المرحلة الثانية: قياس المخاطر Risk Measurement :

يتم قياس المخاطر من خلال ثلاثة أبعاد كما يلي:ـ

ـ البعد الأول: احتمالية حدوث الخطر (Probability).

ـ البعد الثاني: نتائج الخطر (Severity of Consequences).

ـ البعد الثالث: مدى أثر الخطر (Timing of Risk and Duration).

وهنا يتم تحديد الأثر المادي للمخاطر على قدرة المؤسسة في تحقيق أهدافها، ويراعى عدم الأخذ بعين الاعتبار النتائج التي لا تؤثر بشكل مادي على الأهداف.

طرق قياس المخاطر:

هناك ثلاث طرق رئيسية لقياس المخاطر:ـ

1 - التقديرات الاحتمالية المباشرة(Direct Probability).

2- عناصر الخطر (Risk Factors).

3- المصفوفات المرجحة (Weighted Matrices).

الطريقة الأولى: التقديرات الاحتمالية المباشرة :

ويتم قياس المخاطر وفق هذه الطريقة من خلال أسلوبين :

1- الأسلوب الأول:

يعتمد هذا الأسلوب على تحليل العلاقة التي تربط بين المخاطر الملازمة ومخاطر الرقابة ومخاطر الاكتشاف التي يمكن تحديد مفاهيمها والعلاقة بينها كما يلي:

ــ المخاطر الملازمة (Inherent Risk (IR :

هي تلك المخاطر ذات القابلية المؤكدة لحصول أخطاء مادية على افتراض عدم وجود نظام رقابة داخلية، علماً بأن نسبة حدوث الخطر تتفاوت حسب نوعية الأصل فبعض الأصول لها قابلية أكبر للتعرض للخطر من غيرها.

مثال ذلك مخاطر السرقة للنقد حيث إن إمكانية حدوثها تكون أكبر من مخاطر السرقة للمخزون مثلاً، وكذلك احتساب فائدة قرض على الرصيد اليومي الذي يتصف بحركات متعددة يكون أكثر تعرضاً لحصول خطأ في احتساب الفائدة عليه مقارنة بقرض رصيده ثابت وهكذا.

ــ مخاطر الرقابة (Control Risk (CR :

هي مخاطر حدوث أخطاء مادية لم يتمكن نظام الرقابة الداخلية من منع حدوثها، أو اكتشافها أي ناتجة عن عدم كفاءة نظام الرقابة الداخلية.

مثال ذلك وجود اختلاس في النقد بسبب عدم وجود ضابط رقابي يلزم بإجراء مطابقة دورية لرصيد النقد الفعلي مع الرصيد المحاسبي، أو بسبب عدم وجود خزائن حديدية لحفظ النقد، أو عدم وجود نظام يفصل بين الوظائف المتعارضة الخاصة بالنقد.

ــ مخاطر الاكتشاف (Detection Risk (DR :

هي المخاطر الناتجة عن عدم اكتشاف أخطاء مادية من خلال إجراءات التدقيق التي قام بها المدقق. ويحدث هذا الخطر عادة بسبب عدم قيام المدقق بإجراءات الفحص  ۱۰۰%  وإنما الاعتماد على أسلوب العينة، وهذا يحدث كون الأخطاء المادية لا تقع ضمن عينة المدقق.

أما العلاقة بين هذه المخاطر فيمكن بيانها بالمعادلة التالية :-  

علماً بأن هذه المخاطر تأخذ مستوى مرتفعاً، ومتوسطاً، ومتدنياً وبعض المعاهد والجمعيات المهنية حددت قيمة لبعض هذه المخاطر، فمثلاً المعهد الكندي للمحاسبين (Canadian Institute of Chartered Accountant) أوصى بمنح قيمة للمخاطر الملازمة كما يلي:

0.60 = مرتفع.

0.05= متوسط.

0.40 = متدني.

كذلك غالبية الشركات الأمريكية تستخدم قيمة للمخاطر الضمنية 1، 70.، 50. (مرتفع، ومتوسط، ومتدني) للمستويات أعلاه.

2- الأسلوب الثاني : 

ويعرف بـ (Annualized Loss Expectancy (ALE (الخسائر السنوية المتوقعة) حيث يتم من خلاله تقدير مبلغ الخسائر السنوية.

ومعادلة احتسابه هي :

حيث إن:

  = PF احتمالية فشل الرقابة .

 PT = احتمالية حدوث الخطر.

Q    = الحد الأقصى للخسارة المتوقعة في قيمة الأصل.

الطريقة الثانية : عناصر الخطر Risk Factors :

تعتمد هذه الطريقة على قياس عناصر الخطر التي تؤثر على الأصول والعمليات مثل تقصير العميل والخسارة، ونظام الرقابة الداخلية ... الخ وهناك ثلاثة أنواع من عناصر المخاطر يمكن استخدامها كما يلي:-

1- عناصر مخاطرة لا موضوعية Subjective Risk Factors:

ويتم الاعتماد في قياسها وتقديرها على الخبرة والمهارة، ومثال ذلك مصداقية وثقة ،الإدارة، ودرجة الاعتمادية بين مراكز العمل المختلفة على بعضها البعض.

2- عناصر مخاطرة موضوعية أو تاريخية Factors Objective or Historical Risk:

ويعتمد في قياسها على البيانات التاريخية، أو من خلال المعلومات الحالية، ومثال ذلك معدل دوران الموظفين، وحجم العمليات.

3- عناصر المخاطرة المحسوبة Calculated Risk Factors :

ويتم احتسابها من خلال البيانات التاريخية والموضوعية أعلاه، من خلال ربط العناصر مع بعضها البعض. 

ويمكن لإدارة التدقيق الداخلي أن تستفيد من هذه العناصر في بناء خطتها السنوية، ومثال ذلك أن تقوم إدارة التدقيق بتحديد عناصر خطر محددة يمكن أن تؤثر على مراكز العمل لدى المؤسسة مثلاً، ومن ثم تحديد مدى تأثير هذه المخاطر على الأصول وذلك بتحديد مدى درجة التأثير ما بين 1 – 10 على سبيل المثال، وبحيث إذا كان الأثر كبيراً قد يعطى 9 أو 10 وإذا كان الأثر قليلاً يعطى 1 أو ۲ وبالتالي تحديد دورية الزيارة Audit Cycle في ظل ذلك بحيث يتم زيادة دورية الزيارة لمراكز العمل ذات المخاطر المرتفعة مقارنة مع المراكز ذات المخاطر المتدنية، فمثلاً يمكن زيارة مراكز العمل ذات المخاطر المرتفعة ثلاث مرات سنوياً بينما المراكز متدنية المخاطر قد يتم زيارتها مرة واحدة سنوياً.

الطريقة الثالثة : المصفوفات الموزونة Weighted Matrices  :

تقوم هذه الطريقة على بناء مصفوفة يحتوي المحور الأفقي فيها على المخاطر (التهديدات) التي تتعرض لها المؤسسة، أما المحور العمودي فيحتوي على الأقسام أو الفروع أو الوحدات التي تتكون منها المؤسسة أو الوحدة محل التدقيق أو مكونات النظام محل التدقيق. علماً بأن هذا النموذج تم وضعه من قبل Jenny Fitz Genral عام ۱۹۷۸ وقد تم تعديله عام ۱۹۸۲ من قبل David MC Namee بتكييف النموذج ليتعامل مع ثلاثة أبعاد زمنية كما يلي:

أ- البعد الأول: قصير الأجل ويتعلق بمخاطر النظام الحالي :

حيث يتم التعامل هنا فقط مع المخاطر، ولا تؤخذ الفرص بعين الاعتبار.

ب ـ البعد الثاني متوسط الأجل ويتعلق بمخاطر وفرص المدى المتوسط :

وهنا تؤخذ الفرص والمخاطر بعين الاعتبار في المدى المتوسط ومدى أثرها على أهداف المؤسسة.

ج- البعد الثالث: طويل الأجل ويتعلق بفرص المدى الطويل:

وهنا يتم التعامل فقط مع الفرص والضوابط الرقابية التي تؤدي إلى اكتشافها.

أما طريقة بناء النموذج (المصفوفة) فتتم من خلال الخطوات التالية ولتوضيح الصورة سيتم شرح الخطوات من خلال مثال افتراضي يتضمن بناء مصفوفة المخاطر لإجراءات منح الائتمان لدى أحد البنوك :-   

فيما يلي إجراءات بناء المصفوفة :

1- تحديد الأنشطة الرئيسية لإجراءات منح الائتمان وعلى فرض أنها كما يلي : 

* دراسة طلب الائتمان.

* تقدير الضمانات.

* توثيق الائتمان.

* احتساب الفوائد.

* متابعة تسديد الأقساط المستحقة غير المسددة.

ويتم وضعها على الجانب العمودي للمصفوفة.

2- تحديد المخاطر والفرص التي تواجه النظام ضمن الثلاثة أبعاد (قصيرة، ومتوسطة، وطويلة الأجل) وتحديد نسبة تأثير كل بعد وعلى فرض أنها كما يلي:-

60 %                قصير الأجل

30  %              متوسط الأجل

10%                طويل الأجل

3- تحديد المخاطر لكل بعد من الأبعاد الثلاثة وترجيح كل عنصر من حيث أهميته في إعاقة (منع) المنشأة من تحقيق أهدافها وعلى فرض أنها كما يلي:ـ

أ ـ البعد الأول : قصير الأجل :

الخطر الأول      RI    أخطاء الإجراءات           نسبة التأثير    45%

الخطر الثاني      R2    ضعف المتابعة             نسبة التأثير    15%

الخطر الثالث     R3      تأخير الخدمة              نسبة التأثير   30 % 

الخطر الرابع     R4  الاختلاس والتزوير           نسبة التأثير  10%

ب البعد الثاني متوسط الأجل :

P1          احتمال توفير الكلفة                          نسبة التأثير 65 %        

P2         احتمال تجنب الكلفة                        نسبة التأثير 35 %   

ج البعد الثالث: طويل الأجل

01           وجود سياسة ائتمانية وإجراءات عمل            نسبة التأثير  35%

02                حوسبة الأعمال                                  نسبة التأثير 35 %          

03               تدريب الموظفين                                 نسبة التأثير  30 %

ويتم وضعها على المحور الأفقي للمصفوفة.

4- يتم تحديد مدى تأثير كل عنصر من هذه العناصر على الأنشطة أعلاه ضمن مدى يتراوح بين (۱-۱۰) بحيث تتدرج من الأقل أثراً (۱) إلى الأكثر أثراً (۱۰) والجدول رقم (۷-۳) يوضح ذلك من خلال معلومات افتراضية.  

5- بعد ذلك يتم بناء مصفوفة القيمة المرجحة Scaled Weighted Values من خلال ضرب نسبة تأثير الأبعاد الزمنية (Score Times) في وزن قوة تأثير كل عنصر على الأنشطة والجدول رقم (7-4) يوضح ذلك :

فمثلاً ۲٫۷ الخاصة بالخطر R1 تم احتسابها من خلال ضرب نسبة التأثير 0,45 في مدى الأثر لهذا العنصر وهو 6 ( أنظر الجدول رقم 7-3) . 

0,45  *   6     = 2,7

وهكذا بالنسبة لباقي العناصر.  

6- أخيراً يتم إيجاد مصفوفة مختصرة من خلال تجميع القيمة المرجحة لكل نشاط من أنشطة الائتمان ويتم ضربه في المؤثر الزمني الذي سبق تحديده في الخطوة (۲) ، وبذلك تصبح المصفوفة النهائية المختصرة وفق الجدول رقم (7-5).

وطريقة احتساب الأرقام مثلاً في المدى القصير لنشاط دراسة طلب الائتمان نأخذ مجموع عناصر الخطر من المصفوفة السابقة رقم (7-4)                                6,4 = (0,8+2,1 +0,8 +2,7 ) ويتم ضربها في (0,6) نسبة تأثير البعد الزمني في أعلى المصفوفة 3,8 ــ  0,60  * 6,4  وهكذا باقي أرقام المصفوفة.

ويلاحظ أنه إذا تم أخذ التقييم الإجمالي للأبعاد الزمنية الثلاثة لكافة الأنشطة نجد أن نشاط دراسة طلب الائتمان هو أكثر الأنشطة تعرضاً للمخاطر، حيث أن مجموع نقاط الخطر لها 5,4 نقطة وجاء ترتيبه في المرتبة الأولى، يليه نشاط تسديد الأقساط المستحقة وغير المسددة الذي حل بالمركز الثاني، وهذه الأنشطة يجب أن يتم التركيز عليها بشكل كبير من قبل الإدارة، أما نشاط احتساب الفوائد فجاء ترتيبه في المركز الأخير بمعنى أن مخاطره متدنية قياساً مع الأنشطة الأخرى، وتأتي أولويات الاهتمام به في مرحلة لاحقة بعد الأنشطة أعلاه والتي يمكن أن تتعرض لمخاطر كبيرة. 

أما لو تم النظر إلى المخاطر خلال الفترة قصيرة الأجل، نجد بأن نشاط تسديد الأنشطة المستحقة وغير المسددة جاء في المرتبة الأولى من حيث المخاطر، حيث بلغ مجموع نقاط الخطر لها ۳٫۹ يليه في المرتبة الثانية نشاط دراسة طلب الائتمان ونشاط احتساب الفوائد بقي بنفس الترتيب من حيث عدم تعرضه لمخاطر عالية.