، ومع ذلك لا يجد تحريفًا جوهريًا في القوائم المالية.
وفي المقابل، قد يؤدي قصور معين إلى زيادة مخاطر وجود تحريفات جوهرية، ولذلك يأخذ المدقق هذا القصور في الاعتبار عند تصميم وتنفيذ إجراءات التدقيق.
وهذه نقطة مهمة؛ لأن ISA 265 يتعلق بالتواصل عن أوجه القصور في الرقابة الداخلية، وليس بإصدار حكم مستقل على فعالية الرقابة الداخلية ككل.
كيف يمكن للمنشأة معالجة أوجه القصور؟
بعد تحديد أوجه القصور، ينبغي للإدارة وضع خطة مناسبة لمعالجتها.
وقد تشمل الإجراءات التصحيحية:
- إعادة تصميم الإجراءات الرقابية.
- تعزيز الفصل بين المهام.
- وضع حدود واضحة للصلاحيات.
- تطبيق نظام موافقات إلكتروني.
- إجراء التسويات والمطابقات بصورة دورية.
- إجراء جرد دوري للأصول والمخزون.
- مراجعة صلاحيات المستخدمين في الأنظمة.
- إضافة مراجعة مستقلة للمعاملات الحساسة.
- تدريب الموظفين.
- متابعة تنفيذ الإجراءات التصحيحية والتأكد من فعاليتها.
ولا ينبغي أن تقتصر المعالجة على تصحيح النتيجة الظاهرة للخطأ، بل من الأفضل معالجة السبب الجذري للقصور عندما يكون ذلك مناسبًا.
لماذا يعد ISA 265 مهمًا للمنشآت؟
يساعد ISA 265 على تحويل نتائج التدقيق من مجرد تقييم للقوائم المالية إلى مصدر مهم للمعلومات التي يمكن للإدارة الاستفادة منها في تحسين بيئة الرقابة.
ومن أهم فوائده:
- زيادة الوعي بالمخاطر.
- تحسين إجراءات الرقابة الداخلية.
- تقليل احتمالية الأخطاء.
- تعزيز حماية الأصول.
- تحسين جودة المعلومات المالية.
- دعم الحوكمة.
- مساعدة الإدارة في تحديد الأولويات التصحيحية.
وبالتالي، فإن التواصل الفعال عن أوجه القصور يمكن أن يكون أحد المخرجات المهمة من عملية التدقيق.
الخلاصة
يضع معيار التدقيق الدولي ISA 265 إطارًا مهمًا لتواصل المدقق بشأن أوجه القصور في الرقابة الداخلية التي يتم تحديدها أثناء تدقيق القوائم المالية.
ولا يعني المعيار أن المدقق مسؤول عن تصميم أو تشغيل نظام الرقابة الداخلية في المنشأة، فهذه مسؤولية الإدارة والمسؤولين عن الحوكمة.
أما دور المدقق فيتمثل في تقييم الرقابة بالقدر اللازم للتدقيق، وتحديد أوجه القصور ذات الصلة، وتقييم أهميتها، والتواصل عنها وفق متطلبات المعيار.
ومن منظور الإدارة، لا ينبغي النظر إلى ملاحظات المدقق على الرقابة الداخلية باعتبارها مجرد ملاحظات يجب إغلاقها، بل باعتبارها فرصة لتحسين العمليات وتقليل المخاطر ورفع جودة المعلومات المالية.
هل تحتاج إلى مراجعة الرقابة الداخلية في منشأتك؟
تساعد المراجعة المهنية للرقابة الداخلية على تحديد نقاط الضعف والمخاطر التي قد تؤثر على العمليات والتقارير المالية، ووضع توصيات عملية لتحسين الإجراءات والضوابط.
يزيد احميده للتدقيق والاستشارات يقدم خدمات التدقيق والاستشارات المتعلقة بالرقابة الداخلية والمخاطر والإجراءات المحاسبية، بما يساعد المنشآت على تطوير أنظمتها وتحسين جودة عملياتها المالية.
إذا كنت ترغب في تقييم نظام الرقابة الداخلية في منشأتك أو معالجة ملاحظات التدقيق، تواصل معنا للحصول على الاستشارة المناسبة.