منشور حسابرسی داخلی چیست و چرا با شرح وظایف تفاوت دارد؟
منشور حسابرسی داخلی سند مرجعِ تعریف مأموریت و جایگاه این فعالیت در ساختار حاکمیتی شرکت است. این سند روشن می‌کند حسابرس داخلی با چه اختیاری به فرایندها وارد می‌شود، نتایج را به چه مرجعی ارائه می‌کند و در برابر چه کسانی پاسخ‌گوست. شرح شغل کارکنان تنها یکی از ابزارهای اجرای این چارچوب است. در این چارچوب، حدود پاسخ‌گویی حتی هنگام تغییر مدیران نیز قابل پیگیری می‌ماند.
استاندارد جهانی ۶.۲ مؤسسه حسابرسان داخلی، درج هدف، تعهد به رعایت استانداردها، مأموریت، دامنه خدمات و روابط گزارش‌دهی را در منشور پیش‌بینی کرده است. این مرجع حرفه‌ای بین‌المللی است؛ مدیر مالی باید علاوه بر آن، مقررات الزام‌آور صنعت و شرکت خود را نیز جداگانه بررسی کند. همچنین ثبت مرجع استاندارد در متن، کار بازبینی دوره‌های بعد را ساده‌تر می‌کند.
اشتباه رایج این است که شرکت، فهرستی از کارهای روزمره مانند کنترل فاکتور یا شمارش موجودی را «منشور» می‌نامد. چنین فهرستی به پرسش‌های حساس پاسخ نمی‌دهد: آیا حسابرس میتواند موضوعی مربوط به مدیر مالی را بررسی کند؟ آیا گزارش نهایی بدون ویرایش مدیریت به هیئت‌مدیره می‌رسد؟ پیشگیری از این اختلاف‌ها معمولاً کم‌هزینه‌تر از رفع آن‌ها در میانه رسیدگی است.
بهتر است متن با یک جمله روشن درباره هدف شروع شود: ارزیابی مستقل و مبتنی بر ریسکِ فرایندهای راهبری، مدیریت ریسک و کنترل‌ها. برای تطبیق اسناد داخلی شرکت با مقررات و استانداردهای مرتبط، آرشیو مقررات و اسناد قواعد فقط نقطه شروع جست‌وجو است و جای منبع اصلی را نمی‌گیرد. در نسخه نهایی، تعریف این هدف باید با مأموریت واقعی شرکت سازگار باشد.
- هدف فعالیت: چه ارزشی برای هیئت‌مدیره و مدیریت ایجاد می‌شود؟
- صاحب اختیار تصویب: مرجع تصمیم‌گیر نهایی در ساختار شرکت کیست؟
- ماهیت خدمات: اطمینان‌بخشی، مشاوره یا ترکیبی از هر دو
- حدود دامنه: واحدها، شرکت‌های تابعه، سامانه‌ها و برون‌سپاری‌ها
- استقلال: حق انتخاب موضوع و اظهار نتیجه بدون دخالت عملیاتی
- دسترسی: سوابق، کارکنان، محل‌ها و داده‌های لازم برای مأموریت
- گزارش‌دهی: گیرندگان گزارش، مراتب ارجاع و موارد حساس
- بازبینی منشور: مسئول پیشنهاد اصلاح و شیوه ثبت نسخه مصوب
دامنه مأموریت و مرز خدمات مشاوره‌ای چگونه نوشته شود؟
دامنه مأموریت باید آن‌قدر روشن باشد که واحدهای شرکت بدانند حسابرسی داخلی میتواند چه حوزه‌هایی را بررسی کند؛ در عین حال نباید به فهرست بسته‌ای تبدیل شود که ریسک‌های تازه را بیرون بگذارد. استاندارد ۶.۱ میان اختیار، نقش و مسئولیت حسابرسی داخلی پیوند برقرار می‌کند و این موارد باید در منشور منعکس شوند. به همین دلیل، عبارت «سایر حوزه‌های پرریسک» بدون توضیح نحوه انتخاب کافی نیست.
خدمات اطمینان‌بخشی با ارزیابی مستقلِ طراحی و اجرای کنترل‌ها، شناسایی ضعف‌ها و گزارش نتیجه همراه است. خدمات مشاوره‌ای میتواند شامل تسهیل کارگاه ریسک یا ارائه پیشنهاد اصلاح فرایند باشد؛ اما تصمیم اجرای کنترل و قبول ریسک، مسئولیت مدیریت باقی می‌ماند، نه حسابرس داخلی. نمونه پیشنهاد اصلاح فرایند نباید به امضای حواله یا تأیید سند تبدیل شود.
اگر مدیر مالی از حسابرس بخواهد پرداخت‌ها را تصویب کند و همان پرداخت‌ها را بعداً رسیدگی کند، خطر خدشه به بی‌طرفی ایجاد می‌شود. منشور باید انتقال نقش‌های اجرایی به حسابرس را محدود کند و سازوکار اعلام تعارض، جایگزینی ارزیاب یا بازبینی مستقل را پیش‌بینی کند. بهتر است این محدودیت پیش از شروع هر مأموریت به مدیر درخواست‌کننده اعلام شود.
در گروه‌های شرکتی لازم است صریحاً معلوم شود شرکت‌های تابعه و پیمانکاران کلیدی در کدام شرایط مشمول رسیدگی‌اند. حق دسترسی به مدارک شخص ثالث صرفاً با نوشتن منشور به وجود نمی‌آید؛ قرارداد، مجوز قانونی یا ترتیبات تبادل اطلاعات نیز ممکن است لازم باشد. مرز مالکیت داده و مسئول پاسخ‌گویی در هر شرکت تابعه نیز باید روشن باشد.
- تعیین حوزه‌های دارای اولویت بر پایه نقشه ریسک شرکت، نه نام اشخاص
- ذکر امکان رسیدگی به فرایندهای فناوری اطلاعات و برون‌سپاری
- تفکیک ارزیابی مستقل از طراحی و اجرای روزانه کنترل‌ها
- شرح حدود مشاوره بدون پذیرش مسئولیت تصمیم‌گیری مدیریت
- نحوه پذیرش درخواست‌های ویژه هیئت‌مدیره یا مدیرعامل
- قواعد رسیدگی به واحدی که حسابرس قبلاً در آن مسئولیت داشته است
- تعیین سازوکار ارزیابی اثر تعارض منافع بر نتیجه مأموریت
- ذکر شرط دسترسی قراردادی یا قانونی برای اسناد اشخاص ثالث
استقلال سازمانی و مسیر گزارش‌دهی در منشور چگونه تعیین می‌شود؟
استقلال سازمانی به توان واحد حسابرسی برای انتخاب موضوع، اجرای رسیدگی و اعلام یافته‌ها بدون دخالت نامناسب اشاره دارد. در استاندارد ۷.۱، ارتباط مستقیم مسئول حسابرسی داخلی با هیئت‌مدیره در مرکز این موضوع قرار می‌گیرد. صرف قرار دادن نام واحد در نمودار سازمانی برای ایجاد استقلال کافی نیست. معیار عملی، امکان بیان نتیجه حتی هنگامی است که نتیجه برای مدیریت خوشایند نیست.
در بسیاری از شرکت‌ها گزارش‌دهی کارکردی، مانند تصویب منشور و نظارت بر عملکرد حسابرسی، به هیئت‌مدیره یا کمیته حسابرسی مربوط است؛ امور اداری میتواند از مسیر مدیرعامل پشتیبانی شود. این تفکیک باید در منشور دقیق نوشته شود تا بخش اداری نتواند دامنه رسیدگی یا محتوای گزارش را تغییر دهد. این تفکیک هنگام اختلاف درباره بودجه یا انتشار گزارش، اهمیت بیشتری پیدا می‌کند.
اگر مدیر مالی مسئول حقوق و امکانات تیم حسابرسی باشد، این موضوع به‌خودی‌خود نتیجه قطعی درباره فقدان استقلال نمی‌دهد؛ اما ریسک فشار بودجه‌ای یا تعارض در رسیدگی به واحد مالی را باید مدیریت کرد. منشور باید مسیر گزارش مستقیم محدودیت منابع و دخالت‌ها به مرجع نظارتی را روشن سازد. ثبت شیوه طرح چنین فشارهایی، موضوع را از بحث شفاهی به فرایند نظارتی تبدیل می‌کند.
برای شرکت‌هایی که کمیته حسابرسی ندارند، باید مرجع متناسب با ساختار حاکمیتی واقعی تعیین شود؛ نمی‌توان وجود چنین کمیته‌ای را فرض کرد. شرح رابطه هیئت‌مدیره، مدیریت ارشد و مسئول حسابرسی داخلی باید با اسناد حاکمیتی و الزامات خاص همان شرکت هم‌خوان باشد. جایگزینی عنوان کلی «مدیریت» با نام مرجع مسئول از ابهام جلوگیری می‌کند.
- مرجع تصویب منشور و تغییرات بعدی را نام ببرید
- مرجع تصویب یا بررسی برنامه حسابرسی مبتنی بر ریسک را جدا کنید
- مسیر ارسال مستقیم گزارش‌های حساس به هیئت‌مدیره را بنویسید
- رابطه اداری و کارکردی را با دو عبارت مجزا تعریف کنید
- اختیار مذاکره محرمانه با مرجع نظارتی را مشخص کنید
- محدودیت دامنه یا دسترسی را موضوع گزارش فوری قرار دهید
- اثر تعارض منافع و مسئولیت اجرایی قبلی را ثبت کنید
- تغییرات ساختار شرکت را محرک بازبینی منشور در نظر بگیرید
حق دسترسی به اطلاعات و حفظ محرمانگی را چگونه هم‌زمان تعریف کنیم؟
رسیدگی مؤثر به اسناد، داده‌ها، کارکنان و محل‌های مرتبط نیاز دارد. منشور باید اختیار درخواست اطلاعات را بیان کند و در کنار آن، تکلیف حسابرس به استفاده متناسب و حفاظت از اطلاعات محرمانه را روشن سازد. دسترسی نامحدود و بی‌قاعده، جایگزین سازوکار دسترسی کنترل‌شده نیست. داده‌ای که منشأ و مسیر دریافتش ثبت نشده باشد، در بازبینی بعدی دردسرساز می‌شود.
مدیر مالی بهتر است با مسئول حسابرسی داخلی برای تعریف نحوه ثبت درخواست مدارک، مهلت پاسخ‌گویی عملیاتی و مسیر رفع اختلاف درباره دسترسی توافق کند. اگر دسترسی به سامانه مالی محدود می‌شود، علت و راه جایگزین باید مستند باشد تا دامنه آزمون‌ها بی‌دلیل کوچک نشود. ثبت این اختلاف‌ها همچنین به اولویت‌بندی بهبود فرایند دسترسی کمک می‌کند.
اسناد کارکنان، قراردادها و پرونده‌های دارای اطلاعات شخصی می‌توانند محدودیت‌های قانونی یا قراردادی داشته باشند. متن منشور باید به مقررات قابل اعمال ارجاع دهد، نه اینکه صرفاً با یک جمله کلی، همه تعهدات محرمانگی را بی‌اثر فرض کند. برای دسترسی پیمانکار حسابرسی هم قرارداد جداگانه اهمیت دارد. حفظ نسخه‌های غیرضروری مدارک حساس، خود میتواند یک ریسک کنترلی تازه بسازد.
یک روال مناسب این است که مالک داده، حسابرس، سطح دسترسی، کانال امن انتقال و زمان نگهداری مدارک در پروتکل‌های اجرایی مشخص شوند. منشور اصول این روال را تصویب می‌کند و دستورالعمل امنیت اطلاعات، جزئیات فنی را توضیح می‌دهد؛ این دو سند نباید با هم تعارض داشته باشند. این تفکیک، مدیریت دسترسی را در عمل قابل آزمون و پیگیری می‌کند.
- حق مشاهده سند و داده مرتبط با هدف مأموریت
- امکان گفت‌وگو با کارکنان مرتبط در محدوده بررسی
- ثبت محدودیت دسترسی و دلیل ارائه‌شده از سوی واحد مربوط
- روش ارجاع اختلاف دسترسی به مسئول حسابرسی و مرجع نظارتی
- حفظ محرمانگی در هنگام دریافت، تحلیل و آرشیو اطلاعات
- تفکیک دسترسی مشاهده از اختیار ویرایش یا انجام تراکنش
- تعریف مسیر امن انتقال فایل و ثبت تحویل مستندات
- تعیین الزام قراردادی برای دسترسی به اطلاعات برون‌سپاری‌ها
فرایند تدوین، تصویب و بازبینی منشور در شرکت چه مراحلی دارد؟
مسئول حسابرسی داخلی باید پیش‌نویس منشور را بر پایه ساختار شرکت و انتظار هیئت‌مدیره تهیه کند. در استاندارد ۶.۲، گفت‌وگو با هیئت‌مدیره و مدیریت ارشد برای هم‌فهمی درباره حدود مأموریت پیش‌بینی شده است. نسخه‌ای که بدون این گفت‌وگو امضا شود، ممکن است در اولین اختلاف دسترسی کارایی خود را از دست بدهد. ثبت نقطه‌های اختلاف در مذاکرات اولیه به اصلاح متن پیش از تصویب کمک می‌کند.
مدیر مالی میتواند اطلاعات مربوط به سامانه‌ها، چرخه‌های مالی، برون‌سپاری و نقاط تماس اجرایی را در اختیار تدوین‌کننده بگذارد، اما نباید اختیار حرفه‌ای واحد حسابرسی را به واحد مالی محدود کند. نقش مدیر مالی ارائه شناخت عملیاتی و اعلام ملاحظات مستند است؛ تصویب منشور در سطح مرجع حاکمیتی انجام می‌شود. اگر ملاحظات واحد مالی پذیرفته نشد، بهتر است علت حرفه‌ای آن نیز ثبت شود.
پس از جمع‌بندی، نسخه نهایی باید همراه تاریخ اجرا، شماره نسخه و صورت‌جلسه تصویب نگهداری شود. ثبت نام مرجع تصویب و تصمیم‌های مربوط به استقلال اهمیت بیشتری از طراحی ظاهری سند دارد. در سازمان‌های چندشرکتی، لازم است معلوم شود تصویب در هر شخصیت حقوقی چه جایگاهی دارد. ابلاغ صرف از طریق یک پیام غیررسمی برای فرایندهای حساس کافی نیست.
بازبینی منشور رویدادی یک‌باره نیست. تغییر مدیر حسابرسی، ادغام شرکت، راه‌اندازی سامانه حساس یا تغییر سطح ریسک میتواند نیازمند بررسی دوباره باشد. استانداردها بازنگری در واکنش به تغییر شرایط را پیش‌بینی می‌کنند؛ دوره ثابت برای همه شرکت‌ها از متن این منابع نتیجه نمی‌شود. بازبینی باید به تغییر واقعی اختیار یا ریسک وابسته باشد، نه تغییر ظاهری قالب سند.
- شناخت ساختار حاکمیتی و مرجع دارای اختیار تصویب
- ثبت نیازهای هیئت‌مدیره و مدیریت ارشد از فعالیت حسابرسی
- تهیه پیش‌نویس توسط مسئول حسابرسی داخلی
- بازبینی تضادهای احتمالی با شرح مشاغل و مقررات شرکت
- گفت‌وگو درباره استقلال، منابع و دسترسی پیش از تصویب
- ثبت مصوبه و نسخه نهایی در مخزن اسناد رسمی شرکت
- ابلاغ مفاد مربوط به همکاری و دسترسی به واحدهای عملیاتی
- تعریف محرک‌های تجدیدنظر و ثبت تاریخ بررسی بعدی
چه بندهایی را میتوان در پیش‌نویس منشور نوشت و چگونه آزمود؟
به‌جای کپی‌کردن بی‌تغییر یک الگوی خارجی، برای هر بند سه چیز بنویسید: متن پیشنهادی، مسئول اجرا و شاهد قابل مشاهده. نمونه زیر برای گفت‌وگوی هیئت‌مدیره با مدیر مالی و مسئول حسابرسی داخلی طراحی شده است. این پیشنهادها متن قانونی آماده امضا نیستند و باید برای ساختار شرکت بازبینی شوند. وجود معیار آزمون به هیئت‌مدیره نشان می‌دهد کدام تعهد واقعاً قابل پیگیری است.
نمونه بند مأموریت: «حسابرسی داخلی با رویکرد مبتنی بر ریسک، فرایندهای راهبری، مدیریت ریسک و کنترل‌های شرکت را ارزیابی و نتیجه را گزارش می‌کند». شاهد اجرا میتواند برنامه مصوب، کاربرگ رسیدگی و گزارش ارسالی باشد؛ لازم نیست همه جزئیات برنامه را در متن منشور ثبت کنید. این بند باید نتیجه مورد انتظار را بیان کند، نه تعداد ثابت رسیدگی‌ها را.
نمونه بند استقلال: «مسئول حسابرسی داخلی امکان طرح مستقیم محدودیت‌ها و یافته‌های مهم نزد مرجع نظارتی تعیین‌شده را دارد». برای آزمودن این بند، صورت‌جلسات تعامل، مسیر ارسال گزارش و موارد ثبت‌شده دخالت در دامنه را مرور کنید. صرف درج جمله استقلال، شاهد کافی برای عملکرد مستقل نیست. اگر مسیر ارتباط در عمل بسته باشد، همان بند باید در بازبینی منشور اصلاح شود.
نمونه بند پیگیری: «مدیریت مسئول تصمیم و اجرای اقدام اصلاحی است و حسابرسی داخلی وضعیت اجرای آن را بررسی و گزارش می‌کند». این عبارت مانع انتقال مسئولیت رفع ضعف کنترلی به حسابرس می‌شود. پیشنهادها باید مالک اجرایی و روش ثبت وضعیت داشته باشند، نه فقط فهرست موارد باز. ثبت وضعیت بدون مشخص‌بودن مالک اصلاح، فقط تعداد یافته‌های باز را افزایش می‌دهد.
- **هدف:** ارزیابی مستقل فرایندها | **شاهد:** گزارش مأموریت و برنامه مصوب
- **اختیار:** دسترسی متناسب به داده | **شاهد:** درخواست و سابقه تحویل مدارک
- **استقلال:** ارتباط مستقیم با هیئت‌مدیره | **شاهد:** صورت‌جلسه تعامل
- **دامنه:** پوشش ریسک‌های شرکت | **شاهد:** نقشه حوزه‌های قابل رسیدگی
- **مشاوره:** بدون پذیرش نقش اجرایی | **شاهد:** شرح خدمت و تأیید حدود
- **محرمانگی:** حفاظت از داده‌ها | **شاهد:** پروتکل دسترسی و نگهداری
- **پیگیری:** مالک اقدام، واحد اجرایی | **شاهد:** ثبت اقدام و آزمون مجدد
- **بازبینی:** بررسی منشور هنگام تغییر شرایط | **شاهد:** ثبت نسخه و مصوبه
در برون‌سپاری حسابرسی داخلی چه چیزهایی را پیش از شروع کنترل کنیم؟
برون‌سپاری حسابرسی داخلی به‌معنای واگذاری نقش نظارتی هیئت‌مدیره نیست. استانداردهای جهانی حسابرسی داخلی، خدمات ارائه‌شده توسط نیروهای داخل یا خارج سازمان را در دامنه خود می‌بینند. منشور باید جایگاه فعالیت و مسیر گزارش‌دهی را پوشش دهد و قرارداد، دامنه اجرایی خدمت و ترتیبات تجاری را روشن کند. مرجع دریافت گزارش باید حتی پس از تغییر پیمانکار نیز برای شرکت ثابت و روشن بماند.
بسته پیشنهادی شروع همکاری باید شامل منشور مصوب، نقشه ریسک‌های اصلی، فهرست سامانه‌ها و مسئولان داده، سیاست امنیت اطلاعات و زمان‌بندی ارائه گزارش باشد. مدیر مالی با تحویل این مجموعه، اصطکاک شروع مأموریت را کاهش می‌دهد؛ اما نتیجه رسیدگی و دامنه لازم شواهد باید مستقل تعیین شود. برای موارد محرمانه، نحوه تبادل اطلاعات با پیمانکار باید پیشاپیش توافق شود.
پیش از استعلام خدمت، تفاوت برنامه سالانه و منشور را روشن کنید. در مقایسه حسابرسی داخلی و مستقل میتوان مرز مأموریت‌ها را بررسی کرد و مقاله پیگیری اقدامات اصلاحی پس از حسابرسی برای فاز بعدی مفید است. تعیین مرز وظایف قبل از استعلام، پاسخ‌های دریافتی را قابل مقایسه‌تر می‌کند.
اگر شرکت نیازمند طراحی یا بازنگری ساختار این فعالیت است، ابتدا حدود مسئولیت‌ها و مخاطرات استقلال را مکتوب کنید؛ سپس از مسیر خدمات حسابرسی داخلی مؤسسه قواعد درخواست بررسی اولیه دامنه بدهید. ثبت درخواست به معنای انعقاد قرارداد یا زمان‌بندی قطعی نیست و پذیرش مأموریت به بررسی شرایط و الزامات حرفه‌ای وابسته است.
- وجود نسخه مصوب منشور و نام مرجع نظارتی مسئول
- تعریف اختیارات گزارش‌دهی مسئول خدمت بیرونی
- تطبیق قرارداد با دامنه و خدمات پیش‌بینی‌شده در منشور
- ثبت محدودیت‌های قانونی و قراردادی دسترسی به داده‌ها
- مرزبندی محرمانگی، مالکیت کاربرگ و نگهداری مستندات
- مشخص‌بودن نحوه گزارش ضعف‌های مهم و تعارض منافع
- تعریف مسئول داخلی برای همکاری و اجرای اقدامات اصلاحی
- ثبت سازوکار بازنگری دامنه هنگام تغییر شرایط شرکت