أساليب الرقابة الداخلية

أساليب الرقابة الداخلية
في نظم المعلومات المحاسبيةالإلكترونية

تعد إجراءات الرقابة اكثر أهمية في نظم المعلوماتالمحاسبية الإلكترونية عن تلك المتبعة في نظم اليدوية لعدة أسباب أهمها :
1. يتم معالجة قدر كبير من البيانات المحاسبية بواسطة الكومبيوتر يفوق تلك التي تعالجيدوياً مما ينتج عنه زيادة احتمال ارتكاب أخطاء .
2. يتم جمع ومعالجة وتخزينبيانات العمليات المحاسبية في صورة غير قابلة للقراءة لا يمكن للإنسان مراقبة هذهالبيانات والتحقق من دقتها وموضوعيتها والتي كان يسهل إجرائها تحت النظام اليدويللمعلومات المحاسبية .
3. يصعب تتبع مسار التدقيق مما قد يترتب عليه احتمالقيام الموظفين غير الأمناء باختلاس مبالغ طائلة من الوحدات الأقتصادية التي يعملونبها .

مفهوم وأساليب الرقابة على التطبيقات
يطلق مصطلح "أساليب الرقابةعلى التطبيقات" على تلك الأساليب المستخدمة في نظم المعلومات المحاسبيةالإلكترونية، وهي تتعلق بوظائف خاصة يقوم بأدائها قسم معالجة البيانات إلكترونيا ،وتهدف إلى توفير درجة تأكد معقولة من سلامة عمليات تسجيل ومعالجة البيانات وإعدادالتقارير. وهناك عدد من الإجراءات والسجلات التي يمكن أن تؤثر على أساليب الرقابةعلى التطبيقات.
وتقسم غالباً أساليب الرقابة على التطبيقات إلى ثلاثة مجموعاتوهي : أساليب الرقابة على المدخلات وأساليب الرقابة على معالجة البيانات وأساليبالرقابة على المخرجات.

1. أساليب الرقابة على المدخلات Input control :
وتهدف إلى توفير درجة تأكد معقولة من صحة اعتماد البيانات التي يتسلمها قسممعالجة البيانات EDP بواسطة موظفي مختص ومن سلامة تحويلها بصورة تمكن الكمبيوتر منالتعرف عليها . ومن عدم فقدانها أو الإضافة إليها أو حذف جزء منها أو طبع صورة منهاأو عمل أي تعديلات غير مشروعة في البيانات المرسلة حتى وان كان ذلك من خلال خطوطالاتصال المباشرة . وتشمل أساليب الرقابة على المدخلات على تلك الأساليب التي تتعلقبرفض وتصحيح وإعادة إدخال البيانات السابقة رفضها .
2. أساليب الرقابة علىمعالجة البيانات Processing control :
وتهدف إلى توفير درجة تأكد معقولة منتنفيذ عمليات معالجة البيانات إلكترونيا طبقاً للتطبيقات المحددة ، بمعنى معالجةكافة العمليات كما صرح بها وعدم إغفال معالجة عمليات صرح بها وعدم معالجة أي عملياتلم يصرح بها .
3. أساليب الرقابة على المخرجات Out put control :
وتهدف إلىتأكيد دقة مخرجات عمليات معالجة البيانات (مثل قوائم الحسابات أو التقارير أو أشرطةالملفات الممغنطة أو الشيكات المصدرة) وتداول هذه المخرجات بواسطة الأشخاص المصرحلهم فقط بذلك .
يتضح من ذلك أن الهدف الرئيسي الأساليب الرقابة على التطبيقاتهو تأكيد صحة وشمولية عمليات معالجة البيانات المحاسبية وان لا توزع تلك البياناتالتي تم معالجتها إلا على الأشخاص المصرح لهم بتداولها .
وتعد غالبية أساليبالرقابة على التطبيقات أساليب رقابة وقائية اكثر من كونها رقابة بالتغذية العكسية . ويضمن العديد منها هدف اكتشاف الأخطاء التي يصعب اكتشافها في غياب مثل هذه الأساليب، إذ يمثل ذلك عاملاً هاماً في ظل النظم الإلكترونية حيث يفقد عنصر الفراسة والفطنةالبشرية وقدرة الإنسان على الحكم أهميته في ظل هذه النظم.
ويمكن وضع إطار لنظاممتكامل للرقابة الداخلية يقوم على المفهوم الواسع للرقابة الداخلية ، حيث يقسم إلىثلاثة نظم فرعية هي:
الرقابة الإدارية ، الرقابة المحاسبية ، والرقابةالتشغيلية . ولكل نظام من النظم الفرعية هدف يسعى إلى تحقيقه من خلال مجموعة منالإجراءات الرقابية الملائمة . وتتكامل هذه النظم الفرعية لتحقيق في النهاية الهدفالعام النظام الرقابة الداخلية وهو منع أو اكتشاف أو الرقابة على تصحيح الأخطاءوالمخالفات وتدنية خسائرها .

الرقابة الإدارية
لتحقيق أهداف الرقابةالإدارية في ظل نظم التشغيل الإلكتروني للبيانات ينبغي أن تتضمن ما يأتي :
أولاً. الرقابة التنظيمية :
لقد عرف معهد المحاسبين القانونين الكنديالرقابة التنظيمية في ظل نظم التشغيل الإلكتروني للبيانات ، بأنها تقسيم المهامداخل وخارج قسم التشغيل الإلكتروني للبيانات ، وذلك بهدف تدنية الأخطاء والمخالفاتفي ظل استخدام هذه النظم.
وتقوم الرقابة التنظيمية على وجود خطة تنظيمية سليمةتحدد الإدارات والأقسام التي تشملها الوحدة الأقتصادية ، وتحدد اختصاصات وواجباتومسؤوليات كل إدارة أو قسم، وكذلك توضح التفويض المناسب للمسؤوليات الوظيفية . وتتضمن الرقابة التنظيمية في ظل نظام التشغيل الإلكتروني للبيانات والإجراءاتالآتية :
1. فصل قسم التشغيل الإلكتروني للبيانات عن الأقسام المستفيدة منخدمات الحاسب ، حيث يكون قسم التشغيل مسؤولة عن كل ما يتعلق بتشغيل البيانات ، أماالأقسام المستفيدة ، فتكون مسؤولة عما يحدث من أخطاء خارج قسم التشغيل ، مثل نسيانبيانات عملية ما ، أو أي أخطاء مخالفات في بيانات العمليات . كما ينبغي أن يكون قسمالتشغيل تابعاً للإدارة العليا مما يضمن دعماً كافياً وإدارة فعالة .
2. الفصلالتام للمهام بين العاملين في قسم التشغيل الإلكتروني للبيانات مثل : محللي النظم ،معدي البرامج رقابة وصيانة نظام التشغيل ، صيانة مكتبة الاسطوانات والأشرطة ، جدولةالعمل ، إدخال البيانات وتشغيل الحاسب رقابة البيانات ، إعداد كلمات السر والرقابةعليها .
3. فصل المهام داخل الأقسام المستفيدة حيث يؤدي ذلك إلى تدنية احتمالوجود أخطاء أو مخالفات . فعلى سبيل المثال ينبغي فصل مهمة حفظ الأصول عن مهمة إعدادالبيانات ، ومهمة تصحيح الأخطاء عن إعداد المستندات الأصلية .
4. جدولةالعاملين بالنظام على أساس منتظم وأثناء الإجازات والعطلات المرضية، فينبغي أن يحددلمحللي النظم ومعدي البرامج والمشغلين مهام معينة لإنجازها، ويحدد لهم وقت الإنجازعلى أن تقدم تقارير دورية بما تم إنجازه. وإذا انتهى الوقت دون إنجاز المهامالمحددة ، فعلى الشخص أن يطلب وقتاً إضافياً مع تقديم ما يبرز ذلك .
5. تناوبالعاملين – ويعد هذا إجراء مفضل ، حيث أن كل موظف سوف يقوم بفحص عمل منسبقه.
ثانياً. الرقابة على إعداد وتوثيق النظام :
system Development and Documentation control
يسهم الإعداد والتوثيق الجيد لنظام التشغيل الإلكترونيللبيانات في تسهيل عملية مراجعته ، حيث يقدم للمراجع المستندات التي تمثل سنداًكافياً للتدقيق . وتتناول الرقابة على إعداد وتوثيق النظام كما يلي :
1. الرقابة على إعداد النظام
تهدف الرقابة على إعداد النظام على بناء نظام يتضمنإجراءات الرقابة الكافية على تطبيقات الحاسب ، ويعمل بما يتفق مع مواصفات التشغيلالمعياري ، ويمكن اختباره بصورة مرضية. ولتحقيق ذلك ينبغي تطبيق الإجراءات الرقابيةإطار عند إعداد النظام .
أ. وجود إجراءات معيارية مكتوبة لأغراض تخطيط ، إعداد، وتجهيز النظام ، حيث تؤدي هذه الإجراءات إلى زيادة القدرة على الفحص والتقييمالمستمر لإجراءات الرقابة أثناء عملية إعداد النظام وبعد تشغيله .
ب. اشتراك كلمن المراجع الداخلية والخارجي ، المستفيدين ، وأفراد قسم المحاسبة في عملية إعدادالنظام .
جـ. تحقيق من التخطيط الجيد للنظام ، وذلك من حيث تحديد أهدافه ومجالهفحص تسهيلات اقتصادية والتشغيلية والفنية ، وتقييم مقتضيات رقابة النظام .
د. إجراء الاختبار المبدئي للنظام ، وذلك للتحقق من مدى فعاليته في مقابلة احتياجاتالمستفيدين ، الاحتياجات الفنية وإمكانية مراجعته .
هـ . الرقابة الكافية علىعملية التحويل من النظام القديم إلى النظام الجديد ، وذلك لتجنب فقد البيانات أوإساءة معالجتها نتيجة للفشل في إزالة أسباب الاختلاف بين النظام القديم والجديد .
و. التأكيد على توثيق عملية إعداد النظام ، وذلك لما لها من دور هام في منعاكتشاف ، وتصحيح الأخطاء ، حيث أنها تؤدي إلى خلق بيئة عمل منظمة عمل على تحسينالاتصال بين مصممي النظام ، مما يؤدي إلى منع الأخطاء ، كما أنها تقدم سند تدقيقلعملية إعداد النظام ، يمكن من اكتشاف الأخطاء والعمل على تصحيحها .
ز. إعدادجداول تقديرية لوقت أنشطة إعداد النظام ، وذلك بغرض الرقابة على عملية الإلكترونية .
ح. استخدامالأشكال المعيارية (standard forms) والمختصرات (Abbreviations) والنماذج (symbols) في إعداد النظام ، حيث أنها تؤدي إلى تدنية الأخطاء الكتابية فيالترميز (Coding)، وتسهل من مهمته تدقيق ترميز البرامج .
ط. الفحص المستمرللأعمال التي تم إنجازها أثناء عملية إعداد النظام ، والتصديق لها . حيث أنها هذايفيد في تقييم عملية إعداد النظام والتحقق من وجود الإجراءات الرقابية الكافيةبالنظام .
ي. التصديق النهائي على النظام الجديد من الإدارة ، المستفيدين ،وأفراد التشغيل الإلكتروني للبيانات وذلك قبل البدء في تجهيزه ووضعه موضع التشغيل . حيث أن هذا الإجراء الرقابي يعطي الفرصة لتقييم نتائج الاختبار النهائي ، تقديمحكماً نهائياً على جودة إجراءات الرقابة على تطبيقات النظام ، والتأكيد من أن كافةالأخطاء قد تم تصحيحها .
ك. قيام المستفيدين ، أفراد التشغيل الإلكترونيللبيانات ، وأفراد التدقيق الداخلي بفحص النظام بعد تشغيله لفترة من الوقت وذلكلوقوف على ما إذا كان النظام يعمل وفقاً لما مخطط له ، ولتقييم فعالية عملية إعدادالنظام ككل . وهذا يفيد في إمكانية تعديل معايير إعداد النظم ، لما يكون في صالحالنظم التي سيتم إعدادها مستقبلاً .
2. الرقابة على توثيق النظام
يتضمنتوثيق السجلات ، والتقارير وأوراق العمل ، وصف النظام وبرامجه ، خرائط تدفق ،تعليمات التشغيل ، وغيرها ، والتي تساعد على وصف النظام والإجراءات المستخدمةلأغراض أداء مهام تشغيل البيانات . ويؤدي التوثيق الجيد للنظام إلى زيادة فهمالمراجع للرقابة على تطبيقات النظام ، ومن ثم تدنية وقت تكلفة التدقيق ، كما انهيقدم معلومات تفيد محللي النظم ، معدي البرامج المشغلين والمشرفين على النظام ،ويقدم الأساس الجيد لتدريب الأفراد الجدد على النظام . لذا يقتضي الأمر ضرورة وجودإجراءات للرقابة على توثيق لضمان الثقة فيه ، ومن أهم هذه الإجراءات ما يلي :
أ. وجود معايير التوثيق النظام ، حيث أن غياب المعايير يؤدي إلى فقد الثقة فيتوثيق النظام ، صعوبة فحصه والتصديق عليه ، فقد سند التدقيق الجيد ، وصعوبة الرقابةعلى تعديل النظام والالتزام بمعايير التشغيل المرضية .
ب. استخدام البرامجالمساعدة مثل : برامج خرائط التدفق ، برامج أمناء المكاتب ، والتي تتولى التوثيقالآلي للنظام بالدقة والسرعة الملائمة ، مما يؤدي إلى تدنية تكاليف ويسهل فحصه .
جـ. توثيق البرامج من خلال : إعداد خرائط تدفق البرامج ، توصيف البرامج والهدفمنها، شرح لشكل المدخلات والمخرجات الخاصة بكل برنامج والإجراءات الرقابية التييتضمنها ، إعداد سجل بكافة التعديلات التي أدخلت على البرنامج يوضح اختبارها بهاوتاريخ بدء تنفيذها . كما ينبغي توفير دليل مكتوب (Manual) للبرامج يتم شراؤه معالبرامج ، بهدف إرشاد المستخدم بشان كيفية التعامل مع هذه البرامج .
د. توثيقتعليمات التشغيل اللازمة لمساعدة مشغلي الحاسب على القيام بعمليات التشغيل ، ويعرفبدليل العمليات .
3. الرقابة على توزيع المخرجات :
تهدف الرقابة الإداريةعلى توزيع المخرجات إلى العمل على توزيع مخرجات نظام التشغيل الإلكتروني للبياناتعلى الأشخاص المصرح لهم بذلك توزيعها في التوقيت المناسب. ولكي تحقق هذا الهدفينبغي أن تتضمن الإجراءات إطار :
أ. ينبغي أن تتضمن وثائق التشغيل وصفالإجراءات توزيع مخرجات كل تطبيق على حده، إلى حد الذي يمكن من توزيع كافة المخرجاتعلى الأشخاص المصرح لهم بذلك، وتتضمن هذه الإجراءات ما يلي :
ـ قائمة فحصالتوزيع (Distribution check list )، والتي تحدد المستلم المصرح به لكل مفرده منمفردات المخرجات.
ـ جدول التوزيع (Distribution schedule ) ، ويبين تتابع إعدادوتوزيع التقارير في الأوقات المحددة لها.
ـ قوائم التحويل (Transmittal sheets) ، والتي يتم إلحاقها بنسخ المخرجات وتحدد اسم التقرير المستلم ، القسم التابع له ،والعنوان البريدي.
ـ سجل التوزيع (Distribution Log) ، وتسجل فيه جهة الوصول ،المستلم ، التاريخ توزيع كل نسخة من المخرجات ، كما ينبغي أن يوقع المستفيد بمايفيد استلام المخرجات الخاصة به .
ب. التحقق من مدى توافق سجل التوزيع وقائمةفحص التوزيع ، وذلك للتأكد من أن المخرجات قد تم توزيعها وفقاً لما هو مخطط لها .
جـ. فحص قائمة التحويل ، للتأكد من أن المخرجات التي استلمتها الأصول المستفيدةهي نفسها التي تم تحويلها من قسم التشغيل الإلكتروني للبيانات .
د. فحص جدولالتوزيع ، وذلك للتأكد مما إذا كانت كافة التقارير والمستندات قد تم استلامها فيالتوقيت المحدد لها .
4. الرقابة الإدارية على أمن النظام
يمكن التغلب علىمعظم مخالفات الحاسبات من خلال التخطيط الإداري الجيد لأمن النظام ، والذي يعمل علىتحقيق أقصى منافع ممكنة من أمن النظام ، وينبغي أن يتضمن التخطيط والرقابة الإداريةعلى أمن النظام ما يلي :
أ. تحديد أهداف أمن النظام ، والتي تعتبر بمثابةمعايير لتقييم أمن النظام فيما بعد. وتتمثل هذه الأهداف في حماية تجهيزات وبرامجالنظام من المخاطر البيئية ومخالفات الحاسبات.
ب. تقدير الاحتمالات والتكاليفالمرتبطة بمخاطر أمن تشغيل البيانات ، والممثلة في مخاطر البيئة ، والمخاطر الناتجةعن مخالفات الحاسبات ، حيث تسهم هذه التقديرات في اختيار الإجراءات الملائمة لأمنالنظام .
جـ. إعداد خطة تضمن مستوى مقبولاً من الأمن وبتكلفة معقولة ، وتصف هذهالخطة كافة الإجراءات الرقابية التي سيتم تطبيقها واهداف هذه الإجراءات . هذاوينبغي أن يتم فحص الخطة والتصديق عليها قبل وضعها موضع التنفيذ .
د. تحديدالمسؤوليات عن أمن النظام ، والتي تتضمن المسؤولية عن وضع الخطة موضع التنفيذوالمراقبة المستمرة لأمن النظام .
هـ. اختبار إجراءات الرقابة على أمن النظام ،وذلك للتحقق من مدى فعاليتها في تحقيق أهدافها المرجوة . حيث أن هذا الاختبار يؤكدعلى تحديد المسؤوليات فهم الإجراءات وتنفيذها، وتوظيف الأساليب الرقابية بصورةملائمة .
و. فحص الأجهزة (Equipment check) : وهي مجموعة من الإجراءات الرقابيةالمبنية في دوائر الحاسب ، بهدف فحص الدوائر أو الأجهزة ، وذلك للتأكد من أنها تعملبطريقة صحيحة وللقيام بالتصحيح الآلي عند اللزوم أي أن الهدف منها هو التشخيصوالتصحيح الآلي للأخطاء .
ز. فحص الشرعية (Validity check) ويهدف إلى التأكد منأن الحاسب يقوم بأعمال شرعية وصحيحة وهناك ثلاثة أنواع لفحص الشرعية : فحص شرعيةالتشغيل (Operation validity check) : فحص شرعية الحرف (character validity check) وفحص شرعية العنوان .
ح. إجراءات الرقابة على الوصول للنظام : هناك العديد منإجراءات الرقابة على الوصول للنظام تم بناؤها داخل نظم الحاسبات الحديثة ، مثلكلمات السر ، التحقق من الشخصية سواء من خلال بصمة اليد أو من خلال الأساليبالصوتية ، وغيرها. وهناك أنواع من الوسائط التي تسمح المستخدم بالكتابة عليها مرةواحدة ، ولا تسمح له بإلغاء البيانات الموجودة عليها ، وتسمى هذه الوسائط بالوسائطالبصرية (optical media ) ، بدلاً من الوسائط الممغنطة ، وتلعب هذه الإجراءات دوراًهاماً في الحد في الغش وفيروسات الحاسبات