المبدأ (6): تنظيم الوحدة ومهامها ومسؤولياتها
الهيكل التنظيمي ورفع التقارير
28- يجب أن يكون للوحدة هيكل تنظيمي محدد بوضوح معتمد من المجلس يتبع لجنة المراجعة وظيفياً والرئيس التنفيذي إدارياً، ويعكس الأدوار المتخصصة داخل الوحدة، ويتناسب مع حجم وطبيعة وتعقيد أعمال البنك.
29- يفضل أن تشكل الوحدات فريقاً متخصصاً من كبار المراجعين-أصحاب الخبرة و الكفاءة-لإدارة و التأكد من تنفيذ كافة طلبات إجراء المراجعة التي يطلبها البنك المركزي،و تلبيتها بمخرجات ذات جودة عالية بصورة مستمرة.
30- يجب أن ترفع الوحدة تقارير المراجعة التي تنفذها إلى لجنة المراجعة وإلى الرئيس التنفيذي، مع عدم تأثير نتائج تلك التقارير على تقييم أداء رئيس الوحدة والعاملين بها وتحديد أجورهم.
31- يجب أن تبلغ الوحدة الإدارة التنفيذية بجميع النتائج المهمة التي تتوصل إليها بشأن تطبيق نظام وإجراءات رقابة داخلية ملائمة وفعالة والحفاظ علها؛ لكي تتمكن الإدارة التنفيذية من اتخاذ الإجراءات التصحيحية في التوقيت وبالشكل المناسبين. ويجب على الوحدة متابعة نتائج تلك الإجراءات التصحيحية مع الإدارة التنفيذية.
متطلبات ومسؤوليات رئيس الوحدة
32- يجب أن يتمتع رئيس الوحدة بالاستقلالية والموضوعية والجدارات والأخلاقيات اللازمة لممارسة دوره ومهامه.
33- يجب تحديد مسؤولياته بشكل واضح، على أن تتضمن -كحد أدنى- الآتي:
1-33 العمل على استقطاب موارد بشرية تتمتع بمؤهلات ومهارات مناسبة، بناءً على تحليل رسمي للاحتياجات الفعلية للوحدة اللازمة لتأدية نشاطها بالكفاءة المطلوبة، ومقارنة تلك الاحتياجات مع الموارد البشرية المتوافرة بشكل فعلي لدى الوحدة ومستوى كفاءتها. ووضع خطة لتوفير تلك الاحتياجات والكفاءات اللازمة، ومشاركتها مع لجنة المراجعة بشكل رسمي؛ لتتولى متابعة تنفيذ عملية الاستقطاب وتقييم مناسبتها. ويجب أن يراعى في تحليل الاحتياجات المعايير الدولية ومجالات المخاطر الناشئة وخبرة المراجعة.
2-33 العمل على سعودة وظائف الوحدة بحسب ما تقضي به التعليمات ذات العلاقة.
3-33 تطوير الفرق والمهارات المتعلقة بتقنيات المراجعة بمساعدة النظم (الوسائل) التقنية، وبرامج تحليل الأداء الوظيفي؛ من أجل توسيع نطاق تغطية مراجعاتهم وإدارة المخاطر المتعلقة بالأنظمة بصورة أكثر شمولا.
4-33 متابعة وتقييم وتطوير العاملين في الوحدة بشكل مستمر.
5-33 التأكد من تحلي والتزام الوحدة بالنزاهة والعمل وفقاً لمعايير مراجعة داخلية سليمة.
6-33 وضع خطة المراجعة الداخلية والعمل على اعتمادها من لجنة المراجعة، ومراجعتها وتحديثها بشكل دوري.
7-33 وضع وإعداد سياسة المراجعة الداخلية ومراجعتها بشكل دوري كلما دعت الحاجة إلى ذلك ومع كل دورة للجنة المراجعة، والرفع بها وأي تحديثات عليها لاعتمادها من المجلس بتوصية من لجنة المراجعة.
8-33 إعداد إستراتيجية للمراجعة الداخلية بما يتماشى مع إستراتيجية البنك واعتمادها من لجنة المراجعة، والرفع إلى اللجنة دورياً بنتائجها ومدى الالتزام بها.
9-33 المشاركة في اللجان ذات العلاقة، ومنها على سبيل المثال لا الحصر: المخاطر، والالتزام، مع مراعاة المبادئ الرئيسة للحوكمة في المؤسسات المالية.
10-33 الاجتماع مع لجنة المراجعة بشكل منفرد كلما دعت الحاجة والضرورة إلى ذلك.
11-33 متابعة أعمال مقدمي الخدمات الخارجيين في حال إسناد بعض أو جزء من مهام المراجعة الداخلية لهم، والتحقق من التزامهم بسياسة المراجعة الداخلية، والتأكد من عدم تأثيرهم على استقلالية وموضوعية الوحدة، ومن نقلهم المعرفة والخبرة ذات العلاقة إلى العاملين في الوحدة.
12-33 وضع قائمة (مصفوفة) تفصيلية تحتوي على حصر وتصنيف للمخاطر المحتملة نتيجة لتعليق أو تأجيل إحدى عمليات المراجعة أو جزء منها بما يتجاوز عام الخطة، وتحتوي أيضا على تقييم ودرجة تصنيف لتلك الاحتمالات، سواء كان التعليق أو التأجيل رغبة من الوحدة نفسها أو طلبا واردا لها من الوحدات الأخرى، والرفع إلى لجنة المراجعة لأخذ موافقتها عن كل حالة من حالات التعليق/ التأجيل المصنفة عالية ومتوسطة المخاطر، موضحاً في الطلب الأسباب والمرئيات مع التأكيد على استمرار المخاطر.
13-33 تحديد قائمة بالعوامل التي يجب أخذها بعين الاعتبار أثناء اختيار عينات الفروع للمنطقة الجغرافية المراد مراجعتها ميدانيا.
14-33 تشجيع العاملين في وحدة المراجعة على الحصول على شهادة مراجع داخلي معتمد وشهادات مهنية أخرى (أو إحداهما) لرفع كفاءة المراجعين الداخليين العاملين في القطاع المصرفي.
15-33 تمكين ودعم إجراء التقييم الخارجي المستقل لجودة أعمال وحدة المراجعة المطلوب تنفيذه مرة واحدة كل خمس سنوات على الأقل؛ للتأكد من جودة مخرجات المراجعة -تنفيذاً للسياسة المعتمدة من المجلس- المبني على توجيه وموافقة لجنة المراجعة واختيارها للجهة المستقلة. بحيث تقدم نتائجه إلى اللجنة، ويتم العرض به للمجلس.
عدم ممانعة البنك المركزي على تعيين رئيس الوحدة وتغييره
34- مع مراعاة ما ورد في متطلبات التعيين في المناصب القيادية في المؤسسات المالية الخاضعة لإشراف البنك المركزي، والمبادئ الرئيسية للحوكمة في المؤسسات المالية الصادرة عن البنك المركزي؛ يجب على البنك الحصول على عدم ممانعة البنك المركزي المسبقة على تعيين أو تكليف أو تمديد تكليف مسؤول الوحدة، كما يجب على البنك أن يحصل على عدم ممانعة البنك المركزي المسبقة في حال ترك رئيس الوحدة لمنصبه (استقالة -تغيير لوظيفة أخرى- إنهاء خدمة-...إلخ)، مع توثيق وذكر السبب للتغيير. إجراءات العمل الداخلية للوحدة
35- يجب وضع أدلة إجراءات عمل للوحدة (مستقلة أو كقسم ضمن دليل المراجعة)؛ لتوجيه العاملين بها عند قيامهم بأداء الأنشطة اليومية، بحيث يغطى فها جميع أنشطة الوحدة بشكل مفصل وكافٍ لتوفير الإرشادات للعاملين بها خطوة بخطوة، وأن يحتوي كل نشاط من أنشطة الوحدة على مهام سير عمل تسلسلية تظهر الدورة الكاملة لكل عملية من عمليات ذلك النشاط جنبا إلى جنب مع توجيه وصفي له، ويجب أن تتماشى الأدلة مع إرشادات مفصلة لتنفيذ سياسة المراجعة.
36- يجب أيضا وضع (توفير) أدلة عمل مفصلة لاستخدام أنظمة المراجعة التقنية، تسهل على العاملين الحاليين في الوحدة والمنضمين حديثاً إليها من سهولة استخدامها ومعرفة إمكاناتها.
37- يجب عند وضع إجراءات العمل للوحدة الرجوع إلى معايير وإرشادات معهد المراجعين الداخليين "المعايير الدولية للممارسة المهنية للمراجعة الداخلية" ومستجداته، وإلى أفضل الممارسات والاسترشاد بها في الإجراءات.
الوحدات والكيانات التابعة للبنك الخاضعة للمراجعة الداخلية ودورة المراجعة
38- يجب أن توثق الوحدة قائمة شاملة بالوحدات في البنك والكيانات التابعة له الخاضعة للمراجعة؛ لتكون إطاراً شاملاً لعمليات المراجعة.
39- يجب أن يغطى في تلك القائمة جميع وحدات العمل والمنتجات والخدمات والأنظمة والمخاطر والعمليات الخاصة بالبنك.
40- يجب أن تشتمل تلك القائمة على جميع متطلبات البنك المركزي على الوحدة، وتكون جزءاً من إطار المراجعة الشامل.
41- يجب التأكد أن برامج المراجعة الشاملة لتلك القائمة تغطي تعليمات البنك المركزي ذات الصلة والسياسات الداخلية، وأنه تم تطويرها على مستوى كل وحدة في البنك وكيان تابع له في إطار المراجعة الشامل.
42- يجب أن تطور الوحدة إطاراً رسميا لتقييم مخاطر كل وحدة في البنك وكيان تابع له -تم حصر في القائمة- على حدة، ويجب أن يحدد هذا الإطار أيضا عوامل المخاطر، على سبيل المثال: آخر تقييم للمراجعة، والوقت المنقضي منذ آخر عملية مراجعة، وحجم المخاطر القابلة للتطبيق والمتحققة، ومدى تعقيدها. وما إلى ذلك كأساس لتقييم المخاطر. وقد يعتمد معدل تكرار المراجعة لكل وحدة في البنك وكيان تابع له على نتائج تقييم المخاطر هذا (أي أنه يزيد معدل التكرار للوحدات والكيانات التابعة ذات المخاطر العالية).
43- يجب أن تراجع الوحدة بشكل سنوي -على الأقل- جميع الوحدات في البنك والكيانات التابعة له الموثقة رسمياً في القائمة؛ للتأكد بأنها مكتملة وتشمل جميع الوحدات والمنتجات والأنظمة والإجراءات الخاصة بالبنك.
44- يجب أن توثق الوحدة دورة رسمية لعملية المراجعة يُغطى فيها جميع الوحدات في البنك والكيانات التابعة له التي جرى توثيقها في القائمة، وتنفيذ تلك الدورة خلال فترة زمنية محددة قد تمتد من ثلاث إلى أربع سنوات حسب درجة تصنيف درجة مخاطر كل ما تم حصره، وبما يتفق مع المنهج القائم على المخاطر.
منهجية تقييم المخاطر
45- يجب أن تشتمل منهجية تقييم المخاطر على الآتي:
1-45 إرشادات موثقة ومفصلة توضح وتساعد المراجعين الداخليين في تصنيف المخاطر عند إعداد كل ملاحظة.
2-45 إرشادات موثقة ومفصلة لتقييم المخاطر في تقرير المراجعة الإجمالي.
3-45 تحديد العوامل الكمية والنوعية اللازمة لتسهيل الفهم والتطبيق المتسق للعاملين في المراجعة.
4-45 تصنيف مواضيع بلاغات المخالفات الداخلية للبنك -التي يجب أن تُزود وحدة المراجعة بنسخ منها- حسب مستوى مخاطرها ومدى الالتزام بوصولها إلى جهة الاختصاص في البنك ومن توثيقها.
5-45 تصنيف جميع حالات عدم الالتزام بتعليمات البنك المركزي على أنها عالية المخاطر، ما لم يستند عدم التصنيف إلى مبررات محددة موافق عليها من وحدة الالتزام بعدم التصنيف على المخاطر، وتكون المبررات مستندة إلى آلية تصنيف مخاطر تتضمن حجم وتأثير عدم الالتزام.
خطة المراجعة الداخلية القائمة على المخاطر
46- يقع على رئيس الوحدة مسؤولية وضع خطة المراجعة الداخلية السنوية والجداول الزمنية لتنفيذها، والعمل على اعتمادها من لجنة المراجعة، ويجب الاستناد عند وضع الخطة على تقييم وثيق للمخاطر (أخذاً في الاعتبار مدخلات الإدارة التنفيذية)، ويمكن أن تكون تلك الخطة ضمن خطة متعددة السنوات، وفي هذه الحالة يجب مراجعتها وتحديثها سنوياً؛ بهدف الاستجابة للتغييرات الحاصلة في القطاع وفي سجل مخاطر البنك، أو لمرات أكثر في السنة؛ للتمكن من إجراء تقييم بصورة مستمرة وآنية للمواطن التي تكمن فيها المخاطر المؤثرة.
47- يجب أن تشتمل خطة المراجعة السنوية على قائمة بوحدات العمل والأنشطة الخاضعة لعملية المراجعة وتقييم المخاطر، مع الأخذ في الاعتبار أن إعدادها بشكل جيد يسهم في تقديم أسلوب مراجعة منهجي.
48- يجب في تنفيذ خطة المراجعة السنوية أن تتضمن برامج عمل المراجعة إجراءات مراجعة تفصيلية لكل وحدة عمل تخضع للمراجعة، وتوضيحات كافية بشأن نطاق ارتباطها. واستبانات. وتحقق تغطية كافة المخاطر الأساسية أو الجوهرية المحتملة، وعناصر التحكم والتعليمات التنظيمية الإشرافية. والأخذ في الاعتبار أن التقييم والمهارات التحليلية للمراجعين الداخليين؛ تُعد أساسية لضمان جودة عالية للمراجعة الداخلية.
49- يجب حصر قائمة بجميع توقعات الجهات الإشرافية من وحدات المراجعة، ويكون منصوص على هذا المتطلب في سياستها أو إجراءاتها. ويجب أن تشكل كلّ من تلك القائمة والمجالات المطلوبة في إطار المراجعة الشامل مصدرين من بين مصادر أخرى، على سبيل المثال: بناءً على دورة المراجعة، وأكبر المخاطر التي يواجهها البنك، ومجالات المخاطر الجديدة أو الناشئة، وما إلى ذلك؛ لتطوير خطة المراجعة الداخلية السنوية. ويجب أن يتجاوز معدل تكرار المراجعات -أينما هو محدد من البنك المركزي- تقييم المخاطر الداخلية الذي تجريه وحدة المراجعة.
50- يجب توافر الموارد الملائمة لدعم الوحدة في تأدية مهامها، بما يتناسب مع خطة المراجعة الداخلية السنوية.
51- يجب أن تقوم الوحدة بشكل دوري بإجراء تقييم ذاتي لمواضيع محددة في متطلبات البنك المركزي وأي جهات تنظيمية أخرى، ويجب تطوير الإمكانيات وتخصيص الموارد الكافية اللازمة لتلك المواضيع، ووضع مساحة كافية لها في خطة المراجعة الداخلية. تقنية المعلومات للوحدة
52- ينبغي أن تؤدي الوحدة أنشطتها بواسطة أنظمة تقنية مناسبة، وبما يمكن من جعل وظيفة المراجعة الداخلية أكثر كفاءة.
53- ينبغي أن تجري الوحدة تحليل رسمي للثغرات باستخدام أدوات الأتمتة الحالية، والعمل على إغلاقها، وتسليط الضوء على الأنشطة التي يتم إجراؤها حالياً بشكل يدوي، وتطوير خطط عمل لأتمتة جميع تلك الأنشطة -حيثما أمكن ذلك- وتصعيدها إلى لجنة المراجعة لأغراض المراقبة.
برنامج تأكيد الجودة وتحسين الأداء
54- يجب أن تنشئ الوحدة وحدة عمل داخلية لديها تتبع رئيس الوحدة إدارياً بشكل مباشر، تكون مخصصة للتأكد من الجودة وحسن الأداء، وبحيث يتم تزويدها بموارد مؤهلة وذات خبرة جيدة ومناسبة.
55- يجب أن تضع وحدة المراجعة برنامجاً للتأكد من الجودة وتحسين الأداء. بحيث يغطي جميع جوانب نشاط المراجعة الداخلية. ويجب أن يحتوي على كلٍ من التقييمات الداخلية (التقييمات المستمرة والمراجعة السنوية الشاملة) والتقييمات الخارجية (التي تنفذ مرة واحدة كل خمس سنوات على الأقل)، وأن ترفع نتائجه إلى لجنة المراجعة.
56- يجب أن تراجع وتقيّم وحدة تأكيد الجودة وتحسين الأداء جميع أنشطة وتقارير وحدة المراجعة على أساس مستمر. ويجب على رئيس وحدة المراجعة رفع تقارير منتظمة عن نتائج مراجعة وتقييمات تلك الوحدة (الجارية والسنوية) إلى لجنة المراجعة.
57- يجب أن يكون من ضمن اختصاص وحدة تأكيد الجودة وتحسين الأداء مراجعة وتحديث سياسة وإجراءات العمل الداخلية لوحدة المراجعة، وتدريب العاملين بها وتحفيزهم، والعمل على الارتقاء بجودة العمل فيها وغيرها من مهمات تحسين الأداء،
التقارير الدورية إلى لجنة المراجعة
58- يجب أن تُعد وحدة المراجعة تقارير دورية عن مراجعتها وترفعها إلى لجنة المراجعة، وتقوم اللجنة بدورها برفعها إلى المجلس بشكل مباشر ومستقل دون أي تنقيح من الإدارة التنفيذية أو من أي مصدر كان. وتكون في حدها الأدنى ونطاقها حسب الآتي:
1-58 تقرير ربع سنوي: يتضمن تقييماً لنظام الرقابة الداخلية للوحدات التي جرى مراجعتها. والنتائج والتوصيات المتعلقة بوحدات العمل التي خضعت للمراجعة ضمن نطاق عمل الوحدة، والإجراءات التي اتخذتها كل وحدة في شأن النتائج والتوصيات التي وردت في عملية المراجعة السابقة، وتوضيح حالة النتائج التي لم تعالجها الإدارة التنفيذية، وحالات الإخفاق في الاستجابة بسرعة لتلك النتائج والتوصيات، وأسباب الإخفاق.
2-58 تقرير سنوي عام (شامل): يتضمن تقييماً لنظام الرقابة الداخلية للبنك وأنشطة المراجعة المنفذة خلال السنة المالية بالمقارنة مع الخطة المعتمدة، وبيان أسباب أي قصور أو انحراف عن الخطة - إن وجد- في موعد لا يتعدى نهاية الربع التالي لنهاية السنة المالية المعنية، أو حسب تواريخ الخطة السنوية المعتمدة.
قاعدة البيانات وحفظ المستندات والتقارير
59- يجب على وحدة المراجعة إنشاء قاعدة بيانات لأعمالها، وتحديثها بصفة مستمرة.
60- مع مراعاة ما ورد في تعليمات البنك المركزي ذات العلاقة والجهات التنظيمية الأخرى؛ يجب حفظ جميع تقارير المراجعة الداخلية والنتائج والتوصيات وخطط التصحيح والمستندات الداعمة ذات الصلة في سجلات إلكترونية في قاعدة البيانات، إضافة إلى جميع ما قد يتوصل إليه المراجعون المستقلون من نتائج سبق أن توصل إليها موظفو المراجعة، وحفظ جميع المستندات الخاصة بالعمل، وما يتعلق بالمراجعة الداخلية من إنجازات، ونتائج وتوصيات، وجميع التدابير المتخذة في ذلك الشأن وفقاً لتعليمات البنك المركزي ذات العلاقة.
61- يجب إعداد واعتماد دليل رسمي (بشكل مستقل أو كقسم ضمن دليل المراجعة) للاحتفاظ بالسجلات للمراجعة الداخلية وآلية الاحتفاظ. ويجب أن يصف هذا الدليل طرق الحفظ وتفاصيل أوراق العمل والمعلومات جميعاً التي يجب الاحتفاظ بها، والحد الأدنى للفترة الزمنية للاحتفاظ بها، وتوصية وحدة المراجعة. أخذاً في الاعتبار الأنظمة والتعليمات ذات العلاقة بحفظ البيانات والمعلومات المبلغة من الجهات التنظيمية (الإشرافية) المختصة.