مسك الدفاتر للجاهزية لـ SOC

متطلب مشتريات، لا متطلب محاسبي

تواجه معظم الشركات السعودية SOC 2 لأن قائمة مشتريات أحد العملاء تشترطه، لا لأن جهة تنظيمية سعودية تطلبه. فالتقرير نفسه شهادة تصديق أمريكية تصدر وفق قواعد AICPA، والعمل التقني الأمني خلفه، من ضوابط الشبكة وسجلات الوصول واختبارات الاختراق، يتولاه مسؤول هندسة أو بنية تحتية لا الإدارة المالية. وما يقع على الجانب المحاسبي قائمة أضيق، وهذه القائمة الأضيق هي ما نعمل عليه.

أين تلتقي أدلة مسك الدفاتر مع طلب الفاحص

يريد الفاحص الذي يراجع ضابطًا ماليًا عادةً أن يرى فواتير تطابق عقودًا موقعة، وإيرادات تُثبَّت بشكل متسق شهرًا بعد شهر، ومسارًا لمدفوعات الموردين يبيّن من اعتمد ماذا قبل صرفه. ولأن فترة الفحص تمتد عادةً عدة أشهر لا إلى تاريخ واحد، فإن دفاترًا تبقى محدّثة طوال تلك الفترة أهم من لقطة نظيفة واحدة تُجمع في النهاية.

متتبّع محدّث مع ورود الطلبات

نحتفظ بقائمة جارية بالبنود المالية التي طلبها الفاحص، موسومة بأنها سُلّمت أو معلّقة أو تحتاج إلى قرار منك. والسؤال الذي يحتاج عمقًا تقنيًا، كضابط وصول أو سجل نظام، يذهب مباشرة إلى من يدير الأمن أو البنية التحتية لديك، لأن التخمين في إجابة كهذه من السجلات المحاسبية أسوأ من القول إنها خارج نطاقنا.

لماذا يتكرر هذا الطلب أكثر مع الشركات السعودية الآن

تُطلب من شركة في الرياض أو جدة تبيع برمجيات أو خدمات لمشترٍ أمريكي أو أوروبي، أو تورّد ضمن سلسلة مشروع عملاق مع شركاء دوليين، أدلة SOC 2 بشكل متزايد في مرحلة المشتريات، قبل أن يقترب العقد من التوقيع. والبدء المبكر بأعمال الجاهزية على الجانب المالي يقصّر الفترة بين الطلب وتوقيع الصفقة.

ما لا نفعله أبدًا

لا نكون داخل عملية الفحص نفسها، ولا نوقّع التقرير ولا نصدره، فهذه الصلاحية تبقى بالكامل لجهة الفحص المعترف بها لدى AICPA. وغالبًا ما تجيب مصفوفة الضوابط المعدّة ضمن توثيق الضوابط الداخلية عن جزء كبير من الطلبات المالية قبل أن يضطر الفاحص إلى السؤال مرة ثانية.