جمع أدلة التدقيق لعمليات التدقيق الداخلي وتدقيق الشهادات

التدقيق الداخلي وتدقيق الشهادات

التدقيق الداخلي هو تدقيق تجريه على نفسك، للتحقق من أن ما يحدث فعليًا يطابق ما تنص عليه إجراءاتك. أما تدقيق الشهادات فتجريه جهة منح شهادات خارجية وفق معيار ما، وغالبًا ما يكون معيارًا لنظام إدارة مثل ISO 9001 (الجودة) أو ISO 14001 (البيئة) أو ISO 45001 (الصحة والسلامة المهنية). وتقع عمليات التدقيق التي يجريها العملاء والموردون في منزلة بين الاثنين.

لا يصف هذا الموقع متطلبات تلك المعايير بندًا بندًا؛ اقرأ المعيار نفسه أو اسأل جهة منح الشهادات. وبوجه عام، يبحث تدقيق نظام الإدارة عن أدلة على أنك حددت طريقة عملك، وأنك تعمل بها فعلًا، وأنك تحتفظ بسجلات تثبت ذلك، وأنك تراجعها وتحسّنها. وعادةً ما تكون الأدلة سجلات عمل اعتيادية: إجراءات، وسجلات، وسجلات تدريب، وأوراق فحص، ومحاضر اجتماعات، وإجراءات تصحيحية.

وهذا خبر سار للأتمتة. فالأدلة موجودة أصلًا، لكنها مبعثرة بين المجلدات وصناديق البريد والأشخاص. والعمل هو جمعها.

من خطة التدقيق إلى قائمة الأدلة

تبدأ معظم عمليات التدقيق بخطة أو قائمة طلبات من المدقق، أو بقائمة التحقق الخاصة بتدقيقك الداخلي. ويتطلب تحويل ذلك إلى أدلة مجمّعة الخطوات نفسها في كل مرة:

1. قسّم الطلب إلى بنود منفردة، لكل منها مالك.
2. اعثر على ما هو موجود أصلًا في ملفاتك.
3. اطلب من المالكين كل ما لا تستطيع العثور عليه.
4. تحقّق من أن كل بند هو النسخة الحالية ويغطي الفترة الخاضعة للتدقيق.
5. احفظه بحيث يستطيع المدقق تتبّع المسار.
6. احتفظ بقائمة بالثغرات، وقرّر ما تفعله بشأن كل منها.

الخطوات 1 و2 و3 و5 وقائمة الثغرات عمل إداري. والخطوة 4 عمل إداري جزئيًا (التواريخ والإصدارات) وتقدير جزئيًا. أما تقرير ما يُفعل بشأن الثغرات فهو تقدير.

كيف يجمع عامل الذكاء الاصطناعي الأدلة

يستطيع The Everything قراءة خطة التدقيق أو قائمة التحقق التي تقدمها له، والعمل عليها بندًا بندًا داخل بيئة Microsoft 365 الخاصة بمؤسستك:

• البحث. يبحث عن السجلات المطابقة في SharePoint وOneDrive، مثل محضري آخر مراجعتين للإدارة، أو سجل المخاطر الحالي، أو سجلات الفحص لموقع وفترة محددين.
• التجميع. ينسخ ما يجده أو يضع روابط إليه في مجلد تدقيق واحد، مع فهرس يربط كل بند من الطلب بالملف الذي يجيب عنه.
• المتابعة. بالنسبة إلى البنود التي لا يعثر عليها، يسأل المالك المحتمل عبر البريد الإلكتروني أو Teams، ويتابعه، ويحفظ ما يصل.
• التنبيه. يدوّن البنود التي تبدو متقادمة أو خارج فترة التدقيق، ويعدّ قائمة بالثغرات لتراجعها.
• الصياغة. بعد التدقيق، يستطيع تحويل الملاحظات إلى قائمة إجراءات تصحيحية مع المالكين ومواعيد الاستحقاق، وتذكير المالكين مع اقتراب المواعيد.

ولأن السجلات نفسها تغذّي كل تدقيق، فإن إبقاء سجلاتك ووثائقك الخاضعة للضبط وسجلات التدريب محدّثة طوال العام يجعل كل تدقيق أقل جهدًا بكثير.

احتفظ بالأصول، لا بنسخ تنحرف عنها

ينبغي أن يشير مجلد التدقيق إلى سجلاتك الفعلية، لا أن يصبح مجموعة ثانية منها. ومن القواعد العملية المجدية:

• ضع رابطًا إلى النسخة الخاضعة للضبط حيثما أمكن، ولا تنسخ إلا عندما يحتاج المدقق إلى لقطة ثابتة.
• لا تعدّل سجلًا أبدًا ليبدو أفضل في التدقيق. وإذا كان هناك شيء ناقص، فسجّل الثغرة.
• احتفظ بالفهرس مع تاريخ إعداده واسم من اعتمده.

تفرض بعض القطاعات الخاضعة للتنظيم قواعد صريحة لمسارات التدقيق. ففي الولايات المتحدة، تشترط قواعد إدارة الغذاء والدواء (FDA) الخاصة بالسجلات الإلكترونية (21 CFR الجزء 11، وهو جزء مدونة اللوائح الفيدرالية الأمريكية الخاص بالسجلات والتوقيعات الإلكترونية، §11.10(e)) وجود «مسارات تدقيق آمنة، يولّدها الحاسوب، ومختومة بالوقت»، وتنص على أن «تغييرات السجلات يجب ألا تحجب المعلومات المسجلة سابقًا». وإذا كنت خاضعًا لقواعد كهذه، فتحقّق من كيفية استيفاء أنظمة سجلاتك لها؛ فمساعد الذكاء الاصطناعي لا يغيّر تلك الالتزامات.

ما الذي يبقى بيد شخص

• الكفاية. ما إذا كان السجل يُظهر فعلًا ما يحتاج إليه المدقق تقديرٌ يعود إلى شخص يعرف العملية.
• الحوار مع المدقق. البشر هم من يجيبون عن الأسئلة، ويشرحون السياق، ويقبلون الملاحظات أو يعترضون عليها.
• الثغرات. تحديد كيفية التعامل مع الأدلة الناقصة، والتحلي بالصدق بشأنها، قرار إداري.
• الإجراءات التصحيحية. يستطيع الذكاء الاصطناعي متابعتها، لكن المالك هو من يقرر ماهية المعالجة ويؤكد إنجازها.

قبل أن تبدأ

يعمل The Everything داخل مستأجر Microsoft 365 الخاص بمؤسستك (أي البيئة المخصصة لمؤسستك) بصلاحيات محددة بدقة، لكن بياناتك تغادر هذه البيئة لتتم معالجتها بالذكاء الاصطناعي. وتذكر سياسة الخصوصية الخاصة به Microsoft (Azure OpenAI) وOpenAI بوصفهما مزوّدَي الذكاء الاصطناعي، وتنص على أن المزوّدين قد يعالجون المعلومات خارج بلدك. ولا يدّعي الموقع العام أي شهادة مثل SOC 2 أو ISO 27001 (معايير لأمن المعلومات)، ولا يحدد بلد الاستضافة.

تميل مجلدات التدقيق إلى تجميع مواد حساسة: ملفات الموظفين، وتقارير الحوادث، وعقود العملاء. وقبل أن تبدأ، تحقّق من التزاماتك الخاصة بالخصوصية وحفظ السجلات، ومن أي شروط سرية مع العملاء أو مع جهة منح الشهادات، وحدّد المواقع والمجلدات التي يجوز للذكاء الاصطناعي البحث فيها. ولا يدّعي The Everything نفسه أي شهادة، لذا فإن استخدامه ليس دليلًا على الامتثال لأي معيار.

أسئلة شائعة