الخطوات العملية لبناء نظام الرقابة الداخلية بأسلوب التقييم الذاتي للرقابة CSA

فيما يلي الخطوات الواجب القيام بها لتطبيق أسلوب التقييم الذاتي للرقابة لدى المؤسسة:-

أولاً: تحديد مراكز العمل :

تبدأ المؤسسة بتحديد مراكز العمل التي سيتم تطبيق النظام لديها ووضع برنامج زمني لعملية التطبيق وفقاً لأولويات مراكز العمل المعنية.

ثانياً: ورش العمل :

عند البدء بمشروع التطبيق لدى مركز العمل المعني يتم الدعوة إلى عقد ورش عمل تضم أعضاء من الموظفين المسؤولين عن المركز وتضم في عضويتها أيضاً ضباط إدارة المخاطر إضافة إلى مدقق داخلي والذي يعمل كمنسق [Facilitator].

وحتى تكون هذه الورش ناجحة وتحقق الأهداف التي عقدت من أجلها يجب أن يتمتع المشاركون فيها، خاصة المدققون، وضابط إدارة المخاطر ببعض الصفات الهامة مثل الإلمام بالنشاط المعني، والقدرة على إدارة الحوار والنقاش، والتعامل مع الأنواع المختلفة من الأشخاص، والقدرة على استخدام الأجهزة والأنظمة اللازمة لعملية العرض والشرح، والإلمام بالمصطلحات الفنية لإدارة وتقييم المخاطر، والقدرة على التحليل السريع، ويفضل قبل البدء في تحديد المخاطر والضوابط الرقابية أن يتم إعطاء المشاركين ملخص عن نظام التقييم الذاتي للرقابة والمخاطر من حيث نطاقه وأهدافه ومتطلبات بنائه.

ثالثاً: التطبيق العملي من خلال ورش العمل التي تم تحديدها في الخطوة السابقة :

وتتم عملية التطبيق كما يلي :

1- تحديد أهداف مركز العمل/ النشاط الخاضع للتقييم .

يتم هنا تحديد الأهداف الموضوعة لمركز العمل/ النشاط والتي غالباً ما يكون منصوص عليها في التعليمات واللوائح الداخلية للمؤسسة، أو قد تكون صادرة بموجب قرارات إدارية من قبل مجلس الإدارة أو الإدارة العليا.

2 ـ تحديد المخاطر

يتم من خلال هذه الخطوة تحديد كافة المخاطر التشغيلية المحتمل أن يتعرض لها مركز العمل أو النشاط أثناء السعي لتحقيق أهدافه ويتم ذلك وفقاً للآلية التالية :ـ  

أ- تحديد المخاطر من خلال جلسات العصف الذهني.

ب- دراسة هذه المخاطر ومراجعتها وصولاً إلى المخاطر النهائية.

ج- تقييم كل خطر منها ضمن قاعدة الاحتمالية والأثر.

د- هناك عدة طرق لقياس الاحتمالية إما أن تقاس بثلاثة مستويات عالية، متوسطة، متدنية ، أوتقاس بخمسة مستويات تتراوح ما بين 1 - 5 بحيث يعطى الاحتمال الأقوى (5) والاحتمال الأضعف (۱) ويراعى أثناء تحديد درجة الاحتمالية طبيعة عمل القسم ومدى تكرار الحدث.

هـ ـ أما الأثر كذلك يمكن قياسه بخمسة مستويات 1 - 5 أو بثلاثة مستويات H,L  , M  , مع أنني أفضل أن يكون القياس ثلاثي.

وـ تحديد أهمية الخطر : وهنا يتم تحديد أهمية كل خطر من خلال تفاعل عنصري الاحتمالية والأثر وفقاً للجدول التالي وذلك على أساس استخدام المستوى الثلاثي كأساس للقياس.   

 3۔ تحديد الضوابط الرقابية :   

يتم ضمن هذه الخطوة تحديد الضوابط الرقابية التي يجب أن يتم وضعها لكل خطر من المخاطر التي تم تحديدها في الخطوة السابقة والتي من المتوقع أن تعمل على الحد من آثار هذه المخاطر أو الحد من إمكانية حدوثها.

ويراعى هنا أن تتناسب الضوابط الرقابية مع أهمية المخاطر التي تم تحديدها بحيث يتم الاهتمام بوضع ضوابط رقابية تتناسب مع أهمية كل خطر حسب أهميته، وذلك من حيث نوعها ودرجة تأثيرها في المخاطر. 

وتتم عملية تحديد الضوابط الرقابية كما يلي:-

أ- تحديد ضوابط الرقابة لكل خطر من المخاطر المحددة مسبقاً.

ب ـ تحديد نوع الضابط الرقابي.

كما سبق بيانه في الفصل الثالث يتم تحديد الضوابط الرقابية ضمن أربعة أنواع هي:-

ضوابط وقائية  Preventative Controls 

ضوابط كشفية Detective Controls

ضوابط تصحيحية  Corrective Controls

ضوابط رادعة  Deterrent Controls

وقد سبق أن تم شرح مفهوم كل منها مع بيان أمثلة عملية عليه.

ج- تحديد أثر الضابط الرقابي :

هنا يتم تحديد أثر الضابط الرقابي في السيطرة على الآثار السلبية للمخاطر، وذلك من خلال إعطاء أوزان للضوابط الرقابية تبين قدرتها على الحد من أثر المخاطر أو تقليل احتمالية حدوث الخطر.

ويمكن هنا استخدام أسلوب القياس الخماسي 1 - 5 بحيث يتم إعطاء الضابط الرقابي الضعيف (۱) ويتم التدرج في القوة وصولاً إلى وزن (5) الذي يعطى للضابط الرقابي الأكثر قوة.

أو يمكن استخدام الأسلوب الثلاثي [H عالي، M متوسط، L متدني ] بحيث يعطى الضابط الذي يؤثر بالخطر بدرجة كبيرة عالي وإذا كان تأثیره قليلاً يعطى متدني.

4 ـ إعداد قوائم اختبار الضوابط الرقابية :

هذه هي الخطوة الأخيرة ويتم من خلالها تحضير قوائم فحص الضوابط الرقابية التي تم تحديدها وربطها مع المخاطر الخاصة بها.

ويتم الفحص لها بشكل دوري من قبل مسؤولي الوحدات ولأقسام، وكذلك من قبل المدققين الداخليين اثناء قيامهم بتنفيذ جولات تدقيق على هذه المراكز والأقسام .