ERP و تغییر رویکرد حسابرسی؛ از نمونه‌گیری پسینی تا اطمینان‌بخشی داده‌محور
ناشر: شرکت توسعه آتراویژن فردا
ثبت یکپارچه و ردپای رویدادها می‌تواند حسابرسی را از گردآوری دیرهنگام شواهد به ارزیابی مستمرتر ریسک و کنترل نزدیک کند؛ به شرط آن‌که دسترسی، داده و تغییرات سیستم قابل اتکا باشند.
ERP موضوع حسابرسی را تغییر می‌دهد
در محیط پراکنده، بخش بزرگی از زمان حسابرسی صرف جمع‌آوری فایل‌ها، تطبیق منابع و بازسازی مسیر رویداد می‌شود. ERP می‌تواند سفارش، رسید، فاکتور، پرداخت، سند مالی و تأییدها را در یک زنجیرهٔ مرتبط نگه دارد. در نتیجه حسابرس فرصت بیشتری برای تحلیل طراحی کنترل و بررسی استثنا پیدا می‌کند.
این مزیت خودکار نیست. اگر دسترسی‌ها نامتناسب، دادهٔ پایه نامعتبر یا ثبت‌های خارج از سیستم رایج باشند، یکپارچگی ظاهری ممکن است اطمینان کاذب ایجاد کند. حسابرسی باید علاوه بر خروجی مالی، محیط فناوری، پیکربندی و حاکمیت تغییر را نیز بشناسد.
از سند منفرد تا ردپای کامل فرایند
در رسیدگی خرید تا پرداخت، سؤال فقط صحت یک فاکتور نیست. حسابرس ارتباط درخواست، بودجه، تأمین‌کننده، سفارش، دریافت، کنترل کیفیت، فاکتور، پرداخت و ثبت دفتر کل را بررسی می‌کند. شناسه‌های مرتبط و ثبت زمان می‌توانند مسیر آزمون را کوتاه‌تر و دامنهٔ تحلیل را گسترده‌تر کنند.
ردپای حسابرسی باید تغییر مقدار، کاربر، زمان و دلیل اصلاح را تا سطح موردنیاز نگه دارد. امکان اصلاح بدون سابقه، اشتراک حساب کاربری یا ثبت تجمیعی مبهم، قابلیت اتکای شواهد را کاهش می‌دهد. سیاست نگهداری لاگ نیز باید با الزامات سازمان هماهنگ باشد.
کنترل‌های خودکار و کنترل‌های وابسته به فناوری
کنترل سقف اعتبار، تطبیق سه‌طرفه، الزام فیلد، توالی تأیید یا جلوگیری از دورهٔ بسته نمونه‌هایی از کنترل‌های قابل پیکربندی‌اند. حسابرس باید منطق، دامنه، استثنا و شواهد اجرای آن‌ها را ارزیابی کند؛ مشاهدهٔ وجود یک گزینه در سامانه برای نتیجه‌گیری کافی نیست.
اتکای بیشتر به کنترل خودکار، اهمیت کنترل‌های عمومی فناوری را افزایش می‌دهد: مدیریت دسترسی، تفکیک محیط‌ها، تغییرات برنامه، پشتیبان‌گیری، عملیات و رسیدگی به رخداد. ضعف این پایه‌ها می‌تواند بر چند کنترل کسب‌وکار به‌طور هم‌زمان اثر بگذارد.
تحلیل کل جامعه و حسابرسی مستمر
دادهٔ ساختاریافته امکان می‌دهد به‌جای محدودشدن به نمونهٔ کوچک، کل جامعه برای الگوهای پرریسک غربال شود: ثبت در زمان غیرعادی، تغییر حساب مقصد، پرداخت تکراری، شکستن مبلغ برای عبور از سطح اختیار، ثبت دستی پرتکرار یا تعارض نقش‌ها نمونه‌هایی از آزمون تحلیلی‌اند.
هشدار تحلیلی اثبات تخلف نیست. قواعد باید نرخ خطای قابل قبول، مسئول بررسی و شیوهٔ مستندسازی نتیجه داشته باشند. حسابرسی مستمر نیز مسئولیت کنترل روزمره را از مدیریت نمی‌گیرد؛ مدیریت کنترل را پایش می‌کند و حسابرسی داخلی ارزیابی مستقل ارائه می‌دهد.
| رویکرد | تمرکز اصلی | نیاز کنترلی |
|---|---|---|
| رسیدگی سنتی | نمونه اسناد و مانده‌ها | کفایت نمونه و شواهد |
| حسابرسی فرایند | زنجیرهٔ رویداد و کنترل | شناسه و ردپای قابل اتکا |
| تحلیل داده | غربال کل جامعه و استثنا | کیفیت داده و اعتبار قواعد |
| حسابرسی مستمر | ارزیابی دوره‌ای کوتاه‌تر | تفکیک مسئولیت و پیگیری هشدار |
تفکیک وظایف و دسترسی ممتاز
ERP تعارض نقش‌ها را قابل مشاهده‌تر می‌کند؛ برای مثال ایجاد تأمین‌کننده، ثبت فاکتور و تأیید پرداخت نباید بدون بررسی در اختیار یک فرد باشد. ماتریس تفکیک وظایف باید فرایند، سطح سازمان و جانشینی را پوشش دهد و فقط فهرست منوها نباشد.
دسترسی مدیر سیستم و دسترسی اضطراری نیازمند کنترل جداگانه‌اند. ثبت استفاده، تأیید ضرورت و بازبینی پس از اقدام اهمیت دارد. حذف حساب کاربر جداشده و بازبینی دوره‌ای نقش‌ها نیز از کنترل‌های پایه‌ای‌اند که باید شواهد اجرای آن‌ها موجود باشد.
نقشهٔ آمادگی حسابرسی در استقرار ERP
تیم حسابرسی و کنترل داخلی باید از مرحلهٔ طراحی فرایند وارد شود، بدون آن‌که مالک تصمیم اجرایی شود. نیازهای شواهد، گزارش‌های کنترلی، دورهٔ نگهداری و سناریوهای تعارض دسترسی باید پیش از پذیرش نهایی مشخص و آزموده شوند.
پس از راه‌اندازی، اولین چرخه‌های مالی و عملیاتی فرصت ارزیابی کیفیت ثبت و اثربخشی کنترل‌اند. موارد اصلاحی باید صاحب، موعد و آزمون مجدد داشته باشند. هدف، تولید گزارش بیشتر نیست؛ ایجاد شواهد قابل اتکا برای تصمیم و اطمینان‌بخشی است.
منابع و مبنای مقاله
مرجع حرفه‌ای: راهنمای حسابرسی و پایش مستمر مؤسسه حسابرسان داخلی. مباحث مقاله چارچوب مدیریتی‌اند و جایگزین استانداردهای حسابرسی یا نظر حسابرس مستقل نیستند.
طراحی کنترل، دورهٔ نگهداری شواهد و دامنهٔ دسترسی باید با الزامات قانونی و حرفه‌ای سازمان تطبیق داده شود.