توثيق الضوابط الداخلية

ما الذي يتحقق منه المُقرض أو المراجع فعلًا

البنك أو المستثمر أو المراجع المرخص حين يسأل عن الضوابط الداخلية لا يسأل حقًا عمّا إذا كانت الضوابط موجودة على الورق. هو يريد أن يرى أمرًا واحدًا: هل يمكن لمن أصدر أكبر دفعة في الشهر الماضي أن يكون هو من اعتمدها وسوّى الحساب الذي خرجت منه، دون أن يراقب أحد غيره. وإذا كانت هذه الفجوة موجودة في رأس شخص واحد فحسب، فستظهر في اللحظة التي يسأل فيها أحد من خارج الفريق عنها.

مراقبة العملية، لا قراءة السياسة

نجلس إلى جانب فريقك خلال إقفال مالي فعلي، ثم خلال دورة دفتر المشتريات ودورة دفتر المبيعات وتشغيل الرواتب، ونراقب كيف يجري العمل يومًا بيوم بدل ما تصفه وثيقة سياسة عمرها ثلاث سنوات. وما ينتج عن ذلك سرد واضح للعملية الفعلية، ومصفوفة ضوابط مبنية منه، لكل ضابط اسم ومسؤول وتكرار محدد.

مشكلة الشخص الواحد

كثيرًا ما تحصر فرق المالية الصغيرة في الإمارات، سواء في البرّ أو داخل منطقة حرة، ثلاثة أدوار في شخص واحد: إنشاء مورد جديد، وصرف الدفعة له، وتسوية الحساب بعد ذلك. نسمّي هذا التركّز بوضوح ونقترح حلًا قابلًا للتطبيق، وغالبًا ما يكون توقيعًا ثانيًا فوق قيمة متفق عليها، بدل إضافة بند آخر إلى قائمة تحقق لا يتبعها أحد.

أين ينتهي دورنا

توثيق العملية لا يعني إقرارًا بأنها عملت بكفاءة طوال فترة معينة. وهذا الرأي، متى لزم، يعود إلى جهة تدقيق مرخصة في الإمارات، ولا يعود إلينا أبدًا.

وغالبًا ما تعيد الشركات التي تواجه لاحقًا فحص منظمة خدمات لعميل أمريكي أو أوروبي استخدام المصفوفة نفسها داخل مسك دفاتر الجاهزية لـ SOC، ويجد المراجع الذي يطلب دليلًا على ضابط معين ما يحتاجه عادةً داخل أوراق العمل. ونؤرخ كل إصدار، لأن وثيقة ضوابط لا يحدّثها أحد تصبح قديمة بمجرد أن يتغير دور أو نظام تحتها.