قالب مخطط انسيابي لعملية التدقيق الداخلي

ما هي قالب مخطط انسيابي لعملية التدقيق الداخلي؟

التدقيق الداخلي هو أن تفحص المؤسسة نفسها مقابل إجراءاتها ومقابل المعيار الذي تعمل به. والدورة في هذا القالب هي الدورة التي تتوقعها معايير نظم الإدارة: فـ ISO 9001 وISO 14001 وISO 27001 تشترط جميعاً عمليات تدقيق على فترات مخطط لها، وبرنامج تدقيق يراعي أهمية العمليات ونتائج التدقيق السابقة، ومدقّقين يتحلّون بالموضوعية والحياد، ومعالجة النتائج دون تأخير غير مبرر، والاحتفاظ بدليل على البرنامج ونتائجه، وتغذية مراجعة الإدارة بنتائج التدقيق.

أمران يحسمان ما إذا كان برنامج التدقيق مفيداً أم مجرد أوراق. الأول هو الاستقلال: فالمدقّق الذي يراجع عملية يديرها بنفسه لن يسجّل نتيجة ضد نفسه، ولهذا يجعل هذا المخطط التحقق من الاستقلال قراراً صريحاً بمسار إعادة إسناد، لا سطراً في إجراء لا يقرأه أحد. والثاني هو الدليل: فالنتيجة لا تصمد إلا إذا أشارت إلى سجل أو عيّنة أو مقابلة بعينها، ولذلك توجد خطوة العمل الميداني لالتقاط أرقام الوثائق والتواريخ وأحجام العيّنات والمدقّق ما زال في الموقع، وتُغلق الخطوة الأخيرة التدقيق بحفظ تلك السجلات لا بإرسال رسالة بريد إلكتروني.

والموضع الآخر الذي تفشل فيه برامج التدقيق هو ما بعد التقرير. تُرفع النتائج، ويُتفق على إجراءات تصحيحية، ثم لا يتحقق أحد من أن الإجراء نجح. يعالج المخطط ذلك بقرار متابعة إما يتحقق من الإجراء أو يعيد فتحه رجوعاً إلى تحليل السبب الجذري، فلا تُغلق حالة عدم المطابقة بناءً على وعد. وإن كنت تحتفظ بإجراء التدقيق نفسه كوثيقة مضبوطة، فأبقِه تحت ضبط النسخ باعتماد مسجّل، لأن مدقّق جهة المنح غالباً ما يسأل أي تنقيح كان سارياً وقت تدقيق بعينه.

ما الذي يغطيه هذا المخطط

في هذا القالب

• أربعة مسارات: مدير الجودة، والمدقّق الداخلي، والجهة الخاضعة للتدقيق أو مالك العملية، والإدارة العليا، موزّعة على ست مراحل: برنامج التدقيق، التخطيط، العمل الميداني، التقرير، الإجراء التصحيحي، والمتابعة والمراجعة
• إعداد البرنامج لدى مدير الجودة: مراجعة المخاطر ونتائج التدقيق السابقة، وإعداد برنامج التدقيق السنوي، وتعيين مدقّق لكل عملية تدقيق
• قرار استقلال صريح، «هل المدقّق مستقل عن المجال؟»، حيث يوجّه الجواب بالنفي إلى إسناد المهمة إلى مدقّق آخر وإعادة التحقق قبل أن يبدأ أي تخطيط
• التحضير ومراجعة الوثائق: خطة التدقيق وقائمة التحقق، وإشعار الجهة وتأكيد المواعيد، وتقديم الجهة للإجراءات والسجلات، ومراجعة الوثائق قبل التدقيق
• العمل الميداني بقرار «هل تستوفي الأدلة المتطلب؟»: الأدلة المطابقة تمضي مباشرة إلى الاجتماع الختامي، والفجوة تمرّ أولاً بتسجيل عدم مطابقة أو ملاحظة
• الإقفال: إصدار تقرير التدقيق كسجل محفوظ، والاتفاق مع مالك العملية على السبب الجذري والإجراء التصحيحي، وتنفيذه في الموعد المحدد، ثم فحص «هل الإجراء التصحيحي فعّال؟» الذي إما يعيد فتح الإجراء أو يرفع النتائج إلى مراجعة الإدارة قبل إغلاق التدقيق وحفظ السجلات

متى تستخدم هذا القالب

• تكتب أو تراجع إجراء التدقيق الداخلي الموثّق لـ ISO 9001 أو ISO 14001 أو ISO 27001 أو نظام إدارة مماثل
• تستعد لتدقيق منح شهادة أو تدقيق مراقبة وتحتاج أن تبيّن كيف تُخطَّط عمليات التدقيق ومن يدقّق على من وأين يُحفظ الدليل
• تُرفع النتائج لكن الإجراءات التصحيحية تتجاوز مواعيدها ولا أحد يتحقق مما إذا كانت قد نجحت
• تدرّب مدقّقين داخليين جدداً لم يروا سوى اليوم الميداني دون البرنامج والتقرير والمتابعة المحيطة به
• تدير مؤسسة صغيرة يصعب فيها استقلال المدقّق فعلاً وتحتاج طريقة قابلة للدفاع عنها لإثباته

كيف تعمل

1. أعد تسمية المسارات لأدوارك الفعلية

   استبدل «مدير الجودة» بمن يملك برنامج التدقيق لديك، فقد يكون مسؤول الامتثال أو مدير الصحة والسلامة والبيئة أو مدير نظام أمن المعلومات، وعدّل «الجهة الخاضعة للتدقيق / مالك العملية» إلى المسمّى المستخدم عندك. وأبقِ الإدارة العليا مساراً مستقلاً حتى لو كانت شخصاً واحداً، لأن خط الرفع إلى مراجعة الإدارة يجب أن يظل ظاهراً.

2. دوّن ما الذي يحدد وتيرة التدقيق

   أضف قاعدتك إلى خطوة برنامج التدقيق: أي العمليات تُدقَّق كل دورة، وما الذي يستدعي تدقيقاً إضافياً (عدم مطابقة جوهري، تغيّر في عملية، مورّد جديد، اتجاه في شكاوى العملاء)، وما الحد الأدنى للتغطية خلال دورة الشهادة. برنامج بلا مبرر معلن هو بذاته ملاحظة شائعة.

3. عرّف اختبار الاستقلال

   بيّن ما الذي يستبعد مدقّقاً عند قرار الاستقلال: تدقيق عمله هو، أو تدقيق عملية يديرها أو يتبع لها إدارياً، أو أن يكون هو من صمّم الإجراء الخاضع للتدقيق. وسجّل البديل الذي تستخدمه حين تكون قائمة المدقّقين صغيرة: التبادل بين الإدارات، أو مدقّق مدرَّب من موقع آخر، أو مدقّق متعاقد.

4. ثبّت تصنيفات النتائج وما يترتب على كل منها

   قرّر كيف تميّز بين عدم المطابقة الجوهري وعدم المطابقة الطفيف والملاحظة، وسجّل ذلك على خطوة تسجيل عدم المطابقة. وكن صريحاً في أن الملاحظات لا تستوجب إجراءً تصحيحياً، وإلا قلّل المدقّقون من تسجيلها تجنّباً لخلق عمل إضافي.

5. حدّد مُهَل الإجراء التصحيحي

   ضع أرقاماً حقيقية على خطوات الإجراء التصحيحي: كم يمهَل مالك العملية لاقتراح السبب الجذري والإجراء، وكم للتنفيذ، ومتى يتم التحقق. عشرة أيام عمل للرد وستون يوماً للإنجاز أمر شائع، لكن اختر ما تستطيع مؤسستك الوفاء به فعلاً.

6. سمِّ المكان الذي يعيش فيه الدليل

   علّق على خطوتي التقرير والإغلاق بالموقع الفعلي ومدة الاحتفاظ لقوائم التحقق وملاحظات المعاينة والتقارير وسجلات الإجراءات. فالاحتفاظ بدليل على برنامج التدقيق ونتائجه مطلوب، و«في صندوق بريد المدقّق» لن يقنع مدقّق جهة المنح.

الأسئلة الشائعة

ما مراحل عملية التدقيق الداخلي؟

ست مراحل كما يظهر في هذا المخطط. ابنِ برنامج تدقيق سنوياً قائماً على مخاطر العمليات ونتائج التدقيق السابقة. عيّن مدقّقاً وتأكد من استقلاله عن المجال. خطّط للتدقيق وأشعر الجهة وراجع الوثائق مسبقاً. نفّذ التدقيق في الموقع: اجتماع افتتاحي، ومعاينة السجلات ومقابلة الموظفين، واجتماع ختامي. ثم قدّم التقرير مسجّلاً حالات عدم المطابقة والملاحظات كل على حدة. وبعدها اتفق على إجراء تصحيحي بمسؤول وموعد، وتحقق من نجاحه، وارفع النتائج إلى مراجعة الإدارة قبل إغلاق التدقيق وحفظ السجلات.

كيف تحافظ على استقلال المدقّق في مؤسسة صغيرة؟

المطلوب هو ألا يدقّق المدقّق على عمله هو، لا أن توظّف إدارة تدقيق منفصلة. وعملياً يعني ذلك تبادل المدقّقين بين الإدارات، فمن يدير المشتريات يدقّق على المستودع والعكس، وتدريب موظفين من خارج وظيفة الجودة كمدقّقين، أو استعارة مدقّق مدرَّب من موقع آخر أو شركة شقيقة، أو التعاقد مع مدقّق خارجي للمجالات التي لا يوجد فيها محايد داخلي. ويجعل المخطط ذلك نقطة قرار بحلقة إعادة إسناد كي يقع التحقق قبل التخطيط لا بعد الطعن في التقرير.

كم مرة ينبغي إجراء التدقيق الداخلي؟

لا يحدد أي معيار لنظم الإدارة فترة ثابتة. فـ ISO 9001 وISO 14001 وISO 27001 تنص جميعاً على إجراء عمليات التدقيق على فترات مخطط لها، وعلى أن يراعي البرنامج أهمية العمليات المعنية والتغيّرات المؤثرة في المؤسسة ونتائج عمليات التدقيق السابقة. وعملياً تغطي معظم المؤسسات كل عملية مرة واحدة على الأقل خلال دورة شهادة مدتها ثلاث سنوات، وتدقّق العمليات عالية المخاطر أو التي سبق أن ظهرت فيها حالات عدم مطابقة سنوياً أو أكثر، وتضيف عمليات تدقيق غير مخططة بعد التغيّرات أو الحوادث الجوهرية.

ما الفرق بين عدم المطابقة والملاحظة؟

عدم المطابقة هو إخفاق في استيفاء متطلب معلن، سواء كان بنداً في المعيار أو إجراءك أنت أو متطلباً قانونياً أو متطلباً للعميل، وهو يلزمك بالتصحيح والتحقيق في السبب واتخاذ إجراء تصحيحي. أما الملاحظة فهي شيء رصده المدقّق لكنه ليس مخالفة: ضابط ضعيف، أو تعارض، أو ممارسة ستتحول إلى مشكلة إن تُركت. وهي لا تستوجب إجراءً تصحيحياً. والفصل الواضح بينهما مهم، لأن معاملة الملاحظات كنتائج تجعل المدقّقين يتوقفون بهدوء عن تسجيلها.