قالب مخطط انسيابي لعملية التدقيق الداخلي

كيف تعمل

1. أعد تسمية المسارات لأدوارك الفعلية

   استبدل «مدير الجودة» بمن يملك برنامج التدقيق لديك، فقد يكون مسؤول الامتثال أو مدير الصحة والسلامة والبيئة أو مدير نظام أمن المعلومات، وعدّل «الجهة الخاضعة للتدقيق / مالك العملية» إلى المسمّى المستخدم عندك. وأبقِ الإدارة العليا مساراً مستقلاً حتى لو كانت شخصاً واحداً، لأن خط الرفع إلى مراجعة الإدارة يجب أن يظل ظاهراً.

2. دوّن ما الذي يحدد وتيرة التدقيق

   أضف قاعدتك إلى خطوة برنامج التدقيق: أي العمليات تُدقَّق كل دورة، وما الذي يستدعي تدقيقاً إضافياً (عدم مطابقة جوهري، تغيّر في عملية، مورّد جديد، اتجاه في شكاوى العملاء)، وما الحد الأدنى للتغطية خلال دورة الشهادة. برنامج بلا مبرر معلن هو بذاته ملاحظة شائعة.

3. عرّف اختبار الاستقلال

   بيّن ما الذي يستبعد مدقّقاً عند قرار الاستقلال: تدقيق عمله هو، أو تدقيق عملية يديرها أو يتبع لها إدارياً، أو أن يكون هو من صمّم الإجراء الخاضع للتدقيق. وسجّل البديل الذي تستخدمه حين تكون قائمة المدقّقين صغيرة: التبادل بين الإدارات، أو مدقّق مدرَّب من موقع آخر، أو مدقّق متعاقد.

4. ثبّت تصنيفات النتائج وما يترتب على كل منها

   قرّر كيف تميّز بين عدم المطابقة الجوهري وعدم المطابقة الطفيف والملاحظة، وسجّل ذلك على خطوة تسجيل عدم المطابقة. وكن صريحاً في أن الملاحظات لا تستوجب إجراءً تصحيحياً، وإلا قلّل المدقّقون من تسجيلها تجنّباً لخلق عمل إضافي.

5. حدّد مُهَل الإجراء التصحيحي

   ضع أرقاماً حقيقية على خطوات الإجراء التصحيحي: كم يمهَل مالك العملية لاقتراح السبب الجذري والإجراء، وكم للتنفيذ، ومتى يتم التحقق. عشرة أيام عمل للرد وستون يوماً للإنجاز أمر شائع، لكن اختر ما تستطيع مؤسستك الوفاء به فعلاً.

6. سمِّ المكان الذي يعيش فيه الدليل

   علّق على خطوتي التقرير والإغلاق بالموقع الفعلي ومدة الاحتفاظ لقوائم التحقق وملاحظات المعاينة والتقارير وسجلات الإجراءات. فالاحتفاظ بدليل على برنامج التدقيق ونتائجه مطلوب، و«في صندوق بريد المدقّق» لن يقنع مدقّق جهة المنح.

الأسئلة الشائعة

ما مراحل عملية التدقيق الداخلي؟

ست مراحل كما يظهر في هذا المخطط. ابنِ برنامج تدقيق سنوياً قائماً على مخاطر العمليات ونتائج التدقيق السابقة. عيّن مدقّقاً وتأكد من استقلاله عن المجال. خطّط للتدقيق وأشعر الجهة وراجع الوثائق مسبقاً. نفّذ التدقيق في الموقع: اجتماع افتتاحي، ومعاينة السجلات ومقابلة الموظفين، واجتماع ختامي. ثم قدّم التقرير مسجّلاً حالات عدم المطابقة والملاحظات كل على حدة. وبعدها اتفق على إجراء تصحيحي بمسؤول وموعد، وتحقق من نجاحه، وارفع النتائج إلى مراجعة الإدارة قبل إغلاق التدقيق وحفظ السجلات.

كيف تحافظ على استقلال المدقّق في مؤسسة صغيرة؟

المطلوب هو ألا يدقّق المدقّق على عمله هو، لا أن توظّف إدارة تدقيق منفصلة. وعملياً يعني ذلك تبادل المدقّقين بين الإدارات، فمن يدير المشتريات يدقّق على المستودع والعكس، وتدريب موظفين من خارج وظيفة الجودة كمدقّقين، أو استعارة مدقّق مدرَّب من موقع آخر أو شركة شقيقة، أو التعاقد مع مدقّق خارجي للمجالات التي لا يوجد فيها محايد داخلي. ويجعل المخطط ذلك نقطة قرار بحلقة إعادة إسناد كي يقع التحقق قبل التخطيط لا بعد الطعن في التقرير.

كم مرة ينبغي إجراء التدقيق الداخلي؟

لا يحدد أي معيار لنظم الإدارة فترة ثابتة. فـ ISO 9001 وISO 14001 وISO 27001 تنص جميعاً على إجراء عمليات التدقيق على فترات مخطط لها، وعلى أن يراعي البرنامج أهمية العمليات المعنية والتغيّرات المؤثرة في المؤسسة ونتائج عمليات التدقيق السابقة. وعملياً تغطي معظم المؤسسات كل عملية مرة واحدة على الأقل خلال دورة شهادة مدتها ثلاث سنوات، وتدقّق العمليات عالية المخاطر أو التي سبق أن ظهرت فيها حالات عدم مطابقة سنوياً أو أكثر، وتضيف عمليات تدقيق غير مخططة بعد التغيّرات أو الحوادث الجوهرية.

ما الفرق بين عدم المطابقة والملاحظة؟

عدم المطابقة هو إخفاق في استيفاء متطلب معلن، سواء كان بنداً في المعيار أو إجراءك أنت أو متطلباً قانونياً أو متطلباً للعميل، وهو يلزمك بالتصحيح والتحقيق في السبب واتخاذ إجراء تصحيحي. أما الملاحظة فهي شيء رصده المدقّق لكنه ليس مخالفة: ضابط ضعيف، أو تعارض، أو ممارسة ستتحول إلى مشكلة إن تُركت. وهي لا تستوجب إجراءً تصحيحياً. والفصل الواضح بينهما مهم، لأن معاملة الملاحظات كنتائج تجعل المدقّقين يتوقفون بهدوء عن تسجيلها.