بناء الرقابة الداخلية داخل نظام ERP وفق إطار COSO

معظم الشركات لديها إطار رقابة داخلية في مكان ما: دليل سياسات، مصفوفة صلاحيات، وربما مصفوفة مخاطر وضوابط أُعدّت للمراجع الخارجي. المشكلة أن هذه الوثائق تعيش خارج الأنظمة التي تحدث فيها المعاملات فعليًا. وتطبيق ERP هو أفضل فرصة لسد هذه الفجوة، لأن كل اعتماد وحد وصلاحية يمكن أن يفرضها النظام نفسه.

COSO في فقرة واحدة

إطار COSO المتكامل للرقابة الداخلية هو المرجع الأكثر استخدامًا لتصميم الرقابة وتقييمها. يعرّف الرقابة الداخلية بأنها عملية تهدف إلى توفير تأكيد معقول حول أهداف العمليات والتقارير والالتزام، ويقوم على خمسة مكونات: بيئة الرقابة، تقييم المخاطر، أنشطة الرقابة، المعلومات والاتصال، وأنشطة المتابعة. ولكل منها ترجمة مباشرة في تصميم النظام.

1. بيئة الرقابة ← الأدوار والصلاحيات والمساءلة

• تصميم أدوار يعكس الهيكل التنظيمي الحقيقي، لا مستخدمين بصلاحيات مطلقة.
• تحويل مصفوفة تفويض الصلاحيات إلى حدود اعتماد حسب المبلغ ونوع المستند والإدارة.
• مستخدمون بأسمائهم فقط دون حسابات مشتركة، حتى يُنسب كل إجراء لصاحبه.

2. تقييم المخاطر ← سجل مخاطر يعرف عملياتك

قبل إعداد الضوابط، حدّد ما يمكن أن يسير بشكل خاطئ في كل عملية: الدفع لمورد وهمي، البيع تحت التكلفة، تسجيل الإيراد في فترة خاطئة، فقدان المخزون. احتفظ بهذه المخاطر في سجل مرتبط بالعمليات والمالكين، ويفضل في نفس المنصة، لتُربط الضوابط بالمخاطر بدل تصميمها بمعزل عنها.

3. أنشطة الرقابة ← الضوابط الوقائية الآلية أولًا

هنا تظهر أكبر قيمة للنظام. أعطِ الأولوية للضوابط التي تمنع المشكلات بدل تلك التي تكتشفها لاحقًا:

الفصل بين المهام

لا يجب أن يستطيع شخص واحد إنشاء مورد، واعتماد الشراء، وتسجيل الفاتورة، وصرف الدفعة. صمّم الأدوار بحيث تُفصل المهام المتعارضة، وشغّل تقريرًا دوريًا لتعارض الصلاحيات لاكتشاف الاستثناءات التي تظهر مع الوقت.

4. المعلومات والاتصال ← مصدر واحد للحقيقة

تعتمد الضوابط على معلومات موثوقة. يضمن النظام المتكامل أن تتشارك المبيعات والمخزون والمشتريات والمالية نفس البيانات، وأن يُسجّل كل تغيير بمن وماذا ومتى. وينبغي أن تكون السياسات والإجراءات متاحة داخل النظام ومرتبطة بالعمليات التي تحكمها.

إذا لم يفرض النظام الضابط أو يوفر دليله، فافترض أنه لا يعمل.

5. أنشطة المتابعة ← مستمرة لا سنوية

بدل اختبار الضوابط مرة في السنة، أعدّ متابعة مستمرة: تنبيهات عند تجاوز الضوابط، وتقارير بالاعتمادات الاستثنائية، ولوحات استثناءات للمراجعة الداخلية، ومراجعات دورية للصلاحيات. هكذا تتحول المتابعة من حدث مراجعة إلى عادة إدارية.

خارطة طريق عملية

1. توثيق العمليات الرئيسية ومخاطرها مع مالكي العمليات.
2. اعتماد مصفوفة الصلاحيات وتحويلها إلى قواعد اعتماد في النظام.
3. تصميم الأدوار مع مراعاة الفصل بين المهام ثم اختبارها بسيناريوهات حقيقية.
4. إعداد الضوابط الوقائية أولًا، ثم التقارير والتنبيهات الكاشفة.
5. بناء مصفوفة مخاطر وضوابط مرتبطة بأدلة النظام.
6. تدريب المستخدمين على سبب وجود الضوابط لا على النقر فقط.
7. مراجعة الصلاحيات والتجاوزات والاستثناءات شهريًا.

كيف تساعدك AMY Tech

يعمل مستشارو الحوكمة ومهندسو ERP لدينا معًا: نصمم أو نراجع إطار الرقابة، ونحوّله إلى أدوار واعتمادات وقواعد داخل ERPNext، ونبني لوحات المتابعة التي تحتاجها الإدارة ولجنة المراجعة. النتيجة رقابة تُطبّق كل يوم لا رقابة موثّقة فقط.

اكتشف حل الحوكمة