نموذج خطر المراجعة والرقابة الداخلية: كيف تربطهما أسئلة AUD

يُكتب نموذج خطر المراجعة على هيئة معادلة، AR = IR × CR × DR، ثم يُدرَّس كأن المراجع يحلها من اليسار إلى اليمين. ولم يفعل ذلك مراجع قط. فخطر المراجعة ليس ناتجًا، بل يُثبَّت سلفًا عند المستوى المنخفض الذي يقبله المكتب، وهو الحد الوحيد في المعادلة الذي لا يتحرك أبدًا.

أما الذي يتحرك فهو خطر الاكتشاف. فالخطر الملازم وخطر الرقابة ملك للعميل: يقيّمهما المراجع ولا يستطيع تغييرهما. وخطر الاكتشاف ملك للمراجع، وهو ما تتركه المعادلة بعد أن تُعرف حدودها الثلاثة الأخرى. وهذا المتبقي هو ما يقرر كم من العمل يُنجز، ومن أي نوع، ومتى.

وبهذه القراءة، تصبح أغلب أسئلة AUD عن الإجراءات سؤالًا واحدًا يُطرح من جوانب مختلفة. ومادة المراجعة في زمالة الهيئة السعودية للمراجعين والمحاسبين تختبر النموذج نفسه بحذافيره وفق ISA 315 وISA 330 كما اعتمدتهما الهيئة في المملكة.

المعادلة محلولة بالعكس

خطر المراجعة هو خطر أن يبدي المراجع رأيًا غير معدَّل في قوائم مالية محرَّفة تحريفًا جوهريًا. والخطر الملازم هو قابلية تأكيد ما للتحريف الجوهري قبل النظر في أي ضوابط. ويسمي المعيار ISA 315 (المعدل في 2019) العوامل التي تحركه، وهي التعقيد والذاتية والتغير وعدم التأكد والقابلية للتأثر بتحيز الإدارة أو الغش، ويصف الناتج بأنه طيف لا مفتاح بين مرتفع ومنخفض. أما خطر الرقابة فهو خطر ألا تمنع الرقابة الداخلية للمنشأة تحريفًا يمكن أن يقع، أو ألا تكتشفه وتصححه في الوقت المناسب.

والاثنان معًا هما خطر التحريف الجوهري: RMM = IR × CR. وهذا الحاصل هو إسهام المنشأة، وهو قائم سواء راجع أحد القوائم أم لا. أما خطر الاكتشاف فهو خطر أن تعجز إجراءات المراجع نفسه عن العثور على تحريف موجود. وهو الحد الوحيد الذي يتحكم فيه المراجع، عبر ثلاثة مقابض: طبيعة الإجراءات الإضافية وتوقيتها ومداها.

ثم تجري الحسبة في اتجاه واحد. ثبّت خطر المراجعة عند مستوى منخفض مقبول، وقيّم الخطر الملازم وخطر الرقابة، فيكون خطر الاكتشاف المخطط هو ما يتبقى: فكلما ارتفع خطر التحريف الجوهري المقيَّم، انخفض خطر الاكتشاف الذي يستطيع المراجع تحمله، وازدادت الحاجة إلى أدلة أكثر إقناعًا.

إذا ارتفع هذا	انخفض هذا	وهذا يعني
الخطر الملازم	خطر الاكتشاف المقبول	إجراءات أكثر موثوقية، وأقرب إلى نهاية السنة، وعينات أكبر
خطر الرقابة	خطر الاكتشاف المقبول	الشيء نفسه، لأن خطر التحريف الجوهري ارتفع
الاعتماد على ضوابط ثبتت فاعليتها بالاختبار	خطر الرقابة المقيَّم، ثم خطر التحريف الجوهري	قد يرتفع خطر الاكتشاف؛ ويُخفَّض العمل الأساسي ولا يُلغى أبدًا
الانحرافات المكتشفة عند اختبار الضوابط	الاعتماد، فيعود خطر الرقابة إلى الارتفاع	يجب أن يتوسع العمل الأساسي للتعويض

مستويان: القوائم المالية والتأكيد

الخطر على مستوى القوائم المالية خطر منتشر: بيئة رقابة ضعيفة، أو شك في الاستمرارية، أو إدارة قادرة على تجاوز الضوابط. والاستجابة له عامة: فريق أكثر خبرة، ومزيد من عدم القابلية للتنبؤ، وشك مهني أعلى. أما الخطر على مستوى التأكيد فيتعلق برصيد بعينه وتأكيد بعينه، والاستجابة له إجراء مراجعة إضافي مصمم من أجله. والصلة التي يغفلها المرشحون أن المخاطر على مستوى القوائم المالية تغذي تقييم الخطر الملازم على مستوى التأكيد، فالخطر المنتشر يرفع السقف على كل رصيد بدل أن يُجاب عنه باختبار واحد.

من أين يأتي خطر الرقابة: المكونات الخمسة

يصف الإطاران كلاهما الرقابة الداخلية بخمسة مكونات. فالمعيار AU-C 315 يستخدم مفردات إطار COSO للرقابة الداخلية لعام 2013 مباشرة، والمعيار ISA 315 (المعدل في 2019) يورد المكونات الخمسة نفسها بأسماء أطول قليلًا. وينظم COSO تحتها سبعة عشر مبدأً، والاختبار لا يسألك عن المبادئ بل عن المكوّن الذي تنتمي إليه واقعة ما وما تفعله بخطر الرقابة.

المكوّن	ما يغطيه	كيف يحرك خطر الرقابة
بيئة الرقابة	النبرة من القمة، والنزاهة، وإشراف مجلس الإدارة، والكفاءة	منتشر. فضعفها يرفع خطر الرقابة على كل تأكيد، ولا تصلحه أنشطة رقابة جيدة في مواضع أخرى
تقييم المخاطر	كيف تحدد الإدارة مخاطر التقرير المالي وتستجيب لها	الخطر الذي لم تحدده الإدارة خطر لا يعالجه أي ضابط
أنشطة الرقابة	التفويضات، والمطابقات، والفصل بين المهام، والضوابط العامة لتقنية المعلومات	المكوّن الذي يُختبر فعلًا. التصميم والتطبيق في كل مراجعة، وفاعلية التشغيل فقط حين يعتزم المراجع الاعتماد
المعلومات والاتصال	النظام الذي يسجل المعاملات ويعالجها ويقرر عنها	يقرر هل البيانات التي تعمل عليها الضوابط مكتملة. فالمطابقة على دفتر ناقص لا تضبط شيئًا
المتابعة	المراجعة الداخلية، والتقييمات المستمرة، ومتابعة أوجه القصور	هل الضابط الذي عمل في مارس ما زال يعمل في ديسمبر؛ وهو أساس أي استخدام لأدلة من مراجعة سابقة

وثمة أمران صحيحان في آن واحد. فعلى المراجع أن يفهم المكونات الخمسة كلها في كل مراجعة، أيًا كان الاعتماد المخطط. لكن تقييم خطر الرقابة دون الحد الأقصى لا يمكن أن يستند إلا إلى أدلة على أن الضوابط عملت بفاعلية، وهذه لا تأتي إلا من اختبارات الضوابط.

اختبار ضوابط أم إجراء أساسي

التمييز الذي يحسم أسئلة AUD أكثر من أي تمييز آخر جملة واحدة. اختبار الضوابط يخبرك هل عمل الضابط. والإجراء الأساسي يخبرك هل الرصيد صحيح. ففحص فاتورة بحثًا عن الأحرف الأولى لاعتماد مدير الائتمان يختبر هل عمل الضابط. ومصادقة الذمة المدينة التي أنشأتها الفاتورة تختبر هل الرقم صحيح.

وحول هذه الجملة أربع قواعد من ISA 330 وتوأمه في AU-C. الأولى: اختبارات الضوابط واجبة في حالتين: حين يعتزم المراجع الاعتماد على الضوابط لتخفيض العمل الأساسي، وحين تعجز الإجراءات الأساسية وحدها عن توفير أدلة كافية ومناسبة. وفيما عدا ذلك فهي اختيارية.

الثانية: الإجراءات الأساسية ليست اختيارية أبدًا. فبصرف النظر عن الخطر المقيَّم، ينفذ المراجع إجراءات أساسية لكل فئة معاملات ورصيد حساب وإفصاح ذي أهمية نسبية. وعبارة «اختُبرت الضوابط فثبتت فاعليتها، فلم يُنفَّذ أي اختبار أساسي» خاطئة في كل إطار. فالاعتماد يخفّض العمل الأساسي ولا يلغيه أبدًا.

الثالثة: للاعتماد عمر افتراضي: فأدلة المراجعة السابقة على فاعلية التشغيل لا تُستخدم إلا إذا لم يتغير الضابط وأُعيد اختباره مرة على الأقل في كل مراجعة ثالثة، أما الضوابط على خطر مهم فتُختبر في كل فترة.

الرابعة: السلسلة تجري بالعكس أيضًا. فالانحرافات في اختبار الضوابط ترفع تقييم خطر الرقابة وتوسّع الاستجابة الأساسية؛ والتحريفات المكتشفة بالإجراءات الأساسية دليل على أن ضابطًا لم يعمل، وغياب التحريفات ليس دليلًا على أنه عمل.

وحين يتعذر تنفيذ الاستجابة الأساسية أصلًا، تتحول المشكلة إلى قيد على النطاق، بالعواقب المبينة في آراء المراجعة: غير المعدَّل والمتحفظ والمعارض والامتناع.

تقييم خطر الرقابة عند الحد الأقصى

الطريق المختصر الذي يجيزه الإطاران: إذا لم يخطط المراجع لاختبار فاعلية التشغيل، قُيّم خطر الرقابة بحيث يساوي خطر التحريف الجوهري الخطرَ الملازم. هكذا يصوغها ISA 315؛ أما AU-C 315، بصياغته الجديدة في SAS 145، فيقول إن المراجع يقيّم خطر الرقابة عند الحد الأقصى. والأثر واحد: يأتي التأكيد كله حينئذ من العمل الأساسي.

وهو عقلاني أكثر مما يتوقع المرشحون. فموزع صغير تمر ضوابطه كلها عبر مالك مدير واحد لا يقدم شيئًا يُعتمد عليه؛ ورصيد رخيص الاختبار أساسيًا، كالنقد، لا يوفر ما يستحق تكلفة اختبار الضوابط؛ ومراجعة السنة الأولى قد لا تملك أساسًا لتوقع أن الضوابط تعمل.

وله حدّان. فالحد الأقصى غير متاح حيث تعجز الإجراءات الأساسية وحدها عن توفير أدلة كافية؛ وهناك يجب اختبار الضوابط. والحد الأقصى قرار بشأن الاعتماد لا بشأن الفهم: فالمراجع يظل يفهم المكونات الخمسة كلها ويقيّم تصميم الضوابط على المخاطر المهمة وتطبيقها. وعبارة «لا يحتاج المراجع إلى فهم الرقابة الداخلية حين يُقيَّم خطر الرقابة عند الحد الأقصى» خيار خاطئ كلاسيكي.

مثال عملي: الإيراد لدى موزع

خذ موزعًا للإلكترونيات الاستهلاكية في الرياض: عشرات الآلاف من الفواتير سنويًا، ومندوبو مبيعات يتقاضون على أهداف ربع سنوية، وIFRS 15 كما اعتمدته الهيئة، وفواتير تصدر عبر نظام فوترة إلكترونية مربوط بهيئة الزكاة والضريبة والجمارك.

الخطر الملازم. يقع الحدوث والفصل الزمني في أعلى الطيف: الحجم، والحوافز المرتبطة بالأهداف، وضغط نهاية السنة، وافتراض الإطارين كليهما أن الاعتراف بالإيراد يحمل خطر غش. أما الدقة فمتوسطة، لأن الأسعار تأتي من ملف رئيسي لا تُدخل يدويًا في كل فاتورة.

تصميم الضوابط واختبارها. يمنع النظام إصدار فاتورة ما لم يتطابق أمر بيع وحد ائتمان معتمد وإشعار تسليم موقّع؛ والوصول إلى ملف الأسعار الرئيسي مقيد ومسجل؛ ويوقّع المدير المالي جدول فصل زمني كل شهر. وتُفحص عينة من الفواتير على مدار السنة للتحقق من وجود إشعار تسليم مطابق، ويُتتبع تغيير في ملف الأسعار إلى تفويضه في السجل. لا انحرافات، فيُقيَّم خطر الرقابة للحدوث والدقة دون الحد الأقصى. أما الفصل الزمني، فتوقيع نوفمبر مؤرخ بعد نهاية السنة، وتوقيع ديسمبر لا دليل على أدائه: انحراف، فيبقى خطر الرقابة للفصل الزمني عند الحد الأقصى.

التأكيد	الخطر الملازم	الضابط المختبَر	خطر الرقابة	الاستجابة الأساسية
الحدوث	مرتفع	المطابقة الثلاثية، فعّالة	دون الحد الأقصى	مدى مخفَّض: إجراء تحليلي على الإيراد الشهري وهامش الربح بحسب خط المنتج، زائد عينة أصغر من الفواتير تُستند إلى إشعارات التسليم
الدقة	متوسط	الوصول إلى ملف الأسعار، فعّال	دون الحد الأقصى	مدى مخفَّض: عينة من الفواتير تُطابَق مع قائمة الأسعار المعتمدة
الفصل الزمني	مرتفع	مراجعة الفصل الزمني الشهرية، انحرافات	الحد الأقصى	مدى كامل عند نهاية السنة: آخر إشعارات التسليم قبل نهاية السنة وأولها بعدها تُتتبع إلى الفترة المسجلة فيها، زائد فحص إشعارات الدائن اللاحقة

حساب واحد، وثلاثة تأكيدات، ونتيجتان لخطر الرقابة، وثلاث استجابات أساسية: هذا بالضبط شكل المحاكاة في AUD.

المعايير، وأين تختلف المفردات

مرجعا CPA هما AU-C 315، فهم المنشأة وبيئتها وتقييم مخاطر التحريف الجوهري، بصياغته الجديدة في SAS رقم 145 للفترات المنتهية في 15 ديسمبر 2023 أو بعده، وAU-C 330، تنفيذ إجراءات المراجعة استجابةً للمخاطر المقيَّمة وتقييم أدلة المراجعة المحصلة. ومرجعا الهيئة هما ISA 315 (المعدل في 2019)، تحديد مخاطر التحريف الجوهري وتقييمها، الساري للفترات التي تبدأ في 15 ديسمبر 2021 أو بعده، وISA 330، استجابات المراجع للمخاطر المقيَّمة. وتطبق الهيئة معايير المراجعة الدولية كما أصدرها مجلس IAASB منذ 1 يناير 2017، وقد اعتمدت ISA 315 المعدل كما صدر، فلا نسخة سعودية من النموذج. راجع المراجعة في زمالة الهيئة: المنهج والمواضيع وخطة الدراسة لبقية تلك المادة.

وقد كُتب SAS 145 لمواءمة AU-C 315 مع ISA 315 (المعدل في 2019)، فصار الجوهر واحدًا. والذي يختلف هو الصياغة. فـAU-C يقول «قيّم خطر الرقابة عند الحد الأقصى» حيث يقول ISA «بحيث يساوي خطر التحريف الجوهري الخطر الملازم». وAU-C يضع الحد الأدنى للإجراءات الأساسية لكل تأكيد ذي صلة في كل فئة معاملات أو رصيد أو إفصاح مهم؛ وISA 330 يقول لكل ما هو ذو أهمية نسبية.

أنماط الأسئلة الأربعة

الاتجاه. «إذا قيّم المراجع خطر الرقابة عند مستوى أدنى، فالأرجح أن المراجع...». والجواب يحرك مقبضًا من مقابض خطر الاكتشاف في الاتجاه المسموح: أدلة أساسية أقل إقناعًا، وتوقيت مرحلي، وعينات أصغر.

التصنيف. «أي مما يلي اختبار ضوابط؟» أو «إلى أي مكوّن ينتمي هذا؟». والأفعال تفضح الجواب. الملاحظة، والفحص بحثًا عن دليل على الأداء، وإعادة أداء ضابط العميل: اختبار ضوابط. والمصادقة، وإعادة الاحتساب، والاستناد، والتتبع، والمقارنة بالتوقع: إجراء أساسي.

التسلسل. «ما الذي ينبغي للمراجع أن يفعله أولًا؟». افهم، ثم قيّم، ثم استجب. وقبل الاعتماد على ضابط اختبر أنه عمل؛ وقبل اختبار ذلك قيّم أنه مصمم ليعمل وأنه طُبّق.

إعادة النظر. «كشفت اختبارات الضوابط عن انحرافات بمعدل أعلى من المخطط؛ ينبغي للمراجع أن...». ارفع خطر الرقابة المقيَّم، وقلّل الاعتماد، ووسّع الاستجابة الأساسية. والخيارات التي تبقي على الخطة الأصلية لأن الاختبارات الأساسية لم تجد شيئًا خاطئة دائمًا.

والأنماط الأربعة كلها تسكن المجالين الثاني والثالث من مخطط محتوى AUD، اللذين يحملان معًا 55 إلى 75% من الدرجات؛ ويبيّن دليل دراسة CPA AUD: مخطط المحتوى والمواضيع وخطة الدراسة كيف تتوزع بقية المادة حولهما.

أين تتدرب على هذا

يغطي مقرر AUD في بريبيتو سلسلة الخطر إلى الاستجابة عبر مخطط المحتوى كاملًا بأسئلة تدريبية ومحاكاة موقوتة وشروح وافية ومراجعة للأخطاء، بالإنجليزية. ويقدم مقرر المراجعة تدريبًا بأسئلة وشروح مكتوبة بالعربية والإنجليزية لمادة الزمالة وفق معايير المراجعة الدولية المعتمدة.

أسئلة CPA وشروحها المكتوبة بالإنجليزية. تتوفر واجهة بريبيتو بالعربية والإنجليزية، ويمكن للمعلم الذكي الرد بأيٍّ من اللغتين.

وإن كنت تخطط للشهادة كاملة، فابدأ من برنامج CPA أو برنامج زمالة الهيئة؛ فهذا الموضوع من المواضيع القليلة التي تُحتسب كاملة للشهادتين معًا.

---

المصادر: ISA 315 (المعدل في 2019) وISA 330 كما نشرهما مجلس IAASB، وSAS رقم 145 الصادر عن AICPA، وإطار COSO للرقابة الداخلية، واعتماد الهيئة للمعيار ISA 315 المعدل. تُراجَع معايير المراجعة دوريًا ويُعاد نشر مخطط محتوى AUD؛ فتأكد من الإصدارات السارية لنافذة اختبارك.