مهام إدارة المراجعة الداخلية والحوكمة تتمثل أساسًا في تقديم تأكيد مستقل وموضوعي لمجلس الإدارة ولجنة المراجعة حول مدى فعالية الحوكمة وإدارة المخاطر والرقابة الداخلية، إلى جانب تقييم الالتزام بالأنظمة والسياسات، ومراجعة العمليات والتقارير والأنظمة التقنية، ورفع النتائج والتوصيات ومتابعة الإجراءات التصحيحية. ولا يعني ذلك أن المراجعة الداخلية تدير المخاطر أو تضع الضوابط نيابة عن الإدارة؛ فدورها هو تقييمها وتقديم التأكيد والمشورة دون تولي مسؤوليات الإدارة.
وفي السعودية تختلف المتطلبات النظامية بحسب نوع المنشأة. فالشركات المدرجة تخضع لأحكام لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية، والجهات الحكومية لها إطار تنظيمي خاص بوحدات المراجعة الداخلية، كما توجد متطلبات قطاعية للبنوك وشركات التمويل والجهات الخاضعة للبنك المركزي السعودي. وفي الوقت نفسه أصبحت المعايير العالمية الجديدة للمراجعة الداخلية الصادرة عن معهد المدققين الداخليين IIA نافذة منذ يناير 2025، مع متطلبات موضوعية جديدة دخل بعضها حيز التطبيق خلال 2026.
ما هي إدارة المراجعة الداخلية وما علاقتها بالحوكمة؟
إدارة المراجعة الداخلية هي وظيفة مستقلة داخل المنظمة تقدم خدمات تأكيد ومشورة بهدف تعزيز قدرة المنظمة على تحقيق أهدافها وتحسين الحوكمة وإدارة المخاطر والرقابة. وهي لا تقتصر على فحص القيود المحاسبية؛ فقد تشمل مراجعات التشغيل، والامتثال، والأمن السيبراني، والموردين والأطراف الثالثة، والموارد البشرية، والمشاريع، والمشتريات، والبيانات والأنظمة التقنية.
أما الحوكمة فهي الإطار الأوسع الذي يحدد كيف تُوجَّه المنظمة وتُراقب، ومن يملك القرار، وكيف تُوزع المسؤوليات، وكيف يحصل مجلس الإدارة على المعلومات اللازمة للرقابة. وتأتي المراجعة الداخلية داخل هذا الإطار كمصدر مستقل للتأكيد. المعايير العالمية للمراجعة الداخلية تنظم الوظيفة في خمسة مجالات تشمل غرض المراجعة الداخلية، والأخلاقيات والمهنية، وحوكمة وظيفة المراجعة، وإدارة الوظيفة، وتنفيذ خدمات المراجعة. المعايير العالمية للمراجعة الداخلية – IIA
من المسؤول عن الحوكمة والمخاطر والرقابة داخل الشركة؟
أحد أهم شروط فعالية المراجعة الداخلية هو عدم تحميلها مسؤوليات تخص الإدارة. وفق نموذج الخطوط الثلاثة الحديث، تكون الإدارة التشغيلية هي الأقرب للمخاطر وتملك مسؤولية إدارة العمليات والضوابط اليومية، بينما تقدم وظائف مثل إدارة المخاطر والالتزام دعمًا متخصصًا ومتابعة وتحديًا، وتأتي المراجعة الداخلية كخط مستقل يقدم التأكيد والمشورة إلى مجلس الإدارة.
| الطرف | دوره الأساسي | هل يدير المخاطر والضوابط؟ | علاقته بالمراجعة الداخلية |
|---|---|---|---|
| مجلس الإدارة | التوجيه والإشراف والمساءلة واعتماد الأطر الرئيسية | يشرف على كيفية إدارتها ولا ينفذ الضوابط اليومية | يتلقى التأكيد حول الموضوعات المهمة |
| لجنة المراجعة | الإشراف على التقارير والرقابة والمراجعة الداخلية والخارجية وفق الإطار المطبق | لا تدير العمليات اليومية | تشرف وظيفيًا على المراجعة الداخلية وتحمي استقلالها |
| الإدارة التنفيذية والتشغيلية | تنفيذ الاستراتيجية وتشغيل العمليات وتحقيق الأهداف | نعم، تملك المخاطر والضوابط في عملياتها | تقدم المعلومات وتنفذ الإجراءات التصحيحية المتفق عليها |
| المخاطر والالتزام | الدعم المتخصص، وضع الأطر ضمن صلاحياتها، التحدي والمتابعة | تؤدي أدوار الخط الثاني داخل الإدارة | قد يعتمد المراجع على بعض أعمالها بعد تقييمها دون فقد استقلاله |
| المراجعة الداخلية | تأكيد مستقل ومشورة بشأن الحوكمة والمخاطر والرقابة | لا، لا ينبغي أن تصبح مالكة للمخاطر أو الضوابط | ترفع النتائج بصورة مستقلة إلى الجهات الحاكمة المختصة |
| المراجع الخارجي | إبداء رأي مستقل في القوائم المالية وفق نطاق المراجعة الخارجية | لا | يمكن التنسيق لتقليل الازدواجية ضمن الحدود المهنية |
وقد أصدر معهد المدققين الداخليين في يوليو 2026 نسخة محدثة من موقفه بشأن نموذج الخطوط الثلاثة، تؤكد أن الخط الأول يملك ويدير المخاطر، والخط الثاني يدعم ويراقب ويتحدى، بينما تقدم المراجعة الداخلية في الخط الثالث تأكيدًا ومشورة مستقلين. Statements of Position – The IIA
ما هي مهام إدارة المراجعة الداخلية والحوكمة؟
لا توجد قائمة واحدة ثابتة تنطبق بالطريقة نفسها على كل منشأة، لأن الخطة يجب أن تتبع مخاطر الشركة وقطاعها. ومع ذلك، فإن الاختصاصات الجوهرية تدور حول تقييم الحوكمة وإدارة المخاطر والرقابة، وفحص ما إذا كانت الضوابط مصممة ومطبقة بصورة مناسبة، ثم توصيل النتائج للجهات القادرة على اتخاذ القرار.
- تقييم نظام الرقابة الداخلية: اختبار تصميم الضوابط وفعاليتها التشغيلية في العمليات المالية والتشغيلية والتقنية.
- تقييم الحوكمة: مراجعة وضوح الصلاحيات والمساءلة والتقارير وتعارض المصالح وآليات الإشراف واتخاذ القرار ضمن نطاق المراجعة.
- تقييم إدارة المخاطر: التحقق من وجود عمليات مناسبة لتحديد المخاطر وتقييمها والاستجابة لها ومراقبتها، من دون أن تتولى المراجعة إدارة المخاطر بنفسها.
- مراجعة الالتزام: تقييم الالتزام بالأنظمة واللوائح والعقود والسياسات والإجراءات الداخلية ذات الصلة.
- مراجعة العمليات: تقييم الكفاءة والفعالية واستخدام الموارد ونقاط التعطل والهدر في المشتريات والمخزون والرواتب والمبيعات والمشروعات وغيرها.
- مراجعة التقارير والبيانات: فحص موثوقية المعلومات المالية والتشغيلية ومصادرها والضوابط المحيطة بإعدادها.
- حماية الأصول بصورة رقابية: تقييم ما إذا كانت الضوابط الموضوعة لحماية النقد والمخزون والأصول والبيانات كافية وتعمل كما ينبغي.
- تقييم مخاطر الاحتيال: مراجعة كيفية إدارة المنشأة لمخاطر الاحتيال، واختبار الضوابط، وتحليل المؤشرات عند الحاجة.
- مراجعة التقنية والأمن السيبراني: تقييم الحوكمة التقنية، وإدارة الوصول، واستمرارية الأنظمة، والأمن السيبراني والمخاطر الرقمية عندما تدخل في الخطة.
- مراجعة الأطراف الثالثة: تقييم مخاطر الموردين ومقدمي الخدمات والاستعانة بمصادر خارجية والعقود والرقابة على الأطراف الخارجية.
- تقديم خدمات استشارية: تقديم رأي أو مشورة بشأن مشروع أو نظام أو إجراء جديد بشرط عدم اتخاذ قرارات الإدارة أو تصميم الضوابط ثم مراجعة العمل نفسه دون ضمانات مناسبة.
- التقرير والمتابعة: عرض النتائج والأسباب والآثار والتوصيات أو خطط العمل، ثم متابعة ما إذا عولجت المخاطر المتبقية فعلًا.
وللتعمق في اختلاف نطاقات المهام، يمكن مراجعة دليل أنواع المراجعة الداخلية بدل تحويل هذه الصفحة إلى شرح منفصل لكل نوع.
ما المهام التي لا ينبغي أن تتولاها المراجعة الداخلية؟
قيمة المراجعة الداخلية تأتي من قدرتها على إعطاء رأي مستقل. وإذا تولت الإدارة الفعلية للعمل الذي ستراجعه، يصبح من الصعب عليها تقييمه بموضوعية. لذلك يجب التفريق بين المشورة وبين تحمل مسؤولية إدارية.
- لا تملك المخاطر نيابة عن الإدارات التشغيلية.
- لا تعتمد العمليات التجارية اليومية أو المدفوعات والمشتريات كبديل عن المسؤول التنفيذي.
- لا تضع شهية المخاطر أو تقرر مستوى المخاطر الذي ستقبله الشركة نيابة عن مجلس الإدارة والإدارة.
- لا تصبح هي المسؤولة عن وظيفة الالتزام أو الأمن أو إدارة المخاطر ثم تقدم تأكيدًا مستقلًا على عملها دون معالجة تعارض الدور.
- لا تعد القوائم المالية ثم تقدم تأكيدًا مستقلًا عليها باعتبارها وظيفة مراجعة داخلية.
- لا تتحمل المسؤولية الأولى عن منع الاحتيال.
- لا تنفذ الإجراءات التصحيحية بدل الإدارة؛ بل تتحقق من تنفيذها وكفايتها.
المعيار المهني لا يمنع تقديم المشورة، لكن المشورة يجب ألا تتحول إلى قرار إداري. وهذا التفريق أصبح أوضح في نموذج الخطوط الثلاثة المحدث: التأكيد والمشورة يمكن أن يتعاونا مع الإدارة، لكن المراجع لا يتولى مسؤولية الإدارة.
دور المراجعة الداخلية في الحوكمة
تساهم المراجعة الداخلية في الحوكمة من خلال اختبار ما إذا كان الإطار الذي وضعته المنظمة يعمل في الواقع. فقد تكون لدى الشركة لوائح وسياسات معتمدة، لكن السؤال الرقابي هو: هل الصلاحيات مطبقة؟ هل حالات تعارض المصالح يتم الإفصاح عنها ومعالجتها؟ هل مجلس الإدارة ولجانه يتلقون معلومات موثوقة وفي الوقت المناسب؟ هل المخاطر المهمة تصل إلى المستوى المناسب؟ وهل الملاحظات السابقة تُغلق معالجةً للسبب الجذري لا بإجراء شكلي؟
لذلك فإن المراجعة الداخلية لا «تدير الحوكمة»، بل تقدم للجهة الحاكمة تأكيدًا مستقلًا حول مدى كفاية ممارساتها وفعاليتها ضمن نطاق الخطة. ويمكن ربط هذا الدور بموضوع آليات حوكمة الشركات الداخلية والخارجية لفهم الإطار الأشمل الذي تعمل داخله وظيفة المراجعة.
استقلالية إدارة المراجعة الداخلية وعلاقتها بلجنة المراجعة
الاستقلالية التنظيمية ليست مجرد أن يكون اسم «المراجعة الداخلية» منفصلًا في الهيكل. يجب أن يكون للوظيفة وصول مباشر إلى مجلس الإدارة أو لجنة المراجعة بحسب الإطار المطبق، وأن تكون لديها صلاحية الوصول إلى السجلات والموظفين والمعلومات اللازمة، وألا يتمكن المسؤول التنفيذي عن نشاط محل المراجعة من منع نطاق الفحص أو تعديل النتيجة.
ومن الممارسات المهنية المهمة أن تكون الأمور الوظيفية الجوهرية – مثل اعتماد الميثاق والخطة والميزانية وتقييم أداء رئيس المراجعة ومسائل تعيينه أو عزله وفق النظام المطبق – تحت إشراف مجلس الإدارة أو لجنة المراجعة، بينما قد تمر الجوانب الإدارية اليومية عبر الإدارة التنفيذية. الفكرة هي منع الإدارة الخاضعة للمراجعة من التحكم في نطاق المراجعة أو نتائجها.
وفي لائحة حوكمة الشركات الحالية لهيئة السوق المالية، تتناول المواد الخاصة بالرقابة الداخلية إنشاء وظيفة المراجعة الداخلية، واستقلال العاملين فيها، ومسؤوليتهم أمام لجنة المراجعة، وحقهم في الوصول إلى المعلومات والوثائق دون قيود. Corporate Governance Regulations – CMA
ميثاق المراجعة الداخلية: الوثيقة التي تحدد السلطة والمسؤولية
قبل تنفيذ الخطة، تحتاج الوظيفة إلى ميثاق مراجعة داخلية Internal Audit Charter يوضح الغرض والسلطة والمسؤولية والموقع التنظيمي ونطاق الخدمات وحق الوصول إلى البيانات والموظفين، إضافة إلى العلاقة مع مجلس الإدارة ولجنة المراجعة والإدارة التنفيذية.
الميثاق الجيد يمنع النزاعات قبل حدوثها. فإذا طلب مدير منع المراجع من الاطلاع على عقد حساس، أو طلبت الإدارة من المراجعة اعتماد عملية تشغيلية، يمكن الرجوع إلى الميثاق لتحديد الحدود. كما يجب تحديثه عند تغير المعايير أو التنظيم أو هيكل الشركة أو نطاق عمل الوظيفة، لا أن يبقى وثيقة تأسيس لا تُراجع.
المعايير العالمية الحالية تضع «التفويض من مجلس الإدارة» و«التموضع المستقل» و«الإشراف من مجلس الإدارة» ضمن المبادئ الأساسية لحوكمة وظيفة المراجعة الداخلية. Global Internal Audit Standards
كيف تُعد خطة المراجعة الداخلية المبنية على المخاطر؟
الخطة المهنية لا تبدأ بقائمة ثابتة مثل «راجع الصندوق كل شهر والمخزون كل أسبوع». تبدأ بفهم أهداف المنشأة ومخاطرها والتغييرات في السوق والأنظمة والتقنية، ثم بناء أو تحديث Audit Universe يشمل الوحدات والعمليات والأنظمة والمشروعات القابلة للمراجعة، وتقييم أولوية كل مجال.
عند تحديد الأولويات تؤخذ في الاعتبار احتمالية الخطر وتأثيره، نتائج المراجعات السابقة، التغييرات الكبيرة، الشكاوى والحوادث، المخاطر الناشئة، متطلبات الجهات الرقابية، مدخلات مجلس الإدارة والإدارة، وتوافر الموارد والمهارات. ثم تُحوّل الأولويات إلى خطة سنوية أو متعددة السنوات يتم تحديثها مع تغير المخاطر.
وهذا يفسر لماذا لا يكون جدول «مهام يومية وأسبوعية وشهرية» هو أفضل وصف لوظيفة المراجعة الداخلية في جميع الشركات. قد تستخدم بعض الوظائف المراجعة المستمرة وتحليلات البيانات، لكن الأساس هو التغطية المبنية على المخاطر. وفي بعض القطاعات الخاضعة للبنك المركزي السعودي تنص القواعد صراحة على خطة سنوية مبنية على المخاطر تعتمدها لجنة المراجعة وتُحدث سنويًا. SAMA Rulebook – خطة المراجعة الداخلية
مراحل تنفيذ مهمة المراجعة الداخلية
بعد اعتماد الخطة تبدأ كل مهمة بنطاق وأهداف محددة. وتختلف التفاصيل حسب طبيعة المهمة، لكن المسار العملي عادةً يكون:
- التخطيط: فهم العملية وأهدافها ومخاطرها والضوابط الحالية والنتائج السابقة.
- تحديد النطاق والأهداف: تحديد ما سيتم فحصه والفترة والمواقع والأنظمة التي تدخل في المهمة.
- تقييم المخاطر والضوابط: ربط المخاطر بأهداف العملية وتحديد الضوابط الرئيسية المراد اختبارها.
- تصميم برنامج الاختبارات: تحديد العينات والتحليلات والاستفسارات والمشاهدات والفحوص التي ستنتج أدلة كافية وموثوقة.
- تنفيذ العمل الميداني: جمع الأدلة، تحليل الاستثناءات، ومناقشة الوقائع مع أصحاب العملية.
- تطوير النتائج: توضيح الحالة والمعيار أو التوقع والسبب والأثر أو الخطر، بحسب منهجية الوظيفة.
- مناقشة خطط المعالجة: الاتفاق مع الإدارة على إجراءات واقعية ومسؤول وموعد، دون أن يصبح المراجع مالكًا للإجراء.
- إصدار التقرير: توصيل ما يهم أصحاب القرار بوضوح وترتيب الأولويات حسب المخاطر.
- المتابعة: التحقق من تنفيذ الإجراءات ومن أن الخطر عولج بصورة كافية، لا مجرد إغلاق الملاحظة إداريًا.
إذا كنت تريد شرحًا أوسع لرحلة التدقيق نفسها، فصفحة التدقيق الداخلي في الشركات مناسبة للتوسع في المنهجية دون تكرار المحتوى هنا.
ماذا يجب أن يتضمن تقرير المراجعة الداخلية؟
التقرير الفعال لا يقاس بعدد الصفحات، بل بقدرته على توصيل ما يحتاجه متخذ القرار. يجب أن يوضح هدف المهمة ونطاقها، والاستنتاج العام عند استخدامه، والنتائج المهمة، والخطر المرتبط بكل نتيجة، والإجراءات التصحيحية والمسؤولين والمواعيد، وأي مخاطر قبلتها الإدارة بصورة تستدعي تصعيدًا وفق سياسة المنشأة.
كما يجب أن تكون النتائج مدعومة بأدلة وأن تفرق بين المشكلة والسبب الجذري. فإذا وُجدت فاتورة دون اعتماد، قد لا يكون الحل هو «الحصول على توقيع بأثر رجعي» فقط؛ بل قد يكون السبب ضعف سير الموافقات أو صلاحيات النظام أو التدريب. التوصية الجيدة توجه الإدارة إلى معالجة السبب الذي يسمح بتكرار المشكلة.
وعلى مستوى وظيفة المراجعة، يحتاج مجلس الإدارة أو لجنة المراجعة إلى رؤية تتجاوز التقارير الفردية: أداء الخطة، الملاحظات مرتفعة المخاطر، الملاحظات المتأخرة، اتجاهات الأسباب الجذرية، القيود على نطاق العمل، الموارد والمهارات، ومسائل الاستقلال والجودة.
دور المراجعة الداخلية في الاحتيال: ما الصحيح؟
المراجعة الداخلية ليست المالك الأول لمسؤولية منع الاحتيال. الإدارة هي المسؤولة بصورة أساسية عن تصميم وتشغيل الضوابط ومراقبة العمليات التي تمنع وتكتشف الاحتيال، بينما تقيم المراجعة الداخلية مخاطر الاحتيال وكيفية إدارتها، وتختبر الضوابط، وقد تستخدم تحليل البيانات لاكتشاف مؤشرات أو أنماط غير طبيعية وتوصي بتحقيق متخصص عند الحاجة.
وقد تشارك المراجعة الداخلية في تحقيقات معينة إذا كان ذلك ضمن ميثاقها ولديها الكفاءات المناسبة، لكن لا ينبغي افتراض أن كل مراجع داخلي خبير تحقيق جنائي أو فحص احتيال. معهد المدققين الداخليين يؤكد أن الإدارة لديها المسؤولية الأساسية عن مراقبة وضبط العمليات لمنع وردع واكتشاف الاحتيال، بينما تتعامل المراجعة مع الخطر من منظور التأكيد والتقييم والاستجابة المهنية. The Role of the Internal Auditor: Fraud Risk – IIA, 2026
تحديث 2026: ما الذي تغير في معايير المراجعة الداخلية؟
دخلت Global Internal Audit Standards الجديدة حيز التطبيق في 9 يناير 2025، وأصبحت المرجع المهني الحالي بدل إطار 2017. وهي تركز بصورة أوضح على دور مجلس الإدارة في حوكمة وظيفة المراجعة، والاستقلالية، والتخطيط الاستراتيجي، وإدارة الموارد، وقياس الأداء والجودة، إضافة إلى تخطيط وتنفيذ المهام والتواصل والمتابعة.
وفي 2026 بدأ تطبيق Topical Requirements في موضوعات مرتفعة المخاطر. أصبح متطلب الأمن السيبراني نافذًا في 5 فبراير 2026، بينما يصبح متطلب الأطراف الثالثة نافذًا في 15 سبتمبر 2026. وبما أن تاريخ تحديث هذا الدليل هو 9 سبتمبر 2026، فإن متطلب الأطراف الثالثة لم يدخل حيز التطبيق بعد لكنه يفصلنا عنه أيام قليلة. كما يصبح متطلب السلوك التنظيمي نافذًا في ديسمبر 2026. هذه المتطلبات تُطبق عندما تقدم وظيفة المراجعة خدمات تأكيد على الموضوع المشمول وفق قواعد الانطباق. Topical Requirements – The IIA
| التحديث | التاريخ | أثره على وظيفة المراجعة |
|---|---|---|
| Global Internal Audit Standards | نافذة منذ 9 يناير 2025 | تحديث الميثاق والمنهجية والحوكمة والخطة والجودة وأسلوب تنفيذ المهام |
| Cybersecurity Topical Requirement | نافذ منذ 5 فبراير 2026 | مرجع إلزامي عند تقديم تأكيد داخلي على الأمن السيبراني وفق شروط الانطباق |
| Three Lines Model المحدث | صدر 8 يوليو 2026 | يوضح ملكية الإدارة للمخاطر ودور الخط الثاني واستقلال التأكيد في الخط الثالث |
| Third-Party Topical Requirement | يصبح نافذًا 15 سبتمبر 2026 | يزيد اتساق مراجعات الموردين والاستعانة بمصادر خارجية والأطراف الثالثة |
متطلبات المراجعة الداخلية في السعودية تختلف حسب نوع المنشأة
ليس صحيحًا أن كل منشأة سعودية، مهما كان شكلها وحجمها، ملزمة بالمتطلبات نفسها لإنشاء إدارة مراجعة داخلية. الإطار النظامي يعتمد على الشكل القانوني والقطاع وما إذا كانت المنشأة مدرجة أو خاضعة لجهة رقابية متخصصة. لذلك يجب تحديد النظام المنطبق قبل كتابة الهيكل أو الميثاق.
| نوع الجهة | الإطار الأهم | ما الذي يجب مراجعته؟ |
|---|---|---|
| الشركات المساهمة المدرجة | لائحة حوكمة الشركات – هيئة السوق المالية | الرقابة الداخلية، وظيفة المراجعة، الاستقلال، لجنة المراجعة، الخطة والتقارير وفق النص الحالي |
| البنوك وشركات التمويل وجهات مالية أخرى | قواعد وتعليمات البنك المركزي السعودي أو هيئة السوق المالية بحسب النشاط | المتطلبات القطاعية، الخطة المبنية على المخاطر، تكرار بعض المراجعات والتقارير |
| الأجهزة الحكومية والمؤسسات العامة | اللائحة الموحدة لوحدات المراجعة الداخلية واللوائح التنظيمية ذات الصلة | الاستقلال، حماية المال العام، الامتثال، كفاءة العمليات وسلامة الرقابة |
| الشركات الخاصة غير الخاضعة لتنظيم قطاعي خاص | نظام الشركات والأنظمة ذات العلاقة + إطار الحوكمة الداخلي والمعايير المهنية التي تتبناها المنشأة | تحديد الحاجة بناء على الحجم والمخاطر والملكية ومتطلبات الممولين والمستثمرين والعقود |
المراجعة الداخلية في الشركات المدرجة وفق لائحة حوكمة الشركات
تقدم لائحة حوكمة الشركات الحالية مثالًا واضحًا على العلاقة بين الحوكمة والمراجعة الداخلية. فالمجلس يعتمد نظام الرقابة الداخلية، وتنص اللائحة على إنشاء وحدات أو إدارات لتقييم وإدارة المخاطر وللمراجعة الداخلية. كما تجيز الاستعانة بجهات خارجية لتنفيذ مهام هذه الوظائف دون أن تنتقل مسؤولية الشركة عنها إلى مقدم الخدمة.
وتنص الأحكام الحالية على أن وظيفة المراجعة الداخلية تقيم وتراقب تطبيق نظام الرقابة الداخلية وتتحقق من التزام الشركة وموظفيها بالأنظمة واللوائح والتعليمات والسياسات والإجراءات. كما تنظم تكوين الوظيفة بما يدعم كفاءة العاملين واستقلالهم، ومسؤولية المراجع أمام لجنة المراجعة، والوصول إلى المعلومات والوثائق دون قيود. لائحة حوكمة الشركات – هيئة السوق المالية
لذلك فإن إنشاء وظيفة مراجعة لشركة مدرجة لا ينبغي أن يبدأ بنسخ وصف وظيفي عام؛ بل بمراجعة النص التنظيمي الحالي، ثم مواءمة الميثاق والهيكل والخطة والتقارير معه.
المراجعة الداخلية في الجهات الحكومية
في القطاع الحكومي توجد خلفية تنظيمية مستقلة عن الشركات التجارية. أُنشئت وحدات المراجعة الداخلية في الأجهزة الحكومية استنادًا إلى قرارات مجلس الوزراء، واعتمدت اللائحة الموحدة لوحدات المراجعة الداخلية في الأجهزة الحكومية والمؤسسات العامة بقرار مجلس الوزراء رقم 129 بتاريخ 6/4/1428هـ.
وتشمل أهداف هذه الوحدات حماية الأموال والممتلكات العامة، والحد من الغش والأخطاء، وضمان دقة البيانات والسجلات، ورفع كفاءة العمليات الإدارية والمالية، والتقيد بالأنظمة والتعليمات، وتقييم سلامة أنظمة الرقابة الداخلية وفعاليتها. هذه الطبيعة العامة تختلف في بعض تفاصيلها التنظيمية عن شركة مساهمة مدرجة، حتى وإن اشتركت المبادئ المهنية الأساسية. وزارة التعليم – المراجعة الداخلية واللائحة الموحدة
هل يمكن إسناد المراجعة الداخلية إلى طرف خارجي؟
نعم في حالات كثيرة يمكن تنفيذ الوظيفة بنموذج Outsourcing أو Co-sourcing، لكن السماح والضوابط يعتمد على النظام والقطاع. قد يكون الإسناد الكامل مناسبًا لشركة لا تملك فريقًا داخليًا، بينما تستخدم شركات أخرى نموذج المشاركة مع فريق داخلي للحصول على خبرات تقنية أو تغطية مناطق معينة مثل الأمن السيبراني والتحليلات.
المهم أن الإسناد لا يلغي مسؤولية مجلس الإدارة والإدارة عن الحوكمة والرقابة، ولا يحول مقدم الخدمة إلى مالك للمخاطر. وفي الشركات الخاضعة للائحة حوكمة هيئة السوق المالية، تسمح اللائحة بالاستعانة بجهات خارجية لأداء مهام وحدات المخاطر والمراجعة الداخلية مع بقاء الشركة مسؤولة عن تلك المهام.
كما أن الاستعانة بمقدم خارجي لا تعني تجاهل جودة الوظيفة واستقلالها أو متطلبات الميثاق والخطة والتقارير. معيار الجودة المهني ينطبق على الوظيفة سواء كانت داخلية بالكامل أو مستعانًا بها من الخارج.
برنامج ضمان وتحسين الجودة للمراجعة الداخلية
الإدارة الفعالة لا تراجع الآخرين فقط؛ يجب أن تقيم جودة عملها هي أيضًا. وفق المعايير العالمية، على رئيس المراجعة تطوير برنامج لضمان وتحسين الجودة QAIP يغطي جميع جوانب الوظيفة، ويشمل التقييمات الداخلية المستمرة والدورية ومتابعة الأداء والتحسين.
كما تتطلب المعايير تقييمًا خارجيًا للجودة مرة واحدة على الأقل كل خمس سنوات بواسطة مقيم أو فريق مستقل ومؤهل، أو من خلال تقييم ذاتي مع تحقق مستقل وفق الشروط المهنية. لذلك إذا كانت الإدارة تقول إنها «ملتزمة بالمعايير العالمية»، يجب أن يكون لديها دليل على جودة المنهجية والأداء لا مجرد استخدام اسم IIA في السياسات. Quality Assurance and Improvement Program – IIA
الفرق بين المراجعة الداخلية ولجنة المراجعة والمراجعة الخارجية
| المقارنة | المراجعة الداخلية | لجنة المراجعة | المراجع الخارجي |
|---|---|---|---|
| الهدف | تأكيد ومشورة على الحوكمة والمخاطر والرقابة والعمليات | الإشراف والرقابة على موضوعات محددة ضمن صلاحياتها | إبداء رأي مهني مستقل في القوائم المالية ضمن نطاق المراجعة |
| النطاق | واسع ومبني على مخاطر المنظمة | إشرافي وليس تنفيذ مهام المراجعة اليومية | يركز على ما يلزم للمراجعة الخارجية والتقرير المهني |
| العلاقة بالإدارة | تتعاون معها مع الحفاظ على الاستقلال والموضوعية | تراقب وتتلقى تقارير وتوصيات | مستقل عن الشركة |
| التكرار | مستمر وفق خطة ومهام دورية ومخاطر ناشئة | وفق جدول اجتماعاتها ومسؤولياتها | دوري بحسب متطلبات المراجعة النظامية والتعاقد |
كيف تقيس فعالية إدارة المراجعة الداخلية؟
قياس الفعالية لا ينبغي أن يقتصر على «عدد التقارير الصادرة» أو نسبة إغلاق الخطة. فقد تنجز الإدارة 100% من خطتها لكنها تراجع مخاطر منخفضة القيمة، أو تصدر عشرات الملاحظات التي لا تعالج أسبابًا مهمة. الأفضل استخدام مجموعة متوازنة من المؤشرات.
- نسبة تغطية المخاطر الأعلى أولوية مقارنة بخريطة المخاطر والخطة.
- مدى إنجاز الخطة وأسباب أي تغيير جوهري فيها.
- زمن دورة المهمة من التخطيط إلى التقرير دون التضحية بالجودة.
- نسبة الملاحظات مرتفعة المخاطر المتأخرة وخطورة المخاطر المتبقية.
- تكرار الأسباب الجذرية نفسها عبر إدارات أو سنوات مختلفة.
- رضا مجلس الإدارة ولجنة المراجعة وأصحاب المصلحة عن وضوح التقارير وقيمتها.
- مدى كفاية الموارد والمهارات مقارنة بمخاطر الخطة.
- نتائج التقييمات الداخلية والخارجية للجودة.
- قدرة الوظيفة على التعامل مع المخاطر الناشئة دون فقد استقلالها.
سيناريوهات عملية توضح دور المراجعة الداخلية
هذه أمثلة توضيحية وليست حالات واقعية من عملاء بعينهم. الهدف منها توضيح الفرق بين إدارة العملية ومراجعتها.
في المشتريات قد تلاحظ المراجعة أن مستخدمًا واحدًا يستطيع إنشاء مورد وتسجيل فاتورته ورفع طلب الدفع. لا تقوم المراجعة بإدارة الموردين بدل المشتريات، بل تحدد خطر ضعف فصل المهام، تختبر مدى حدوث استثناءات، وتوصي بضوابط وصلاحيات مناسبة ثم تتابع التنفيذ.
في الرواتب قد تطابق المراجعة بيانات الموارد البشرية مع ملف الرواتب والتحويلات وتكتشف حسابات أو بدلات لا تتفق مع الموافقات. ترفع النتيجة للإدارة المعنية، بينما تظل الموارد البشرية والمالية مسؤولتين عن تصحيح العملية وتشغيل الضوابط مستقبلًا.
في الأمن السيبراني قد تراجع الإدارة حوكمة الوصول وإدارة الحسابات المميزة والاستجابة للحوادث ووعي الموظفين. ومع دخول متطلب الأمن السيبراني الموضوعي للـIIA حيز التطبيق في 2026، يجب على الوظيفة التي تقدم تأكيدًا في هذا الموضوع تقييم انطباق المتطلب ومواءمة منهجية المهمة معه.
أخطاء شائعة تضعف إدارة المراجعة الداخلية والحوكمة
- ربط المراجعة إداريًا ووظيفيًا بالمسؤول الذي تراجع أعماله: ما قد يضعف الاستقلال الحقيقي حتى لو كان الهيكل شكليًا سليمًا.
- تحويل المراجعة إلى تفتيش معاملات فقط: وإهمال الاستراتيجية والحوكمة والمخاطر والتقنية.
- خطة ثابتة تتكرر كل سنة: دون تحديثها للمخاطر الجديدة أو التغييرات التنظيمية.
- خلط دور المراجعة بإدارة المخاطر: فيصبح المراجع مسؤولًا عن الخطر الذي سيقيم لاحقًا طريقة إدارته.
- اعتبار الاحتيال مسؤولية المراجعة وحدها: ما يضعف ملكية الإدارة للضوابط والوقاية.
- ملاحظات بلا سبب جذري: فتُغلق الأعراض وتعود المشكلة نفسها.
- غياب متابعة قوية: تقرير ممتاز لا يضيف قيمة إذا ظلت المخاطر مرتفعة دون معالجة أو تصعيد.
- تجاهل جودة الوظيفة: عدم وجود QAIP أو تقييم خارجي عندما تتبنى الوظيفة معايير IIA.
- التوسع في العمل الاستشاري دون ضمانات: حتى تصبح المراجعة مسؤولة عن تصميم وتنفيذ ما ستراجعه.
- عدم تحديث المنهجية للمعايير الجديدة: خصوصًا متطلبات 2025 و2026 المتعلقة بالحوكمة والموضوعات عالية المخاطر.
ولفهم أثر المراجعة تحديدًا على بيئة الضبط، يمكن الرجوع إلى دور المراجع الداخلي في تحسين نظام الرقابة الداخلية.
كيف تساعد حلول التصنيف في تطوير وظيفة المراجعة الداخلية؟
تختلف احتياجات المنشآت بين تأسيس وظيفة من الصفر، أو تطوير وظيفة قائمة، أو الاستعانة بخبرات خارجية لتغطية جزء من الخطة. ويمكن أن يبدأ العمل بتقييم الوضع الحالي مقابل المتطلبات التنظيمية والمعايير المهنية، ثم تطوير الميثاق ومنهجية تقييم المخاطر وخطة المراجعة وقوالب العمل والتقارير وآلية متابعة الملاحظات ومؤشرات الأداء.
تساعد حلول التصنيف المنشآت في تنظيم أعمال المراجعة والرقابة والحوكمة بحسب نطاق التعاقد وطبيعة المنشأة، مع ضرورة تحديد الجهة التنظيمية المطبقة ومتطلبات الاستقلال قبل تصميم النموذج. والهدف ليس تحويل المراجعة الداخلية إلى إدارة تشغيلية جديدة، بل بناء وظيفة قادرة على إعطاء الإدارة العليا ومجلس الإدارة معلومات مستقلة وقابلة للتنفيذ عن المخاطر والضوابط.
الأسئلة الشائعة عن مهام إدارة المراجعة الداخلية والحوكمة
ما هي أهم مهام إدارة المراجعة الداخلية والحوكمة؟
أهم المهام هي تقييم الحوكمة وإدارة المخاطر والرقابة الداخلية، ومراجعة الالتزام والعمليات والتقارير والأنظمة، وتقييم مخاطر الاحتيال، ورفع النتائج والتوصيات، ثم متابعة الإجراءات التصحيحية. ويتحدد نطاق الخطة الفعلي وفق مخاطر المنشأة ومتطلبات القطاع.
هل المراجعة الداخلية مسؤولة عن إدارة المخاطر؟
لا، الإدارة هي التي تملك وتدير المخاطر، بينما تقيم المراجعة الداخلية فعالية عملية إدارة المخاطر وتقدم تأكيدًا ومشورة مستقلة. إذا تولت المراجعة مسؤولية إدارة الخطر نفسه فقد تتأثر قدرتها على مراجعته بموضوعية.
ما علاقة المراجعة الداخلية بالحوكمة؟
تدعم المراجعة الداخلية الحوكمة بتقديم تقييم مستقل لمدى فعالية الصلاحيات والمساءلة والرقابة وإدارة المخاطر والالتزام وتدفق المعلومات إلى مجلس الإدارة. لكنها لا تحل محل مجلس الإدارة أو لجنة المراجعة أو الإدارة التنفيذية في مسؤولياتهم.
لمن ترفع إدارة المراجعة الداخلية تقاريرها؟
يجب أن يكون للوظيفة وصول وظيفي مباشر إلى مجلس الإدارة أو لجنة المراجعة بحسب هيكل المنشأة والنظام المطبق، مع ترتيبات إدارية لا تضعف استقلالها. في الشركات المدرجة تنظم لائحة حوكمة الشركات علاقتها ومسؤوليتها أمام لجنة المراجعة.
هل المراجع الداخلي مسؤول عن منع الاحتيال؟
لا، المسؤولية الأساسية عن منع واكتشاف الاحتيال من خلال تشغيل الضوابط تقع على الإدارة. دور المراجعة الداخلية هو تقييم مخاطر الاحتيال وفعالية الضوابط وتحليل المؤشرات وتقديم التأكيد أو التوصية بتحقيق عند الحاجة.
هل كل شركة سعودية ملزمة بإنشاء إدارة مراجعة داخلية؟
لا توجد قاعدة واحدة تجعل المتطلبات نفسها إلزامية على جميع الشركات السعودية مهما كان نوعها. الالتزام يعتمد على الشكل القانوني والقطاع والجهة الرقابية؛ فالشركات المدرجة والجهات المالية والجهات الحكومية لديها أطر تنظيمية محددة يجب الرجوع إليها.
هل يمكن الاستعانة بمكتب خارجي لتنفيذ المراجعة الداخلية؟
نعم، يمكن استخدام الإسناد الخارجي أو المشترك في حالات كثيرة إذا سمح الإطار التنظيمي بذلك. لكن الاستعانة بطرف خارجي لا تنقل مسؤولية مجلس الإدارة والإدارة عن الحوكمة والرقابة، ويجب الحفاظ على استقلال وظيفة المراجعة وجودتها.
كيف تُعد خطة المراجعة الداخلية؟
تبدأ الخطة بتقييم أهداف المنشأة ومخاطرها وبناء مجالات المراجعة وتحديد الأولويات، ثم توزيع الموارد والمهارات على المجالات الأعلى أهمية. ويجب تحديث الخطة عند تغير المخاطر بدل تكرار الجدول نفسه كل عام.
ما الجديد في معايير المراجعة الداخلية في 2026؟
المعايير العالمية الجديدة نافذة منذ يناير 2025، وأصبح متطلب الأمن السيبراني الموضوعي نافذًا في فبراير 2026، بينما يصبح متطلب الأطراف الثالثة نافذًا في 15 سبتمبر 2026. كما أصدر IIA نموذج الخطوط الثلاثة المحدث في يوليو 2026.
كيف أعرف أن إدارة المراجعة الداخلية فعالة؟
تظهر الفعالية في تغطية المخاطر المهمة، واستقلال الوظيفة، وجودة التقارير، ومعالجة الملاحظات، وكفاية المهارات والموارد، ورضا لجنة المراجعة عن القيمة المقدمة. كما ينبغي وجود برنامج ضمان وتحسين جودة وتقييمات دورية وفق المعايير التي تتبناها الوظيفة.
الخلاصة
مهام إدارة المراجعة الداخلية والحوكمة لا تختصر في فحص الفواتير واكتشاف الأخطاء. الوظيفة الحديثة تمنح مجلس الإدارة ولجنة المراجعة رؤية مستقلة حول الحوكمة والمخاطر والرقابة والالتزام وكفاءة العمليات، وتساعد الإدارة بالمشورة دون أن تستولي على مسؤولياتها.
ولبناء وظيفة فعالة في السعودية يجب الجمع بين ثلاثة مستويات: المتطلبات النظامية الخاصة بنوع المنشأة، والمعايير المهنية العالمية الحالية، والمخاطر الفعلية لنشاط الشركة. في 2026 أصبح تحديث الميثاق والمنهجية والخطة أكثر أهمية مع تطبيق المعايير العالمية الجديدة ومتطلبات الأمن السيبراني وقرب نفاذ متطلب الأطراف الثالثة. والنتيجة المطلوبة ليست «زيادة عدد الملاحظات»، بل رفع جودة الرقابة والمساءلة والقرارات بصورة قابلة للقياس والمتابعة.
