المراجعة الداخلية وفق معايير IIA: بناء برنامج مراجعة قائم على المخاطر في السعودية

بنيت برنامج الأخلاقيات، فمن يتحقق من أنه يعمل فعلاً؟

بعد بناء برنامج الأخلاقيات والامتثال، يبقى سؤال حاسم: من يختبر بصورة مستقلة ما إذا كانت السياسات والضوابط تعمل فعلاً؟ هنا يبدأ دور المراجعة الداخلية. فالإدارة تملك العمليات والمخاطر والضوابط، بينما تمنح المراجعة الداخلية مجلس الإدارة أو لجنة المراجعة رؤية مستقلة حول جودة الحوكمة وإدارة المخاطر وفعالية الضوابط والأدلة التي تثبت تشغيلها.

ولمن يحتاج إلى الصورة الأوسع أولاً، يشرح مقال SCI عن كيفية بناء إطار GRC خطوة بخطوة كيف ترتبط الحوكمة والمخاطر والامتثال والضوابط في نموذج تشغيلي واحد. تأتي المراجعة الداخلية بعد ذلك كطبقة التأكيد المستقلة التي تختبر ما إذا كان هذا النموذج يعمل في الواقع.

أهمية نضج المراجعة الداخلية ارتفعت في ٢٠٢٦ لسببين واضحين: المعايير العالمية للمراجعة الداخلية الصادرة عن معهد المراجعين الداخليين أصبحت نافذة منذ ٩ يناير ٢٠٢٥، وفي المقابل تضع الجهات الرقابية السعودية متطلبات خاصة بحسب نوع المنشأة. فالبنك المركزي السعودي (ساما) لديه مبادئ نافذة للمراجعة الداخلية في البنوك المحلية، بينما تتضمن لائحة حوكمة الشركات لهيئة السوق المالية متطلبات محددة للشركات المدرجة ضمن نطاقها.

المصدر: معهد المراجعين الداخليين — المعايير العالمية للمراجعة الداخلية

المصدر: البنك المركزي السعودي (ساما) — مبادئ المراجعة الداخلية للبنوك المحلية

المصدر: هيئة السوق المالية — لائحة حوكمة الشركات

المحور الأول — ماذا تتطلب المعايير الدولية لمعهد المراجعين الداخليين فعلياً

المعايير العالمية للمراجعة الداخلية هي المكوّن المهني الإلزامي ضمن الإطار الدولي للممارسات المهنية IPPF الصادر عن معهد المراجعين الداخليين. وهي ليست نظامًا سعوديًا بحد ذاتها، لكنها تمثل المرجع المهني للوظيفة التي تسعى إلى التوافق أو إعلان المطابقة. تُنظم المعايير في خمسة مجالات: غرض المراجعة الداخلية، الأخلاقيات والمهنية، حوكمة وظيفة المراجعة الداخلية، إدارة وظيفة المراجعة الداخلية، وتنفيذ خدمات المراجعة الداخلية.

المصدر: معهد المراجعين الداخليين — المعايير العالمية للمراجعة الداخلية ٢٠٢٤

المقصود بالمراجعة الداخلية ليس فحص المعاملات فقط. فالغرض المهني هو تقديم تأكيد ومشورة ورؤية مستقلة وموضوعية وقائمة على المخاطر تدعم قدرة المنظمة على إنشاء القيمة وحمايتها واستدامتها. لذلك تتركز وظيفة المراجعة على الحوكمة وإدارة المخاطر والضوابط، وليس على إكمال قائمة تحقق سنوية فحسب.

المصدر: معهد المراجعين الداخليين — المعايير الكاملة، المجال الأول

الاستقلال يُبنى في هيكل الحوكمة

يتطلب المعيار 6.2 وجود ميثاق للمراجعة الداخلية يوثق التفويض والعناصر الأساسية للوظيفة. كما يتطلب المعيار 7.1 من الرئيس التنفيذي للمراجعة تأكيد الاستقلال التنظيمي لمجلس الإدارة مرة واحدة على الأقل سنويًا، وتوثيق خطوط التقارير والموقع التنظيمي في الميثاق، ومناقشة أي عوائق فعلية أو محتملة للاستقلال. عمليًا، لا يمكن لوظيفة المراجعة أن تقدم تأكيدًا موثوقًا إذا كانت الجهة التي تراجعها قادرة على تضييق نطاقها أو منع وصولها أو تعديل نتائجها.

المصدر: معهد المراجعين الداخليين — المعياران 6.2 و7.1

الخطة تتبع المخاطر لا العادة

يفرض المعيار 9.4 على الرئيس التنفيذي للمراجعة إعداد خطة تدعم أهداف المنظمة وتستند إلى تقييم موثق للاستراتيجيات والأهداف والمخاطر. يجب إجراء هذا التقييم مرة واحدة على الأقل سنويًا، مع مراجعة الخطة وتحديثها عند تغير الأعمال أو الأنظمة أو الضوابط أو المخاطر. كما تُعرض الخطة على مجلس الإدارة لاعتمادها وفق هيكل الحوكمة المعمول به.

المصدر: معهد المراجعين الداخليين — المعيار 9.4: خطة المراجعة الداخلية

الجودة جزء من المطابقة وليست خطوة شكلية

تحتاج الوظيفة المتوافقة مع المعايير إلى برنامج لضمان الجودة والتحسين. ويتطلب المعيار 8.4 تقييمًا خارجيًا للجودة مرة واحدة على الأقل كل خمس سنوات بواسطة مقيّم أو فريق مستقل ومؤهل، إلى جانب التقييمات الداخلية المستمرة والدورية. لذلك ينبغي التخطيط للجودة ضمن دورة عمل الوظيفة وليس التعامل معها كاختبار مفاجئ في نهاية السنة الخامسة.

المصدر: معهد المراجعين الداخليين — الأسئلة الشائعة لضمان جودة المراجعة الداخلية

كما يتضمن IPPF متطلبات موضوعية إلزامية. وحتى أكتوبر ٢٠٢٦، أصبح متطلبا الأمن السيبراني والأطراف الثالثة نافذين. ويجب تطبيق المتطلب الموضوعي عندما تنفذ المراجعة الداخلية خدمة تأكيد في الموضوع المشمول، بينما تبقى الإرشادات العالمية مكوّنًا موصى به وليست إلزامية.

المصدر: معهد المراجعين الداخليين — المتطلبات الموضوعية

إنفوجرافيك: الهيكل التشغيلي للمعايير العالمية — خمسة مجالات مترابطة تدعم التأكيد المستقل القائم على المخاطر.

المصدر: معهد المراجعين الداخليين — المعايير العالمية للمراجعة الداخلية

المحور الثاني — كيف يرتبط ذلك بمتطلبات المراجعة الداخلية للبنك المركزي السعودي والجهات الخاضعة للرقابة

النقطة التنظيمية الأهم هي نطاق التطبيق. معايير IIA مرجع مهني عالمي، أما متطلبات ساما وهيئة السوق المالية فتسري بحسب نوع المنشأة وترخيصها وحالتها في السوق. لذلك لا يصح أخذ قاعدة موجهة للبنوك وتقديمها باعتبارها إلزامية على كل شركة سعودية. تبدأ الخريطة الصحيحة من القواعد التي تحكم المنشأة فعلاً، ثم تستخدم معايير IIA لتقوية الحوكمة والمنهجية والجودة.

ساما: البنوك المحلية

مبادئ المراجعة الداخلية للبنوك المحلية العاملة في السعودية صادرة عن البنك المركزي السعودي وحالتها «نافذة»، ونطاقها جميع البنوك المحلية في المملكة. تصف المبادئ المراجعة الداخلية بأنها الخط الثالث والأخير في نموذج الخطوط الثلاثة، وترتبط مباشرة بمجلس الإدارة ولجنة المراجعة لتقييم الحوكمة وإدارة المخاطر والضوابط من خلال نهج منظم قائم على المخاطر. كما تشترط استقلال الوحدة إداريًا عن خطوط الأعمال والخطين الأول والثاني، وحقها في الوصول والعمل دون قيود، وقدرتها على التواصل المباشر مع لجنة المراجعة والمجلس.

المصدر: ساما — مبادئ المراجعة الداخلية للبنوك المحلية، البنود 3-3 و11-14

وفي التخطيط، تكون متطلبات ساما أكثر تفصيلاً. يجب على البنك توثيق قائمة شاملة بالوحدات والكيانات التابعة الخاضعة للمراجعة بحيث تغطي الوحدات التشغيلية والمنتجات والخدمات والأنظمة والمخاطر والعمليات، ومراجعة هذه القائمة سنويًا للتأكد من اكتمالها، ووضع إطار رسمي لتقييم المخاطر، ودورة مراجعة قد تمتد من ثلاث إلى أربع سنوات حسب تصنيف المخاطر. وتُبنى الخطة السنوية بعد تقييم شامل للمخاطر مع الاستفادة من مدخلات الإدارة التنفيذية وتحديثها عند تغير ملف المخاطر.

المصدر: ساما — البنود 38-50: قائمة نطاق المراجعة، تقييم المخاطر وخطة المراجعة القائمة على المخاطر

وتتطلب المبادئ كذلك برنامجًا لضمان الجودة وتحسين الأداء يشمل تقييمات داخلية وتقييمًا خارجيًا مستقلًا مرة واحدة على الأقل كل خمس سنوات. وهذا يتقاطع بوضوح مع بنية الجودة في معايير IIA، مع بقاء متطلب ساما التزامًا رقابيًا خاصًا بالبنوك المحلية.

المصدر: ساما — البنود 54-57 ومتطلب التقييم الخارجي كل خمس سنوات

هيئة السوق المالية: الشركات المدرجة ضمن لائحة حوكمة الشركات

بالنسبة للشركات المدرجة في السوق الرئيسية، تنص لائحة حوكمة الشركات على أن أحكامها إلزامية ما لم يُنص على أن حكمًا معينًا استرشادي. تربط المواد 70-75 بين نظام الرقابة الداخلية المعتمد من المجلس، ووحدات إدارة المخاطر والمراجعة الداخلية، واستقلال المراجعين، والتبعية للجنة المراجعة، والوصول غير المقيد إلى المعلومات، وخطة مراجعة شاملة، والتقارير الدورية.

المصدر: هيئة السوق المالية — لائحة حوكمة الشركات، المواد 70-75 والمادة 2

أصبحت المواد 73 و74 و75 بصيغتها المعدلة إلزامية اعتبارًا من ١ يناير ٢٠٢٤. وتشترط المادة 74 العمل وفق خطة مراجعة شاملة تعتمدها لجنة المراجعة وتُحدّث سنويًا، مع مراجعة الأنشطة والعمليات الرئيسية، بما فيها أنشطة إدارة المخاطر والامتثال، مرة واحدة على الأقل سنويًا. أما نطاق الإلزام في السوق الموازية فيختلف؛ إذ تحدد المادة 2 مجموعة أضيق من الأحكام الإلزامية هناك، وتُعامل الأحكام الأخرى عمومًا كإرشادية ما لم ينص نظام أو لائحة أو قرار آخر على خلاف ذلك.

المصدر: هيئة السوق المالية — المادة 2 والمواد 73-75 من لائحة حوكمة الشركات

المحور الثالث — نموذج الخطوط الثلاثة بأسلوب مبسط

لا يزال تعبير «نموذج خطوط الدفاع الثلاثة» شائعًا في البحث، لكن معهد المراجعين الداخليين يستخدم اسم «نموذج الخطوط الثلاثة» منذ ٢٠٢٠، وأصدر تحديثًا رسميًا للنموذج في يوليو ٢٠٢٦. الفكرة الأساسية هي الفصل بين ملكية المخاطر، ودعم الإدارة ومراقبتها، والتأكيد المستقل. يبقى مجلس الإدارة مسؤولًا عن الإشراف، بينما تملك الإدارة المخاطر وتديرها، ويدعم الخط الثاني ويراقب ويتحدى، وتقدم المراجعة الداخلية التأكيد المستقل بوصفها الخط الثالث.

المصدر: معهد المراجعين الداخليين — بيان الموقف المحدث حول نموذج الخطوط الثلاثة

المصدر: معهد المراجعين الداخليين — نموذج الخطوط الثلاثة

المصدر: ساما — متطلب الخط الثالث الخاص بالبنوك المحلية

القاعدة العملية: يمكن للمراجعة الداخلية تقديم المشورة، لكن لا ينبغي أن تصبح المالك الدائم لعملية المخاطر أو للضابط الذي ستراجعه لاحقًا. وإذا تولى الرئيس التنفيذي للمراجعة مسؤوليات من الخط الثاني، تتطلب معايير IIA توثيق الضمانات ووضع مسار تأكيد بديل للمجالات المتأثرة.

المصدر: معهد المراجعين الداخليين — المعيار 7.1 للاستقلال التنظيمي

إنفوجرافيك: نموذج الخطوط الثلاثة — إشراف المجلس، ملكية الخط الأول، تحدي الخط الثاني، والمراجعة الداخلية المستقلة.

المصدر: معهد المراجعين الداخليين — نموذج الخطوط الثلاثة المحدث

المحور الرابع — بناء خطة مراجعة قائمة على المخاطر خطوة بخطوة

الخطة القائمة على المخاطر ليست جدولًا ثابتًا لتدوير الإدارات. هي قرار موثق حول أين يجب أن يذهب التأكيد المستقل بالنظر إلى أهداف المنشأة، وملف المخاطر، والالتزامات التنظيمية، وقدرة فريق المراجعة. التسلسل التالي يجمع بين متطلبات المعيار 9.4 ومبادئ ساما الأكثر تفصيلاً بشأن نطاق المراجعة والتخطيط في البنوك المحلية.

المصدر: معهد المراجعين الداخليين — المعيار 9.4 لخطة المراجعة الداخلية

المصدر: ساما — البنود 38-50

١. ثبّت التفويض والميثاق وخط التقارير

قبل احتساب أي درجة مخاطر، تأكد من نطاق سلطة المراجعة، ومن يعتمد الميثاق والخطة، ولمن يرفع الرئيس التنفيذي للمراجعة تقاريره، وهل تملك الوظيفة وصولاً غير مقيد للسجلات والأشخاص والأنظمة. ضعف الحوكمة لا تعالجه معادلة مخاطر متقدمة.

٢. ابنِ «عالم المراجعة»

أنشئ حصرًا منظمًا للكيانات القابلة للمراجعة: الوحدات، الشركات التابعة، العمليات الرئيسية، المنتجات، الأنظمة، المشاريع، ترتيبات الاستعانة بمصادر خارجية، الالتزامات التنظيمية والمخاطر العابرة للوحدات. الهدف ألا تختفي منطقة عالية المخاطر لأنها لا تتطابق مع اسم إدارة.

٣. اجمع إشارات المخاطر

استفد من الأهداف الاستراتيجية، وسجل المخاطر، والمتطلبات الرقابية، والحوادث والخسائر والشكاوى، ونتائج المراجعات السابقة، وملاحظات المراجع الخارجي، والتغييرات التقنية، والمنتجات الجديدة، والاستعانة بالأطراف الثالثة، ومخاوف الإدارة ولجنة المراجعة.

٤. استخدم منهجية موثقة للترتيب

طبّق عوامل متسقة مثل المخاطر الكامنة والمتبقية، ونضج الضوابط، والأهمية التنظيمية، والمادية، وسرعة التغيير، والوقت منذ آخر مراجعة، والنتائج السابقة، والتعقيد، ومخاوف الإدارة. ليست هناك أوزان واحدة تصلح للجميع؛ المهم أن تكون المنهجية منطقية وموثقة.

٥. حوّل التصنيف إلى تغطية

تتلقى الموضوعات الأعلى مخاطرة عادة تغطية أبكر أو أعمق، بينما يمكن تأجيل الموضوعات الأقل مخاطرة أو تغطيتها عبر مراجعات موضوعية أو مراقبة مستمرة أو الاعتماد المنضبط على مزودي تأكيد آخرين. وفي البنوك الخاضعة لساما، إذا حددت الجهة الرقابية دورية معينة فإنها تتقدم على نتيجة تقييم المخاطر الداخلي.

٦. طابق الخطة مع الموارد واحصل على الاعتماد

قدّر المهارات والتقنية والوقت والدعم المتخصص المطلوب. يجب أن ترى لجنة المراجعة بوضوح ما الذي ستغطيه الخطة، وما الذي لن تغطيه، ولماذا أُجلت بعض البنود، وما أثر نقص الموارد على مستوى التأكيد.

٧. اجعل الخطة ديناميكية

راقب المخاطر الناشئة خلال العام. قد يتطلب حادث سيبراني، أو استحواذ، أو تعهيد جوهري، أو متطلب رقابي جديد، أو فشل في إغلاق نتيجة عالية الخطورة، تقديم مراجعة معينة على غيرها. وثّق التغييرات الجوهرية وارفعها وفق آلية الحوكمة المعتمدة.

يمكن لجدول مبسط لعالم المراجعة أن يجعل منطق الأولويات واضحًا. المثال التالي توضيحي وليس نموذج تصنيف مفروضًا من جهة رقابية.

المصدر: الأساس التطبيقي — معيار IIA 9.4

المصدر: الأساس التطبيقي — بنود ساما 38-50 للبنوك المحلية

إنفوجرافيك: تتحول إشارات المخاطر إلى تقييم موثق، ثم أولويات لعالم المراجعة، ثم محفظة خطة ديناميكية.

المصدر: معهد المراجعين الداخليين — المعيار 9.4 لخطة المراجعة

المحور الخامس — أخطاء شائعة في المراجعة الداخلية يجب على الشركات السعودية تجنبها

هذه الأخطاء ليست خاصة بالسعودية وحدها، لكنها تتعارض مع اتجاه المعايير المهنية، وقد تؤدي في الجهات الخاضعة للرقابة إلى فجوات مقابل توقعات ساما أو هيئة السوق المالية:

• نسخ خطة العام السابق مع تغييرات شكلية بدل إعادة ترتيب الأولويات بناءً على الاستراتيجية والمخاطر الحالية.

• اختزال عالم المراجعة في الهيكل التنظيمي، وبالتالي سقوط الأنظمة والمشاريع والتعهيد والمخاطر المشتركة بين الإدارات من نطاق التغطية.

• ضعف وصول الرئيس التنفيذي للمراجعة أو خطوط التقارير بما يسمح بتأخير العمل الحساس أو تضييق نطاقه أو تصفية نتائجه.

• تكليف المراجعة الداخلية بتصميم الضوابط وامتلاكها ثم مراجعتها لاحقًا دون ضمانات واضحة ومسار تأكيد بديل.

• تنفيذ مراجعة على شكل قائمة امتثال تتحقق من وجود السياسة فقط ولا تختبر تصميم الضابط وفعاليته التشغيلية وجودة أدلته.

• كتابة ملاحظات دون ربط واضح بالمخاطر والسبب الجذري والمالك والموعد المستهدف ودليل الإغلاق.

• إغلاق النتائج المتكررة بناءً على تأكيد الإدارة فقط دون التحقق من فعالية الإجراء التصحيحي.

• إهمال برنامج الجودة وتقويم التقييم الخارجي المطلوب كل خمس سنوات عند السعي إلى المطابقة مع معايير IIA.

المصدر: معهد المراجعين الداخليين — المعايير 7.1 و8.4 و9.4

المصدر: ساما — مبادئ المراجعة الداخلية للبنوك المحلية

المصدر: هيئة السوق المالية — لائحة حوكمة الشركات

المحور السادس — قائمة تحقق: هل وظيفة المراجعة الداخلية لديك متوافقة مع معايير IIA؟

استخدم القائمة التالية للنقاش بين الإدارة ولجنة المراجعة ووظيفة المراجعة، ولا تعتبرها بديلاً عن تقييم جودة رسمي. الإجابة «نعم» تعني وجود دليل قابل للفحص، لا مجرد نية.

المصدر: معهد المراجعين الداخليين — المعايير العالمية للمراجعة الداخلية

المصدر: معهد المراجعين الداخليين — الأسئلة الشائعة لضمان الجودة

كيف يساعد التدريب المنظم في سد فجوة التوافق؟

منهجية المراجعة لا تعمل إذا كان أعضاء الفريق يفسرون الاستقلال وتقييم المخاطر والتخطيط والأدلة والتقارير والجودة بطرق مختلفة. للمدققين الداخليين ومديري المراجعة ومتخصصي GRC وقادة التأكيد الذين يحتاجون مراجعة منظمة لهذه المفاهيم، يمكن أن تدعم دورة Internal Audit — IIA Standards بناء فهم مشترك. يظل التدريب مكملاً لتحليل المتطلبات التنظيمية الخاصة بالمنشأة وميثاقها ومنهجيتها وإشرافها وبرنامج الجودة، وليس بديلاً عنها.

ملاحظة ختامية — الجزء الثاني من ثلاثة في سلسلة أساسيات GRC

هذا هو الجزء الثاني من سلسلة «أساسيات الحوكمة والمخاطر والامتثال» في SCI. الجزء الأول — الامتثال الأخلاقي ومكافحة الفساد يشرح لماذا يوجد برنامج الأخلاقيات والضوابط. هذا الجزء يوضح كيف تختبر المراجعة الداخلية بصورة مستقلة ما إذا كانت الحوكمة وإدارة المخاطر والضوابط تعمل. الجزء الثالث — KYC والعناية الواجبة تجاه العملاء يطبق عقلية الأدلة والاختبار نفسها على إجراءات onboarding والعناية الواجبة في مواجهة العميل. لا تُستبدل عبارة «قريبًا» برابط إلا بعد نشر الصفحة والتحقق من عنوانها الفعلي.

الخاتمة

نضج المراجعة الداخلية لا يُقاس بعدد المهمات المنجزة، بل بقدرتها على توجيه التأكيد المستقل إلى المخاطر الصحيحة، وبناء استنتاجات مدعومة بأدلة، وإيصال الصورة كاملة إلى المجلس أو لجنة المراجعة، وتحويل النتائج إلى تحسينات قابلة للمتابعة.

في السعودية، النموذج العملي متعدد الطبقات: استخدم معايير IIA كخط أساس مهني لتشغيل الوظيفة، ثم طبّق المتطلبات التي تحكم المنشأة فعلاً. بالنسبة للبنوك المحلية، تفصّل ساما الاستقلال ونطاق المراجعة والتخطيط القائم على المخاطر والجودة والتقارير. وبالنسبة للشركات المدرجة ضمن نطاق هيئة السوق المالية، تربط لائحة حوكمة الشركات الرقابة الداخلية بلجنة المراجعة والخطة والتقارير. والنتيجة المستهدفة واحدة: برنامج مراجعة مستقل، قائم على المخاطر، موثق، وقادر على التغيير عندما يتغير ملف المخاطر.