فجوات الرقابة الداخلية التي تواصل المجالس السعودية تجنبها عمدًا

لا تفشل الضوابط الداخلية عادةً أمام الجميع. بل تفشل أولًا بهدوء: موافقة يدوية لا يراجعها أحد، أو تقرير مالي مبني على بيانات ضعيفة، أو قائمة امتثال موقعة دون اختبار، أو سجل مخاطر لا يصل إلى مجلس الإدارة إلا بعد أن تصبح المشكلة جادة.

لهذا السبب، لم يعد بإمكان المجالس السعودية التعامل مع فجوات الرقابة باعتبارها ضجيجًا تشغيليًا. ففي الشركات سريعة النمو، يمكن أن تؤثر الضوابط الضعيفة في التقارير المالية، والإقرارات الضريبية، والامتثال التنظيمي، وقرارات المشتريات، والرقابة على تعاملات الأطراف ذات العلاقة، وملاحظات التدقيق. ولا يتمثل الخطر فقط في حدوث خطأ ما. بل إن الخطر الأكبر هو عدم قدرة مجلس الإدارة على إثبات أنه كان يمتلك رؤية كافية قبل تصاعد المشكلة.

بالنسبة لمجالس الإدارة، ولجان المراجعة، والتنفيذيين، والمدققين الداخليين، وقادة الامتثال، لم تعد الرقابة الداخلية موضوعًا تقنيًا خلفيًا. بل أصبحت اختبارًا للحوكمة.

لماذا لا يمكن للمجالس السعودية تجاهل فجوات الرقابة الداخلية

يُتوقع من المجالس السعودية توجيه الشركات بمساءلة، وشفافية، ورقابة فعالة. وتقع الضوابط الداخلية مباشرة ضمن هذه المسؤولية لأنها توضح ما إذا كانت قرارات الإدارة مدعومة بأنظمة، وسجلات، وموافقات، وتقارير موثوقة.

تنص لوائح حوكمة الشركات الصادرة عن CMA على أن مجلس الإدارة يجب أن يعتمد نظامًا للرقابة الداخلية لتقييم السياسات والإجراءات المتعلقة بإدارة المخاطر، وتطبيق الحوكمة، والامتثال للأنظمة واللوائح ذات الصلة. وهذا يجعل الرقابة الداخلية أكثر من مجرد مهمة للتدقيق الداخلي. إنها نظام معتمد من مجلس الإدارة.

تكمن المشكلة في أن بعض المجالس لا تزال تتجنب فجوات الرقابة إلى أن يصبح تجاهلها مستحيلًا. فقد تقبل تأكيدات عامة من الإدارة. وقد تركز على نمو الإيرادات والمشاريع الاستراتيجية بينما تبقى نقاط الضعف الرقابية دون معالجة. وقد تتلقى تقارير طويلة دون أن تسأل عما إذا كانت الأدلة خلف التقرير قوية.

هذا النهج يخلق تعرضًا للمخاطر.

إذا واجهت الشركة لاحقًا خطأً في التقارير، أو مشكلة ضريبية، أو إخفاقًا في الامتثال، أو شبهة احتيال، أو تحفظًا من المراجع، فإن أول سؤال حوكمي يكون بسيطًا: ماذا كان يعرف مجلس الإدارة، وماذا فعل بشأنه؟

لا يحتاج مجلس الإدارة إلى إدارة كل ضابط رقابي بشكل مباشر. لكنه يحتاج إلى رؤية كافية لمعرفة ما إذا كانت الضوابط الجوهرية موجودة، وما إذا كانت تُختبر، وما إذا كانت نقاط الضعف تُعالج، وما إذا كانت الإدارة تبلغ عن المشكلات بصدق.

العبارات العامة عن الضوابط لم تعد كافية

لا تزال كثير من حزم مجالس الإدارة واللجان تستخدم لغة رقابية ضعيفة. عبارات مثل «الضوابط قائمة»، أو «لم تُلاحظ مشكلات جوهرية»، أو «الإدارة تتابع الموضوع» قد تبدو مطمئنة، لكنها لا تخبر الأعضاء بما إذا كانت بيئة الرقابة تعمل فعليًا.

العبارة العامة لا تُظهر أي ضوابط تم اختبارها. ولا تُظهر معدلات الإخفاق. ولا تُظهر ما إذا كانت المشكلة نفسها تكررت عبر عدة فترات. ولا تُظهر ما إذا كان مالك الضابط يفهم الخطر. ولا تُظهر ما إذا كانت المعالجة قد اكتملت.

تحتاج المجالس إلى تقارير رقابية أكثر دقة.

هذا الفرق مهم لأن تقارير الرقابة يجب أن تساعد أعضاء المجلس على اتخاذ القرارات. فإذا لم يستطع التقرير إخبار المجلس بمكان الضعف، ومن يملكه، ومتى سيتم إصلاحه، فذلك ليس رقابة. بل هو صياغة مريحة.

تكون العبارات العامة خطرة بشكل خاص في الشركات السعودية سريعة الحركة، حيث تظهر الأنظمة الجديدة، والفروع، والعقود، والموردون، والمنتجات، والالتزامات التنظيمية بسرعة. النمو يخلق ضغطًا. والضغط يخلق اختصارات. والاختصارات تخلق فجوات رقابية.

ضعف توثيق الضوابط قد يعرّض أعضاء مجلس الإدارة شخصيًا

قد يكون الضابط الرقابي موجودًا في الممارسة، لكن إذا لم يكن موثقًا، ومختبرًا، وقابلًا للتتبع، يصبح الدفاع عنه أصعب.

وهنا قد يتعرض أعضاء المجلس للمخاطر. فإذا وصلت مشكلة جادة إلى المراجعين، أو الجهات التنظيمية، أو المساهمين، أو الممولين، أو أصحاب المصلحة الرئيسيين، فقد يحتاج مجلس الإدارة إلى إثبات أن الرقابة كانت فعالة. ويمكن لمحاضر الاجتماعات، وتقارير اللجان، وتحديثات المخاطر، وملاحظات التدقيق الداخلي، ومتابعات المعالجة، وردود الإدارة أن تصبح جميعها أدلة على ما إذا كان المجلس قد تعامل مع فجوات الرقابة بجدية.

تضع إرشادات الحوكمة الصادرة عن هيئة السوق المالية لجنة المراجعة بالقرب من مراجعة الرقابة الداخلية. ففي مواد التوعية بحوكمة الشركات الصادرة عن CMA، تشمل مهام لجنة المراجعة الإشراف على التدقيق الداخلي، ومراجعة نظام الرقابة الداخلية، وإعداد تقرير يتضمن رأيها وتوصياتها. وهذا يعزز نقطة عملية: يجب أن تترك الرقابة على الضوابط سجلًا.

يخلق ضعف التوثيق مشكلات بثلاث طرق.

أولًا، يجعل من الصعب التحقق من تأكيدات الإدارة. ثانيًا، يترك أعضاء المجلس بأدلة محدودة على أنهم تحدّوا المشكلات غير المعالجة. ثالثًا، يسمح لنقاط الضعف المتكررة بأن تبدو كأحداث منفصلة.

إذا تلقى مجلس الإدارة ملاحظة رقابية مرة واحدة، فيجب أن يسأل عن السبب الجذري. وإذا تلقى الملاحظة نفسها مرتين، فيجب أن يسأل لماذا فشلت المعالجة. وإذا تلقى الملاحظة نفسها ثلاث مرات، فيجب أن يتعامل معها باعتبارها مسألة حوكمة، لا تأخيرًا تشغيليًا.

ضوابط التقارير المالية أصبحت اختبارًا للحوكمة

تُعد ضوابط التقارير المالية من أهم مجالات رقابة مجلس الإدارة، لأن المستثمرين، والممولين، والجهات التنظيمية، والملاك، والشركاء الاستراتيجيين يعتمدون على أرقام موثوقة.

إذا كانت ضوابط الاعتراف بالإيرادات، أو تصنيف المصروفات، أو المخصصات، أو الذمم المدينة، أو المخزون، أو الرواتب، أو ضريبة القيمة المضافة، أو الزكاة، أو سجلات الأطراف ذات العلاقة ضعيفة، فقد تصبح الصورة المالية للشركة مشوهة. وقد يظل المجلس يعتمد التقارير، لكن الاعتماد لا يكون أقوى من الضوابط التي تقف خلف البيانات.

الرقابة الداخلية على التقارير لا تتعلق فقط بإقفال الدفاتر في الوقت المحدد. بل تتعلق بما إذا كان يمكن الوثوق بالبيانات المالية.

ينبغي للشركات السعودية أن تولي اهتمامًا خاصًا للضوابط المتعلقة بالمطابقات، وقيود اليومية، وتغييرات البيانات الرئيسية، وحدود الموافقات، وفصل المهام، والإفصاحات المالية، وتقديرات الإدارة. فهذه هي المجالات التي يمكن أن تؤدي فيها نقاط الضعف الصغيرة إلى مشكلات أكبر في التقارير.

لا ينبغي لمجلس الإدارة انتظار المراجعين الخارجيين لاكتشاف كل مشكلة رقابية. للمراجعة الخارجية دورها، لكن الحوكمة تتطلب رؤية مبكرة. يجب أن تفهم لجنة المراجعة أي الضوابط تحمي أهم القوائم المالية، وأي الضوابط فشلت خلال الفترة، وما إذا كان فريق المالية يمتلك القدرة والانضباط الكافيين لتصحيح المشكلات قبل مواعيد التقارير.

غالبًا ما تظهر فجوات ضوابط التقارير المالية في الشركات التي تنمو أسرع من أنظمتها. فقد تتوسع الشركة إلى مواقع جديدة، أو تضيف كيانات، أو تزيد الإيرادات، أو توظف بسرعة، أو تدير عددًا أكبر من الموردين، بينما لا تزال تعتمد على جداول يدوية، وموافقات غير رسمية، ومراجعة محدودة.

عندها يرتفع خطر التقارير.

تبدأ مخاطر الضرائب وضريبة القيمة المضافة وZATCA من ضعف ضوابط البيانات المالية

غالبًا ما تبدأ مشكلات الضرائب وضريبة القيمة المضافة قبل تقديم الإقرار. فهي تبدأ عندما تكون بيانات الفواتير غير مكتملة، أو سجلات الموردين ضعيفة، أو تصنيفات المصروفات غير متسقة، أو أكواد الضريبة خاطئة، أو المطابقات متأخرة.

بالنسبة للمجالس السعودية، هذا مهم لأن الامتثال الضريبي يعتمد بدرجة كبيرة على جودة البيانات المالية. فإذا لم تستطع فرق المالية الوثوق بالسجلات الأساسية، فقد تواجه الشركة إقرارات غير صحيحة، أو تصحيحات متأخرة، أو ضعفًا في الجاهزية للتدقيق، أو تفسيرات ضعيفة أثناء المراجعة التنظيمية.

غالبًا ما تقع نقاط ضعف الضوابط الضريبية عبر عدة عمليات: فواتير المبيعات، والمشتريات، والحسابات الدائنة، والحسابات المدينة، والرواتب، والأصول الثابتة، والمعاملات بين الشركات، وتقارير نهاية الفترة. وإذا لم تكن هذه العمليات مضبوطة، تنتهي فرق الضرائب إلى تصحيح المشكلات متأخرًا بدلًا من منعها مبكرًا.

لا تحتاج المجالس إلى مراجعة كل رمز ضريبي أو حقل فاتورة. لكنها يجب أن تتوقع من الإدارة تأكيد أن ضوابط التقارير المالية الأساسية تدعم الامتثال للضرائب، وضريبة القيمة المضافة، وZATCA. ويشمل ذلك ملكية واضحة للبيانات، وضوابط نظامية، ومستويات موافقة، وتقارير استثناءات، وحفظًا مناسبًا للسجلات.

نادرًا ما تكون المشكلة الضريبية مشكلة ضريبية فقط. فهي غالبًا مشكلة رقابية لم تُعالج مبكرًا بما يكفي.

الشركات السعودية سريعة النمو تخلق فجوات رقابية عبر العمليات غير الرسمية

يمكن للنمو السريع أن يجعل الضوابط الضعيفة تبدو فعالة.

يعتمد المؤسس المصروفات عبر رسالة. ويتولى مدير المالية المراجعة والترحيل لأن الفريق صغير. وتعتمد المشتريات على موردين موثوقين دون مقارنة رسمية. وتحدّث الموارد البشرية الرواتب يدويًا. وتُستكمل فحوصات الامتثال بعد المعاملة لأن العمل يريد السرعة.

قد تنجح هذه الاختصارات مع فريق صغير. لكنها لا تتوسع.

مع نمو الشركة، تتحول الضوابط غير الرسمية إلى مخاطر غير مرئية. لا يعرف الموظفون الجدد القواعد غير المكتوبة. ويوافق المديرون على الاستثناءات بشكل غير متسق. ويصبح التوثيق متفرقًا. ولا تطابق الأنظمة الصلاحيات الفعلية. ولا يستطيع التدقيق الداخلي اختبار عمليات لم تُصمم بوضوح من الأساس.

وهنا تصبح نضج GRC في السعودية مهمًا. لا ينبغي بناء الحوكمة والمخاطر والامتثال بعد أن تصبح الشركة معقدة. بل يجب أن تنمو مع الأعمال.

يمكن أن تساعد دورة  GRC  مجالس الإدارة، وأعضاء لجان المراجعة، والمدققين الداخليين، وفرق الامتثال، والمديرين على فهم كيفية ارتباط الضوابط الداخلية، وإدارة المخاطر، ورقابة الحوكمة، وضوابط الامتثال داخل المنظمات السعودية. وتساعد المعرفة الأقوى الفرق على الابتعاد عن الراحة غير الرسمية والانتقال نحو رقابة قائمة على الأدلة.

تحتاج لجان المراجعة إلى لوحات مؤشرات، لا تقارير رقابية متأخرة

لا تستطيع لجان المراجعة تقديم رقابة قوية إذا وصلت إليها معلومات الرقابة بعد فوات الأوان. قد يبدو التقرير الربع سنوي الذي يلخص الملاحظات المغلقة فقط نظيفًا، لكنه قد يخفي المشكلات الأكثر أهمية: تأخر المعالجة، والاستثناءات المتكررة، ونقاط التدقيق غير المحلولة، وفشل المطابقات، وضعف ملكية الضوابط، والمخاطر التي تنمو أسرع مما تفصح عنه الإدارة.

بالنسبة للمجالس السعودية، يخلق تأخر تقارير الرقابة فجوة توقيت خطيرة. فعندما ترى اللجنة المشكلة، قد يكون الضعف قد أثر بالفعل في التقارير المالية، أو ملفات الامتثال، أو السجلات الضريبية، أو موافقات المشتريات، أو القرارات التشغيلية.

تضع لوائح حوكمة الشركات الصادرة عن هيئة السوق المالية لجنة المراجعة بالقرب من القوائم المالية، والتدقيق الداخلي، وإدارة المخاطر، والرقابة على نظام الرقابة الداخلية. وهذا يعني أن لجان المراجعة تحتاج إلى معلومات رقابية بصيغة يمكنها فعليًا مناقشتها وتحديها، لا مجرد استلامها.

يجب أن تُظهر لوحة المؤشرات المفيدة فجوات الرقابة المفتوحة، وما المتأخر منها، ومن يملكها، وما الخطر الذي تخلقه، وما العملية التجارية التي تؤثر فيها، وما إذا كانت المشكلة نفسها قد ظهرت من قبل. كما يجب أن تفصل بين التأخيرات البسيطة في العمليات ونقاط الضعف عالية المخاطر التي قد تؤثر في التقارير، أو الامتثال، أو منع الاحتيال، أو تأكيدات مجلس الإدارة.

من دون هذه الرؤية، قد تعتمد لجان المراجعة التقارير بناءً على اطمئنان غير مكتمل. ومعها، تستطيع طرح أسئلة أفضل قبل أن يتحول الضعف إلى مشكلة على مستوى مجلس الإدارة.

لا يمكن أن يبقى اختبار الرقابة الداخلية إجراءً شكليًا

يفقد اختبار الرقابة الداخلية قيمته عندما يتحول إلى قائمة فحص روتينية. فإذا كان التدقيق الداخلي يؤكد فقط أن الضابط موجود، دون اختبار ما إذا كان يعمل، فقد يتلقى مجلس الإدارة اطمئنانًا زائفًا.

لا يكون الضابط الرقابي قويًا لأنه مكتوب في سياسة. بل يكون قويًا لأنه يعمل باستمرار، ويترك أدلة، ويكشف الاستثناءات، ويُراجع من الشخص المناسب في الوقت المناسب.

تصف المعايير العالمية للتدقيق الداخلي الصادرة عن IIA التدقيق الداخلي بأنه يساعد على تعزيز الحوكمة، وإدارة المخاطر، وعمليات الرقابة من خلال تأكيد مستقل وموضوعي. وهذا التوقع مهم لأن التدقيق الداخلي لا ينبغي أن يكتفي بالإبلاغ عن وجود الإجراءات. بل يجب أن يساعد مجلس الإدارة على فهم ما إذا كانت الضوابط فعالة بما يكفي لدعم أهداف الشركة.

بالنسبة للشركات السعودية، يكتسب ذلك أهمية خاصة في المجالات عالية المخاطر مثل التقارير المالية، والمشتريات، والرواتب، وضريبة القيمة المضافة، والامتثال لـ ZATCA، والتقارير التنظيمية، والوصول السيبراني، وتأهيل الموردين، وتعاملات الأطراف ذات العلاقة.

يجب أن يجيب اختبار الضوابط عن أسئلة عملية. هل تمت الموافقة قبل تنفيذ المعاملة؟ هل كان المراجع مستقلًا؟ هل تم التحقيق في الاستثناء؟ هل حُفظ الدليل؟ هل عالجت الإدارة السبب الجذري؟ هل تكررت المشكلة نفسها؟

إذا كانت الإجابة غير واضحة، فقد لا يكون الضابط موثوقًا.

يجب أن تنظر لجنة المراجعة أيضًا في نطاق الاختبار. تختبر بعض الشركات المجالات منخفضة المخاطر نفسها كل عام، بينما تتجنب العمليات الأكثر حساسية لأنها صعبة سياسيًا، أو معقدة تشغيليًا، أو خاضعة لأشخاص كبار. وهذا يضعف الحوكمة. يجب أن تركز وظائف التدقيق الداخلي في السعودية على المجالات التي تخلق مخاطر حقيقية في التقارير، والامتثال، والأعمال.

كيف يمكن للمجالس دفع الإدارة من الاطمئنان إلى الدليل

لا يتمثل دور مجلس الإدارة في عدم الثقة بالإدارة. بل في التأكد من أن تأكيدات الإدارة مدعومة بالأدلة.

لا يقبل المجلس القوي العبارات العامة عن الضوابط دون أن يسأل عما يقف خلفها. فإذا قالت الإدارة إن ضوابط المشتريات تعمل، يستطيع المجلس أن يسأل عن عدد الاستثناءات التي وُجدت، وعدد ملفات الموردين غير المكتملة، وما إذا كانت أي مشتريات طارئة قد تجاوزت الموافقات. وإذا قالت المالية إن ضوابط التقارير كافية، تستطيع لجنة المراجعة أن تسأل عن المطابقات التي فشلت، وقيود اليومية التي تمت مراجعتها متأخرًا، وما إذا كانت أي جداول يدوية لا تزال تؤثر في الحسابات.

هذا النوع من الأسئلة يغير الثقافة. فهو يخبر الإدارة أن جودة الرقابة مهمة بقدر أهمية نمو الأعمال.

ينبغي للشركات السعودية التي تريد رقابة داخلية أقوى أن تركز على ثلاث عادات. أولًا، يجب الإبلاغ عن فجوات الرقابة حسب مستوى الخطر، لا حسب القسم فقط. ثانيًا، يجب أن تكون للمعالجة مواعيد نهائية وملاك محددون. ثالثًا، يجب تصعيد الملاحظات المتكررة، لا التعامل معها كتأخيرات عادية.

عندما توجد هذه العادات، تصبح الضوابط الداخلية أكثر من مجرد سياسات. تصبح انضباطًا إداريًا.

كيف يساعد تدريب GRC المجالس على تعزيز الرقابة على الضوابط

تستمر فجوات الرقابة غالبًا لأن أعضاء المجالس، والمديرين، وفرق التدقيق، ومسؤولي الامتثال لا يتحدثون اللغة نفسها حول الحوكمة والمخاطر والامتثال.

قد يناقش مجلس الإدارة المخاطر على مستوى استراتيجي. وقد يرفع التدقيق الداخلي استثناءات الاختبار. وقد يتابع الامتثال المتطلبات التنظيمية. وقد تدير المالية المطابقات وضوابط التقارير. وإذا عملت هذه الوظائف بشكل منفصل، فقد تفوّت الشركة الرابط بين إخفاق رقابي صغير وخطر حوكمي أكبر.

تساعد دورة  GRC  الفرق على فهم هذا الرابط. فهي تدعم وعيًا أقوى بالضوابط الداخلية، وتوقعات إدارة المخاطر في السعودية، وضوابط الامتثال، ومسؤوليات لجنة المراجعة، وتقارير التدقيق الداخلي، ورقابة مجلس الإدارة.

بالنسبة للمنظمات السعودية، تُعد هذه المعرفة قيّمة لأن فجوات الرقابة نادرًا ما تبقى داخل قسم واحد. فقد تؤثر موافقة مشتريات ضعيفة في التقارير المالية. وقد تؤثر مراجعة عقود ضعيفة في الامتثال. وقد تؤثر ضوابط رواتب غير مكتملة في التزامات العمل. وقد تؤثر ضوابط وصول ضعيفة في حماية البيانات. وقد يؤثر تأخر معالجة ملاحظات التدقيق في ثقة مجلس الإدارة.

يساعد التدريب الفرق على الانتقال من التقارير التفاعلية إلى ملكية رقابية استباقية. كما يساعد أعضاء المجالس واللجان على طرح أسئلة أدق: أي الضوابط تحمي المجالات الأعلى خطرًا؟ وما الدليل الذي يثبت أنها تعمل؟ وكم مرة تُختبر؟ وماذا يحدث عندما تفشل؟

الخاتمة

من السهل تجنب الحديث عن فجوات الرقابة الداخلية عندما تنمو الأعمال، وتكون الإيرادات قوية، وتبدو تقارير الإدارة مطمئنة. لكن نقاط الضعف الرقابية لا تختفي لأن مجلس الإدارة يؤجل النقاش.

بل غالبًا ما تكبر.

تتحول العملية اليدوية إلى خطأ في التقارير. وتتحول الموافقة الضعيفة إلى إخفاق في الامتثال. وتتحول نقطة التدقيق غير المعالجة إلى ملاحظة متكررة. وتتحول لوحة المؤشرات الغامضة إلى تحذير لم يُلتفت إليه. وتتحول فجوة الرقابة المالية إلى مشكلة ضريبية أو تنظيمية.

لم يعد بإمكان المجالس السعودية التعامل مع الضوابط الداخلية باعتبارها مسألة تقنية تخص التدقيق الداخلي وحده. فالضوابط الداخلية تحمي جودة التقارير، ومصداقية الحوكمة، والجاهزية الضريبية، وانضباط الامتثال، ومنع الاحتيال، ومساءلة القيادة.

أقوى المجالس ليست تلك التي تتلقى أنظف التقارير. بل هي التي تطلب الدليل قبل أن يصبح الاطمئنان خطرًا.

بالنسبة للمنظمات التي تريد تعزيز هذا الانضباط، تقدم دورة  GRC  مسارًا مركزًا لمساعدة مجالس الإدارة، ولجان المراجعة، والمدققين الداخليين، وفرق الامتثال، والمديرين على فهم كيفية ارتباط الضوابط الداخلية، ورقابة المخاطر، وقرارات الحوكمة في الواقع العملي.