مخطط انسيابي لعملية تصعيد نتائج التدقيق المتأخرة

ما هي مخطط انسيابي لعملية تصعيد نتائج التدقيق المتأخرة؟

معظم نتائج التدقيق تُغلق بهدوء. وهذا المخطط عن تلك التي لا تُغلق. المحفّز نتيجة صادرة في تقرير التدقيق، والعملية هي ما يُصعَد فيه حين لا يصل الإجراء التصحيحي المتفق عليه: مطالبة وموعد نهائي، وتصعيد إلى مالك العملية الذي يملك الموارد فعلاً، ثم مراجعة الإدارة حيث تموّل المؤسسة الإجراء أو تقبل المخاطرة رسمياً. ويتتبع المخطط نتيجة واحدة من أولها إلى آخرها: من التقرير مروراً بالتصنيف والإسناد ومسار الاعتراض، والإجراء المتفق عليه وموعده، وفرع التأخر ودرجتَي التصعيد، وصولاً إلى التحقق من الأدلة والإغلاق، مع إبلاغ اللجنة بما انتهت إليه نتيجة جرى التحقق منها.

هذا ليس التدقيق نفسه، وليس المتابعة الروتينية. فبناء البرنامج، والتحقق من استقلالية المدقّق، ومعاينة السجلات، وصياغة حالات عدم المطابقة تخصّ عملية التدقيق الداخلي. أما تتبّع إجراء يسير وفق الخطة، والتحقق منه، واختبار ما إذا كان قد نجح فيخصّ متابعة الإجراءات التصحيحية التي تنتهي بفحص فاعلية لا بتصعيد. وليس هذا كذلك مسار تصعيد المخاطر العام: هذا السلّم لا يبلغ قرار مخاطرة إلا في درجته العليا، بينما يبدأ تصعيد مخاطر المشاريع والمخاطر المؤسسية من سجل المخاطر بدلاً من ذلك. يبدأ هذا المخطط حيث توجد النتيجة أصلاً وقد سُمّي لها مالك، ويستحق مكانه تحديداً حيث تتوقف المتابعة الروتينية عن النفع. وهذا الحد مهم، لأن تصعيداً مرسوماً كفرع جانبي داخل مخطط متابعة هو دائماً الفرع الذي لا يصونه أحد. وتعامل مع الدرجات وفترة السماح والدرجتين هنا بوصفها نقطة بداية تُكيَّف مع إجراء التدقيق لديك، ومتطلبات نظام إدارتك، وحيث ينطبق نظام اعتماد أو تنظيم، مع قواعده هو في إغلاق النتائج.

أربعة قرارات تحمل العملية. «جسيمة أم طفيفة أم ملاحظة؟» يضبط ساعة الاستجابة ويحدد هل تسمع الإدارة العليا بالنتيجة في اليوم الأول أم في التقرير التالي؛ وهو عند المدقّق الرئيسي لأن التصنيف حكم تدقيقي لا تفاوض. و«هل يعترض المالك على النتيجة؟» يمنح الجهة الخاضعة للتدقيق مساراً حقيقياً للطعن في النتيجة، وهو ما يمنع خلافاً من الظهور لاحقاً في صورة صمت. و«هل قُدِّم الدليل في الموعد المحدد؟» هو محفّز نصف المخطط المخصص للتصعيد كله، وكل درجة تحته معلّقة على هذا الاختبار وحده. و«فرض تنفيذ الإجراء أم قبول المخاطرة؟» موضوع عن قصد في مسار الإدارة العليا لا في مسار المدقّق: المدقّق يبلّغ عن التعرّض للمخاطرة، والمؤسسة تقرر ما تفعله حيالها، ولا يوقّع على قبول المخاطرة إلا مسؤول تنفيذي مساءَل.

ما الذي يغطيه هذا المخطط

في هذا القالب

• خمسة مسارات (المدقّق الرئيسي، مالك النتيجة، مالك العملية، الإدارة العليا، ومدير الجودة / لجنة التدقيق) عبر ست مراحل: إصدار النتيجة، الإسناد والاتفاق، متابعة الاستجابة، التصعيد الأول، مراجعة الإدارة، والتحقق والإغلاق
• قرار تصنيف ثلاثي، «جسيمة أم طفيفة أم ملاحظة؟»، يضبط ساعة الاستجابة: الجسيمة تمرّ عبر «إبلاغ الإدارة العليا بالنتيجة الجسيمة» قبل تسمية مالك أصلاً، والملاحظة تغادر السلّم إلى سجل التحسين ويُبلَّغ عنها للجنة دورياً بدل مطالبتها بموعد محدد
• مسار اعتراض تُغفله معظم مخططات التصعيد: «هل يعترض المالك على النتيجة؟» يحيلها إلى مدير الجودة لـ«مراجعة الاعتراض في ضوء الأدلة»، و«هل تُثبَّت النتيجة بعد المراجعة؟» إما يعيد النتيجة إلى السلّم أو يسحبها مع مبرر مسجَّل
• الفصل بين التحقق والتأخر: «هل قُدِّم الدليل في الموعد المحدد؟» يمرّر الاستجابة إلى «هل يُغلق الدليل النتيجة؟» حيث يعيد الدليل غير الكافي فتح الإجراء، ويرسل الاستجابة المتأخرة إلى «مطالبة المالك وتحديد موعد نهائي»
• فترة السماح والدرجة الأولى: «هل يستجيب المالك خلال فترة السماح؟» يوازن بين مزيد من العمل و«التصعيد إلى مالك العملية مع كامل السجل»، وهي الوجهة نفسها لخطة تسقط مرتين في «هل خطة الإجراء كافية؟»، وحيث يفصل «هل العائق موارد أم صلاحية؟» بين مالك بطيء وإجراء بلا تمويل
• مخرجان صادقان في قمة السلّم: «فرض تنفيذ الإجراء أم قبول المخاطرة؟» إما يموّل الإجراء ويعيد الخطة للاتفاق عليها من جديد، أو يسجّل قبول مخاطرة موقّعاً يُغلق بموعد مراجعة

متى تستخدم هذا القالب

• لديك نتائج من التدقيق الأخير ما زالت مفتوحة، ولا أحد يستطيع أن يقول على أي درجة من سلّم التصعيد تقف كل واحدة منها
• تكتب قسم التصعيد في إجراء تدقيق وتحتاج أن تكون المطالبة وفترة السماح والدرجتان مكتوبة صراحةً لا مفهومة ضمناً
• سأل المدقّقون كيف تُصعَّد النتائج المتأخرة، والجواب الصادق اليوم أن الأمر يتوقف على من يطالب
• تتلقى مراجعة الإدارة النتائج نفسها مرة بعد مرة، وتحتاج أن تُظهر أين تعثّرت قبل أن تصل إلى جدول الأعمال
• تُدخل قبول المخاطرة الرسمي وتريد الاعتماد والنطاق وموعد المراجعة مرسومة كخطوة بدل تركها في رسالة بريد

كيف تعمل

1. أعد تسمية المسارات لتطابق أدوارك

   استبدل المدقّق الرئيسي ومالك النتيجة ومالك العملية والإدارة العليا ومدير الجودة / لجنة التدقيق بالأدوار الموجودة فعلاً في مؤسستك. في وظيفة جودة صغيرة يكون المدقّق الرئيسي ومدير الجودة الشخص نفسه: ادمج المسارين بدل رسم تسليم لا يحدث.

2. اكتب تعريفات التصنيف على القرار الأول

   «جسيمة أم طفيفة أم ملاحظة؟» بلا معنى إلى أن يكون لكل درجة اختبار مكتوب ومهلة استجابة. فـ ISO 9001 لا يتحدث إلا عن عدم المطابقة؛ أما تقسيم الجسيم والطفيف الذي تستخدمه معظم برامج التدقيق فمصدره ISO/IEC 17021-1، وهي المواصفة الخاصة بالجهات التي تعتمد أنظمة الإدارة، وفيها الجسيم هو ما يؤثر في قدرة نظام الإدارة على تحقيق نتائجه المرجوة. ثم حدّد عدد الأيام الذي تتيحه كل درجة.

3. اضبط الموعد المحدد والمطالبة وفترة السماح

   ضع أرقاماً حقيقية على «مطالبة المالك وتحديد موعد نهائي» و«هل يستجيب المالك خلال فترة السماح؟». وقرّر من يرسل المطالبة، وكم تمتد فترة السماح، وهل هي واحدة لكل الدرجات. ففترة سماح لا تُكتب أبداً تصبح بصمت فترة مفتوحة، وهكذا تتقادم نتيجة سنة كاملة دون أن يخالف أحد قاعدة.

4. سمِّ الدرجتين ومن يجلس عليهما

   قرّر من هو الدرجة الأولى فعلاً. غالباً هو المدير المباشر لمالك النتيجة، لكن في نتيجة عابرة للوظائف يكون مالك العملية الذي يملك الموارد، وهكذا يرسمها المخطط. ثم سمِّ الجهة على الدرجة الثانية، سواء كانت مراجعة إدارة أو لجنة تدقيق أو لجنة مخاطر، واذكر كيف تصل نتيجة إلى جدول أعمالها بين الاجتماعات.

5. عرّف ما يتطلبه قبول المخاطرة

   «تسجيل قبول المخاطرة باعتماد تنفيذي» يحتاج نموذجاً خلفه: من يجوز له التوقيع، وما النطاق الذي يغطيه القبول، وما الضوابط التعويضية السارية في الأثناء، ومتى ينتهي. وقرّر أين تُحمل المخاطرة المقبولة بعد ذلك، وهو سجل المخاطر عادةً، ومن المتوقع أن ينظر فيها من جديد في موعد المراجعة الذي تحدده.

6. اتفق على ما يُغلق النتيجة

   «هل يُغلق الدليل النتيجة؟» هو المكان الذي تهبط عنده معظم الخلافات المتأخرة. حدّد ما يقبله المدقّق لكل نوع من الإجراءات: إجراء مُنقَّح برقم مراجعة، أو سجل تدريب، أو عيّنة من المعاملات المنفَّذة بعد التغيير. وقرّر كذلك هل الإغلاق قرار المدقّق وحده، وهل يتبعه لاحقاً فحص فاعلية ضمن عملية المتابعة لديك.

7. اختبر المخطط على ثلاث نتائج حقيقية

   خذ ثلاث نتائج من العام الماضي: واحدة أُغلقت في موعدها، وواحدة تأخرت، وواحدة انتهت بمخاطرة مقبولة. وتتبّع كلاً منها عبر المخطط. وأي درجة يصفها الناس ولم تُرسم، أو رُسمت ويجري تخطّيها عملياً، هي التغيير الذي يستحق العمل قبل نشر العملية والبدء بالقياس عليها.

الأسئلة الشائعة

ما خطوات عملية تصعيد نتيجة التدقيق؟

تُصنَّف النتيجة في تقرير التدقيق جسيمة أو طفيفة أو ملاحظة؛ فالجسيمة تذهب إلى الإدارة العليا، والملاحظة تذهب إلى سجل التحسين. ثم تُسنَد إلى مالك مُسمّى يقبلها أو يعترض عليها؛ والنتيجة المعترَض عليها تُراجَع فتُثبَّت أو تُسحب مع مبرر مسجَّل. ويتفق المالك على إجراء تصحيحي وموعد محدد، ويتحقق المدقّق من كفاية الخطة، ثم يُنفَّذ الإجراء مع نشر تحديثات التقدم. فإذا وصل الدليل في الموعد ذهب إلى التحقق؛ وإن لم يصل، يُطالَب المالك بموعد نهائي، وبانقضاء فترة السماح يُصعَّد الأمر إلى مالك العملية الذي يتفق على خطة تعافٍ وموعد ثابت. وأي عائق في الموارد أو الصلاحية يبلغ مراجعة الإدارة، فتموّل الإجراء أو تسجّل قبول مخاطرة موقّعاً. وتذهب الأدلة المتحقَّق منها إلى لجنة التدقيق مع حالة النتيجة، ثم تُغلق النتيجة ويُحفَظ سجلها.

ما الفرق بين تصعيد النتيجة ومتابعتها؟

المتابعة هي الحالة الطبيعية: للإجراء مالك وموعد، والتقدم مرئي، والدليل يصل، والمدقّق يتحقق منه ثم يفحص بعد مدة محددة ما إذا كان التغيير قد صمد فعلاً. لا شيء معطّل، فلا حاجة لإبلاغ أحد. أما التصعيد فهو ما يحدث حين تتوقف المتابعة عن إنتاج حركة، وهو عملية أخرى بأدوار أخرى. إنه يسأل من يملك صلاحية إزالة العائق، ويرفع النتيجة عبر سلّم مُسمّى، ويفرض قراراً بدل تذكير جديد. ورسم الاثنين معاً مغرٍ، لكنه يخفي الدرجات داخل مخطط يفترض خطه الرئيسي أن كل شيء يسير وفق الخطة. استخدم مخطط متابعة الإجراءات التصحيحية للدورة الروتينية وهذا المخطط للاستثناء، واجعل الوصل بينهما صريحاً: فاختبار التأخر هنا هو الاختبار نفسه الذي ينتهي عنده المخطط الروتيني.

من يقرر تصعيد نتيجة التدقيق؟

التصعيد تطلقه وظيفة التدقيق لا المالك. فالمدقّق الرئيسي يملك الساعة والمطالبة، ويملك رئيس التدقيق الداخلي أو مدير الجودة قرار رفع نتيجة إلى الإدارة العليا. ومعايير التدقيق الداخلي العالمية الصادرة عن IIA لعام 2024، والتي دخلت حيّز التنفيذ في 9 يناير 2025، تضع ذلك على عاتق الرئيس التنفيذي للتدقيق: فإذا خلص إلى أن الإدارة قبلت مستوى مخاطرة يتجاوز نزعة المؤسسة للمخاطرة أو حدود تحمّلها، وجب أن تُناقش المسألة مع الإدارة العليا، فإن لم تُحسم هناك وجب تصعيدها إلى المجلس. وتنصّ المعايير صراحةً كذلك على أن معالجة المخاطرة ليست من مهام التدقيق الداخلي. أما في نظام إدارة الجودة فالمسار المقابل هو مراجعة الإدارة، في البند 9.3 من ISO 9001:2015. وأياً كان ما ينطبق عليك، فاكتب الاسم في المخطط بدل تركه لمن يشعر بأن له حق إثارته.

كم من الوقت ينبغي أن يُمنح المالك قبل تصعيد النتيجة؟

لا يوجد رقم عالمي موحّد، والمخطط لا يحمل أي رقم عن قصد: فالموعد المحدد وفترة السماح وتوقيت كل درجة عناصر نائبة تستبدلها بأرقامك أنت. حدّدها انطلاقاً من الدرجة لا من رقم واحد يسري على المؤسسة كلها، حتى تجري النتيجة الجسيمة على ساعة قصيرة ولا تستهلك الملاحظة القدر نفسه من الانتباه. وإن كنت معتمداً، فقواعد جهة الاعتماد تسري هنا وليست ملكك لتغيّرها: فبموجب ISO/IEC 17021-1 يجب مراجعة التصحيح والإجراء التصحيحي لعدم مطابقة جسيمة وقبولهما والتحقق منهما قبل اتخاذ قرار الاعتماد، بينما تحتاج الطفيفة إلى خطة إجراء تصحيحي مقبولة ويجري التحقق منها في التدقيق التالي. وفترة سماح داخلية تتجاوز تلك المواعيد لا قيمة لها.

ما السجلات التي تحتاجها نتيجة مُصعَّدة؟

النتيجة المُصعَّدة يُحكم عليها بأثرها، فسجّل النتيجة مقابل المتطلب والدليل، والمالك المُسمّى والإجراء المتفق عليه وموعده، وكل مطالبة ومتى أُرسلت، وكل تصعيد ومن تلقّاه، وقرار مراجعة الإدارة، والدليل المقبول عند الإغلاق. وحيث قُبلت مخاطرة، احتفظ بالقبول الموقّع مع نطاقه وضوابطه التعويضية وتاريخ انتهائه، ودوّن أين حُملت المخاطرة بعد ذلك. ويشترط البند 10.2 من ISO 9001:2015 الاحتفاظ بحالات عدم المطابقة والإجراءات المتخذة ونتائج أي إجراء تصحيحي بوصفها معلومات موثّقة، كما يفرد ISO 19011:2018، وهي مواصفة إرشادات التدقيق، المتابعةَ خطوةً قائمة بذاتها في البند 6.7، حيث يجري التحقق من الإنجاز والفاعلية، وغالباً ضمن التدقيق التالي. وعملياً، السجل الذي يحسم أي جدال هو السجل الممل: من أُبلغ، ومتى.