المحاضرة رقم 14 : تفسير مفاهيم الرقابة الداخلية وأنواعها (Interpret Internal Control Concepts and Types of Controls) :

تأسيس عملية الرقابة (Establishing the Control Process) :

تحتوي كل عملية رقابة على ثلاثة عناصر رئيسية :

1) تحديد الأهداف (Setting the objectives).
2) قياس الأداء مقابل معيار (Measuring performance against a standard).
3) تقويم النتائج ثم تصحيح الأداء أو تنظيمه (Evaluating the results then correcting or regulating the performance).

ملاحظة: عملية الرقابة هي جهد مستمر (The control process is an ongoing effort).

يمكن تقسيم هذه العناصر إلى الخطوات العشر التالية :

1) حدد المعايير (Set the standards).
2) حدد الأوقات أو نقاط الرقابة التي يتم فيها جمع المعلومات (Select the times or control points at which to collect information).
3) مراقبة العملية أو جمع العينات (Observe the process or collect the samples).
4) تسجيل المعلومات (Record information).
5) مقارنة وقياس الأداء مقابل المعيار (Compare and measure performance against the standard).
6) تقييم الأداء (Evaluate the performance).
7) الإبلاغ عن أي انحرافات أو مشاكل كبيرة إلى المستوى المناسب من الإدارة
(Report any significant deviations or problems to the appropriate level of management).
8) تنفيذ التصحيحات (Implement corrections).
9) المتابعة للتأكد من أن التصحيحات فعالة (Follow up to ensure that the corrections are effective).
10) مراجعة وتنقيح معايير الأداء حسب الضرورة (Review and revise the standards of performance as necessary).

يقدم الشرح التالي مزيدًا من التفاصيل حول بعض الخطوات .. لكنه لا يغطي القائمة بأكملها.

الخطوتين 1 و 2 تحديد المعايير واختيار نقاط الرقابة (Steps 1 and 2. Setting Standards and Selecting Control Points) :

يجب أن تشمل عملية :

1. تطوير المعايير (Developing standards).
2. وتطوير القياسات (Developing measurements).

الأشخاص المشاركين في العملية التي يتم الرقابة فيها (people involved in the process being controlled).

يجب وضع معيار مناسب جنبًا إلى جنب مع الأوقات times (أو نقاط الرقابة control points) في العملية لقياس الأداء (measure performance).

من خلال التضمين في وضع المعايير سيشعر الموظفون بمزيد من الملكية للعملية ويجب أن يكونوا أكثر تحفيزًا لتحقيق هدف ساعدوا في تحقيقه.

إذا كان من الصعب للغاية تحقيق (too difficult to achieve) معيار فقد يصاب الموظفون بالإحباط (discouraged).

من ناحية أخرى إذا تم تحقيق المعيار بسهولة (easily achieved) فلا يوجد دافع للعمل الجاد (no motivation to work hard).

يجب :

1. مراجعة المعايير على أساس مستمر (reviewed on an ongoing basis).
2. عكسها أو حتى حذفها لأية تغييرات في الظروف أو العمليات (revised or even eliminated for any changes in the circumstances or processes).

إذا تم قياس العنصر في وقت مبكر جدًا من العملية (too early in a process) فربما لم تتطور (developed) :

1. الانحرافات (Deviations).
2. أو المشكلات (Problems).

بعد.

ومع ذلك إذا تم قياس النتائج بعد فوات الأوان (results are measured too late) فقد تكون الشركة قد تكبدت الكثير من التكاليف غير الضرورية (too many unnecessary costs) بين :

- حدوث أي مشاكل (occurrence of any problems).
- واكتشافها (their detection).

إذا تم تدمير منتج نتيجة لعملية الاختبار فقد يكون من المستحيل وضع معايير قابلة للقياس لكل وحدة منتجة. في الظروف التي يكون فيها اختبار كل عنصر غير عملي يكون أخذ العينات الإحصائية (statistical sampling) مناسبًا حيث يتم اختبار عينة من مجتمع احصائي (sample of the total population) استخلاص استنتاج حول مجتمع احصائي.

الخطوة 5. مقارنة وقياس الأداء مقابل المعايير (Comparing and Measuring Performance against the Standards) :

يمكن قياس كل :

1. منتج (Product).
2. أو خدمة (Service).
3. أو عملية (Process).

مقابل معيار الأداء (standard for performance).

تعتمد القرارات المتعلقة بالقياس المناسب (appropriate measurement) على :

1. أهداف الإدارة (management’s goals).
2. وأولويات الإدارة (management’s priorities).

على سبيل المثال إذا أرادت الإدارة زيادة مستويات الإنتاج (increase production levels) فقد لا يكون قياس كفاءة استخدام المواد (efficiency of materials usage) هو أفضل مقياس (best metric) لأنه سيكون له نتائج عكسية / غير مجدية (counterproductive) على هدف الشركة.

في بعض الحالات ينقسم ​​القياس (measurement comes down) إلى الاختيار بين :

1. الأهداف طويلة الأجل (Long-term objectives).
2. والأهداف قصيرة الأجل (Short-term objectives).

على سبيل المثال يمكن أن تهدف الشركة إما إلى :

1. النمو المستقبلي (future growth).
2. أو جني أكبر قدر ممكن من المال الآن (make as much money as possible now).

جزء مهم آخر من عملية القياس هو تحديد من يقوم بالقياس (who performs the measurement). يُفضل القياس الذاتي (Self-measurement) لأنه :

1. يعزز معنويات الموظفين (builds employee morale). 2. يعزز تمكين الموظف (builds employee empowerment).
3. إنه أقل تكلفة (it is less expensive).

ولكن هناك خطر ألا يبلغ الأشخاص عن جميع الانحرافات (not report all deviations).

يعتبر قياس الطرف الثاني (Second-party measurement) أكثر تكلفة من القياس الذاتي ولكنه قد يؤدي إلى :

1. المزيد من النتائج الأفضل (more better results). 2. المزيد من النتائج المفيدة (more useful results).

الخطوتين 6 و 8. تقييم وتنفيذ التصحيح (Evaluation and Implementation of Correction) :

من الضروري مقارنة العناصر المتشابهة مع العناصر المتشابهة (compare like items to like items).

على سبيل المثال لا تعد مقارنة النتائج من مصانع مختلفة (different plants) ممارسة مفيدة (useful exercise) إذا كان كل مصنع يستخدم طرق إنتاج مختلفة (different production methods). وبالمثل إذا كان هناك تغيير كبير (significant change) في :

1. العملية (Process).
2. أو التكنولوجيا (Technology)

من عام إلى آخر. فليس من :

1. الدقة (Accurate).
2. أو الفعالية (Effective).

مقارنة :

- الممارسات الحالية (Current practices).
- بالفترات السابقة (Prior periods).

يتم قياس بعض التقييمات (evaluations) باستخدام معايير ذاتية (subjective criteria) بدلاً من معايير موضوعية (objective criteria).

على سبيل المثال لا يمكن تحديد جودة مخرجات عمل الفرد (quality of an individual’s work output) إلا من خلال :

1. أذواق (Tastes). 

2. أو آراء (Opinions).

مقيِّم معين (given evaluator).

مع هذه القرارات القائمة على السمات / الميزات (trait-based decisions) يجب توخي مزيد من العناية في تقييم النتائج.

في الواقع قد يكون من الأفضل مشاركة أكثر من شخص في عملية صنع القرار (more than one person involved in the decision-making process) لأن القرارات القائمة على السمات / الميزات يمكن أن تتأثر بسهولة بالعواطف (emotions).

ملاحظة: إذا تم استخدام التقييم (evaluation) كأداة تحفيزية (motivational tool) فإن العنصر الذي يتم قياسه يجب أن يكون تحت السيطرة المباشرة (direct control) للشخص الذي يتم تقييمه. يجب أن تكون أداة التحفيز هذه أيضًا متوافقة مع :

1. أهداف الشركة (Goals of the company).
2. وغايات الشركة (Objectives of the company).

الخطوة 10. مراجعة وتنقيح معايير الأداء حسب الضرورة (Review and Revise the Standards of Performance as Necessary) :

المراقبة المستمرة (Constant monitoring) ضرورية (essential) للحفاظ على نظام الرقابة الحالي.

علاوة على ذلك حتى أنظمة الرقابة الأكثر تعقيدًا (most sophisticated control systems) يمكن اختراقها (compromised) من قبل :

1. متسلل دائم (persistent hacker).
2. أو عضو غير أخلاقي في الإدارة العليا (unethical member of upper management).

ومع ذلك على الرغم من كل هذه الصعوبات المحتملة (potential pitfalls) فإن الشركة في وضع أكثر أمانًا (much safer position) مع وجود نظام رقابة :

1. فعال (Functioning).
2. ومحدث (Updated).
3. ومراقب (Monitored).

أكثر من عدم وجوده.

ملاحظة: المتغيرات الخارجية (Exogenous variables) هي عوامل خارجة عن سيطرة صانع القرار (outside the control of the decision-maker) .. مثل :

1. التغيرات التكنولوجية (technological changes).
2. والطقس (Weather).
3. والمنافسين (Competitors).
4. والحروب (Wars).

نظرًا لأنهم خارج سيطرة الشركة فقد يكون التخطيط لهم صعبًا في ظل أفضل الظروف (planning for them can be difficult under the best of circumstances).

ضوابط التطبيق في نظام الرقابة الآلي (Application Controls in an Automated Control System) :

تحتوي أنظمة المعلومات المستندة إلى الكمبيوتر (Computer-based information systems) على ضوابط تطبيق لمعالجة البيانات (application controls for data processing).

يتم تقسيم عناصر الرقابة في التطبيق إلى ثلاث فئات رئيسية :

رقابة الإدخال (input controls). 2. ورقابة المعالجة (processing controls). 3. و رقابة المخرجات (output controls).

1. رقابة الإدخال (Input controls) :

تساعد عناصر الرقابة في الإدخال على ضمان إدخال المعلومات المصرح بها فقط في النظام (valid, authorized information is entered into the system).

هناك خمس فئات من عناصر الرقابة في الإدخال :

1) تؤكد فحوصات التحرير (Edit checks) كلاً من :

1. صحة بيانات الإدخال (Validity of input data).
2. دقة بيانات الإدخال (Accuracy of input data).

على سبيل المثال: التحقق من أن كل حقل لديه :

1. التنسيق الرقمي المناسب (The proper numeric format).
2. التنسيق الأبجدي المناسب (The proper alphabetic format).
3. التنسيق الصحيح الأبجدي الرقمي (The proper alphanumeric format).

وأن المعلومات الواردة في المعاملة معقولة (reasonable).

2) التحقق من المفتاح (Key verification) هو :

- مطلب إدخال المعلومات مرة أخرى (requirement of inputting information again)
- ومقارنة المُدخلين (comparing the two inputs).

على سبيل المثال: إدخال كلمة مرور جديدة مرتين قبل حفظه.

3) عمليات التحقق من التكرار (Redundancy checks)

ترسل مجموعات إضافية من البيانات لتأكيد دقة وصحة البيانات الأصلية (send additional sets of data to confirm the accuracy and validity of the original data).

4) تقوم عمليات فحص الصدى (Echo checks)

إرسال البيانات مرة أخرى إلى المرسل لمقارنتها بما تم إرساله في الأصل (send data back to the sender to compare it with what was originally sent).

5) فحوصات الاستيفاء Completeness checks (لنقل البيانات transmission of data)

تحدد ما إذا كان قد تم إرسال جميع المعلومات الضرورية (determine whether all necessary information has been sent).

2. رقابة المعالجة (Processing controls) :

تضمن رقابة المعالجة أن :

1. البيانات (Data).
2. والإرسال (Transmission).

صحيحان (valid) وتتضمن أيضًا الأمان المادي للمعدات (physical security of the equipment). رقابة المعالجة الأساسية هي :

1) تأكيدات الترحيل (Posting checks)

يقارن بين محتويات السجل قبل التحديث وبعده (compare the contents of the record before and after updating).

2) يقارن التقاطع (Cross-footing) اختبار الجمع التقاطعي (cross- footing test)

مجموع المكونات الفردية بالرقم الإجمالي (compares the sum of the individual components to the total figure).

3) يتم استخدام تأكيدات الرصيد الصفري (Zero balance checks) عندما يكون المجموع الإجمالي 0 (total sum should be 0).

4) توفر مجاميع الرقابة من التشغيل إلى التشغيل (Run-to-run control totals)

التحقق من قيم البيانات أثناء مراحل المعالجة المختلفة وتساعد على ضمان اكتمال جميع المعاملات

verification of the data values during the different stages of processing and help ensure the completeness of all transactions.

5) كلاً من :

1. تسميات الرأس (Internal header).
2. والمقطورة الداخلية (Trailer labels).

تضمن معالجة الملفات الصحيحة (Ensure that the correct files are processed).

6) تقوم رقابة / تحكم التزامن (Concurrency controls) بإدارة :

1. برنامجين (Two programs).
2. أو المزيد من البرامج (More programs).

يحاولون الوصول إلى نفس المعلومات في نفس الوقت (trying to access the same information at the same time).

7) عمليات التحقق من سلامة المفاتيح (Key integrity checks)

تأكد من أن المفاتيح (خصائص السجلات التي تسمح بفرزها) لم تتغير أثناء معالجة البيانات

(make sure that the keys (characteristics of records that allow them to be sorted) are not changed during data processing).

3. رقابة المخرجات (Output controls) :

توفر رقابة المخرجات تأكيدًا معقولًا (reasonable assurance) على أن :

1. المدخلات (input).
2. والمعالجة (processing).

- تخلق مخرجات كاملة ودقيقة (create complete and accurate output)
- وأن المخرجات موزعة بشكل مناسب (output is distributed appropriately).

فيما يلي قائمة بعناصر رقابة المخرجات الأساسية :

1) تضمن رقابة توزيع المخرجات (Output distribution controls) ..

أن التوزيع يتم وفقًا للمعلمات الآلية أو اليدوية المصرح بها مسبقًا 

(distribution is made in accordance with pre-authorized automated or manual parameters).

2) تضمن رقابة الاحتفاظ بالمخرجات (Output retention controls) ..

أن يتم الاحتفاظ بالمخرجات وفقًا للسياسات التنظيمية (organizational policies) والتي يجب أن تأخذ في الاعتبار :

1. المتطلبات التشريعية (statutory requirements).
2. والمتطلبات القانونية (legal requirements).

3) تتأكد رقابة النماذج (Forms controls) من وجود رقابة مناسبة على :

1. الشيكات (Checks).
2. وشهادات السندات (Bonds certificates).
3. وشهادات الأسهم (Stock certificates).

يجب حماية هذه العناصر بواسطة :

1. ضوابط مادية (Physical controls).
2. وضوابط منطقية (Logical controls).

4) سجلات الأخطاء (Error logs) هي قوائم بأخطاء المعالجة (Listings of processing errors).

يجب مراجعة سجلات الأخطاء هذه للتأكد من استمرار معالجة البيانات بشكل صحيح
(This error logs need to be reviewed to ensure that data is still being correctly processed).

الفصل بين المهام (Segregation of Duties) : رقابة وقائية (preventive control)

غالبًا ما يحدث الاحتيال (fraud) لأن موظفًا واحدًا لديه سلطة إشرافية (oversight authority) على العديد من العمليات مما يؤدي إلى :

1. العديد من الفرص للتهرب من الضوابط (Numerous opportunities to evade controls).
2. وإخفاء النشاط المشكوك فيه (Conceal questionable activity).
3. وتغيير الوثائق (alter documentation).

الهدف من الفصل بين المهام هو جعل الأمر أكثر صعوبة (more difficult) على أي فرد (one individual) لـ :

1. سرقة أصول الشركة (stEal company assets).
2. أو ارتكاب أنواع أخرى من الاحتيال (Commit other types of fraud).

لأنه بموجب هذا النظام لا يوجد موظف واحد في وضع يمكنه من :

1. ارتكاب المخالفات (Perpetrate irregularities).
2. وإخفائها المخالفات (Conceal irregularities).

في ظل الفصل المناسب بين المهام يجب على الأشخاص المختلفين أداء كل من الوظائف التالية :

1) تفويض المعاملة (Authorize the transaction).
2) تسجيل المعاملة (Record the transaction) بالإضافة الى :

1. إعداد مستندات المصدر (Prepare source documents).
2. والحفاظ على الدفاتر (Maintain journals) .. (على سبيل المثال تتبع مقدار الأصول التي يجب أن تمتلكها الشركة).

3) الاحتفاظ بالعهدة المادية (physical custody) للأصل ذي الصلة (أي حماية الأصول التي تمتلكها الشركة بالفعل).
4) المطابقة الدورية (Periodically reconcile) للأصول المادية (النقطة 3) مع المبالغ المسجلة (النقطة 2).

ملاحظة: بالنسبة لسؤال الاختبار حول :

1. الرقابة الداخلية الفعالة (Effective internal control).
2. أو الرقابة الداخلية غير الفعالة (Ineffective internal control).

ضع في اعتبارك أن هذه هي الإجراءات الأربعة التي يجب أن يقوم بها أشخاص مختلفون (Done by different people).

بمجرد تحديد الوظائف الأربع المنفصلة ستتمكن من الإجابة على السؤال بشكل صحيح.

مثال : ضمن دورة اقتناء المخزون (inventory acquisition cycle) يجب أن يكون الأشخاص المختلفون مسؤولين عن :

1) الإذن بشراء المخزون (Authorizing the purchase of inventory).
2) قيد شراء المخزون في السجلات المحاسبية (Recording the purchase of inventory in the accounting records).
3) استلام المخزون والمحافظة على العهدة المادية لوحدات المخزون
(Receiving the inventory and maintaining the physical custody of the units of inventory).
4) التوفيق بين كمية المخزون المسجلة (النقطة 2) وكمية المخزون الموجودة في المستودع (النقطة 3)
Reconciling the amount of inventory recorded (point 2) and the amount of inventory held in the warehouse (point 3) .

إذا تلقى شخص (one person) :

1. المخزون المستلم (Receives the inventory).
2. وسجلات المخزون (Records the inventory).

فسيكون هذا الشخص في وضع يسمح له :

1. بسرقة العناصر (steal items)
2. ولكنه يبلغ عن عدم استلامها مطلقًا (they were never received).

يجب أيضًا تطبيق الفصل بين المهام على ..

نقل المخزون من المستودع إلى خط الإنتاج

Transferring inventory from the warehouse to the production line.

حيث :

1. يجب أن يأذن شخص واحد بالتحويل (One person should authorize the transfer).
2. ويجب أن يسجل شخص واحد مقدار المخزون المطلوب (One person should record how much inventory was requested).
3. ويجب أن يكون لدى شخص ثالث عهدة المخزون (Third person should have custody of the inventory).
4. ويجب أن يقوم شخص رابع بتسوية المبلغين بشكل دوري (Fourth person should periodically reconcile the two amounts).

ملحوظة: قد يكون لدى موظف واحد :

1. واجبات التفويض (Authorization duties).
2. واجبات حفظ السجلات (Record-keeping duties).

طالما كانا في دورات معاملات مختلفة (Different transaction cycles).

على سبيل المثال قد يكون الشخص ..

المسؤول عن الإذن بشراء المخزون مسؤولاً أيضًا عن تسجيل الأصول الثابتة

Responsible for authorizing inventory purchases may also be responsible for recording fixed assets.

تشمل الأمثلة الأخرى لفصل المهام ما يلي :

• شخص واحد لديه الإيصالات النقدية (Custody of cash receipts).
وشخص آخر يأذن بشطب الحساب (Authorizes account write-offs).

بدون مثل هذا الفصل يمكن لشخص واحد ..

أن يأذن بشطب كاذب أثناء تحويل المجموعة على الحساب
(authorize a false write-off while diverting the collection on the account).

• شخص واحد يأذن بإصدار أوامر الشراء (Authorizes issuance of purchase orders).
وشخص آخر مسؤول عن تسجيل استلام المخزون (Recording receipt of inventory).

بدون مثل هذا الفصل يمكن لشخص واحد ..

إصدار أمر شراء لشركة وهمية وإعداد سجل استلام وهمي ، مما يؤدي إلى دفع الشركة مقابل شيء لم تطلبه أو تتلقاه أبدًا
(one person could issue a purchase order to a fictitious company and prepare a fictitious receiving record, resulting in the company paying for something it never ordered or received).

• شخص واحد لديه السلطة لتعديل الحسابات المستحقة القبض (Authority to adjust accounts receivable).
وشخص آخر نشر المدفوعات على حسابات العملاء (Different person posts payments on customers’ accounts).

بدون مثل هذا الفصل يمكن لشخص واحد ..

تحويل المتحصلات النقدية ثم تزوير أرصدة حسابات العملاء الذين دفعوا النقود لإخفاء التحويل
(divert cash receipts and then falsify the account balances of the customers who paid the cash in order to conceal the diversion).

• شخص واحد مسؤول عن إعداد الإيداع المصرفي (Preparing the bank deposit).
وشخص آخر يقوم بتسوية الحساب الجاري / حساب مصرفي تحت الطلب (Reconciles the checking account).

بدون مثل هذا الفصل يمكن لشخص واحد ..

تحويل المتحصلات النقدية وتغطية السرقة عن طريق إنشاء إدخالات تسوية
(divert cash receipts and cover the theft by creating reconciling entries).

ملاحظة: يعد التواطؤ (collusion) أحد القيود المتأصلة (inherent limitations) في الفصل بين المهام حيث يعمل موظفان أو أكثر معًا للالتفاف حول الضوابط.

يمكن أن يقلل التناوب الوظيفي (Job rotation) من مخاطر التواطؤ.

المحاضرة 

لتحميل رابط ملف الـ PDF الخاص بالمحاضرة

اضغط هنا