مصفوفة الصلاحيات، وتسمى أيضًا جدول تفويض الصلاحيات، تحدد من يعتمد أي معاملة، وإلى أي مبلغ، ولأي شركة. والفصل بين المهام يضمن ألا يستطيع شخص واحد أن يبدأ المعاملة نفسها ويعتمدها ويسجلها ويسوّيها. ومعًا هما الضابطان الأساسيان اللذان يوقفان الأخطاء والاحتيال قبل أن تصل إلى البنك أو التقارير.
ما هي مصفوفة الصلاحيات؟
مصفوفة الصلاحيات جدول بالقرارات والأشخاص المخوّلين باتخاذها. كل صف فيها إجراء، مثل إطلاق دفعة أو ترحيل قيد يدوي. وكل عمود شريحة مبلغ. وكل خانة تسمّي الدور الذي يحق له اعتماد ذلك الإجراء حتى ذلك المبلغ.
وتختلف تسمياتها بين الشركات: تفويض الصلاحيات، أو جدول الصلاحيات المالية، أو حدود الاعتماد، أو صلاحيات التوقيع. ويعتمدها عادةً مجلس الإدارة أو الرئيس التنفيذي، وهي تغطي أكثر من المالية، فالعقود والتوظيف والمشتريات كثيرًا ما تكون في الوثيقة نفسها. وهذا الدليل يتناول الصفوف المالية.
والمصفوفة الجيدة تسمّي الأدوار لا الأشخاص، وتعمل بعملة أساس واحدة، وتحدد ما يحدث عند غياب المعتمِد. ومن دون ذلك تنتقل الاعتمادات إلى من يصادف وجوده، وتصبح المصفوفة وثيقة لا يتبعها أحد.
ما هو الفصل بين المهام؟
الفصل بين المهام يعني توزيع خطوات المعاملة الواحدة على أشخاص مختلفين، حتى يكتشف أحدهم خطأ الآخر أو احتياله. وهو مبدأ عام من مبادئ الرقابة الداخلية، ويختبره المدققون الخارجيون عادةً.
والمهام التي يجب فصلها أربع في العادة:
- اعتماد المعاملة، مثل الموافقة على دفعة أو شراء.
- تسجيلها في الدفاتر.
- حيازة الأصل، مثل صلاحية الحساب البنكي أو المخزون.
- مطابقة السجلات ومراجعتها.
وصورته اليومية مبدأ مراجعة الشخصين، أو الأعين الأربع: شخص يُعدّ وشخص ثانٍ يعتمد. ويسري على الدفعات والقيود وبيانات حسابات الموردين البنكية والشطب وصلاحيات الأنظمة المالية.
كيف تبني مصفوفة الصلاحيات؟
- اكتب قائمة القراراتابدأ بالإجراءات التي تحرك المال أو تغيّر الدفاتر: إطلاق الدفعات، والقيود اليدوية، وشطب الذمم المدينة، وتعديل الموازنة، والنفقات الرأسمالية، واستبعاد الأصول، والموردين الجدد وتغيير بياناتهم البنكية، وصلاحيات الأنظمة المالية.
- حدد شرائح المبالغ لكل إجراءاختر شرائح قليلة لكل إجراء بعملة أساس واحدة. وبيّن كيف تُحوّل المبالغ بالعملات الأجنبية، وهل تشمل المبالغ ضريبة القيمة المضافة. فكلما قلّت الشرائح سهل اتباعها.
- سمِّ الأدوار لا الأشخاصاكتب "مدير المالية" أو "المدير المالي" لا اسم شخص. فإذا غادر أحدهم بقيت المصفوفة صالحة، وأمكن ربط صلاحيات الأنظمة بالدور.
- حدد النطاق حسب الشركةفي المجموعة تسري صلاحيات الاعتماد على شركات محددة. فمدير المالية في دولة لا ينبغي أن يعتمد دفعات دولة أخرى تلقائيًا.
- اكتب القواعد التي تسري على الجميعلا يعتمد أحد طلبه بنفسه، ويتخذ كل معتمِد قراره مرة واحدة، ويُثبّت المسار عند رفع الطلب، فلا يغيّر أي تعديل لاحق في المصفوفة الطلبات المنتظرة.
- خطط للغيابوثّق التفويض كتابةً، وحدده بمدة، ولا تفوّض أبدًا إلى من رفع الطلب.
- الاعتماد والنشر والمراجعةاجعل مجلس الإدارة أو الرئيس التنفيذي يعتمد المصفوفة، وانشرها لكل من يرفع الطلبات أو يعتمدها، وراجعها مرة في السنة على الأقل وبعد أي إعادة هيكلة.
كيف تبدو مصفوفة الصلاحيات؟
| الإجراء | حتى 50,000 ريال | حتى 500,000 ريال | أكثر من 500,000 ريال |
|---|---|---|---|
| إطلاق الدفعات | مدير المالية | المدير المالي | المدير المالي والرئيس التنفيذي |
| ترحيل القيود اليدوية | المراقب المالي | المدير المالي | المدير المالي |
| شطب الذمم المدينة | مدير المالية | المدير المالي | الرئيس التنفيذي |
| تعديل الموازنة | المدير المالي | الرئيس التنفيذي | مجلس الإدارة |
| النفقات الرأسمالية | المدير المالي | الرئيس التنفيذي | مجلس الإدارة |
| استبعاد الأصول | المدير المالي | الرئيس التنفيذي | مجلس الإدارة |
وبعض الصفوف لا تعتمد على المبلغ. فتغيير البيانات البنكية لمورد يحتاج إلى تحقق شخص ثانٍ أيًا كانت قيمة الدفعة التالية. وطلب الصلاحية يحتاج إلى موافقة مالك النظام، مع تأكيد مدير مقدم الطلب لحاجته إليها.
ما المهام التي لا ينبغي أن يجمعها شخص واحد؟
هذه الأزواج هي التعارضات المعتادة في الفريق المالي. وإذا اضطر شخص واحد إلى الجمع بينها، فأضف مراجعة تكشف أي إساءة استخدام.
| المهام المجتمعة | الخطر | الحل المعتاد |
|---|---|---|
| إدارة بيانات الموردين وحساباتهم البنكية، واعتماد الدفعات | دفعة لمورد وهمي أو إلى حساب بنكي مُغيّر | يتحقق شخص ثانٍ من تغييرات الموردين، وتعتمد الخزينة أو المدير المالي الدفعات |
| إعداد الدفعات وإطلاقها | دفعات تخرج دون فحص مستقل | يُعدّها قسم الدائنين، ويعتمدها ويطلقها شخص آخر |
| تسجيل مقبوضات العملاء وتسوية البنك | اختلاس مقبوضات وإخفاؤه بنقل الأرصدة بين العملاء | يُعدّ التسوية البنكية أو يراجعها شخص لا يتعامل مع المقبوضات |
| ترحيل القيود واعتمادها | قيود تغيّر النتائج دون مراجعة | يعتمد القيود اليدوية شخص ثانٍ حسب المبلغ |
| إدارة أدوار المستخدمين واعتماد المعاملات | منح النفس صلاحية الاعتماد ثم الاعتماد | إدارة الأدوار لدى تقنية المعلومات أو الأمن، بعيدًا عن المعتمدين |
| تعديل مصفوفة الصلاحيات والاعتماد ضمنها | رفع الحدود قبيل الاعتماد | يملك المصفوفة شخص لا يعتمد المعاملات |
| تقديم مطالبة مصروفات واعتمادها | إنفاق شخصي يُدفع كتكلفة عمل | يعتمد المطالبة شخص غير مقدمها |
| استيراد الأرقام أو استبدالها واعتماد الإقفال | أرقام معدّلة تُعتمد دون مراجعة | يراجع شخص ثانٍ الاستيراد قبل الاعتماد |
كيف يفصل فريق مالي صغير بين المهام؟
مع ثلاثة أو أربعة أشخاص لا يكون الفصل الكامل ممكنًا دائمًا. فاستخدم بدلًا منه ضوابط تعويضية: مراجعات تكشف ما قد يمر بسبب غياب الفصل.
- استخدم ضوابط البنك نفسه. إذا كانت منصة البنك تدعم الفصل بين دور مُدخل العملية ودور المعتمِد، فأسندهما إلى شخصين مختلفين، واجعل المالك أو الرئيس التنفيذي معتمِدًا فوق مبلغ محدد.
- راجع قائمة لا كل بند. كل شهر يراجع شخص من خارج العملية القيود اليدوية والموردين الجدد وتغييرات بياناتهم البنكية وعمليات الشطب.
- اجعل التسوية البنكية تُراجع من شخص لا يتعامل مع المقبوضات أو الدفعات، ولو كان من خارج الإدارة المالية.
- دوّر المهام، حتى لا يتولى الشخص نفسه الموردين أو العملاء أنفسهم سنوات.
- راجع الصلاحيات بانتظام، كل ربع سنة مثلًا: من يعتمد، ومن يدفع، ومن يعدّل المصفوفة.
ووثّق الضوابط التعويضية بجانب المصفوفة. فالمدقق سيسأل كيف يُغطّى الخطر، والجواب المكتوب أقوى بكثير من الشفهي. ويتناول دليل التسوية البنكية الجانب البنكي من ذلك.
كيف تطبق المصفوفة في أنظمتك؟
المصفوفة على الورق لا تعمل إلا إذا اتبعتها الأنظمة. فضع القواعد حيث يجري العمل: في نظام ERP، ومنصة البنك، وأي منصة مالية تُرفع منها الدفعات أو القيود.
- وجّه كل طلب حسب مبلغه عند رفعه، وسجّل المسار على الطلب.
- امنع الاعتماد الذاتي في النظام نفسه، لا بالسياسة وحدها.
- اطلب تحققًا جديدًا قبل الإجراءات الحساسة مثل اعتماد دفعة.
- سجّل كل طلب وقرار وتغيير في سجل لا يمكن تعديله.
- افحص صلاحيات المستخدمين بحثًا عن الأزواج المتعارضة، وراجع الصلاحيات بانتظام.
- أقفل الأشهر المعتمدة حتى لا تتغير أرقامها بصمت. راجع قائمة الإقفال الشهري.
الصلاحيات تُظهر ما يستطيع الشخص فعله، وسجل التدقيق يُظهر ما فعله فعلًا، فافحص الاثنين. فمن غيّر البيانات البنكية لمورد ثم أعدّ دفعة لذلك المورد يستحق سؤالًا، حتى لو كان دوره يسمح بالأمرين. والأمر نفسه لمن أعدّ قيدًا ثم اعتمد الإقفال الذي يتضمنه.
أسئلة شائعة
هل تفويض الصلاحيات هو نفسه مصفوفة الصلاحيات؟
عمليًا نعم. تفويض الصلاحيات هو الوثيقة التي يعتمدها مجلس الإدارة، ومصفوفة الصلاحيات هي الجدول داخلها أو النسخة المطبقة في أنظمتك. فأبقِ الاثنين متطابقين.
هل تشمل حدود الاعتماد ضريبة القيمة المضافة؟
كلا الخيارين صالح إذا كتبت القاعدة وطبقتها في كل مكان. في الدفعات، المبلغ الإجمالي هو الأبسط لأنه ما يخرج من البنك. وفي الموازنات وأوامر الشراء، المبلغ قبل الضريبة يتوافق عادةً مع طريقة إعداد الموازنة.
ماذا يحدث إذا كان المعتمِد في إجازة؟
فوّض نائبًا محددًا بالاسم، كتابةً، لمدة محددة. ويجب أن يملك النائب الصلاحية نفسها على الأقل، ولا يذهب التفويض أبدًا إلى من رفع الطلب.
هل يعتمد المدير المالي مطالبة مصروفاته بنفسه؟
لا. لا ينبغي لأحد أن يعتمد مطالبته أو طلبه بنفسه مهما كان مستواه. ومطالبات المدير المالي تذهب عادةً إلى الرئيس التنفيذي أو رئيس لجنة المراجعة.
من يجب أن يملك مصفوفة الصلاحيات؟
عادةً يقترحها المدير المالي ويعتمدها مجلس الإدارة أو الرئيس التنفيذي. ويجب أن يجري التعديلات في النظام شخص لا يعتمد المعاملات، وأن يُسجَّل كل تعديل.
هل يستطيع مفتاح API أو أي أتمتة اعتماد دفعة في نارفن؟
لا. يعمل مفتاح API كحساب خدمة بدور واحد وبالشركات التي تختارها، ولا يستطيع أبدًا الاعتماد أو اعتماد الإقفال أو إتمام مراجعة الشخصين، فهذه تتطلب دائمًا شخصًا.