إعداد مصفوفة المخاطر والضوابط في الرياض

تسجّل المصفوفة الجيدة لكل عملية رئيسية المخاطرة المعالَجة والضابط المصمم لإدارتها، ومن ينفذه وبأي وتيرة، والدليل الذي يثبت تنفيذه. ولا يكفي القول إن «الفصل بين المهام موجود»؛ فالمصفوفة تحدد الأدوار والنظام وأنواع المعاملات.

تُعدّ المصفوفة عادةً بالتزامن مع مراجعات الضوابط الداخلية أو بعدها مباشرة. فالمراجعة تحدد المخاطر التي تستحق التوثيق والاختبار، وهذه نقطة انطلاق أفضل من مكتبة ضوابط عامة قد لا تعكس طريقة عمل منشآتكم.

المصفوفة المنسوخة بالكامل من قالب غالباً ما تحوي أوصافاً لا تطابق طريقة عمل الشركة. وعادةً ما يظهر ذلك في أول اختبار فعلي، سواء كان مراجعة داخلية أو مراجعة خارجية أو تفتيشاً من جهة تنظيمية. وحين يثبت أن وصف ضابط واحد غير دقيق، تتراجع الثقة في الوثيقة كلها.

حين يكون الضابط آلياً داخل نظام ERP بدلاً من أن يُنفَّذ يدوياً، ينبغي أن تشير المصفوفة إلى إعداد النظام الذي يفرضه. وهنا ترتبط المصفوفة بعمل مراجعة ITGC؛ فالضابط المعتمد على إعداد في النظام لا تزيد موثوقيته على موثوقية ضوابط الوصول التي تحكم من يستطيع تغيير ذلك الإعداد.