معرفی و تعریف
ارزیابی کنترلهای داخلی (Internal Controls Evaluation) توانایی بررسی این موضوع است که کنترلهای یک سازمان چگونه طراحی شده‌اند، آیا به‌درستی اجرا می‌شوند و تا چه حد می‌توانند ریسکهای مرتبط با عملیات، گزارشگری مالی و رعایت الزامات را کاهش دهند. این ارزیابی شامل شناسایی ضعفهای طراحی، بررسی اجرای واقعی کنترلها و سنجش شواهد مربوط به عملکرد آن‌هاست. کنترلهای داخلی می‌توانند از برخی خطاها و تخلفات پیشگیری کنند یا به شناسایی آن‌ها کمک کنند، اما به‌تنهایی تضمین‌کننده حذف خطا و تقلب نیستند.
فرد دارای این مهارت، فرایندهایی مانند خرید، فروش، دریافت و پرداخت، حقوق و دستمزد و نگهداری موجودی را بررسی میکند. سپس نقاط کنترل، مسئول هر کنترل، مدارک پشتیبان، تفکیک وظایف، ریسک (Risk) و نقاطی را که کنترل ممکن است در آن‌ها دور زده شود، شناسایی میکند.
کنترل پیشگیرانه با هدف کاهش احتمال وقوع خطا یا تخلف طراحی میشود، مانند الزام تأیید پرداخت پیش از انجام آن. کنترل کشف‌کننده برای شناسایی خطا یا تخلفی به کار می‌رود که رخ داده است، مانند مغایرت‌گیری بانکی. ارزیاب باید مشخص کند هر کنترل کدام ریسک را پوشش میدهد، چه کسی مسئول اجرای آن است و چه شواهدی برای بررسی عملکرد کنترل وجود دارد.
این مهارت با صرف ثبت، بایگانی یا بررسی ظاهری اسناد حسابداری تفاوت دارد. هدف، قضاوت درباره اثربخشی سازوکار کنترل و بیان پیامد ضعف آن برای سازمان است. حسابرسان، حسابرسان داخلی، مدیران مالی و مسئولان کنترل و انطباق از آن استفاده میکنند.
این مسیر یادگیری برای فردی که با مبانی حسابداری و حسابرسی آشناست، حدود ۱۲۰ ساعت آموزش، مطالعه و تمرین در نظر می‌گیرد. این مقدار یک برآورد پیشنهادی است، نه زمان استاندارد یا تضمین‌شده برای تسلط بر مهارت. فردی که پیش‌نیازهای لازم را ندارد، باید زمان جداگانه‌ای برای یادگیری مبانی حسابداری، صورت‌های مالی و اصول حسابرسی اختصاص دهد. سطح کاربردی یعنی بتوانید یک فرایند مالی را مستند کنید، ماتریس ریسک و کنترل بسازید، طراحی و اجرای کنترل را جداگانه آزمون کنید و یافته اصلاحی بنویسید.
این مهارت را با نام‌های دیگری نیز می‌شناسند:
- ارزیابی سیستم کنترل داخلی
- ارزیابی اثربخشی کنترلهای داخلی
- بررسی کنترلهای داخلی
- Internal Controls Evaluation
- Internal Control Assessment
- Evaluation of Internal Controls
اهمیت و کاربردها
چرا این مهارت مهم است؟
در حسابرسی مستقل صورت‌های مالی، حسابرس کنترلهای مرتبط با رسیدگی را می‌شناسد و طراحی و اجرای آن‌ها را ارزیابی میکند تا ریسکهای تحریف بااهمیت را شناسایی و روشهای مناسب رسیدگی را طراحی کند. شناخت و ارزیابی اولیه کنترلها به‌تنهایی برای اتکا به آن‌ها کافی نیست. اگر حسابرس بخواهد برای تعیین ماهیت، زمان‌بندی یا میزان رسیدگی‌های خود به اثربخشی عملیاتی کنترلها اتکا کند، باید آزمون‌های لازم را اجرا و شواهد کافی و مناسب گردآوری کند. استاندارد بین‌المللی حسابرسی ۳۱۵ نیز بر شناخت مؤلفه‌های کنترل داخلی و ارزیابی طراحی و اجرای کنترلهای مرتبط با ریسک تأکید دارد. ISA 315 (Revised 2019)، IAASB
در حسابرسی داخلی، تمرکز معمولاً گسترده‌تر از اظهارنظر درباره صورت‌های مالی است. ارزیاب میتواند کنترلهای عملیاتی، انطباقی، مالی و فناوری اطلاعات را بررسی کند، ضعف‌ها را اولویت‌بندی کند و پیگیری اقدام اصلاحی را پیشنهاد دهد. بنابراین نتیجه ارزیابی ممکن است به اصلاح فرایند، بازطراحی سطح اختیار، تفکیک وظایف یا پایش مستمر منجر شود.
این مهارت در مؤسسات حسابرسی، واحدهای حسابرسی داخلی، واحدهای کنترل داخلی و بخش‌های مدیریت ریسک و انطباق کاربرد دارد. نوع و دامنه فعالیت‌ها با توجه به ساختار سازمان، مسئولیت شغلی، نوع مأموریت و الزامات قانونی یا نظارتی متفاوت است.
ارزش این مهارت فقط در یافتن ایراد نیست. حسابرس باید بتواند میان کنترل ناکافی، کنترل نامتناسب با ریسک و کنترل مناسب اما اجرا نشده تمایز بگذارد و پیشنهاد اصلاحی قابل اجرا ارائه کند. پیشنهاد خوب، مسئول اقدام، تغییر لازم و ریسک کاهش‌یافته را روشن میکند.
کاربردها
-
بررسی چرخه خرید و پرداخت
ارزیابی میشود که درخواست خرید، انتخاب تأمین‌کننده، تأیید فاکتور، ثبت بدهی و پرداخت وجه توسط افراد دارای اختیار و با مدارک کافی انجام میشود یا نه.
-
ارزیابی تفکیک وظایف در دریافت و پرداخت
بررسی میشود آیا یک فرد میتواند هم تراکنش را ایجاد کند، هم آن را تأیید کند و هم در حساب‌ها ثبت کند؛ وضعیتی که ریسک خطا یا سوءاستفاده را افزایش میدهد.
-
آزمون کنترلهای چرخه فروش و وصول مطالبات
کنترل اعتبارسنجی مشتری، تصویب تخفیف، صدور فاکتور، ثبت فروش و پیگیری وصول بررسی و نمونه‌هایی از اجرای کنترل آزمون میشود.
-
بررسی کنترل موجودی کالا
کنترلهای دسترسی به انبار، ثبت ورود و خروج، شمارش موجودی، مغایرت‌گیری و تأیید تعدیلات موجودی ارزیابی میشود.
-
ارزیابی کنترلهای گزارشگری مالی
کنترلهای مربوط به ثبت اصلاحات پایان دوره، تطبیق حساب‌ها، تأیید اسناد بااهمیت و بازبینی صورت‌های مالی پیش از انتشار بررسی میشود.
-
تهیه گزارش ضعف کنترل و پیشنهاد اصلاحی
یافته به زبان روشن ثبت میشود و در صورت امکان، وضعیت موجود، معیار یا کنترل مورد انتظار، علت یا عوامل مؤثر، پیامد یا ریسک ناشی از ضعف، شواهد پشتیبان و اقدام اصلاحی پیشنهادی را دربر می‌گیرد.
ابزارهای مرتبط
پیش‌نیازها
موارد زیر پایه‌های لازم برای شروع را نشان می‌دهند.
- مهارت حسابرسی و اطمینان‌بخشی Auditing and Assurance
- مهارت حسابداری مالی و ثبت اسناد حسابداری Financial Accounting and Bookkeeping
- مهارت مستندسازی و کنترلهای داخلی حسابداری Accounting Documentation and Internal Controls
- مهارت تحلیل و مدل‌سازی فرایندهای کسب‌وکار Business Process Analysis and Modeling
- آشنایی با چرخه‌های اصلی عملیات مالی سازمان
- توانایی خواندن اسناد، قراردادها و آیین‌نامه‌های داخلی
مسیر یادگیری ارزیابی کنترلهای داخلی
-
۱۸ ساعت
مفاهیم کنترل داخلی و هدف‌های آن را تشخیص دهید
هدف‌های کنترل داخلی، از جمله قابلیت اتکای گزارشگری، حفاظت از داراییها، اثربخشی و کارایی عملیات و رعایت قوانین و مقررات را یاد بگیرید. تفاوت میان کنترلهای پیشگیرانه، کشف‌کننده و اصلاحی را با مثال‌هایی از فرایندهای خرید، فروش و پرداخت تمرین کنید.
-
۲۰ ساعت
فرایند مالی را از ابتدا تا انتها مستند کنید
برای یک چرخه مانند خرید تا پرداخت، بازیگران، ورودی‌ها، خروجی‌ها، تأییدها و اسناد را مشخص کنید. فلوچارت یا روایت فرایند باید نشان دهد هر تصمیم کجا گرفته میشود و اطلاعات چگونه جابه‌جا میشود. برای ترسیم فلوچارت می‌توانید از Microsoft Visio یا Bizagi Modeler استفاده کنید. خروجی باید نقش‌ها، نقاط تصمیم، مسیر جریان اطلاعات و محل اجرای کنترلها را روشن کند و در صورت نیاز، شواهد مورد انتظار از هر کنترل را نیز مشخص سازد.
-
۲۲ ساعت
ریسکها و کنترلهای مرتبط را در یک ماتریس ثبت کنید
برای هر گام فرایند، ریسک مشخصی بنویسید؛ مانند پرداخت تکراری یا ثبت خرید بدون دریافت کالا. سپس کنترل مرتبط، هدف کنترل، مسئول اجرا، تناوب اجرا، شواهد اجرای کنترل و ریسک باقی‌مانده را در ماتریس ریسک و کنترل (Risk and Control Matrix) ثبت کنید. Microsoft Excel برای ساخت، فیلتر و بازبینی این ماتریس مناسب است.
-
۲۴ ساعت
طراحی و اجرای کنترل را جداگانه ارزیابی کنید
ابتدا ارزیابی کنید که آیا کنترل، در صورت اجرای صحیح، توانایی کاهش ریسک موردنظر را دارد یا خیر. سپس با روش‌هایی مانند مشاهده، پرس‌وجو، بازرسی اسناد و آزمون نمونه‌های مناسب، شواهد اجرای کنترل را بررسی کنید. وجود یک فرم امضاشده به‌تنهایی اثبات نمی‌کند که کنترل بهطور مؤثر اجرا شده است. روش و دامنه آزمون باید با هدف ارزیابی و ریسک مربوط تناسب داشته باشد.
-
۲۰ ساعت
ضعف کنترل و اثر آن بر رسیدگی را تحلیل کنید
ضعف‌ها را با توجه به احتمال وقوع، شدت پیامد و اهمیت ریسک اولویت‌بندی کنید. مشخص کنید ضعف مربوط به طراحی کنترل است یا اجرای آن و اثر احتمالی آن را بر اهداف ارزیابی توضیح دهید. در حسابرسی مستقل صورت‌های مالی، این ارزیابی ممکن است بر ماهیت، زمان‌بندی و میزان رسیدگی‌های بیشتر، از جمله آزمون‌های تفصیلی، اثر بگذارد.
-
۱۶ ساعت
یافته و پیشنهاد اصلاحی قابل پیگیری بنویسید
برای هر یافته، وضعیت موجود، معیار مورد انتظار، شواهد پشتیبان، ریسک یا پیامد، علت احتمالی و پیشنهاد اصلاحی را بنویسید. پیشنهاد باید متناسب با ریسک و قابل پیگیری باشد؛ برای مثال، تعیین سطح اختیار تأیید پرداخت، محدود کردن دسترسی سامانه یا تعیین مسئول و زمان‌بندی مشخص برای مغایرت‌گیری. گزارش را می‌توانید در Microsoft Word تهیه کنید تا یافته، شواهد، اولویت و مسئول اقدام به‌صورت ساختاریافته ثبت شود.
زمان تقریبی یادگیری
برآورد مجموع زمان آموزش، مطالعه و تمرین تا رسیدن به سطح کاربردی؛ بسته به پیش‌زمینه شما میتواند کمتر یا بیشتر باشد.
پروژه‌های تمرینی
موارد زیر تصویری کلی از این بخش برای این مهارت ارائه میکنند.
-
ماتریس ریسک و کنترل برای چرخه خرید تا پرداخت
توضیح پروژه: یک شرکت فرضی انتخاب کنید و فرایند درخواست خرید، دریافت کالا، ثبت فاکتور و پرداخت را ترسیم کنید. دست‌کم ۸ ریسک و کنترل مرتبط، مالک کنترل و شواهد اجرای آن را در ماتریس Microsoft Excel ثبت کنید.
-
آزمون اجرای کنترل تأیید پرداخت
توضیح پروژه: برای مجموعه‌ای فرضی از اسناد پرداخت، روش انتخاب نمونه و معیارهای آزمون را مشخص کنید. بررسی کنید آیا تأیید پرداخت پیش از انجام آن و توسط فرد مجاز صورت گرفته است و شواهد این موضوع در کدام اسناد یا سوابق سامانه ثبت شده‌اند. نتیجه هر نمونه را ثبت کنید و موارد استثنا را جداگانه گزارش دهید.
-
گزارش ضعف تفکیک وظایف در صندوق
توضیح پروژه: سناریویی فرضی طراحی کنید که در آن یک فرد دریافت وجه، ثبت حسابداری و مغایرت‌گیری را انجام میدهد. ریسکها و ضعف کنترل را مشخص کنید، شواهد لازم برای بررسی وضعیت را بنویسید و دو پیشنهاد اصلاحی متناسب با اندازه سازمان و منابع در دسترس آن ارائه دهید.
-
نقشه کنترلهای تعدیلات پایان دوره
توضیح پروژه: برای ثبت‌های اصلاحی پایان دوره مالی، فرایند پیشنهادی شامل تهیه‌کننده، بازبین، سطح تأیید، مستندات و ثبت در سیستم را با Microsoft Visio یا Bizagi Modeler طراحی کنید و نقاط شکست احتمالی را توضیح دهید.
پرسش‌های رایج درباره ارزیابی کنترلهای داخلی
در این بخش، به تعدادی از پرسش‌های رایج درباره این مهارت پاسخ داده شده است.
تفاوت ارزیابی کنترلهای داخلی با حسابداری چیست؟
حسابداری بر ثبت، طبقهبندی و گزارش رویدادهای مالی تمرکز دارد. ارزیابی کنترلهای داخلی بررسی میکند که فرایندها و کنترلها چقدر از صحت همان ثبتها، حفاظت از داراییها و پیشگیری از خطا پشتیبانی میکنند.
آیا وجود دستورالعمل مکتوب یعنی کنترل داخلی مؤثر است؟
خیر. دستورالعمل فقط میتواند بخشی از طراحی کنترل باشد. باید بررسی شود کنترل با ریسک متناسب است، مسئول مشخص دارد، بهطور مستمر اجرا میشود و شواهد اجرای آن قابل اتکا است.
آیا حسابرس همیشه باید همه کنترلهای سازمان را آزمون کند؟
خیر. دامنه بررسی به هدف مأموریت، ریسکهای شناساییشده، اهمیت فرایند و الزامات مربوط بستگی دارد. حسابرس یا ارزیاب معمولا کنترلهای مرتبط با ریسکهای مهم را در اولویت قرار میدهد. انتخاب کنترلها باید بهگونهای باشد که اهداف ارزیابی را پوشش دهد و صرفا به عنوان «کلیدی» یا «مهم» بودن یک کنترل محدود نشود.
تفکیک وظایف چرا در ارزیابی کنترلها مهم است؟
اگر یک نفر بتواند تراکنش را ایجاد، تأیید، ثبت و پنهان کند، احتمال کشف خطا یا سوءاستفاده کاهش می‌یابد. تفکیک وظایف این اختیارها را میان افراد یا واحدهای مختلف توزیع میکند.
برای شروع یادگیری این مهارت، اکسل کافی است؟
اکسل برای ساخت ماتریس ریسک و کنترل، نمونهگیری و مستندسازی مفید است، اما کافی نیست. شما باید مفاهیم حسابرسی، ریسک، فرایندهای مالی و روشهای آزمون کنترل را نیز یاد بگیرید.
خروجی یک ارزیابی خوب از کنترلهای داخلی چیست؟
خروجی مناسب شامل مستندات فرایند، ریسکها و کنترلهای مرتبط، نتایج ارزیابی طراحی و آزمون اجرای کنترلها، ضعفهای اولویتبندیشده و پیشنهادهای اصلاحی قابل پیگیری است. بسته به هدف مأموریت، ممکن است برنامه اقدام اصلاحی و روش پیگیری اجرای آن نیز به گزارش اضافه شود.
