الضوابط الداخلية ومراجعة الحسابات

1) الغرض والمنطقة

الهدف: ضمان تحقيق أهداف الأعمال التجارية بشكل آمن وقانوني، والحد من المخاطر التشغيلية والمالية ومخاطر الامتثال والسمعة.
التغطية: ضوابط العمليات وتكنولوجيا المعلومات في جميع المجالات: المدفوعات/الكسوات، KYC/AML/العقوبات، مكافحة الاحتيال، النمو الحقيقي، صادرات التسويق/البيانات، DevOps/SRE، DWH/BI، الخصوصية/اللائحة العامة لحماية البيانات، TPRM.

2) مبادئ ونموذج الحماية

ثلاثة خطوط دفاع: 1) أصحاب العمليات (العمليات/المنتجات)، 2) المخاطر/الامتثال/الأمن (المنهجية، الرصد)، 3) المراجعة الداخلية المستقلة.
على أساس المخاطر: تُبنى الضوابط وفقا لأولوية المخاطر المتبقية.
مدفوعة بالأدلة: تحتوي كل وحدة تحكم على معايير قابلة للقياس ومصادر بيانات وقابلية إثبات.
التشغيل الآلي أولاً: إن أمكن - ضوابط آلية ومستمرة (CCM) بدلاً من اليدوي.

3) خريطة المخاطر → الأهداف → الضوابط

1. سجل المخاطر: تحديد الأسباب/الأحداث/العواقب (الشؤون المالية، والجهات الفاعلة، والتراخيص).
2. أهداف المراقبة: ما يلزم منعه/اكتشافه/تصحيحه (مثل «السحب غير القانوني للأموال»، و «الوصول غير المأذون به إلى مؤشر الاستثمار الدولي»).
3. أنشطة المراقبة: اختيار سياسات/إجراءات/آليات محددة لتحقيق الهدف.

• وقائي: RBAC/ABAC، SoD (4 عيون)، حدود وتسجيل، التحقق من صحة البيانات، WebAuthn، mTLS.
• المحقق: SIEM/التنبيهات، التسويات، لوحات معلومات SLA/SLO، سجلات التدقيق (WORM)، التحكم في الشذوذ.
• تصحيحي: الأقفال التلقائية، التراجع عن الإصدار، دوران المفتاح، التحليل اليدوي والعائدات.
• التعويض: إذا كانت الرقابة الرئيسية مستحيلة - تعزيز التدابير (رصد إضافي، تحقق مزدوج).

4) مكتبة التحكم

• المعرف/الاسم، الهدف، المخاطر، النوع، التردد، مالك التحكم، المؤدي، طريقة التنفيذ (يدويًا/تلقائيًا/دليل)، مصادر الأدلة، KPI/KRI، التواصل مع السياسات/الإجراءات، النظم التابعة.
• الدول: مشروع → → النشطة المرصودة → المتقاعدين. إصدار وتغيير سجل.

• «CTRL-PAY-004» - 4-eyes توافق على المدفوعات> X (وقائي، يومي، المالك: رئيس المدفوعات، الأدلة: التطبيقات/السجلات، KPI: تغطية 100٪).
• «CTRL-DWH-012» - إخفاء PII في واجهات المتاجر (وقائي، دائم، مالك: رئيس البيانات، الأدلة: طلبات الاختبار، KPI: قراءات مقنعة بنسبة ≥95٪).
• 'CTRL-SEC-021' - MFA لوحدات التحكم الإدارية (وقائية ؛ الأدلة: تقارير بطاقات الهوية ؛ KPI: تبني 100٪).

5) RACI والمالكين

6) تخطيط عمليات التدقيق والاختبارات

وتتألف الخطة السنوية من مخاطر (مخاطر متبقية عالية، متطلبات تنظيمية، حوادث، نظم جديدة).

• فعالية التصميم (DE): ما إذا كانت الضوابط مصممة بشكل صحيح لتقليل المخاطر.
• كفاءة التشغيل (OE) - ما إذا كانت تعمل بثبات وبتردد معين.
• مراجعة الحسابات المواضيعية/العملية: التحقق من النطاق من طرف إلى طرف (مثلاً) KYC/AML أو Cassouts).
• المتابعة/التحقق - تأكيد إغلاق خطة العمل الشاملة.

النهج: Walkthrough (تتبع)، مقابلة، مراجعة القطع الأثرية/السجل، التحليلات، الأداء (التكرار).

7) الأدلة والعينات

أنواع الأدلة: تحميلات السجلات (توقيع/هاش)، تقارير IdP/SSO، التذاكر وسجلات الموافقة، التكوينات، لقطات الشاشة مع الطوابع الزمنية، xls/csv من واجهات المتاجر، سجلات جلسات PAM.
النزاهة: نسخ WORM، سلاسل/توقيعات التجزئة، تحدد "ts _ utc'.
أخذ العينات: الإحصاءات/الأحكام ؛ يعتمد على تواتر التحكم ومستوى الثقة.
المعايير: النجاح/الفشل ؛ يسمح بحدود دنيا للعمليات اليدوية.

8) تقييم وتصنيف عدم المطابقة

التدرجات: حرجة/عالية/متوسطة/منخفضة.
المعايير: الأثر (المال/مؤشر الاستثمار الدولي/التراخيص)، والاحتمال، والمدة، وقابلية التكرار، والضوابط التعويضية.
الإبلاغ: العثور على بطاقة (المخاطر، الوصف، الأمثلة، السبب الجذري، التأثير، الإجراءات المطلوبة، التوقيت، المالك)، حالة التتبع.

9) CAPA وإدارة التغيير

الإجراءات التصحيحية والوقائية: القضاء على السبب الجذري وليس فقط الأعراض.
S.M.A.R.T.- Measures: specific, measurable, dated; المسؤولية والمعالم الرئيسية.
المجلس الاستشاري للتغيير: التغييرات عالية المخاطر تمر عبر CAB ؛ وتحديث السياسات/الإجراءات/الأدوار.
التحقق من الأداء: إعادة مراجعة الحسابات بعد أسابيع/أشهر.

10) الرصد المستمر (CCM) والتحليلات

المرشحون لـ CCM: ضوابط عالية التردد ورسمية - تضارب SoD، مشكلات JIT، الصادرات غير العادية، تغطية MFA، حدود الدفع، ضربات العقوبات.
الأدوات: قواعد SIEM/UEBA، لوحات معلومات البيانات/BI، أجهزة التحقق من صحة الدائرة/الإخفاء، اختبارات الوصول (السياسة كرمز).
الإشارات/التنبيهات: العتبة/السلوك ؛ تذاكر SOAR ؛ الحواجز الذاتية للانحرافات الحرجة.
المزايا: سرعة الكشف، وتقليل الحمل اليدوي، وإمكانية إثبات أفضل.

11) المقاييس (KPI/KRI)

• تغطية ضوابط العمليات الحرجة ≥ 95 في المائة
• تنفيذ الضوابط اليدوية في الوقت المحدد ≥ 98 في المائة
• تم إغلاق CAPA في الوقت المحدد (مرتفع/حرج) ≥ 95٪
• حصة ضوابط ↑ الآلية لوزارة الإدارة

• اضطرابات SoD = 0
• تصل PII بدون «غرض» = 0
• التسريبات/الحوادث المبلغ عنها ≤ 72 ساعة - 100٪
• معدل فشل الضوابط التشغيلية <2٪ (انخفاض الاتجاه)

12) التردد والتقويم

يوميًا/مستمرًا: CCM، إشارات مكافحة الاحتيال، حدود الدفع، الإخفاء.
أسبوعيا: تسوية المدفوعات/السجلات، ومراقبة الصادرات، وتحليل الإنذار.
شهرياً: تقارير وزارة الخارجية/مؤسسات القطاع الخاص، وسجل الدخول، ورصد البائعين، واتجاهات مبادرة كوسوفو للبحوث.
كل ثلاثة أشهر: إعادة التصديق على الحقوق، المراجعات المواضيعية، اختبارات الإجهاد BCP/DR.
سنوية: خطة مراجعة الحسابات الكاملة وتحديث خريطة المخاطر.

13) التكامل مع السياسات القائمة

RBAC/ABAC/Lest Privalege, Access Policies and Segmentation - أحد مصادر الضوابط الوقائية.
سياسة كلمات المرور و MFA هي متطلبات إلزامية للإداريين/العمليات الحرجة.
سجلات مراجعة الحسابات/سياسة سجل الحسابات - ضوابط التحري والأدلة.
عقود إدارة الموارد البشرية وأطراف ثالثة - الضوابط الخارجية: جيش تحرير السودان، إدارة الشؤون السياسية/الشركات الخاصة، حقوق مراجعة الحسابات.

14) القوائم المرجعية

14. 1 تصميم تحكم جديد

• وصف المخاطر الموضوعية والمخاطر المرتبطة بها
• نوع محدد (وقائي/تحري/تصحيحي)
• تعيين المالك/المؤدي والتردد
• مصادر البيانات وشكل الأدلة المحددة
• المقاييس المدمجة (KPI/KRI) والتنبيهات
• الروابط بالسياسات/الإجراءات
• تم تحديد خطة اختبار DE/OE

14. 2 مراجعة الحسابات

• تم الاتفاق على النطاق ومعايير التخلص من النفايات/المعدات التشغيلية
• قائمة القطع الأثرية والوصولات المسترجعة
• أخذ العينات المتفق عليه والثابت
• تصنيف النتائج والنتائج
• تمت الموافقة على CAPAs والمواعيد النهائية والمالكين
• صدور التقرير وإرساله إلى أصحاب المصلحة

14. 3 الرصد والإبلاغ (شهريا)

• KPI/KRI لجميع الضوابط الحرجة
• الفشل/الاتجاهات الإيجابية الخاطئة
• مركز CAPA والجنوح
• مقترحات التشغيل الآلي/JMA

15) الأخطاء النموذجية وكيفية تجنبها

التحكم بدون هدف/مقياس: إضفاء الطابع الرسمي على الهدف ومبادرة KRI/KRI.
ضوابط يدوية بدون دليل: توحيد النماذج/النصوص وتخزين القطع الأثرية في WORM.
نتاج الاستثناءات: سجل الاستثناءات مع تاريخ انتهاء الصلاحية والتدابير التعويضية.
يعمل «على الورق» - في الواقع لا: اختبارات OE العادية و CCM.
فتح CAPAs: التصعيد التلقائي والحالة في لجنة المخاطر الشهرية.

16) خارطة طريق التنفيذ

الأسابيع 1-2: تحديث خريطة المخاطر، وتجميع كتالوج من عناصر التحكم، وتعيين المالكين، والموافقة على قوالب الأدلة.
الأسابيع 3-4: بدء مراقبة KPI/KRI، واختيار ضوابط 5-10 للأتمتة (CCM)، والموافقة على خطة التدقيق السنوية.
الشهر 2: إجراء عمليات مراجعة مواضيعية 1-2 (مخاطر عالية)، وتنفيذ تنبيهات SOAR، وإعداد تقارير المجلس.
الشهر 3 +: توسيع CCM، وإجراء استعراضات ربع سنوية، وتقليل الضوابط اليدوية، وزيادة تغطية DE/OE ومعدل إغلاق CAPA.

TL; د

الضوابط الداخلية الفعالة = أهداف → بطاقات المخاطر → أنشطة واضحة مع المالك والأدلة، بالإضافة إلى اختبارات DE/OE العادية، CAPA وأتمتة CCM. وهذا يجعل إدارة المخاطر قابلة للقياس، ويمكن التنبؤ بمراجعة الحسابات، ويمكن إثبات الامتثال لها.