نامه مدیریت از کجا میآید؟
مدیر مالی معمولاً نامه مدیریت را زمانی دریافت میکند که حسابرس علاوه بر رسیدگی به مانده حسابها و معاملات، نارساییهایی در فرایند ثبت، کنترل یا نظارت دیده است. برای نمونه، تطبیق حسابهای بانکی با تأخیر انجام میشود، دسترسی کاربران سامانه مالی بیش از مسئولیت آنهاست یا خرید و تأیید پرداخت در اختیار یک نفر قرار گرفته است. چنین مواردی ممکن است مستقیماً رقم صورتهای مالی را تغییر نداده باشند، اما احتمال خطا یا سوءاستفاده را بالا میبرند و باید به سطح مسئول تصمیمگیری برسند.
«نامه مدیریت» عنوان رایج حرفهای است و در همه مأموریتها الزاماً با همین نام یا قالب صادر نمیشود. مبنای استانداردی آن، ارتباط حسابرس درباره ضعفهای کنترل داخلی است. استاندارد بینالمللی حسابرسی ۲۶۵ هدف این ارتباط را اطلاعرسانی مناسبِ ضعفهایی میداند که حسابرس در جریان حسابرسی شناسایی کرده و از نظر حرفهای آنقدر مهماند که شایسته توجه مدیریت یا ارکان راهبری هستند [۱] [۲]. در ایران، عنوان، گیرندگان و شکل نهایی نامه باید با قرارداد حسابرسی، استانداردهای لازمالاجرا و مقررات مأموریت تطبیق داده شود.
تفاوت نامه مدیریت با گزارش حسابرسی
گزارش حسابرسی سندی است که در آن حسابرس درباره صورتهای مالی، در چارچوب هدف و مبنای گزارشگری، اظهارنظر میکند. نامه مدیریت برای انتقال ضعفهای کنترل داخلی، مشاهدات و پیشنهادهای اصلاحی است. بنابراین، نامه مدیریت معمولاً خطاب به مدیریت و ارکان راهبری تهیه میشود و جزئیات اجرایی بیشتری دارد؛ گزارش حسابرسی برای استفادهکنندگان مشخص صورتهای مالی صادر میشود و ساختار رسمی اظهارنظر خود را دارد [۱] [۳].
ممکن است شرکت گزارش حسابرسی بدون تعدیل دریافت کند اما همزمان نامهای با چند ضعف کنترلی داشته باشد. علت این است که حسابرس برای اظهارنظر درباره صورتهای مالی، اهمیت و اثر تحریفها و محدودیت شواهد را ارزیابی میکند؛ هر ضعف کنترلی الزاماً به تحریف بااهمیت منجر نشده است. برعکس، اگر ضعف باعث تحریف بااهمیت اصلاحنشده یا ناتوانی در کسب شواهد کافی شود، موضوع میتواند بر نوع اظهارنظر اثر بگذارد؛ این نتیجه از خودِ نامه مدیریت بهطور خودکار به دست نمیآید. [4]
استاندارد ۲۶۵ چه ارتباطی را لازم میداند؟
حسابرس ابتدا بررسی میکند آیا بر اساس کار انجامشده، یک یا چند ضعف در کنترل داخلی شناسایی شده است. سپس قضاوت میکند که ضعف منفرد یا مجموعه ضعفها «بااهمیت» هستند یا خیر. ضعف بااهمیت، ضعفی است که به تشخیص حسابرس اهمیت آن به اندازهای است که باید مورد توجه ارکان راهبری قرار گیرد؛ وقوع قطعی تحریف شرط لازم نیست و احتمال تحریف و بزرگی پیامد احتمالی نیز در ارزیابی مؤثر است [۲].
استاندارد ۲۶۵ مقرر میکند ضعفهای بااهمیت شناساییشده در جریان حسابرسی، بهموقع و بهصورت کتبی به ارکان راهبری اعلام شوند. همین ضعفها، مگر در شرایط نامناسب، به سطح مناسب مدیریت نیز اطلاع داده میشوند. سایر ضعفهایی که بااهمیت نیستند اما از نظر حرفهای شایسته توجه مدیریتاند، باید به مسئول دارای اختیار اصلاح منتقل شوند؛ شکل ارتباط این دسته میتواند با توجه به شرایط، شفاهی یا کتبی باشد [۲].
در ارتباط کتبی ضعفهای بااهمیت، حسابرس باید خودِ ضعف و آثار احتمالی آن را توضیح دهد و زمینه ارتباط را روشن کند: هدف حسابرسی، طراحی روشهای رسیدگی با توجه به کنترلهای مرتبط با صورتهای مالی بوده، نه اظهارنظر جداگانه درباره اثربخشی همه کنترلهای شرکت. این توضیح مانع برداشت اشتباه از نامه میشود [۲].
هر بند نامه مدیریت باید چه اطلاعاتی داشته باشد؟
یک بند مفید فقط نمیگوید «کنترل ضعیف است». باید روشن کند چه چیزی مشاهده شده، معیار مورد انتظار چه بوده، علت یا زمینه احتمالی چیست، چه خطری ایجاد میشود و شرکت چه اقدامی باید بررسی کند. در عمل، بسیاری از مؤسسات برای خوانایی بیشتر از الگوی وضعیت موجود، معیار، علت، اثر و پیشنهاد استفاده میکنند؛ این الگو قالب اجباری واحدی برای همه مأموریتها نیست، اما به مدیر کمک میکند یافته را به اقدام قابل سنجش تبدیل کند.
برای هر یافته، نام واحد مسئول، اولویت، اقدام اصلاحی مورد توافق و تاریخ هدف را در پاسخ مدیریت ثبت کنید. اگر علت کمبود نیرو، تنظیم نادرست نرمافزار یا نبود تفکیک وظایف است، همان علت را بنویسید؛ پاسخ کلی مانند «بررسی خواهد شد» برای پیگیری سال بعد ارزش محدودی دارد. حسابرس میتواند پاسخ و وضعیت اجرای اقدام را در رسیدگیهای بعدی بررسی کند، اما مسئول طراحی و اجرای اصلاحات خود شرکت است.
مثلاً اگر مغایرتگیری بانک سه ماه پس از پایان دوره انجام شده، بند مناسب باید دوره تأخیر، حسابهای درگیر، خطر ثبتنشدن دریافت یا پرداخت و روش اصلاح را مشخص کند. پاسخ مدیریت میتواند تعیین مسئول، اجرای مغایرتگیری ماهانه، بازبینی سرپرست و نگهداری مستندات باشد. لینک به [خدمات کنترلهای داخلی قواعد](https://qavaed.ir/services/internal-controls) برای شرکتی که میخواهد طراحی و آزمون این کنترل را منظم کند، مسیر اجرایی مرتبطی است.
نمونه یافتهها و ارزیابی اهمیت
در چرخه خرید، نبود تفکیک بین درخواست خرید، انتخاب فروشنده و تأیید پرداخت میتواند خطر خرید صوری یا پرداخت تکراری ایجاد کند. در انبار، شمارش پایان سال بدون صورتجلسه و بدون بررسی اقلام راکد، قابلیت اتکای موجودی و بهای تمامشده را کاهش میدهد. در سامانه مالی، حساب کاربری کارکنان سابق یا دسترسی مستقیم به ثبت سندهای روزنامه، ریسک تغییر بدون ردپای مناسب را بالا میبرد. حسابرس شدت هر مورد را جداگانه و در ترکیب با سایر ضعفها میسنجد.
اهمیت یک ضعف فقط به مبلغی که امسال اشتباه شده وابسته نیست. احتمال وقوع تحریف در آینده، آسیبپذیری دارایی در برابر تقلب، حجم معاملات، پیچیدگی برآوردها، نقش کنترل در بستن حسابها و ارتباط آن با ضعفهای دیگر نیز مطرح است [۲]. به همین دلیل دو شرکت با یک مشاهده ظاهراً مشابه ممکن است نامههایی با اولویت متفاوت دریافت کنند.
برای تحلیل و اصلاح نظام کنترل، حسابرسی داخلی و حسابرسی مستقل نقش یکسانی ندارند. [خدمات حسابرسی داخلی قواعد](https://qavaed.ir/services/internal-audit) میتواند ارزیابی مستقلتر و پیگیری اقدامات اصلاحی را در طول سال پوشش دهد؛ حسابرس مستقل همچنان مسئول رسیدگی و گزارشگری طبق مأموریت حسابرسی صورتهای مالی است.
شرکت پس از دریافت نامه چه کند؟
نامه را به واحدهای درگیر محدود نکنید. مدیرعامل یا مدیر مالی بهتر است جلسهای کوتاه با مالکان فرایند، فناوری اطلاعات و حسابرسی داخلی تشکیل دهد و هر بند را به یک اقدام، مسئول و موعد تبدیل کند. نخست مشخص کنید آیا یافته به خطای ثبتشده، احتمال تقلب، رعایتنشدن سیاست داخلی یا ضعف مستندسازی مربوط است؛ نوع علت، روش اصلاح را تعیین میکند.
اگر با توصیف یا درجه اهمیت یک بند موافق نیستید، پاسخ مستند بدهید: دادههای تکمیلی، کنترل جبرانی، سوابق اصلاح یا توضیح علت را ارائه کنید. گفتوگوی حرفهای میتواند به تعدیل متن نهایی کمک کند، اما حذف یک یافته فقط به دلیل اختلاف نظر مدیریتی راهحل نیست. اگر ضعف باقی بماند، ممکن است در ارتباط سال بعد تکرار شود و ناتوانی در اجرای اقدام اصلاحی خود به ارزیابی اهمیت آن اضافه کند [۲].
برای بستن پرونده، شواهد اجرای اصلاح را نگه دارید: صورتجلسه شمارش، گزارش مغایرتگیری، فهرست دسترسیهای تأییدشده، نمونه بازبینی سرپرست یا گزارش تغییر تنظیمات نرمافزار. این مستندات هم پاسخ مدیریت را قابل اتکا میکند و هم به حسابرس اجازه میدهد در دوره بعد وضعیت کنترل را بهتر ارزیابی کند.
مخاطب، محرمانگی و پیگیری
گیرنده اصلی ضعفهای بااهمیت، ارکان راهبری است؛ در ساختارهای مختلف ممکن است این عنوان به هیئتمدیره، کمیته حسابرسی یا اشخاص دارای مسئولیت نظارتی اشاره کند. سطح مناسب مدیریت نیز باید اختیار ارزیابی و اصلاح ضعف را داشته باشد. حسابرس در تعیین جزئیات و زمان ارسال، اندازه و پیچیدگی شرکت، ماهیت ضعف و الزامات قانونی یا قراردادی را در نظر میگیرد [۲].
نامه مدیریت معمولاً سندی کاری و محرمانه میان حسابرس و شرکت است و نباید بدون بررسی قرارداد، مقررات و حقوق استفادهکنندگان در اختیار اشخاص خارج از مأموریت قرار گیرد. سیاست نگهداری، دسترسی و ارسال آن را در سطح هیئتمدیره و مدیریت مالی روشن کنید. در پروژههایی که حسابرسی داخلی یا نهاد ناظر نیز وجود دارد، هماهنگی میان ارتباطها از ارسال پاسخهای متناقض جلوگیری میکند.
اگر شرکت برای انتخاب حسابرس یا برآورد هزینه و دامنه خدمات نیاز به بررسی دارد، صفحه [خدمات حسابرسی صورتهای مالی قواعد](https://qavaed.ir/services/audit) تفاوت حسابرسی مستقل، حسابرسی داخلی و بازرسی قانونی و مراحل کلی کار را توضیح میدهد. مبلغ و شرایط هر مأموریت نیز باید بر اساس دامنه واقعی کار و قرارداد ارزیابی شود؛ برای شروع میتوانید [صفحه برآورد هزینه حسابرسی](https://qavaed.ir/audit-fee) را ببینید.
چکلیست کوتاه برای مدیر مالی
پیش از پاسخ رسمی، این چهار پرسش را برای هر بند بنویسید و مستند کنید:
- مشاهده حسابرس دقیقاً مربوط به کدام فرایند، دوره و کنترل است؟
- آیا اثر یا خطر مطرحشده به تحریف صورتهای مالی، تقلب، رعایت مقررات یا صرفاً مستندسازی مربوط میشود؟
- چه اقدام اصلاحی، با مسئول مشخص و موعد قابل سنجش، باید انجام شود؟
- چه مدرکی نشان میدهد اقدام اجرا شده و چه کسی اثربخشی آن را بازبینی میکند؟