بناء إطار للضبط الداخلي وفق COSO

تصف الشركات ضوابطها غالباً بمفرداتها الخاصة: «لدينا اعتمادات»، «المدير المالي يفحص كل شيء». وتظهر المشكلة حين يتعيّن على جهة خارجية أن تحكم على مدى كفاية تلك الضوابط. كافية مقابل ماذا؟ فبلا إطار معترف به يصبح التقييم مسألة رأي، والرأي بالضبط ما تهدف الحوكمة إلى إزالته.

إطار «الضبط الداخلي المتكامل» الصادر عن لجنة المنظمات الراعية (COSO) هو الجواب الأوسع تبنّياً. فهو يمنح الضبط الداخلي هيكلاً مشتركاً: خمسة مكوّنات تدعمها مجموعة مبادئ أساسية، تُعرّف معاً ما يبدو عليه نظام ضبط سليم. يعرفه المدققون، وتفهمه المجالس، وتتوقّع الجهات التنظيمية ضوابط يمكن ربطها به.

المكوّنات الخمسة

ينظّم COSO الضبط الداخلي في خمسة مكوّنات. وهي ليست قائمة اختيار — فنظام الضبط بقوة أضعف مكوّناته.

١. بيئة الضبط

الأساس. وهي النبرة والنزاهة والهيكل التي تجعل الضبط ممكناً: إشراف المجلس، وقيم المنظمة، ووضوح إسناد الصلاحية والمسؤولية، والالتزام بالكفاءة. كل ما عداها يقوم عليها. فالضوابط المتطورة القائمة على بيئة ضعيفة — حيث يتجاوز القادة قواعدهم — لا تقدّم تأكيداً يُذكر.

٢. تقييم المخاطر

لا يمكنك ضبط ما لم تحدّده. تقييم المخاطر هو العملية المنضبطة لوضع الأهداف، ثم تحديد وتحليل ما قد يمنع تحقيقها — بما في ذلك مخاطر الاحتيال. وهو ما يُبقي نظام الضبط موجّهاً نحو المخاطر المهمّة فعلاً لهذه المنشأة، لا نحو قائمة عامة موروثة من مكان آخر.

٣. أنشطة الضبط

الإجراءات التي تعالج المخاطر: الاعتمادات والتفويضات والتحقّقات والمطابقات وفصل المهام والضوابط على الأنظمة التي تعالج المعاملات. هذا هو المكوّن الذي يتخيّله الناس حين يسمعون «الضبط الداخلي»، لكنه وحده جزء واحد فقط — فالضابط جيّد التصميم الموجّه نحو الخطر الخاطئ، في بيئة ضعيفة، يحقّق القليل.

٤. المعلومات والتواصل

تعتمد الضوابط على وصول المعلومة الصحيحة إلى الأشخاص المناسبين في الوقت الذي يتيح التصرّف. يغطّي هذا المكوّن جودة المعلومات المستخدمة لتشغيل الضوابط، والقنوات — صعوداً إلى المجلس، ونزولاً إلى الخط الأمامي، وخارجاً إلى الأطراف المعنية — التي تُبلَّغ عبرها مسؤوليات الضبط ونتائجه. وحيث تكون المعلومات متأخرة أو ناقصة أو محبوسة في صوامع، تفشل الضوابط بصمت.

٥. أنشطة المراقبة

نظام الضبط ليس شيئاً يُضبط ويُنسى. فالمراقبة — عبر فحوص مستمرة مدمجة في العمليات وتقييمات منفصلة دورية، بما فيها المراجعة الداخلية — تؤكّد أن الضوابط لا تزال قائمة ولا تزال تعمل، وتكشف أوجه القصور لتُصحَّح. وبدونها يتآكل الإطار: تنقطع الضوابط، ولا يدري أحد حتى تكشف حادثة أو تدقيق ذلك.

التصميم يخبرك أن الضابط ينبغي أن يعمل. والمراقبة تخبرك أنه لا يزال يعمل. والمجالس تحتاج الاثنين.

مبادئ، لا مكوّنات فقط

أسفل المكوّنات الخمسة تقوم مجموعة مبادئ أساسية تجعلها ملموسة — مثل أن يُظهر المجلس استقلالاً وإشرافاً، وأن تُساءل المنظمة الأفراد، وأن تختار أنشطة ضبط وتطوّرها، وأن تقيّم أوجه القصور وتبلّغ عنها. وحين تقيّم نظام ضبط مقابل COSO فأنت في الحقيقة تسأل عمّا إذا كانت هذه المبادئ حاضرة وفاعلة، مكوّناً مكوّناً. وهذه أيضاً طريقة المراجع الخارجي في التعامل معها.

الربط بالمتطلبات السعودية

COSO إطار لا نظام — لكنه يلائم البيئة السعودية جيداً. فالشركات المدرجة تعمل تحت لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية، التي تتوقّع نظام ضبط داخلي سليماً يشرف عليه المجلس ولجنة المراجعة. وتتّبع التقارير المالية المعايير الدولية (IFRS) كما اعتمدتها الهيئة السعودية للمراجعين والمحاسبين (SOCPA)، وتحمل القطاعات المنظّمة توقعات إضافية من مشرفيها. والإطار المتوافق مع COSO يمنحك هيكلاً واحداً متماسكاً يمكن ربط هذه المتطلبات به — فلا تحتفظ بإجابات منفصلة مبعثرة لكل جهة.

كيف ترسّخه

بناء الإطار أقلّ ارتباطاً بالتوثيق وأكثر بالتسلسل:

• ضع الأهداف وقيّم المخاطر أولاً. الضوابط توجد لحماية الأهداف؛ فحدّدها والمخاطر عليها قبل تصميم أي شيء.
• صمّم الضوابط للمخاطر المهمّة — ولا تتجاوزها. فالإفراط في الضبط يهدر الجهد ويولّد الالتفافات.
• أسنِد مالكاً محدّداً لكل ضابط رئيسي. الضابط بلا مالك ضابط سينقطع.
• اجعل الضوابط تنتج أدلة أثناء عملها، كي تجد المراقبة والتدقيق ما يُختبر.
• ادمج المراقبة من البداية، لتُكتشف أوجه القصور وتُصحَّح باستمرار لا سنوياً.

الإطار المبنيّ بهذه الطريقة يفعل أكثر من إرضاء مدقق. فهو يمنح المجلس جواباً يمكن الدفاع عنه للسؤال الذي يطرحه كل مُنظّم في النهاية — كيف تعرف أن ضوابطك كافية؟ — بلغة يفهمها كل من حول الطاولة أصلاً.