ملخص
- يجب ألا تُغلق نتيجة التدقيق إلا بعد أن يكون للإجراء التصحيحي مالك مسؤول وتاريخ استحقاق وأدلة تنفيذ واختبار فعالية يتناسب مع المخاطر.
- يجوز للإدارة رفض توصية، لكن المخاطر المتبقية يجب أن تكون في قرار قبول مرئي من سلطة على مستوى مجلس الإدارة بدلاً من الاختفاء من خلال تغيير حالة غامض.
- إغلاق تدقيق السجل له عواقب تشغيلية لأن نقاط الضعف في الوصول وسجلات الموارد والانتخابات والمالية أو الاستمرارية يمكن أن تنقل التكاليف إلى الأعضاء بعد فترة طويلة من تقاعد ملف التدقيق.
- يحتاج الأعضاء إلى سجل إغلاق محدد يوضح فئة النتيجة والمالك والتاريخ المستهدف وطريقة التحقق والمخاطر الحالية والتصعيد دون كشف التفاصيل الحساسة أمنيًا.
الاجتماع الذي تغير فيه اللون
يمكن أن تكون اللحظة الأكثر أهمية في التدقيق هادئة بشكل مفاجئ. تصل اللجنة إلى العنصر المفتوح الأخير. تقول الإدارة إن المشكلة قد عولجت. يلاحظ أحدهم أن إجراءً منقحًا موجود، وأن الموظفين تلقوا تذكيرًا أو أن مشروعًا تقنيًا قيد التنفيذ. تتغير خلية الحالة من العنبر إلى الأخضر. ينتقل الاجتماع. لا أحد يسأل عما إذا كان الفشل الأصلي لا يزال ممكنًا.
غالبًا ما يوصف هذا الإجراء الإداري بأنه إغلاق. قد لا يكون أكثر من إرهاق. لقد تم تداول التوصية لأشهر، وقدم المسؤول التنفيذي المسؤول عدة تحديثات، ويريد الحكام تقريرًا أنظف. تغيير الحالة يقلل وقت الاجتماع ويزيل عنصرًا محرجًا من الحزمة التالية. إنه لا يعيد سيطرة معرضة للخطر، أو يصحح سجل مورد، أو يجعل الانتخابات قابلة للتحقق، أو يمنح عضوًا متأثرًا علاجًا.
لا يمكن لسجل أرقام الإنترنت أن يتحمل الخلط بين هذه الأشياء. فهو يحمل سجلات موثوقة تعتمد عليها الشبكات والأطراف المقابلة ومراجعي الحسابات وأنظمة الأمان. يمكن أن تؤثر إخفاقاته الداخلية على قرارات التخصيص والتحويلات وتفويض المنشأ (ROA) والوصول إلى الحسابات وتصويت الأعضاء والاستمرارية المؤسسية. لذلك يمكن لنقطة ضعف غير معالجة أن تعيش خارج ملف التدقيق وتنتقل إلى الخارج من خلال التبعيات التشغيلية.
السؤال الصحيح ليس ما إذا كانت الإدارة قد ردت. بل هو ما إذا كان الرد قد غير الحالة التي أنتجت النتيجة، وما إذا كان التغيير قد عمل، ومن تحمل مسؤولية أي مخاطر تُركت وراءه. الإغلاق هو استنتاج قائم على الأدلة. لا ينبغي أن يكون تفضيلاً للون.
النتيجة هي ادعاء حول حالة
نتيجة التدقيق ليست مطابقة لتوصية المدقق. تصف النتيجة حالة تم قياسها مقابل معيار: سيطرة غائبة، قاعدة غير متبعة، مهام غير مفصولة، سجلات لا تثبت سلطة، أو إشراف لا يستطيع رؤية خطر مادي. التوصية هي استجابة مقترحة واحدة. قد يكون للإدارة استجابة أفضل. قد يكون لديها أيضًا أسباب وجيهة للاعتراض على المعيار أو تحليل المدقق السببي.
هذا التمييز مهم لأن المؤسسات الضعيفة تهزم أحيانًا نتيجة صحيحة بمناقشة التوصية. إذا اقترح مدقق سيطرة برمجية معينة ورفضت الإدارة ذلك المنتج، فإن مشكلة الوصول الأساسية لا تختفي. إذا أوصى مدقق بلجنة وفضلت الإدارة مسؤولًا مستقلاً، فإن السؤال يظل ما إذا كانت النزاعات قد فصلت بالفعل. يجب ربط الإغلاق بالحالة، وليس بالطاعة للتصميم المفضل للمدقق.
المعايير العامة مفيدة هنا كدليل على التوقعات المهنية، وليس كقانون دستوري لكل سجل. يضع المعهد الدولي للمدققين الداخليين (IIA) في معايير التدقيق الداخلي العالمية مراقبة خطة العمل جنبًا إلى جنب مع توصيل النتائج. يصف مكتب المساءلة الحكومي الأمريكي (GAO) حل التدقيق بأنه مكتمل فقط بعد الإجراء التصحيحي أو التحسن المثبت أو استنتاج مبرر بأن الإجراء غير مبرر. كلا النهجين يقاومان فكرة أن الرد وحده يحل النتيجة.
بالنسبة لحوكمة السجل، يعني هذا أن سجل الإغلاق يجب أن يحدد أي حقيقة تغيرت. "تمت الموافقة على سياسة" ليست كافية. "تم نشر سيطرة" أقرب. "تم اختبار السيطرة مقابل سيناريو الفشل، وفحص الاستثناءات، وتم قبول التعرض المتبقي من قبل السلطة المختصة" هو استنتاج قابل للدفاع.
استجابة الإدارة هي البداية وليست النهاية
استجابات الإدارة قيمة. فهي تختبر ما إذا كان المدققون يفهمون العمليات، وتحدد القيود العملية، وتخصص الموارد، وتضع تاريخًا مقترحًا. كما أنها تنشئ سجلاً مكتوبًا يمكن للحكام مقارنته لاحقًا بالتسليم. لكن شكلها الطبيعي هو الوعد. فهي تصف ما تعتزم الإدارة فعله، أو تعتقد أنها فعلته، أو تعتبره كافيًا.
الوعود تحتاج إلى تحقق لأن الحوافز متباينة. المدير المسؤول عن الوظيفة المعيبة قد يُحكم عليه أيضًا بسرعة الإكمال والميزانية والسمعة. إغلاق العنصر يحسن كل مقياس. قد يواجه المدقق ضغطًا للحفاظ على علاقة تعاونية. قد يفضل مجلس الإدارة الطمأنة قبل الاجتماع السنوي. لا شيء من هذه الحوافز يثبت سوء النية. معًا، يفسرون لماذا الشهادة الذاتية هي دليل ضعيف.