دليل التدقيق الداخلي

التعريف

يعرّف معيار ISO 19011 التدقيق بأنه عملية منهجية ومستقلة وموثقة للحصول على الأدلة وتقييمها بموضوعية، لتحديد مدى استيفاء المعايير. ويشترط البند 9.2 من ISO/IEC 27001 إجراء تدقيقات داخلية على فترات مخططة.

تحكم المعايير العالمية للتدقيق الداخلي الصادرة عن معهد المدققين الداخليين (IIA) المهنة نفسها، التي تمتد أبعد في الحوكمة وإدارة المخاطر.

لماذا يهم

يكشف المشكلات ما دام إصلاحها بيدك، قبل أن تكشفها جهة شهادة أو سلطة أو حادث.

كما يمنح الإدارة رؤية لا تأتي من الأشخاص الذين يديرون العملية.

كيف يعمل

ابنِ البرنامج أولاً: أي المجالات، وبأي تواتر، ولماذا. وأعطِ الأولوية لما يحمل أكبر خطر أو تغيّر مؤخراً، واختر مدققين لن يفحصوا عملهم الخاص.

حدد لكل تدقيق الأهداف والنطاق والمعايير. اقرأ الوثائق، ثم قابل الأشخاص، وراقب العمل، وخذ عينات من السجلات.

اعرض الملاحظات مع أدلتها واعقد اجتماعاً ختامياً. ثم تابع الإجراءات التصحيحية حتى النهاية، وتحقق من أنها نجحت.

حالة تطبيقية

تدقق شركة من 150 موظفاً إدارة صلاحيات الوصول وفق ISO/IEC 27001، بمدقق من فريقها المالي. وتغطي الخطة ثلاثة أنظمة على مدى يومين.

من بين 25 حالة مغادرة في العينة، احتفظت حالتان بصلاحيات الوصول أكثر من شهر. وتعرض الملاحظة المعيار والدليل والأثر. ويلتزم مدير تقنية المعلومات بإجراء تصحيحي قبل 30 أبريل، ويتحقق منه المدقق في يونيو.

ممارسات جيدة

• أبلغ الفريق الخاضع للتدقيق بالنطاق والمواعيد مسبقاً. فالتدقيق ليس كميناً.
• سجّل العينة وطريقة اختيارها، كي يستطيع شخص آخر تكرارها.
• اعرض الممارسات الجيدة كما تعرض الفجوات. فالناس يتعاونون أكثر مع مدقق يلاحظ ما ينجح.
• انتظر فترة من التشغيل قبل التحقق من إجراء تصحيحي.

أخطاء شائعة

• ترك الأشخاص يدققون عملهم الخاص، مهما صغر الفريق.
• الاعتماد على مقابلات لا تسندها سجلات.
• عرض آراء دون معيار مرتبط بها، مما يحوّل الاجتماع الختامي إلى جدال.
• إغلاق إجراء لأن أحدهم يقول إنه أُنجز.

أسئلة

كم مرة يجب إجراء التدقيق الداخلي؟

على فترات مخططة تحددها أنت. لا يحدد ISO/IEC 27001 عدداً، لكن الشائع برنامج سنوي يغطي النظام كله خلال دورة الشهادة.

هل يمكن لشركة صغيرة أن تدقق نفسها؟

نعم، إذا كان المدقق موضوعياً ومحايداً. ويصلح لذلك موظف من قسم آخر أو مدقق خارجي.

ما الفرق بين التدقيق الداخلي والخارجي؟

تكلف الشركة بالأول لنفسها. أما الثاني فيجريه عميل أو سلطة أو جهة شهادة.

ما نموذج الخطوط الثلاثة؟

نموذج لمعهد المدققين الداخليين تملك فيه الإدارة المخاطر، وتدعمها وظائف الخط الثاني وتشرف عليها، ويقدم التدقيق الداخلي تأكيداً مستقلاً.

ما الطول المناسب لتقرير التدقيق؟

أقصر ما يسمح به الوضوح: النطاق، والمعايير، والخلاصة، والملاحظات مع أدلتها، والإجراءات المتفق عليها.