طراحی و ارزیابی کنترل‌های داخلی
شناخت، مستندسازی و ارزیابی کنترل‌های داخلی برای کاهش ریسک خطا، سوءاستفاده و گزارشگری نادرست.
درخواست بررسی اولیهطراحی و ارزیابی کنترل‌های داخلی چیست و چه میدهد؟
کنترل‌های داخلی مجموعه‌ای از رویه‌ها، تأییدها و تفکیک وظایف هستند که سازمان را مطمئن می‌کنند کارها همان‌طور که مصوب شده پیش می‌روند و خطا یا سوءاستفاده پیش از اثرگذاری کشف میشود. در این خدمت ابتدا فرایندها ترسیم و نقاط کنترل شناسایی میشوند، سپس شکاف بین ریسک موجود و کنترل مستقر اندازه‌گیری و کنترل‌های عملی متناسب با توان اجرایی سازمان پیشنهاد میشود. خروجی آن مستندات نظام کنترل و فهرست کنترل‌های جدید یا اصلاح‌شده است.
کنترل داخلی مجموعه‌ای از رویه‌ها، تأییدها و تفکیک وظایفی است که سازمان را مطمئن میکند کارها همان‌طور که مصوب شده پیش می‌روند و خطا یا سوءاستفاده پیش از اثرگذاری کشف میشود.
در این خدمت ابتدا فرایندها ترسیم و نقاط کنترل شناسایی میشود، سپس شکاف بین ریسک موجود و کنترل مستقر اندازه‌گیری و بر اساس آن کنترل‌های عملی پیشنهاد می‌گردد؛ کنترلی که با توان اجرایی سازمان هم‌خوان نباشد، عملاً کنترل نیست.
دامنه‌های قابل بررسی
- ترسیم فرایندها و نقاط کنترل
- ارزیابی تفکیک وظایف و دسترسی‌ها
- پیشنهاد کنترل‌های پیشگیرانه و کشف‌کننده
فرایند همکاری
- 1
شناخت فرایند
جریان کار، مسئولیت‌ها، سیستم‌ها و ریسک‌های هر فرایند ثبت میشود. خروجی این مرحله نقشه‌ای است که نشان میدهد هر کار از کجا شروع و در کجا تأیید میشود.
- 2
تحلیل شکاف
کنترل‌های موجود با ریسک‌ها و هدف‌های کنترلی مقایسه میشوند. شکاف‌ها به تفکیک ریسک مالی، عملیاتی و رعایت طبقه‌بندی می‌گردند.
- 3
طراحی اصلاحات
کنترل‌های عملی و قابل اجرا با مسئول و زمان‌بندی پیشنهادی تعریف میشوند. اولویت با کنترل‌هایی است که بیشترین کاهش ریسک را با کمترین پیچیدگی ایجاد می‌کنند.
- 4
آزمون و پایش
اجرای کنترلها ارزیابی و نتایج برای اصلاحات بعدی گزارش میشود. در صورت توافق، برنامه پایش دوره‌ای نیز طراحی می‌گردد.
خروجی‌های مأموریت
- نقشه فرایندها و ماتریس کنترل‌های هر فرایند
- فهرست شکاف‌های کنترلی همراه با ریسک مرتبط
- پیشنهاد کنترل‌های پیشگیرانه و کشف‌کننده به تفکیک فرایند
- برنامه پیشنهادی برای پایش دوره‌ای اجرای کنترلها
مدارک و اطلاعات مورد نیاز
- شرح فرایندهای فعلی و مسئولیت هر واحد
- فهرست دسترسی‌ها و سطح اختیار کاربران سامانه‌ها
- رویه‌های مکتوب موجود در صورت وجود
- گزارش‌های عملیاتی و مالی مرتبط با فرایندهای منتخب
چه زمانی و برای چه سازمانی مناسب است
- سازمان‌هایی که خطا یا تخلف مالی در آنها تکرار میشود و ریشه آن هنوز روشن نیست.
- شرکت‌هایی که تفکیک وظایف در آنها به‌دلیل کوچک بودن تیم رعایت نمی‌شود.
- سازمان‌هایی که برای حسابرسی یا دریافت تسهیلات نیاز به مستندسازی کنترلها دارند.
- مدیرانی که پیش از راه‌اندازی سامانه جدید می‌خواهند کنترلها را روی فرایند طراحی کنند نه روی ابزار.
انواع کنترل داخلی و جایگاه هر کدام
| نوع کنترل | مثال | اثری که دارد |
|---|---|---|
| کنترل پیشگیرانه | تأیید دومرحله‌ای پرداخت پیش از خروج وجه | جلوگیری از بروز خطا یا سوءاستفاده پیش از وقوع |
| کنترل کشف‌کننده | مغایرت‌گیری ماهانه موجودی نقد و صندوق | شناسایی خطا پس از وقوع اما پیش از اثرگذاری گسترده |
| کنترل اصلاحی | پیگیری و اصلاح اقلام مغایرت‌گرفته‌شده | بازگرداندن وضعیت به حالت مطلوب و جلوگیری از تکرار |
| کنترل نظارتی | بازبینی دوره‌ای گزارش‌ها توسط مدیر واحد | اطمینان از اجرا شدن سایر کنترلها در عمل |
در خروجی نهایی چه چیزی تحویل می‌گیرید
- ستون فرایند و زیرفرایند
- هر ردیف به یک فعالیت مشخص اشاره میکند تا کنترلها در سطحی تعریف شوند که واقعاً قابل اجرا باشند.
- ستون ریسک و هدف کنترلی
- ریسکی که کنترل باید پوشش دهد و هدف آن در همین ستون نوشته میشود تا کنترل بدون دلیل اضافه نشود.
- ستون کنترل موجود و وضعیت
- کنترل مستقر و نتیجه ارزیابی اجرای آن با یکی از وضعیت‌های مناسب، نیازمند اصلاح یا ناکافی مشخص می‌گردد.
- ستون کنترل پیشنهادی و مسئول
- کنترل جایگزین یا تکمیلی با واحد مسئول و زمان اجرای پیشنهادی درج میشود تا پیگیری آن ممکن باشد.
مبانی، استانداردها و مراجع
- تفکیک وظایف
- تأیید، ثبت، نگهداری دارایی و مغایرت‌گیری نباید در اختیار یک نفر باشد؛ تمرکز این وظایف اصلی‌ترین منبع ریسک سوءاستفاده است.
- تناسب کنترل با ریسک
- کنترل باید متناسب با احتمال و اثر ریسک طراحی شود؛ کنترل سنگین روی فرایند کم‌ریسک هزینه اضافی و مقاومت اجرایی ایجاد میکند.
- قابلیت ردیابی
- هر رویداد مالی باید از سند اولیه تا ثبت نهایی قابل پیگیری باشد؛ نبود ردیابی، بررسی‌های بعدی را عملاً ناممکن میکند.
- مستندسازی و سادگی
- رویه‌ای که طولانی و پیچیده باشد اجرا نمی‌شود؛ متن کوتاه، مسئول مشخص و نمونه فرم بخش مهمی از خروجی کار است.
خطاها و ریسک‌های پرتکرار
- کنترل روی کاغذ
- رویه‌هایی که تدوین اما اجرا نمی‌شوند از نبود کنترل خطرناک‌ترند، زیرا احساس امنیت کاذب ایجاد می‌کنند.
- دسترسیهای انباشته در سامانه‌ها
- تغییر نقش کاربران بدون بازنگری دسترسی‌ها، کنترل‌های طراحی‌شده را در عمل دور می‌زند.
- نادیده گرفتن کنترل‌های فناوری اطلاعات
- کنترل‌های دسترسی، تغییر داده و تهیه نسخه پشتیبان بخشی از کنترل داخلی هستند و نادیده گرفتن آنها اثر سایر کنترلها را خنثی میکند.
- طراحی بدون مشارکت اجراکنندگان
- اگر کسانی که کار را انجام می‌دهند در طراحی مشارکت نکنند، کنترل در اولین مرحله اجرا کنار گذاشته میشود.
پرسش‌های متداول
آیا این خدمت شامل پیادهسازی نرمافزار هم میشود؟
از کدام فرایندها میتوان شروع کرد؟
اکنون هیچ رویه مکتوبی نداریم؛ آیا کار قابل انجام است؟
آیا کنترل بیشتر همیشه بهتر است؟
چه کسی مسئول اجرای کنترلهاست؟
برای تعیین دامنه دقیق خدمت، اطلاعات اولیه را ارسال کنید
پس از بررسی وضعیت و هدف شما، دامنه، زمان‌بندی و مدارک مورد نیاز در پیشنهاد همکاری مشخص میشود.