معيار الفحص الدولي 3402: ضوابط الكيان المستخدم التكميلية (CUECs) - أمثلة وتطبيقات

جدول المحتويات

• فهم إطار الضوابط التكميلية
• أنواع الضوابط التكميلية
• منهجية الاختبار والتوثيق
• مثال عملي: خدمات المعالجة المصرفية
• قائمة مراجعة عملية
• أخطاء شائعة
• محتوى ذي صلة

فهم إطار الضوابط التكميلية {#understanding-cuecs-framework}

تحدد الفقرة 10 من معيار الفحص الدولي 3402 التزام مراجع الخدمة بوصف الضوابط التي يجب أن ينفذها الكيان المستخدم لتحقيق أهداف الضبط المحددة. هذه الضوابط ليست اختيارية من منظور الكيان المستخدم. إنها جزء لا يتجزأ من نظام الرقابة الداخلية الفعال عند الاعتماد على مقدم الخدمة.
تنشأ الحاجة لضوابط تكميلية عندما لا يستطيع مقدم الخدمة تحقيق هدف الضبط بمفرده. على سبيل المثال، يمكن لمقدم خدمة معالجة الرواتب معالجة البيانات بدقة، لكنه لا يستطيع التحقق من صحة ساعات العمل المُدخلة من قبل الكيان المستخدم. هذا التحقق يصبح ضابطة تكميلية.
يتطلب معيار المراجعة 402.16 من مراجع الكيان المستخدم تحديد ما إذا كانت الضوابط التكميلية ذات صلة بمراجعة البيانات المالية، وفي حال كانت كذلك، الحصول على فهم لها واختبار فعاليتها التشغيلية.

أنواع الضوابط التكميلية {#types-of-cuecs}

تصنف الضوابط التكميلية إلى أربع فئات رئيسية حسب طبيعة الدور المطلوب من الكيان المستخدم:

ضوابط الإدخال والتفويض

ضوابط المراجعة والمصالحة

ضوابط الأمن والوصول

ضوابط الاحتفاظ والنسخ الاحتياطي

منهجية الاختبار والتوثيق {#testing-methodology}

يبدأ اختبار الضوابط التكميلية بتحديد الضوابط ذات الصلة بالمراجعة من قائمة معيار الفحص الدولي 3402. ليست كل الضوابط التكميلية المذكورة في التقرير ذات صلة بكل مراجعة. التقييم يعتمد على طبيعة الخدمة، حجمها، ومدى تأثيرها على البيانات المالية.
بعد التحديد، يجب الحصول على فهم لكيفية تطبيق الكيان المستخدم للضوابط. هذا يتضمن مقابلة الموظفين المسؤولين، مراجعة الإجراءات المكتوبة، وفحص أدلة التطبيق. الهدف تحديد ما إذا كان التصميم مناسباً للهدف المحدد.
اختبار الفعالية التشغيلية يتطلب فحص عينة من التطبيقات خلال فترة المراجعة. حجم العينة يعتمد على تكرار تطبيق الضابطة وتقييم المخاطر. ضابطة يومية تتطلب عينة أكبر من ضابطة شهرية. التوثيق يجب أن يربط بين اختبار الضابطة التكميلية وهدف الضبط المحدد في تقرير معيار الفحص الدولي 3402.

مثال عملي: خدمات المعالجة المصرفية {#worked-example}

السيناريو

الضوابط التكميلية المحددة

النتيجة والتقييم

• المتطلب: مراجعة كل أمر دفع يزيد عن 5,000 يورو من قبل مسؤول مُصرح
• الاختبار: فحص 25 معاملة عشوائية تزيد عن الحد الأدنى
• التوثيق: "فُحصت 25 معاملة في الفترة من يناير إلى ديسمبر 2024. جميع المعاملات تحمل توقيع المدير المالي أو مدير العمليات وفقاً لحدود التفويض المعتمدة."
• المتطلب: مصالحة تقرير المعاملات الشهري مع سجلات المحاسبة خلال 5 أيام عمل
• الاختبار: فحص مصالحات 12 شهراً
• التوثيق: "تمت مراجعة مصالحات الـ 12 شهراً. جميع المصالحات مكتملة ومُوقعة من المحاسب الأول خلال الإطار الزمني المطلوب. فروقات بسيطة في 3 أشهر (أقل من 50 يورو) تم تسويتها في نفس الشهر."
• المتطلب: مراجعة تقارير المعاملات المرفوضة أسبوعياً ومتابعة الأسباب
• الاختبار: فحص تقارير 12 أسبوع عشوائي
• التوثيق: "فُحصت تقارير الاستثناءات لـ 12 أسبوع. متوسط المعاملات المرفوضة: 2.3% من إجمالي المعاملات. أسباب الرفض موثقة ومتابعة بالإجراء التصحيحي المناسب."
• المتطلب: مراجعة قائمة المستخدمين المُصرح لهم ربع سنوياً وإلغاء الصلاحيات غير المطلوبة
• الاختبار: فحص 4 مراجعات ربع سنوية
• التوثيق: "تمت مراجعة 4 مراجعات ربع سنوية لصلاحيات المستخدمين. في الربع الثالث، تم إلغاء صلاحية مستخدمين بعد نقل وظيفي داخلي. جميع التغييرات موثقة ومُوافق عليها من مدير تقنية المعلومات."

قائمة مراجعة عملية {#practical-checklist}

• حدد الضوابط التكميلية ذات الصلة من تقرير معيار الفحص الدولي 3402 بناءً على طبيعة الخدمة وتأثيرها على المخاطر المحددة في تقييم المخاطر.
• احصل على فهم للتطبيق الفعلي من خلال مقابلة الموظفين المسؤولين ومراجعة الإجراءات المكتوبة والتأكد من وجود أدلة موثقة للتطبيق.
• حدد استراتيجية الاختبار بناءً على تكرار تطبيق الضابطة وأهميتها للهدف الضبط المحدد في التقرير.
• اختبر الفعالية التشغيلية لعينة مناسبة من التطبيقات خلال فترة المراجعة، مع التركيز على الفترات الحرجة.
• وثّق النتائج مع الربط الواضح بين كل ضابطة تكميلية مُختبرة وهدف الضبط المقابل في تقرير معيار الفحص الدولي 3402.
• الأهم: تأكد من أن الضوابط التكميلية تُطبق طوال فترة المراجعة وليس فقط في نقاط زمنية محددة، خصوصاً للضوابط عالية التكرار.

أخطاء شائعة {#common-mistakes}

• اختبار جميع الضوابط التكميلية المذكورة دون تقييم صلتها بالمراجعة. ركز على الضوابط المرتبطة بالمخاطر المحددة في تقييمك.
• الاعتماد على التمثيلات الشفهية فقط لفهم كيفية تطبيق الضوابط. اطلب أدلة موثقة وأمثلة فعلية من التطبيق.
• عدم ربط اختبار الضوابط التكميلية بهدف الضبط المحدد في تقرير معيار الفحص الدولي 3402. التوثيق يجب أن يوضح هذا الربط بوضوح.

محتوى ذي صلة {#related-content}

---

• CUEC (مسرد) - تعريف ضوابط الكيان المستخدم التكميلية والمتطلبات الأساسية
• معيار ISAE 3402 (مسرد) - تعريف المعيار ومتطلباته الأساسية
• دليل ISAE 3402: ضوابط منظمات الخدمة - الدليل الشامل لتطبيق المعيار ومتطلبات الفقرة 3402.A37 حول CUECs
• أسئلة شائعة: اختبار ضوابط تكنولوجيا المعلومات - كيفية اختبار CUECs بفعالية وما يفحصه المراجعون فعلاً، مع مثال على شركة B.V. هولندية بإيرادات 95 مليون يورو فشلت في تطبيق ضابط CUEC الأساسي حول مراجعة تقارير الاستثناءات الأسبوعية لأكثر من 6 أشهر.