برنامه سالانه حسابرسی داخلی چه تصمیمی را برای هیئتمدیره روشن می‌کند؟
برنامه سالانه حسابرسی داخلی صرفاً فهرست واحدهایی نیست که قرار است از آن‌ها بازدید شود. این برنامه نشان می‌دهد کدام خطرهای اثرگذار بر اهداف شرکت در دوره پیش رو بررسی خواهند شد، چه نوع خدمتی ارائه می‌شود و چرا یک حوزه زودتر از حوزه دیگر در دستور کار قرار گرفته است. برای مدیر مالی، ارزش برنامه در شفاف‌کردن مرز میان کارهای کنترل روزمره و رسیدگی مستقل به کارکرد همان کنترل‌هاست.
مسئولیت اجرای کنترل‌ها همچنان با مدیریت واحدهای عملیاتی باقی می‌ماند. استاندارد ۹.۴ مجموعه «استانداردهای جهانی حسابرسی داخلی» مؤسسه IIA، تدوین برنامه را به ارزیابی مستند راهبردها، اهداف و خطرهای سازمان پیوند می‌دهد. این ارزیابی باید حداقل سالانه انجام شود و از دیدگاه هیئتمدیره و مدیریت ارشد نیز اثر بپذیرد.
بنابراین کپی‌کردن برنامه سال گذشته و جابه‌جاکردن تاریخ مأموریتها، بدون بازنگری در ریسک‌ها، مبنای کافی برای برنامه جدید نیست. در شرکت دارای رشد فروش، تغییر نرم‌افزار یا شعبه جدید، اولویت رسیدگی می‌تواند کاملاً عوض شود. باید از ابتدا معلوم باشد که برنامه از جنس «اطمینان‌بخشی» است یا بخشی از فعالیت‌ها ماهیت مشاوره‌ای دارد.
در مأموریت اطمینان‌بخشی، ارزیابی مستقل طراحی و اجرای کنترل‌ها برای ارائه نتیجه انجام می‌شود؛ در کار مشاوره‌ای، تیم می‌تواند درباره بهبود فرایند پیشنهاد بدهد، بی‌آنکه مسئول تصمیم و اجرای کنترل شود. این تمایز بر دامنه، زمان، ترکیب تخصص‌ها و استقلال تیم اثر می‌گذارد. هنگام بررسی خدمات حسابرسی داخلی مؤسسه قواعد همین خروجی مورد انتظار را مشخص کنید.
- خروجی مدیریتی: فهرست مأموریتها همراه دلیل انتخاب هر کدام
- ورودی کلیدی: اهداف شرکت، فهرست خطرها و یافته‌های قبلی
- تفکیک کار: ارزیابی مستقل در برابر اجرای روزمره کنترل توسط مدیریت
- تصمیم هیئتمدیره: پذیرش پوشش پیشنهادی و محدودیت‌های منابع
- معیار کیفیت: امکان ردیابی هر مأموریت به یک خطر قابل توضیح
فهرست حوزه‌های قابل حسابرسی را چگونه بدون جاانداختن فعالیت‌ها تهیه کنیم؟
نقطه شروع عملی، تهیه «جهان حسابرسی» یا فهرست کامل حوزه‌های قابل رسیدگی است. جهان حسابرسی به معنای فهرست حساب‌های دفتر کل نیست؛ شرکت باید فرایندها، واحدها، سامانه‌ها، شعب، پروژه‌ها و ارتباط‌های برون‌سپاری‌شده را هم شناسایی کند. برای نمونه، چرخه خرید فقط ثبت حساب‌های پرداختنی نیست؛ درخواست خرید، انتخاب تأمین‌کننده، تأیید سفارش، رسید انبار، تأیید صورت‌حساب و پرداخت را نیز شامل می‌شود.
اگر فقط نام اداره‌ها را فهرست کنید، ریسک‌هایی که بین دو اداره قرار می‌گیرند از قلم می‌افتند. از چارت سازمانی، نقشه فرایندها، بودجه، صورت‌جلسات تصمیم‌های مهم، گزارش‌های مدیریتی، قراردادهای اصلی و گزارش‌های پیشین حسابرسی برای ساخت فهرست استفاده کنید. با مدیران فروش، خزانه، فناوری اطلاعات و عملیات گفت‌وگو کنید و برای هر حوزه یک مالک فرایند مشخص کنید.
وابستگی‌های حساس را در کنار نام حوزه بیاورید؛ مثلاً نرم‌افزار فروش به سامانه انبار، پایانه دریافت وجه و حسابداری متصل است. ضعف در رابط سامانه ممکن است هم‌زمان چند گزارش مدیریتی و مالی را تحت تأثیر قرار دهد. فهرست را در سطحی تعریف کنید که قابل برنامه‌ریزی و برآورد باشد.
«مالی» آن‌قدر کلی است که ممکن است کنترل خزانه یا فرایند بستن حساب‌ها در آن محو شود؛ تقسیم بسیار ریز نیز بودجه را به ده‌ها مأموریت کم‌ارزش می‌شکند. اگر شرکت چند شعبه مشابه دارد، می‌توان یک فرایند مشترک را تعریف کرد و تفاوت ریسک شعب را جدا در ماتریس ثبت کرد. جهان حسابرسی با تغییر سامانه‌ها، توسعه فعالیت و ایجاد محصول جدید باید به‌روز شود، نه فقط هنگام تهیه گزارش سالانه.
- حوزه‌های نمونه: فروش و وصول، خرید و پرداخت، انبار و تولید
- حوزه‌های پشتیبان: خزانه، حقوق، فناوری اطلاعات و امنیت دسترسی
- ابعاد سازمانی: شعب، شرکت‌های وابسته، پروژه‌ها و پیمانکاران مهم
- مدارک مبنا: نقشه فرایند، ساختار سازمان، قرارداد و یافته قبلی
- مالک مشخص: مدیر پاسخ‌گوی هر فرایند و محل نگهداری مدارک
ریسک‌ها را با چه معیارهایی امتیازدهی و اولویت‌بندی کنیم؟
امتیازدهی باید روشی شفاف برای مقایسه باشد، نه عددی که ظاهراً علمی است اما کسی منشأ آن را نمی‌داند. ابتدا معیارها را تعیین کنید: شدت پیامد مالی یا عملیاتی، احتمال وقوع، حساسیت مقرراتی، تغییرات اخیر، سابقه خطا و کیفیت کنترل‌های موجود. مقیاس و وزن هر معیار باید متناسب با شرکت تعریف و تصویب شود.
نمونه‌ای که در ادامه می‌آید صرفاً یک ابزار آموزشی برای آغاز گفت‌وگو است؛ عددهای آن نرخ رسمی، حد مجاز یا فرمول اجباری استاندارد IIA نیستند. برای مثال، یک شرکت فرضی می‌تواند «احتمال» و «اثر» را هرکدام از ۱ تا ۵ امتیازدهی کند و حاصل‌ضرب آن‌ها را به‌عنوان امتیاز اولیه بگیرد. تغییر حساب بانکی تأمین‌کننده بدون تأیید مستقل ممکن است احتمال ۳ و اثر ۵ داشته باشد و امتیاز اولیه آن ۱۵ شود.
تأخیر جزئی در بایگانی فاکتور با احتمال ۴ و اثر ۲، امتیاز ۸ می‌گیرد. این رتبه‌بندی فقط شروع است: وجود کنترل مؤثر، شواهد اجرای آن، وابستگی فرایند و نظر حرفه‌ای ممکن است اولویت نهایی را تغییر دهد. ریسک ذاتی، خطر پیش از لحاظ‌کردن پاسخ‌ها و کنترل‌های شرکت است؛ ریسک باقیمانده پس از توجه به کنترل‌های موجود برآورد می‌شود.
اگر کنترل تنها روی کاغذ وجود دارد، نباید اثر کاهنده کامل برای آن فرض کرد. یافته‌های قبلی، تغییر مدیران کلیدی، حجم تراکنش، اعتراض مشتریان و قطعی سامانه هم به اعتبار امتیاز کمک می‌کنند. در کنار جدول، علت انتخاب و سطح اطمینان به داده را بنویسید تا اگر هیئتمدیره با اولویت مخالفت کرد، بحث بر سر شواهد باشد نه سلیقه اشخاص.
- نمونه ماتریس آموزشی: خزانه | احتمال ۴ | اثر ۵ | امتیاز اولیه ۲۰
- نمونه ماتریس آموزشی: خرید | احتمال ۳ | اثر ۵ | امتیاز اولیه ۱۵
- نمونه ماتریس آموزشی: فروش | احتمال ۳ | اثر ۴ | امتیاز اولیه ۱۲
- نمونه ماتریس آموزشی: بایگانی اسناد | احتمال ۴ | اثر ۲ | امتیاز اولیه ۸
- قاعده استفاده: امتیاز فقط همراه با دلیل، شواهد و وضعیت کنترل معتبر است
- کنترل کیفیت: ریسک ذاتی را با ریسک باقیمانده یکی نگیرید
از اولویت ریسک چگونه به فهرست مأموریت و دامنه رسیدگی برسیم؟
بعد از امتیازدهی، هر موضوع پرریسک لزوماً به یک مأموریت مستقل تبدیل نمی‌شود. ممکن است چند ریسک مرتبط در یک رسیدگی چرخه‌ای پوشش داده شوند یا ارزیابی فناوری اطلاعات به‌صورت مشترک چند فرایند را پشتیبانی کند. برای هر مأموریت، هدف، واحدهای درگیر، دوره زمانی، محل اجرا، خروجی مورد انتظار و مرز خارج از دامنه را ثبت کنید.
«حسابرسی فروش» عنوان کاملی نیست؛ باید روشن شود اعتبارسنجی مشتری، مجوز تخفیف، ثبت فروش، برگشت از فروش و وصول مطالبات دقیقاً تا کجا بررسی خواهند شد. یک برنامه فرضی برای شرکت متوسط ممکن است در فصل نخست به خزانه و پرداخت‌ها، در فصل دوم به فروش و وصول، در فصل سوم به امنیت دسترسی سامانه مالی و در فصل چهارم به انبار و شمارش موجودی بپردازد.
این چیدمان نمونه است و برای همه شرکت‌ها توصیه زمانی یکسانی ایجاد نمی‌کند. اگر ریسک مهمی در حوزه‌ای مانند امنیت سایبری یا رعایت مقررات وجود دارد، حذف آن از برنامه باید مستند و برای هیئتمدیره قابل توضیح باشد؛ حتی اگر دلیل حذف کمبود منابع باشد. برای جلوگیری از دوباره‌کاری، گزارش‌های ارزیابی ریسک، کنترل‌های مدیریت، بازرسی‌های تخصصی و یافته‌های حسابرس مستقل را بشناسید.
وجود این گزارش‌ها به معنای امکان اتکای خودکار به آن‌ها نیست؛ کیفیت، استقلال و دامنه هر ارزیابی باید سنجیده شود. استاندارد ۹.۵ IIA بر هماهنگی و اتکای حرفه‌ای به کار سایر ارائه‌دهندگان اطمینان تأکید دارد. در شرکت‌های در حال تغییر، موضوعات جدید باید بتوانند جای یک مأموریت کم‌اولویت‌تر را بگیرند؛ برنامه قرار نیست تقویمی غیرقابل انعطاف باشد.
- نمونه فصل اول: خزانه و فرآیند ایجاد و تأیید پرداخت
- نمونه فصل دوم: فروش اعتباری، برگشت فروش و وصول مطالبات
- نمونه فصل سوم: مجوزهای کاربران و ثبت تغییرات سامانه مالی
- نمونه فصل چهارم: انبارگردانی، مغایرت موجودی و پیگیری اصلاحات
- برای هر مأموریت: هدف، خطر، دامنه، مسئول رابط و گزارش خروجی
- برای حوزه حذف‌شده: علت، ریسک پوشش‌داده‌نشده و مرجع تصمیم
نیروی انسانی، روزکار و بودجه برنامه را چگونه واقع‌بینانه برآورد کنیم؟
بودجه برنامه بر اساس تعداد عنوان‌های جدول تعیین نمی‌شود. میزان پراکندگی واحدها، کیفیت اطلاعات، تجربه تیم، حجم معاملات، نیاز به متخصص سامانه، دسترسی به پرونده‌ها و دشواری آزمون‌ها بر روزکار اثر می‌گذارند. برای هر مأموریت، زمان شناخت فرایند، برنامه‌ریزی، نمونه‌گیری و رسیدگی، مستندسازی، گفت‌وگو درباره یافته‌ها و گزارش‌نویسی را جدا برآورد کنید.
زمان پیگیری اصلاحات و گزارش‌دهی دوره‌ای به هیئتمدیره را نیز از ابتدا ببینید. نادیده‌گرفتن این فعالیت‌ها بودجه را ظاهراً کم و برنامه را در عمل ناتمام می‌کند. برای ارزیابی ظرفیت، روزکار قابل استفاده واقعی تیم را در برابر روزکار موردنیاز قرار دهید. مثال فرضی: اگر مجموع مأموریت‌های انتخابی ۱۲۰ روزکار و ظرفیت قابل استفاده ۹۰ روزکار باشد، کسری ظرفیت ۳۰ روزکار است.
این اختلاف را نمی‌توان با درج تاریخ‌های فشرده در تقویم از بین برد. باید دامنه کار اصلاح شود، اولویت جابه‌جا شود یا درباره تأمین تخصص و ظرفیت اضافی تصمیم گرفته شود. در ارائه به هیئتمدیره، پیامد کنارگذاشتن هر مأموریت پرریسک را هم روشن کنید. استاندارد ۸.۲ IIA ارزیابی کفایت منابع و اطلاع‌رسانی پیامد کمبود را مطرح می‌کند.
استاندارد ۹.۴ نیز شناسایی منابع انسانی، مالی و فناوری و گزارش محدودیت پوشش را جزو چارچوب برنامه می‌داند. استفاده از تیم داخلی، همکار متخصص یا ارائه‌دهنده بیرونی باید با نیاز مهارتی و ملاحظات استقلال و محرمانگی سنجیده شود؛ ارزان‌تر بودن ظاهری یک شیوه، به‌تنهایی نشان‌دهنده پوشش مناسب ریسک‌ها نیست. بودجه و برنامه را به یکدیگر گره بزنید تا مدیران بدانند چه چیزی قابل اجراست.
- برای هر مأموریت: روزکار برنامه‌ریزی، اجرا، گزارش و پیگیری
- ظرفیت واقعی: مرخصی، آموزش، جلسات و فعالیت‌های غیرمأموریتی
- تخصص لازم: حسابرسی فرایند، داده، امنیت اطلاعات یا صنعت خاص
- شکاف ظرفیت: مأموریت حذف‌شده یا تخصص و بودجه موردنیاز
- صورت‌جلسه: اثر محدودیت منابع بر خطرهای بدون پوشش
تصویب برنامه و تغییر اولویت‌ها در طول سال چه سازوکاری می‌خواهد؟
در رویه حرفه‌ای مبتنی بر استانداردهای IIA، مسئول حسابرسی داخلی باید برنامه و تغییرات مهم آن را با مدیریت ارشد و هیئتمدیره در میان بگذارد و برنامه و تغییرات بااهمیت به تصویب هیئتمدیره برسد. برای اجرای روشن این فرایند، نسخه، تاریخ، فرض‌های ریسک، ظرفیت منابع و حوزه‌های کنارگذاشته‌شده را همراه سند برنامه ارائه کنید.
صورت‌جلسه تصمیم باید نشان دهد اعضا درباره پیامدهای پوشش و محدودیت منابع اطلاع داشته‌اند؛ امضای یک جدول بی‌توضیح، جای این گفت‌وگو را نمی‌گیرد. برنامه باید پویا بماند. کشف پرداخت غیرمجاز، خرید یک شرکت جدید، مهاجرت نرم‌افزار مالی یا تغییر عمده مقررات می‌تواند اولویت تازه بسازد.
مسئول حسابرسی داخلی باید سازوکاری برای پایش تغییرات داشته باشد: رویداد را ثبت کند، اثر ریسک را ارزیابی کند، مأموریت پیشنهادی را با مأموریت‌های مصوب مقایسه کند و در صورت بااهمیت بودن، تأیید لازم را بگیرد. تغییر جزئی در زمان ملاقات با واحدها با تغییر دامنه اصلی یا حذف رسیدگی پرریسک یکسان نیست. محدودیت دسترسی به اسناد نیز باید در مسیر تصمیم شفاف بماند.
اگر مالک فرایند حاضر نیست اطلاعات حیاتی را ارائه کند، تیم نباید نتیجه مأموریت را بدون اشاره به محدودیت، کامل جلوه دهد. اختلاف درباره دامنه، برنامه و استقلال باید به مرجع راهبری تعیین‌شده منتقل شود. برای خواندن مقررات و استانداردهای مورد استفاده در پرونده‌های حرفه‌ای، کتابخانه قوانین و مقررات قواعد نقطه کمکی است؛ مرجع اصلی استانداردهای داخلی مورد بحث در این مطلب، متن رسمی IIA در بخش منابع است.
- نسخه مصوب: شماره نسخه، تاریخ، اهداف و فهرست مأموریتها
- پیوست تصمیم: ماتریس ریسک، منابع و حوزه‌های بدون پوشش
- آستانه تغییر: تعریف معیار داخلی برای ارجاع اصلاحات مهم به هیئتمدیره
- ثبت تغییر: رویداد جدید، دلیل جابه‌جایی و اثر بر سایر مأموریتها
- گزارش دوره‌ای: پیشرفت برنامه، موارد تأخیر و محدودیت اطلاعات
نتیجه اجرای برنامه را چگونه بسنجیم و برای شروع چه اطلاعاتی آماده کنیم؟
شاخص موفقیت برنامه فقط تعداد مأموریت‌های تمام‌شده نیست. هیئتمدیره باید بداند کدام خطرهای اصلی پوشش داده شده‌اند، چند یافته بااهمیت هنوز بدون اقدام مانده، چه اصلاحی با سند اجرا و آزمون شده و کدام محدودیت باعث تغییر برنامه شده است. یک داشبورد مختصر می‌تواند وضعیت هر مأموریت را با «برنامه‌ریزی‌شده، در حال اجرا، گزارش‌شده و در پیگیری» نشان دهد.
در کنار آن، ریسک باقیمانده و زمان پاسخ مدیر فرایند ثبت شود تا عدد پایان‌یافتن مأموریت با برطرف‌شدن خطر اشتباه گرفته نشود. برای هر یافته، مالک اقدام اصلاحی، تاریخ هدف، مدرک مورد انتظار و فرد مسئول آزمون اثربخشی تعیین کنید. بسته‌شدن یک یافته با دریافت نامه «انجام شد» تفاوت دارد؛ ممکن است دستورالعمل نوشته شده باشد ولی در نمونه تراکنش‌های واقعی هنوز اجرا نشود.
آزمون دوباره باید متناسب با ماهیت ریسک و کنترل صورت گیرد. اگر مدیریت تصمیم بگیرد یک ریسک را بدون اصلاح بپذیرد، موضوع باید با حدود اختیار و شیوه گزارش‌دهی تعیین‌شده در شرکت سازگار باشد و شواهد تصمیم نگهداری شود. برای درخواست تدوین یا بازبینی برنامه، نیازی نیست ابتدا همه پرونده‌های حساس را ارسال کنید.
در شرح اولیه، صنعت، تعداد شرکت‌ها یا شعب، فرایندهای کلیدی، مهم‌ترین نگرانی هیئتمدیره، وجود یا نبود واحد حسابرسی داخلی، گزارش‌های قبلی و دوره موردنظر را مشخص کنید. سپس با تیم حرفه‌ای درباره جهان حسابرسی، روش امتیازدهی، پوشش سالانه، منابع و شکل گزارش توافق کنید. خروجی مطلوب، برنامه‌ای است که مدیران بتوانند دلیل هر مأموریت و اثر حذف آن را با شواهد به‌روشنی توضیح دهند.
- شاخص پوشش: سهم حوزه‌های پرریسک ارزیابی‌شده از فهرست شناسایی‌شده
- شاخص اجرا: مأموریت‌های تکمیل‌شده در برابر برنامه مصوب
- شاخص اصلاح: یافته‌های باز، سررسید گذشته و آزمون اثربخشی
- پیش‌نیاز استعلام: صنعت، ساختار شرکت، شعب و سامانه‌های کلیدی
- پیش‌نیاز استعلام: نگرانی مدیریت، گزارش‌های قبلی و زمان آغاز
- خروجی مطلوب: ماتریس ریسک، تقویم مأموریت، منابع و رویه بازنگری