كيف تمنع حذف أو تعديل
العمليات المالية دون رقابة؟

المبدأ: لا منع مطلق — بل مسموح يتغيّر بتغيّر الحالة

الاستجابة الأولى لمخاوف التعديل عادةً هي التشديد الشامل: امنع الجميع من كل شيء. والنتيجة نظام معطَّل يُلتف عليه بحسابات مشتركة وتسويات خارجية — فتزداد المخاطرة بدل أن تقلّ.

التصميم الصحيح مختلف: ما يُسمح به يتغيّر بتغيّر حالة المستند. المسودة تُعدَّل بحرية، والمرحَّل لا يُمسّ، وما بينهما يحتاج صلاحية.

الحالات الأربع وما يُسمح في كل واحدة

ونقطتان في التطبيق كثيرًا ما تُغفلان:

1. لا تسمح ببقاء المستند مسودة إلى الأبد. مسودة عمرها ثلاثة أشهر ليست مسودة — بل عملية خارج الرقابة. ضع مهلة وتنبيهًا.
2. التاريخ يُثبَّت مع الاعتماد. السماح بتغيير تاريخ مستند معتمد يفتح باب النقل بين الفترات — وهو أشيع صور التلاعب المستور.

الإلغاء بالعكس: لماذا لا يُحذف شيء؟

الحذف يبدو أنظف: خطأ وقع فأُزيل. والمشكلة أن الحذف يمحو الدليل على أن شيئًا حدث — فيصير من المستحيل التمييز بين خطأ صُحّح وعملية أُخفيت.

السطر الرابع هو الأثر الذي يُفاجئ الإدارة: حين يُحذف قيد من شهر مُقفل، يتغيّر تقرير اعتُمد ووُزّع. فيصير لدى الإدارة نسختان من الحقيقة نفسها بلا تفسير — وهذا وحده يهدم الثقة في كل التقارير.

واشترط أن يحمل كل مستند عكسي مبرّرًا مكتوبًا. حقل إلزامي بسطر واحد يكفي، وغيابه يجعل السجل يقول ماذا حدث ولا يقول لماذا.

إقفال الفترة: أرخص ضابط وأكبرها أثرًا

إن لم تنفّذ من هذا الدليل إلا بندًا واحدًا، فليكن هذا. إغلاق الفترة بعد اعتمادها يمنع تسجيل أو تعديل أي حركة بتاريخها — وبدونه يبقى كل ما بنيته قابلًا للنقض.

1. أقفل الفترة فور اعتماد قوائمها لا بعد شهور — كل يوم تأخير نافذة مفتوحة.
2. اجعل فتحها بصلاحية عليا واحدة ومسجّلة في سجل التدقيق باسم من فتحها ومدة الفتح.
3. أعد الإقفال فورًا بعد أي فتح استثنائي — لا تترك الفترة مفتوحة إلى نهاية اليوم.
4. راجع تقرير فتح الفترات شهريًا — تكراره مؤشر على خلل في الإقفال نفسه.
5. أقفل الفترة الضريبية بعد تقديم الإقرار — وهذا يحمي إسنادك عند المراجعة.

أثره في تسريع الإقفال مفصَّل في حل مشكلة تأخر التقارير الشهرية، وفي الإسناد الضريبي في تجهيز النظام للمراجعة الضريبية.

سجل التدقيق: ما يجعله حقيقيًا لا شكليًا

أكثر الأنظمة «فيها سجل تدقيق». والسؤال الصحيح ليس أموجود هو، بل: هل يجيب عن الأسئلة التي ستُسأل فعلًا؟

السطر الرابع هو الفاصل: سجل يستطيع أحد من داخل النظام محوَه ليس سجل تدقيق. اختبره في العرض بطلب مباشر — «احذف قيدًا ثم أرني كيف تمحو أثره من السجل». الجواب الصحيح: لا يمكن.

والسطر الخامس عملي: سجل لا يُقرأ إلا بمساعدة فنية سجل لا يُستخدم. تفصيل الوحدة في سجل التدقيق وتتبّع العمليات.

خمسة أسئلة يجب أن يجيب عنها نظامك في دقيقة

الطريقة العملية لاختبار الحماية ليست قراءة قائمة خصائص — بل طرح الأسئلة التي ستُطرح فعلًا يوم يقع خلاف أو مراجعة. وهذه خمسة، ومعيار النجاح أن يُجاب عن كلٍّ منها من داخل النظام في دقيقة:

السؤال الخامس أكثرها إهمالًا وأسهلها كشفًا للخلل. اطلب اليوم تقريرًا يقول: من يملك صلاحية حذف المستندات؟ في أكثر ما رأيناه، القائمة أطول مما يتوقّع المدير المالي — لأن الصلاحيات مُنحت مؤقتًا لدعم أو تغطية إجازة ولم تُسحَب.

1. راجع الصلاحيات ربعيًا لا عند التعيين فقط — والمراجعة تكون بالسحب لا بالإقرار.
2. اجعل الصلاحية المؤقتة تنتهي تلقائيًا بتاريخ، لا بتذكّر أحدهم سحبها.
3. اسحب فورًا عند تغيير الدور — الموظف المنقول يحتفظ بصلاحياته القديمة في أكثر الأنظمة ما لم تُسحَب يدويًا.

وهذه الثلاث تعالج أشيع ثغرة على الإطلاق: الصلاحية التي لم يعد أحد يعرف لماذا مُنحت — وهي لا تُكتشف إلا بتقرير يُطلب عمدًا.

الصلاحيات: من يستطيع ماذا — ومن لا يجب أن يستطيع

الحماية لا تكتمل بحالات المستند وحدها. تحتاج توزيعًا للصلاحيات يمنع أن يجمع شخص واحد ما يجب أن يتفرّق:

السطر الأخير يُغفَل دائمًا: من يدير النظام تقنيًا لا يجب أن يملك صلاحيات عمل دائمة. وحين يحتاجها لدعم، تُمنح مؤقتًا وتُسجَّل وتُسحَب. تفصيل التصميم في حماية المنشأة من الاحتيال المالي.

ما لا يُمنع يجب أن يُكشَف

بعض الصلاحيات لا يمكن إلغاؤها — يجب أن يستطيع أحد فتح فترة أو تعديل استثنائي. وما لا يُمنع يجب أن يُراقَب:

واحرص أن تكون قائمة التنبيه الفوري قصيرة عمدًا. عشرون تنبيهًا يوميًا تُقرأ في الأسبوع الأول وتُتجاهَل بعده — وثلاثة تنبيهات شهريًا تُقرأ كلها.

وحين يصير التشديد تعطيلًا

هذا القسم يخالف مصلحتنا — كل ضابط إضافي بند في مشروع. لكن الرقابة المفرطة تُنتج عكس ما تريد:

والقاعدة التي نطبّقها: كل ضابط يجب أن يترك مسارًا مشروعًا لإنجاز العمل. المنع بلا بديل يُنتج التفافًا، والالتفاف أخطر من الثغرة الأصلية لأنه غير مرئي.

ولذلك نقول صراحةً: إن كانت مقترحاتنا ستجعل فريقك يعمل خارج النظام، فهي فاشلة مهما بدت محكمة على الورق.

قائمة فحص لحماية العمليات

1. المستند المرحَّل لا يُعدَّل ولا يُحذف — مُختبَر عمليًا.
2. الإلغاء يتم بمستند عكسي يحمل مبرّرًا إلزاميًا.
3. التاريخ يُثبَّت مع الاعتماد ولا يُغيَّر بعده.
4. المسودات لها مهلة وتنبيه — لا مسودة عمرها أشهر.
5. الفترة تُقفل فور اعتماد قوائمها.
6. فتح الفترة بصلاحية عليا واحدة ومسجَّل باسم ومدة.
7. سجل التدقيق يحفظ القيمة قبل وبعد لكل تغيير.
8. سجل التدقيق غير قابل للمحو من داخل النظام.
9. السجل يُقرأ بتقرير مفهوم لا بملف تقني.
10. التجميعات الخطرة الخمس مفصولة بين أشخاص.
11. المدير التقني بلا صلاحيات عمل دائمة.
12. تقرير استثناءات شهري يُقرأ من مسؤول محدّد.

تسع من اثنتي عشرة تعني ضوابط تصمد أمام مراجعة. والبند الخامس وحده — إقفال الفترة — أرخصها وأكبرها أثرًا؛ إن نفّذت واحدًا فقط فليكن هو.

اقرأ أيضًا