الإجراءات المتفق عليها

كيف تعمل

في الميدان، الزميل الذي يفقد ارتباط AUP لا يفقده لأنه لم يقرأ المعيار. يفقده لأن العميل سأله في اجتماع الإغلاق: "إذن، كل شيء على ما يرام؟" وهو أجاب بكلمة واحدة. ISA 4410.10 و4410.13 يضعان البنية النظرية: اتفاق مكتوب على كل إجراء، وعلى من ينفذه، وعلى القيود المفروضة على استخدام التقرير. كل إجراء يُذكر بالاسم. كل طرف مستخدم للتقرير يُذكر بالاسم. كل شيء خارج هذه القائمة ليس جزءاً من الارتباط.

النقطة المركزية، والتي يُساء فهمها كثيراً، أن الارتباط عقد لا حكم. المدقق في ارتباط ISA 700 يصمم نطاقه بناءً على المخاطر التي يقدّرها هو. أما هنا، فالعميل (أو الطرف الثالث الذي يُملي عليه) يحدد النطاق، والمدقق ينفذ الإجراءات المسماة، ثم يكتب ما رأى. لا يتجاوز. لا يستنتج. لا يطمئن. ISA 4410.21 يشترط أن يكون التقرير صياغة وقائعية: "نفّذنا كذا، وكانت النتيجة كذا." بدون "وعليه نرى أن..."، وبدون "هذا يدل على...". الجملة الأخيرة في تقرير AUP ليست خاتمة، بل قيد على الاستخدام.

في تطرف كبير مني أقول: الخطر ليس في أن يخطئ المدقق في إجراء معين، بل في أن يستجيب لإغراء "إضافة قيمة" حين يسأله العميل عن انطباعه العام.

الفجوة بين النص والسلوك في الميدان

النص يقول: تنفّذ ما كُتب فحسب. ما يحدث عملياً: في اليوم الثالث من العمل، يتصل بك أحد الموردين ويقول إن المبلغ المؤكد ليس صحيحاً، وأن هناك ترتيباً جانبياً مع المدير المالي. الزميل غير المدرب يفعل أحد أمرين، وكلاهما خطأ. إما أن يتجاهل المعلومة لأنها "خارج النطاق"، وإما أن يبدأ تحقيقاً موازياً ويبني عليه استنتاجاً في تقرير AUP.

الإجابة الصحيحة في تقديري المتواضع، وهي التي يرفضها كثير من الزملاء لأنها لا "تُريحهم"، هي الإجابة الثالثة: تسجّل الواقعة كما وردت إليك في ملف العمل، تُبلغها إلى المكلّف بالحوكمة (ISA 240 يفرض ذلك حتى في ارتباطات التأكيد المحدودة)، ثم تكتب في تقريرك ما نفّذت وما وجدت، دون ادعاء بأن ما وجدته هو "كل ما هناك". الفرق دقيق لكنه قانوني بحت.

الحجة المضادة: لكن أليس هناك التزام مهني؟

السؤال المشروع الذي يطرحه الزملاء: إذا رأيت إشارة احتيال صريحة، أليس واجبي المهني أن أتصرف؟ الجواب فيه طبقتان.

الطبقة الأولى، نعم، عليك أن تُبلغ. ISA 240 وقواعد آداب المهنة تفرض الإبلاغ بصرف النظر عن نوع الارتباط. لكن الإبلاغ لا يعني إعادة تعريف الارتباط. أنت تُبلغ المكلّف بالحوكمة، وفي بعض الولايات القضائية الجهة الرقابية، وتسجّل ذلك في ملفك. هذا التزام منفصل عن منتج الارتباط.

الطبقة الثانية، وهي الأهم، أن إعادة كتابة تقرير AUP ليتضمن استنتاجاً عن الاحتيال هي بالضبط ما يُسقط الارتباط أمام المحكمة. التقرير المكتوب على نموذج ISA 4410 لا يحمل صفة الرأي ولا التأكيد، فإذا أضفت إليه استنتاجاً، يصبح وثيقة هجينة: ليست تقرير AUP لأنها تجاوزت 4410.21، وليست تقرير تدقيق لأنها لم تُنفّذ بمعايير ISA 700. هي إذن إجراءات صورية في نظر المحكمة، أي وثيقة بلا غطاء مهني.

الحكم: الطريق الآمن الوحيد هو تقرير محدود وفق نص المعيار، مع توصية مكتوبة منفصلة للعميل بأن يطلب ارتباط تدقيق أو فحص محدود إذا أراد تأكيداً.

مثال عملي: شركة المرسى للتجارة

شركة تسويق غذائية مقرها برشلونة بإيرادات سنوية ١٨ مليون يورو. البنك الذي يمول خط ائتمان بقيمة ٢٫٥ مليون يورو طلب AUP على المخزون والذمم المدينة، لا تدقيقاً كاملاً.

الخطوة ١: خطاب التكليف

قبل أي عمل ميداني، وُقّع خطاب تكليف ثلاثي (المدقق، العميل، البنك بصفته الطرف المستخدم)، يحدد بالاسم:

نسخة موقّعة في ملف الارتباط. لا بريد إلكتروني، لا "اتفاق مبدئي"، خطاب التكليف ورقياً وموقّعاً.

الخطوة ٢: تنفيذ الإجراءات والمفاجأة

اتُّصل بالموردين الثلاثة. الأول والثاني أعادا شهادات مطابقة بلا تحفظ. المورد الثالث أعاد شهادة بفرق ٤٧٬٠٠٠ يورو على عملية شراء واحدة (بضاعة مستلمة، فاتورة لم تَرد بعد).

ثم وقعت المفاجأة: المورد الثالث أرفق برسالته جملة جانبية بأن "الترتيب المعتاد مع السيد X في المالية" يتضمن فترات سداد غير الموثقة في عقد التوريد الرسمي. الزميل المنفذ شعر بأنه أمام مؤشر تحايل محتمل على البنك (الذي يموّل رأس المال العامل بافتراض دورة سداد قياسية).

الخطوة ٣: القرار الذي يصنع الفرق

اللحظة التي تحدد جودة الارتباط هي هنا. الإغراء كان أن يوسّع الزميل النطاق، يطلب من المورد توضيح الترتيب، يُقابل المدير المالي، ويكتب في تقريره: "تبيّن وجود ترتيبات غير موثقة قد تؤثر على تقييم الائتمان." هذا ينسف الارتباط.

ما فعله بدلاً من ذلك:

1. سجّل البريد الوارد كاملاً في ورقة عمل منفصلة في ملف الارتباط. 2. أبلغ المكلّف بالحوكمة (مجلس إدارة المرسى) كتابياً بنص ISA 240 الواجب التطبيق. 3. كتب تقرير AUP وفق ISA 4410.21 بصياغة وقائعية: "اتصلنا بثلاثة موردين، أكّد اثنان الأرصدة دون فروق، وأشار الثالث إلى فرق قدره ٤٧٬٠٠٠ يورو على عملية شراء واحدة كانت البضاعة فيها مستلمة والفاتورة لم تَرد." لا أكثر. 4. أرسل خطاباً منفصلاً للعميل (ليس جزءاً من تقرير AUP) يوصي فيه بأن يطلب البنك ارتباط فحص محدود وفق ISA 2400 إذا أراد تأكيداً على دورة الموردين بأكملها.

ماذا حدث؟

البنك تلقى التقرير، فهم أن الفرق المكتشف غير جوهري بمعزل عن الترتيبات الجانبية، وطلب من المرسى ارتباط ISA 2400 لاحقاً. حين فُتح ملف AUP لاحقاً في فحص الجودة بعد ١٤ شهراً، لم يجد المفتش ما يأخذه على الزميل. التقرير ظل داخل حدوده. الواقعة سُجّلت في مكانها الصحيح. خطاب التكليف موقّع.

السبب الحقيقي وراء فشل معظم ارتباطات AUP لا تجده في نص ISA 4410. تجده في لحظة ضعف بشري يسأل فيها العميل: "هل كل شيء على ما يرام؟"

ما الذي يخطئ فيه المدققون والمراجعون

يبدأون بدون خطاب تكليف موقّع. الخطأ الأكثر تكراراً في الفحص. ISA 4410.13 لا يقبل البريد الإلكتروني ولا الاتفاق الشفهي ولا "سنوقّع لاحقاً". خطاب التكليف الموقّع شرط وجودي لا شكلي. ملف الارتباط يجب أن يحكي قصة، وأول صفحة في القصة هي الخطاب. بدونه، التقرير حبراً على ورق وملفك مادة جاهزة لمفتش الجودة.

يكتبون في التقرير ما لا يطلبه ISA 4410.21. التقرير يقول ما نُفّذ وما وُجد. لا يقول إن النتيجة "متسقة مع تدقيق كامل"، ولا "تشير إلى ضعف رقابي"، ولا "تطمئن البنك". الزميل الذي يضيف هذه العبارات ظناً منه أنه يقدّم قيمة للعميل، يُحوّل تقريره من وثيقة محدودة إلى وثيقة هجينة بلا حماية مهنية.

يتجاوزون النطاق دون تعديل خطاب التكليف. إذا اكتشفت أثناء فحص المخزون شيئاً يستحق فحصاً في الذمم المدينة، توقّف. اكتب مذكرة، اطلب تعديلاً مكتوباً لخطاب التكليف، احصل على توقيع جديد من العميل والطرف المستخدم، ثم ابدأ. أي عمل خارج الخطاب الموقّع لا يحميك.

يخلطون بين الإبلاغ والاستنتاج. الإبلاغ عن الاحتيال المحتمل واجب بموجب ISA 240، حتى في ارتباطات التأكيد المحدودة. لكن الإبلاغ عبر قناة منفصلة (مذكرة للحوكمة، تبليغ رقابي) لا يُغيّر شيئاً في تقرير AUP نفسه. الزميل الذي يكتب الإبلاغ داخل تقرير AUP يخسر الاثنين.

نقطة خلاف مهنية

من واقع خبرتنا، الزملاء ينقسمون فعلياً على نقطة لا يحسمها المعيار حسماً نظيفاً.

الشريك ألف يقول: "أنا دائماً أُضيف فقرة في نهاية تقرير AUP أكتب فيها أنه لم تُلاحظ استثناءات، وأن النتائج متسقة مع ما كنا سنجده في تدقيق كامل لو نُفّذ." يبرر ذلك بأن العميل يحتاج إلى السياق ليفهم.

الشريك باء يقول: "لا أصف شيئاً قط بأنه متسق مع نتائج تدقيق. لا في تقرير AUP، ولا في خطاب الإدارة، ولا حتى في محادثة بريد. مطلقاً." يبرر ذلك بأن أي إشارة إلى التدقيق داخل تقرير AUP تُسقط الفرق القانوني بين نوعَي الارتباط.

موقفي أنا أقرب إلى باء، والسبب أن المحاكم في القضايا التي اطلعتُ عليها لا تقرأ تقرير AUP كما يقرأه المدقق. تقرأه كما يقرأه طرف ثالث متضرر. وأي عبارة فيه يمكن تأويلها كرأي، تُؤوَّل كرأي.

استخدام الأداة

إذا كنت تقيّم ما إذا كان تكليف معيّن يستدعي AUP أم تدقيقاً كاملاً أم فحصاً محدوداً، استخدم حاسبة نوع التكليف. تُدخل حدود النطاق المطلوبة وطبيعة الرأي المطلوب من الطرف المستخدم، فتحدد لك المعيار الصحيح والإطار التعاقدي المناسب.

المصطلحات ذات الصلة

- تقرير التدقيق الرأي الموقّع من المدقق على البيانات المالية الشاملة بموجب ISA 700. يختلف عن تقرير AUP في أنه يحمل رأياً، ويُغطى بمسؤولية مهنية كاملة، ويستخدمه كل من يطّلع عليه.

- الفحص المحدود ارتباط وسط بين AUP والتدقيق الكامل، ينظمه ISA 2400. المدقق يبدي تأكيداً سلبياً ("لم يلفت انتباهنا ما يدعونا إلى الاعتقاد..."). هذا ليس متاحاً في ارتباط AUP.

- ISA 4410 المعيار الدولي الوحيد الذي ينظم ارتباطات الإجراءات المتفق عليها. كل عناصر الارتباط (الاتفاق، التنفيذ، التقرير، القيود على الاستخدام) مشروطة بنصوصه، خاصة الفقرات 10 و13 و21 و A43.

- خطاب التكليف الوثيقة المكتوبة الموقّعة التي تحدد الإجراءات والأطراف وحدود الاستخدام والأتعاب. ISA 4410 يشترط أن يصل إلى مستوى تفصيل يسمي كل إجراء بالاسم، لا "فحص المخزون" بل "تأكيد أرصدة المخزون مع الموردين الثلاثة المسمّين أدناه".

- القيود على توزيع التقرير نص قانوني يُدرَج في صلب تقرير AUP بموجب ISA 4410.A43 يحدّد بالاسم الأطراف التي يحق لها استخدامه. أي طرف خارج تلك القائمة لا يستطيع قانوناً الاعتماد على التقرير، وهذه هي الحماية الجوهرية للمدقق.

---