تصنيف ملاحظات تقرير المدقق الداخلي حسب درجة المخاطر: 

تختلف الملاحظات التي يتم تسجيلها من قبل المدققين الداخليين من حيث الأهمية وآثارها المتوقعة على المؤسسة، فبعض الملاحظات أثارها بسيطة لا تكاد تذكر، وبعضها قد يؤدي إلى تعريض المؤسسة إلى مخاطر كبيرة قد تحول دون قيامها بتحقيق أهدافها، لذلك يجب تصنيف الملاحظات المثبتة في تقارير المدققين الداخليين حسب درجة المخاطر بحيث يتم إبراز أهمية الملاحظات وفقاً للآثار السلبية الذي من الممكن أن يتعرض له مركز العمل أو المؤسسة نتيجة هذه الملاحظات الأمر الذي يوجه انتباه متخذي القرار إلى دراسة هذه الملاحظات وتحديد أسبابها للعمل على اتخاذ الإجراءات الملائمة لمعالجتها ووضع الضوابط الرقابية التي تعمل على عدم تكرار وجودها مستقبلاً وبالتالي توجيه الانتباه والجهود إلى الجوانب ذات المخاطر المرتفعة مما يعني تفعيل عمليات المعالجة لمواجهة الآثار السلبية التي قد تواجه مراكز العمل في حالة استمرار ظهور مثل هذه الملاحظات .

لذلك تقوم غالبية دوائر التدقيق الداخلي بتبني منهج يتم من خلاله تصنيف الملاحظات إلى ثلاثة مستويات :-

1- ملاحظات مرتفعة المخاطر 

2- ملاحظات متوسطة المخاطر

3 ـ ملاحظات متدنية المخاطر

1 - الملاحظات مرتفعة المخاطر  H   

وتشمل ملاحظات وجودها قد يكون عرّض مركز العمل والمؤسسة إلى آثار سلبية تحققت مثل خسائر مالية متحققة، أو تأثير على سمعة المؤسسة أمام عملائها، أو خسارة عملاء مهمين، أو أدت إلى تعريض معلومات المؤسسة إلى مخاطر التسريب، أو الاختراق أو الفقدان.

أو أن وجود مثل هذه الملاحظات يمكن أن يعرض مركز العمل أو المؤسسة للمخاطر المشار اليها أعلاه.

حيث إن هناك ملاحظات فعلاً تحققت منها الآثار السلبية مثال ذلك وجود خلل قانوني في أحد العقود أدى إلى تغريم المؤسسة مبلغ كبير وفعلاً تحملته المؤسسة أو وجود إجراء خاطئ في معاملات عميل مهم وقام فعلاً بتصفية نشاطه مع المؤسسة.

أو يمكن أن تكون الآثار متوقعة كأن يتم تسجيل ملاحظة خاصة بعدم تطبيق الضابط الرقابي الخاص بجرد مخازن تحتوي على مواد ثمينة قد يعرض المؤسسة إلى فقدان محتويات مخازن أو سرقتها، أو تسجيل ملاحظة بعدم وجود رقابة ثنائية على خزنة تحتوي على وثائق هامة جداً قد تعرضها للفقدان أو الاختلاس.

2- ملاحظات متوسطة المخاطر :(M) وتشمل ملاحظات وجودها  قد عرض المؤسسة أو قد تعرضها إلى المخاطر المشار إليها في البند السابق، ولكن بدرجة أقل نسبياً سواء آثار سلبية متحققة، أو قد تتحقق نتيجة وجود الملاحظة.

 3 ـ ملاحظات متدنية المخاطر (L) :  المؤسسة محدودة وغالبيتها أخطاء عمل بسيطة لا ترتقي لنكون طواهر سلبية يمكن أن تؤدي إلى التأثير السلبي على المؤسسة، وبعض المؤسسات لا تقوم بادراجها في التقرير النهائي الذي تم إصداره وإنما تبقى محتفظة بها ضمن أوراق العمل، وعموماً هذه الملاحظات إذا توفرت فيها الصفات التالية مجتمعة يتم تصنيفها ضمن فئة الملاحظات المتدنية المخاطر:ـ

أ- الأهمية النسبية للملاحظة متدنية قياساً بحجم العمل، أو مبالغ المعاملات.

ب- غير متكررة حيث أنها تمثل حالة واحدة مثلاً، أو حالتين من مجموع حالات عديدة.

ج- تمت المعالجة الفورية لها.

د ـ لم يتحقق من خلالها آثار سلبية أثرت أو قد تؤثر على أموال المؤسسة، أو عملائها، أو عملياتها، أو معلوماتها. 

وتقوم إدارات التدقيق الداخلي بوضع نظام واضح يتم من خلاله تصنيف الملاحظات وفقاً للمخاطر اعتماداً على أسس محددة وتختلف معايير وأسس التصنيف من مؤسسة الى مؤسسة اخرى ويتوقف هذا على طبيعة عمل المؤسسة وسياسات لجان التدقيق والوعي الرقابي داخل المؤسسة.

ومن المتفق عليه بأنه لا يوجد معايير ثابتة للتصنيف يتم استخدامها لدى كافة المؤسسات، أو حتى لدى المؤسسات في القطاع الواحد، إلا أنه يوجد بعض المعايير الاسترشادية التي من الممكن الاعتماد عليها من قبل دوائر التدقيق الداخلي عند القيام بتصنيف الملاحظات، ومن هذه المعايير على سبيل المثال:

1- الأثر السلبي على المؤسسة نتيجة وجود الملاحظة :

هناك ملاحظات قد ينتج عنها آثار سلبية كبيرة قد تتمثل في خسائر مالية ، أو فقدان عملاء مهمين، أو تأثير على معلومات المؤسسة ... الخ.

لذلك تميل الملاحظة إلى التصنيف ضمن فئة المخاطر العالية كلما زادت حدة هذه الآثار.

2 ـ طبيعة البنود أو الأصول التي تختص بها الملاحظة :

هناك أصول أو جوانب بطبيعتها مخاطرها مرتفعة أي أنها تحتوي على مخاطر ملازمة Inherent Risk لذلك الملاحظات التي تكتب في مثل هذه الجوانب يكون من المرجح تصنيفها ضمن فئة المخاطر العالية.

3- نسبة الأخطاء من العينات التي تم تدقيقها : 

نسبة الأخطاء من العينات تلعب دوراً في ترجيح تصنيف الملاحظات ضمن الفئات المختلفة.

4- أهمية الضوابط الرقابية التي تم مخالفتها :   

وفقاً للأسس الحديثة في بناء وتقييم أنظمة الرقابة الداخلية مثل نظام CSA التقييم الذاتي للرقابة يتم بداية تقييم المخاطر وتحديد أهمية كل خطر وفقاً للاحتمالية والأثر وبالتالي الوصول إلى أهمية الخطر، وبناء على أهمية هذه المخاطر يتم وضع الضوابط الرقابية، ويتم تحديد هذه الضوابط بناء على أهمية الخطر لذلك المخاطر التي تصنف ضمن الأهمية الكبرى يتم وضع ضوابط رقابية هامة لتقليل احتمالية حدوثها أو مواجهة آثارها وايضاً لكل ضابط رقابي درجة تأثير في الخطر، لذلك الضوابط الرقابية ذات الأثر الكبير لها أهمية كبرى في حماية المؤسسة من الخطر في حالة الالتزام بتطبيقها. وفي حالة عدم تطبيق الضابط الرقابي تتعرض المؤسسة لمخاطر عالية لذلك يكون أحد العناصر المهم في تصنيف الملاحظة حسب درجة الخطر.

5 - تكرار الملاحظات :

إن تكرار الملاحظات في التقارير المتتابعة لمهام التدقيق الداخلي وعدم الأخذ بالتوصيات للمعالجة يؤدي إلى ضعف المنظومة الرقابية، لذلك الملاحظات المتكررة تميل إلى أن تكون ضمن المخاطر المرتفعة.

هذا وقد أشار سوير في كتابه "دليل سوير" المجلد الثاني عمليات وأساليب التدقيق الداخلي إلى أنه ينبغي على المدققين الداخليين تطبيق معايير تصنيف بالاستعانة بالأحكام المهنية ، بمعنى أن عملية وضع تصنيفات الملاحظات حسب المخاطر لا تلتزم بمعادلة رياضية معينة، ولكنها تتم بشكل تقديري من خلال الخروج بقرار يستند إلى أدلة ومعايير وتقديرات شخصية لذلك يتشاور المدققون الداخليون في العادة في إدارة التدقيق الداخلي في تحديد التصنيف المناسب للملاحظة.

وقام في كتابه بتحديد معايير معينة لتصنيفات الملاحظات حسب المخاطر كما يلي:-

۱- مخاطر مرتفعة المستوى :  

ـ خسارة مالية جسيمة أو بيانات مضللة.

ـ عدم تحقيق أهداف العمليات.

ـ ضرر على سمعة المؤسسة.

ـ احتمال التعرض لعقوبات أو غرامات تنظيمية.

2ـ مخاطر متوسطة المستوى:

ـ خسارة مالية أقل جسامة أو بيانات مالية مضللة.

ـ تأخر أو معوقات تعترض تحقيق أهداف العمليات.

ـ حدوث أثر سلبي على سمعة المؤسسة.

ـ احتمال إثارة قلق الجهات التنظيمية ولكن دون غرامات أو عقوبات.

3 ـ مخاطر منخفضة المستوى :   

ـ خسارة غير جسيمة يمكن التعافي منها.

ـ نقاط انعدام كفاءة في تلبية أهداف العمليات ويمكن التعافي منها.

ـ ضرر مؤقت بسمعة المؤسسة.

ـ ملاحظة مرتبطة بالجهات التنظيمية، ولكنها لا تشكل سبباً يدعو لقلق الجهات التنظيمية.

في النهاية فإنه لا يوجد مقاييس دقيقة ومعتمدة يمكن تطبيقها لكافة المؤسسات لتعطي نفس النتائج عند تطبيقها، وكأنها معادلات رياضية، ولا بد من تأثر التطبيق بالحكم المهني، لذلك أرى أن تتم عملية التصنيف من خلال فريق التدقيق مع المسؤول في إدارة التدقيق بحيث يتم التصنيف مع توضيح الأسس التي تم الاعتماد عليها في التصنيف، وكلما تم وضع أسس معينة للسير عليها في التصنيف كلما انخفض الحكم الشخصي في التطبيق.