استخراج العمليات لفرق التدقيق الداخلي

من أخذ العينات إلى اليقين

تُطلعك عملية أخذ العينات على ما حدث في الحالات التي اخترتها. أما استخراج العمليات فيُظهر لك كل حالة على حدة. وتوفر «مايندزي» لقسم التدقيق الداخلي نظرة شاملة على كيفية سير كل عملية فعليًّا، وأين تم تجاوز الضوابط، وما هي التكلفة المترتبة على ذلك.

توضيح لاستخدام استخراج العمليات في مجال التدقيق الداخلي

المشكلة

لماذا تتسبب أساليب التدقيق التقليدية تترك ثغرات

يُطلب من فرق التدقيق تغطية المزيد من العمليات بنفس العدد من الموظفين، في حين أن جمع الأدلة التي تعتمد عليها يستغرق وقتًا أطول، كما أن نطاقها أضيق من نطاق المخاطر التي من المفترض أن تغطيها.

تتجاهل عملية أخذ العينات الاستثناءات المهمة

قد تمر عينة مكونة من أربعين فاتورة دون أي مشاكل، في حين تظل مئات أوامر الشراء المقسمة، والموافقات بأثر رجعي، والمدفوعات المكررة خارج نطاق هذه العينة. والاستثناءات التي يحتاج المدققون إلى اكتشافها أكثر من غيرها هي بالضبط تلك التي تقل احتمالية تضمينها في العينة.

يستغرق جمع الأدلة وقتًا طويلاً في عملية التدقيق

تستغرق عمليات الاستعراض التفصيلي والمقابلات ولقطات الشاشة ومطابقة البيانات في جداول البيانات أسابيع قبل بدء أي اختبار. وبحلول الوقت الذي ينتهي فيه العمل الميداني، تكون النتائج قد وصفت عملية قد تغيرت بالفعل.

يتم اختبار أنظمة التحكم سنويًّا، لكن المخاطر تتغير يوميًّا

قد يتم إلغاء إجراء رقابة «فصل المهام» الذي تم اعتماده في الربع الأول نتيجة لتغيير الدور في الربع الثاني. ولا يمكن لاختبار «نقطة زمنية محددة» أن يكتشف هذا التجاوز إلا في الدورة التالية، وبحلول ذلك الوقت يكون الخطر قد تفاقم.

نهج «مايندزي»

كيف تعمل فرق التدقيق الداخلي تستخدم Mindzie

مع «مايندزي»، تتم عملية التدقيق انطلاقًا من المعاملات نفسها. حيث يتم إعادة بناء كل حالة استنادًا إلى الطوابع الزمنية للنظام، واختبارها وفقًا لتصميم الضوابط الموثقة، ومراقبتها بعد انتهاء عملية التدقيق.

فهم

اطلع على الكيفية التي سارت بها العملية بالفعل

قم بربط نظام تخطيط موارد المؤسسة (ERP) أو نظام المشتريات أو نظام الموارد البشرية أو نظام إصدار التذاكر قيد المراجعة، وستقوم Mindzie بإعادة بناء كل حالة استنادًا إلى الطوابع الزمنية التي سجلها النظام بالفعل.

  • يرى المدققون العملية الفعلية بكل أشكالها، وليس العملية الموثقة.
  • يمكن رؤية كل نقطة تم فيها تخطي خطوة تحكم أو تكرارها أو تنفيذها خارج الترتيب.
  • يتم فحص فصل المهام وفقًا للتسلسل الزمني الفعلي لحدوثها.
  • تربط طرق العرض المتمحورة حول الكائنات بين أوامر الشراء والفواتير والمدفوعات.

تحسين

إجراء الفحص لجميع أفراد المجتمع

اختبر كل معاملة مقارنةً بتصميم الضوابط الموثق بدلاً من الاختبار العشوائي، وقدم أدلة يمكن للجنة التدقيق أن تتتبعها حتى تصل إلى المعاملة ذاتها.

  • تقوم عملية التحقق من المطابقة بوضع علامة على كل حالة انحرفت عن مسار التحكم.
  • يتم تصنيف الانحرافات حسب التكرار والمخاطر المالية.
  • يُظهر تحليل الأسباب الجذرية ما إذا كان الفشل في تنفيذ إجراء الرقابة ناتجًا عن ثغرة في النظام، أو عن حل بديل، أو عن نقص في التدريب.
  • ترتبط النتائج بالمعاملة والمستخدم والطابع الزمني المرتبط بها.

تحويل

الانتقال إلى نظام التدقيق المستمر

تراقب عملية المراقبة في الوقت الفعلي المعاملات الجديدة فور حدوثها، وتُبلغ مسؤولي التدقيق والرقابة عند انتهاك أي قاعدة، وتوفر للإدارة رؤية مشتركة حتى تبدأ إجراءات التصحيح قبل الدورة التالية.

  • يصبح أي اختبار تم اجتيازه أداة مراقبة دائمة للمعاملات الجديدة.
  • تصل التنبيهات عبر Microsoft Teams أو Slack أو البريد الإلكتروني إلى مالك عنصر التحكم على الفور.
  • يجب مراقبة الحالة الصحية بشكل مستمر بين دورات التدقيق، وليس مرة واحدة في السنة.
  • تستند أعمال الإدارة والتدقيق إلى نفس الأدلة.

حالات الاستخدام

حالات استخدام التدقيق الداخلي في استخراج العمليات

تدعم بيانات الأحداث نفسها معظم الاختبارات التي تتضمنها خطة التدقيق الداخلي بالفعل. وهذه هي النقاط التي تبدأ منها فرق التدقيق عملها.

ضوابط عملية الشراء حتى السداد

اكتشاف أوامر الشراء التي تم إنشاؤها بعد تاريخ الفاتورة، والطلبات المقسمة التي تتجنب حدود الموافقة، وحالات تجاوز المطابقة الثلاثية، والمدفوعات المكررة أو غير المعتادة للموردين عبر المجموعة الكاملة.

الأوامر إلى النقد والإيرادات

تتبع عمليات التحقق من الجدارة الائتمانية، وتجاوزات التسعير، ومذكرات الائتمان، والشحنات التي تم الإفراج عنها قبل الحصول على الموافقة، للتأكد من أن ضوابط الإيرادات تعمل وفقًا للتصميم المحدد.

فصل المهام

حدد الحالات التي قام فيها المستخدم نفسه بإنشاء معاملة ما والموافقة عليها وسداد قيمتها، وفقًا للتسلسل الفعلي لوقوع الأحداث، بدلاً من الاعتماد على مصفوفة أدوار ثابتة.

القيودات المحاسبية وإغلاق الحسابات

قم بمراجعة قيود دفتر اليومية اليدوية، وعمليات التسجيل المتأخرة، وعمليات الإلغاء، والتحقق من مطابقتها لتقويم الإقفال وسياسة الموافقة.

قانون ساربانز-أوكسلي (SOX) واختبارات الرقابة الداخلية

استبدال الاختبارات القائمة على العينات للضوابط الرئيسية بأدلة شاملة على المجموعة الكاملة، وإعادة إجراء الاختبار في كل فترة دون بذل جهد إضافي.

الضوابط العامة لتكنولوجيا المعلومات وإدارة التغيير

تأكد من أن التغييرات قد تمت الموافقة عليها قبل النشر، وأن التغييرات الطارئة قد تمت مراجعتها بعد ذلك، وذلك باستخدام سجلات التذاكر وسجلات النشر.

الموارد البشرية والرواتب

تحقق من عمليات التعيين الجديدة، وتغييرات الوظائف، وحالات إنهاء الخدمة للتأكد من عدم وجود موافقات مفقودة، ومن عدم بقاء حقوق الوصول سارية بعد مغادرة الموظف.

التدقيق المستمر

حوّل أي اختبار ناجح إلى قاعدة ثابتة تراقب المعاملات الجديدة وتنبه صاحب الرقابة عند حدوث خرق لها.

المنصة

مجموعة أدوات التدقيق داخل Mindzie

استخراج العمليات

إعادة بناء كل معاملة

أعد بناء العملية من البداية إلى النهاية استنادًا إلى بيانات النظام، واطلع على كل حالة وكل متغير وكل انحراف عن المسار المتوقع. ويقوم فحص المطابقة بتحديد المكان ومدى تكرار حدوث تجاوز الضوابط ومن قام بذلك.

نمذجة العمليات التجارية

حافظ على تصميم نظام التحكم تحت السيطرة

الحفاظ على مسار التحكم المعتمد كنموذج BPMN 2.0 خاضع للرقابة، مع تضمين الإصدارات والموافقات، بحيث يكون المعيار الذي تُجرى الاختبارات التدقيقية وفقًا له خاضعًا للرقابة هو نفسه.

مراقبة العمليات وتوقعات الذكاء الاصطناعي

راقب حالات انقطاع التحكم فور حدوثها

راقب المعاملات النشطة للكشف عن أي خلل في الضوابط، وتوقع الحالات المعرضة للخطر، مع إرسال تنبيهات إلى Microsoft Teams أو Slack أو البريد الإلكتروني.

الذكاء التشغيلي القائم على الذكاء الاصطناعي

تقارير المراجعة بلغة واضحة

إعداد تقارير تدقيق بلغة بسيطة تشرح ما الذي حدث من انحراف، وما هي تكلفته، وأين يكمن السبب الجذري.

استخراج المهام

تسجيل الخطوات اليدوية المتعلقة بعنصر تحكم ما

تسجيل الخطوات اليدوية التي تتم على سطح المكتب فيما يتعلق بعملية معينة، مثل الموافقات على جداول البيانات والتوقيعات عبر البريد الإلكتروني، والتي لا تُسجل أبدًا في نظام السجلات.

ETL وتحويل البيانات

إنشاء سجل أحداث التدقيق

قم بإنشاء سجل أحداث التدقيق من أنظمة SAP أو Oracle أو Dynamics 365 أو NetSuite أو أي نظام آخر باستخدام تقنية ETL منخفضة الكود في Data Designer، وقم بتوثيق عملية التحويل في أوراق العمل.

استخراج العمليات المتمحور حول الكائنات

اتبع الأجسام الموجودة خلف كل عنصر تحكم

اربط أوامر الشراء، ومستندات استلام البضائع، والفواتير، والمدفوعات كعناصر مرتبطة ببعضها البعض، بحيث تراعي عمليات المطابقة الثلاثية واختبارات الإيرادات السلسلة بأكملها.

الإصدار المثبت محليًّا

احتفظ ببيانات التدقيق داخل بيئتك

احتفظ ببيانات التدقيق داخل بيئتك الخاصة عندما تقتضي ذلك اللوائح التنظيمية أو السياسات.

المزايا

فوائد استخراج البيانات من العمليات في مجال التدقيق الداخلي

تتجلى فوائد استخراج البيانات من العمليات في مجال التدقيق الداخلي في الأدلة، وفي العمل الميداني، وفي ما يحدث بين عمليات التدقيق.

إجراء اختبارات شاملة لجميع السكان

يتم فحص كل معاملة، لذا فإن معدل الكشف يعكس الواقع وليس مجرد حظ العينة.

عمل ميداني أسرع

تأتي الأدلة من سجل النظام بدلاً من أسابيع من المقابلات ولقطات الشاشة وعمليات المطابقة.

نتائج يصعب دحضها

يرتبط كل استثناء بالمعاملة والمستخدم والطابع الزمني المرتبط به.

التدقيق المستمر

يتم إعادة تشغيل الاختبارات التي تم اجتيازها مرة واحدة في كل فترة، بينما تراقب القواعد الحالات الجديدة فور حدوثها.

التخطيط القائم على المخاطر

تحدد معدلات الانحراف والمخاطر المالية حسب كل عملية المجالات التي يجب أن تركز عليها خطة التدقيق في المرحلة التالية.

السبب الجذري الموضوعي

تحقق مما إذا كان فشل إجراء الرقابة ناتجًا عن ثغرة في النظام، أو حل بديل، أو مشكلة تتعلق بالتدريب.

رؤية مشتركة مع الإدارة

يرى أصحاب الرقابة نفس الأدلة، لذا تبدأ عملية التصحيح استنادًا إلى الحقائق وليس إلى الجدل.

الحفاظ على الاستقلال

يقوم قسم التدقيق بإنشاء سجلات الأحداث الخاصة به انطلاقًا من الأنظمة المصدرية، ولا يعتمد على التقارير التي يُعدها الجهة الخاضعة للتدقيق.

الأسئلة الشائعة

كيف يختلف «استخراج العمليات» عن تحليلات التدقيق التي نجريها بالفعل؟

تختبر تحليلات التدقيق التقليدية السمات الفردية، مثل الفواتير التي تتجاوز حدًا معينًا أو الموردين الذين يمتلكون حسابات مصرفية مكررة. أما استخراج العمليات فيضيف عنصري التسلسل والتوقيت. فهو يُظهر أن فاتورة ما تمت الموافقة عليها بعد السداد، أو أن أمر شراء تم إنشاؤه بعد وصول البضائع، أو أن مستخدمًا ما أكمل ثلاث خطوات تنص السياسة على وجوب فصلها. وتقوم العديد من فرق التدقيق باستخدام كلا الأسلوبين: التحليلات للسمات، واستخراج العمليات لمعرفة كيفية سير العملية فعليًّا.

ملف تصدير أو رابط يحتوي على ثلاثة حقول لكل حدث: معرّف الحالة، والنشاط، والطابع الزمني. وتسجل معظم أنظمة تخطيط موارد المؤسسات (ERP) والمشتريات وإدارة التذاكر والموارد البشرية هذه البيانات في سجلات التغييرات أو جداول تدفق المستندات الخاصة بها. ويقوم «Data Designer» باستخراج البيانات وتحويلها باستخدام أدوات «low-code»، ويمكن توثيق عملية التحويل نفسها لاستخدامها في أوراق العمل.

نعم. تعمل النسخة المجانية «Desktop Edition» على جهاز الكمبيوتر الشخصي الخاص بالمراجع، ويمكنها تحليل البيانات المصدرة من أي نظام، وهذه هي الطريقة التي تبدأ بها العديد من فرق المراجعة. وعندما ينتقل العمل إلى بيئة مشتركة، يتيح برنامج «Data Designer» لفريق المراجعة التحكم في سجلات الأحداث الخاصة به وجداول التحديث.

نعم. يمكن تحويل أي قاعدة مطابقة أو اختبار رقابة إلى أداة مراقبة تتحقق من المعاملات الجديدة فور وصولها، وتقوم بتنبيه فريق التدقيق أو المسؤول عن الرقابة عبر Microsoft Teams أو Slack أو البريد الإلكتروني. والنتيجة هي رؤية مستمرة لحالة الرقابة بين دورات التدقيق، بدلاً من مجرد اختبار يتم إجراؤه في لحظة زمنية محددة.

يمكن نشر Mindzie محليًّا، أو في سحابة خاصة، أو كخدمة (SaaS)، مع وصول قائم على الأدوار بحيث لا تكون بيانات التدقيق مرئية إلا للأشخاص المصرح لهم بالاطلاع عليها. ويمكن استبعاد الحقول غير الضرورية للتحليل أثناء عملية التحويل في «مصمم البيانات».