تدريب المدقق الداخلي ISO 37001: نطاق التدقيق الداخلي وتحديد الأولويات

معظم المشكلات التي نراها في التدقيق الداخلي لا تبدأ من ضعف في المهارة. تبدأ من نطاق سيئ الاختيار. مدقق يقضي يومين في مراجعة سجلات تدريب مكتملة أصلاً، بينما لم يمسّ أحد ملفات العناية الواجبة للوسطاء منذ ثمانية عشر شهراً. لهذا يضع تدريب المدقق الداخلي ISO 37001 مسألة النطاق والأولويات في القلب، لا في الهامش. الدورة مدتها يومان، أي 16 ساعة تدريب، وهي مصممة لمن سيدقّق منظمته هو، تحت البند 9.2 من المعيار، ويرفع نتائجه إلى إدارته هو.

ما هو تدريب المدقق الداخلي ISO 37001؟

هو تدريب عملي يؤهّلك لتخطيط عمليات تدقيق داخلي لنظام إدارة مكافحة الرشوة وتنفيذها. تتعلم كيف تبني برنامج التدقيق الداخلي، وكيف تحدد نطاق كل عملية تدقيق على حدة، وكيف تجمع الأدلة، وكيف تكتب نتيجة يمكن لمديرك أن يتصرف بناءً عليها.

الفارق الجوهري عن دورة المدقق الرئيسي بسيط وحاسم: أنت تدقّق مكان عملك. تعرف الأشخاص. تعرف أين تُخبَّأ الملفات وأين تُدفن المشكلات. هذه معرفة ثمينة ومصدر خطر في الوقت نفسه، وسنعالج الأمرين معاً. أما دورة المدقق الرئيسي فهي منتج أطول وغرضه مختلف: تدقيق منظمات أخرى. نذكر الفرق مرة واحدة هنا ثم ننصرف عنه.

لا تُشترط خبرة سابقة في التدقيق للالتحاق. يُستحسن أن تكون قد قرأت المعيار أو عملت قريباً منه، لكن الدورة تبدأ من مستوى يسمح لموظف امتثال أو مالية أو مشتريات بالانطلاق من الصفر المنهجي.

لماذا يسبق تحديد النطاق كل شيء آخر؟

تخيّل أنك تلقيت تكليفاً من الإدارة: «دقّق نظام مكافحة الرشوة». هذه ليست مهمة، بل عنوان. النظام يشمل تقييم مخاطر الرشوة، والعناية الواجبة، والضوابط المالية وغير المالية، والهدايا والضيافة، والتبرعات، والرعايات، والإبلاغ عن المخالفات، والتحقيقات، والتدريب، والالتزامات المفروضة على شركاء الأعمال. لا يمكن تغطية ذلك كله في عملية تدقيق واحدة، ولا ينبغي.

النطاق هو القرار الذي يحوّل العنوان إلى عمل. وهو قرار يُتَّخذ قبل أن تكتب سؤالاً واحداً. في اليوم الأول من الدورة نتعامل مع تحديد النطاق باعتباره مهارة قابلة للتعلم، لها مدخلات ومخرجات ومعايير حكم، لا باعتباره حدساً يأتي مع السنوات.

مخرجات تحديد النطاق الجيد ثلاثة: بيان نطاق مكتوب في صفحة واحدة، وقائمة بما استُبعد ولماذا، وتقدير واقعي للوقت. إن غاب أي من الثلاثة، فأنت تدخل التدقيق وأنت مكشوف.

ماذا يتطلب البند 9.2 فعلياً؟

البند 9.2 يطلب من المنظمة أن تجري عمليات تدقيق داخلي على فترات مخططة. الهدف: التحقق من أن نظام إدارة مكافحة الرشوة مطابق لمتطلبات المنظمة نفسها ولمتطلبات المعيار، وأنه مُنفَّذ ومُحافَظ عليه بفعالية.

ثم يضيف ما هو أهم للمدقق الداخلي: على المنظمة أن تخطط برنامج تدقيق يأخذ في الاعتبار أهمية العمليات المعنية ومخاطر الرشوة المرتبطة بها ونتائج عمليات التدقيق السابقة. هذه العبارة هي رخصتك الصريحة لتحديد الأولويات. المعيار لا يطلب تغطية متساوية لكل شيء كل عام. يطلب تغطية مدروسة تتبع المخاطر.

يطلب البند كذلك تحديد معايير التدقيق ونطاقه لكل عملية، واختيار مدققين يضمنون موضوعية العملية وحيادها، ورفع نتائج التدقيق إلى الإدارة المعنية، والاحتفاظ بمعلومات موثقة كدليل على تنفيذ البرنامج. وفي ISO 37001 تحديداً، تُرفع نتائج التدقيق أيضاً إلى وظيفة الامتثال لمكافحة الرشوة وإلى هيئة الحوكمة حيثما وُجدت.

نقرأ نص البند في القاعة سطراً سطراً، ثم نحوّل كل جملة فيه إلى مطلب عملي قابل للتدقيق. في نهاية التمرين يكون لدى كل متدرب قائمة تحقق من صنعه هو، لا قائمة جاهزة نسخها.

كيف تُرتّب الأولويات حين لا يمكنك تدقيق كل شيء؟

نستخدم في الدورة أربعة محاور للترجيح، ونطبّقها على حالة دراسية لمنظمة خدمية متوسطة الحجم لها وكلاء في عدة أسواق.

المحور الأول: التعرّض للمخاطر. أين تلتقي منظمتك بالمال والسلطة والقرار في الوقت نفسه؟ الوسطاء، والمناقصات، والتراخيص، والمدفوعات النقدية، والعلاقات التي تمر عبر طرف ثالث واحد لا بديل عنه.

المحور الثاني: الهشاشة. هل الضابطة تعتمد على شخص واحد؟ هل تعمل يدوياً؟ هل تغيّر مالكها مؤخراً؟ الضوابط التي تعتمد على ذاكرة موظف واحد تستحق زيارة مبكرة.

المحور الثالث: البرود. متى دُقّق هذا المجال آخر مرة؟ مجال لم يُزَر منذ سنتين يستحق مقدمة أولوية حتى لو بدا هادئاً، لأن الهدوء الظاهري قد يكون غياب بيانات لا غياب مشكلات.

المحور الرابع: التغيير. أي شيء تغيّر يعيد ترتيب الأولويات: نظام مالي جديد، استحواذ، سوق جديد، إعادة هيكلة، أو تعديل في المعيار نفسه.

نعطي كل محور وزناً، ونجمع النقاط، ثم — وهذه الخطوة التي يقفز عنها كثيرون — نراجع الترتيب بالحكم البشري. الجدول أداة تفكير، لا سلطة تُطاع. إن أعطى النموذج أولوية منخفضة لمجال تشعر فيه بقلق حقيقي، اكتب سبب قلقك وارفع الأولوية يدوياً. القابلية للتفسير أهم من دقة الأرقام.

جدول الأولويات: من أين تبدأ ولماذا

هذا نموذج مبسّط نبنيه مع المتدربين في اليوم الأول، ثم يعيد كل واحد بناءه على واقع منظمته.

لاحظ أن العمود الثالث مكتوب بصيغة ما يمكن طلبه فعلاً، لا بصيغة ما نتمناه. هذا فرق يميّز خطة تدقيق قابلة للتنفيذ عن خطة تبدو جميلة وتنهار في أول صباح.

ما الذي يدخل في نطاق التدقيق وما الذي يُؤجَّل؟

الجزء الأصعب في تحديد النطاق ليس ما تُدخِله، بل ما تُخرِجه وأنت قادر على تبرير الإخراج. نعلّم المتدربين أن يكتبوا الاستبعاد صراحة، مع سبب وموعد مقترح للعودة.

في التمرين المصاحب، يملأ كل متدرب الجدول لمنظمته ثم يدافع عن صفٍّ واحد أمام المجموعة. المجموعة تسأل السؤال الوحيد المهم: «وماذا لو حدثت المشكلة تحديداً فيما استبعدته؟» الإجابة عن هذا السؤال كتابةً هي ما يجعل استبعادك قراراً مهنياً لا إهمالاً.

كيف تبني برنامج التدقيق الداخلي على مدى سنة؟

عملية التدقيق الواحدة تحلّ مشكلة واحدة. برنامج التدقيق الداخلي يحلّ مشكلة التغطية. الفرق بينهما هو الفرق بين رحلة وخريطة.

نبني في الدورة برنامجاً سنوياً على أربع دورات، بحيث تُغطى مجالات المخاطر العليا مرتين في السنة، والمجالات المتوسطة مرة، والمجالات المنخفضة مرة كل سنتين مع مبرر مكتوب. البرنامج يحمل أيضاً مساحة محجوزة لتدقيق غير مجدول — لأن شيئاً ما سيحدث، وإن لم تحجز له وقتاً فسيأكل من وقت غيره.

عناصر البرنامج التي نصرّ عليها: هدف كل دورة، النطاق المبدئي، المدقق المقترح مع فحص استقلاليته، الفترة التقريبية، ومرجع سريع لآخر نتيجة في المجال نفسه. ونضيف عموداً أخيراً كثيراً ما يُنسى: من سيقرأ التقرير. إن لم تعرف قارئك، فلن تعرف كيف تكتب.

ماذا يحدث في يومَي الدورة؟

اليوم الأول يبدأ بالمعيار كأداة عمل لا كنص للحفظ. نمرّ على بنية المعيار، ثم على البنود التي تُدقَّق فعلاً أكثر من غيرها. بعدها ننتقل إلى مخاطر الرشوة وكيف تُترجم إلى أولويات تدقيق. ثم تحديد النطاق، وبناء البرنامج، وكتابة خطة عملية تدقيق واحدة كاملة من البداية إلى النهاية.

اليوم الثاني ميداني الطابع. تمارين مقابلة مع أدوار موزّعة، جمع أدلة من حزمة مستندات مُعدّة، تمييز الملاحظة عن حالة عدم المطابقة، صياغة النتائج بلغة محايدة، ثم اجتماع اختتامي تمثيلي مع «إدارة» تجادل وتعترض. ننهي بالتقرير وبمتابعة الإجراءات التصحيحية.

التقييم مستمر طوال الدورة، إضافة إلى اختبار تحريري في نهايتها. المشاركة في التمارين جزء من التقييم، لأن التدقيق مهارة تُمارَس لا معلومة تُسترجع.

كيف تحافظ على الموضوعية حين تدقّق زملاءك؟

هذه هي النقطة التي تفرّق بين التدقيق الداخلي والتدقيق الخارجي أكثر من أي شيء آخر. المدقق الخارجي يغادر بعد ثلاثة أيام. أنت تبقى، وتجلس مع الشخص نفسه على مائدة الغداء غداً.

قاعدة الاستقلالية بسيطة ولا تقبل مساومة: لا تدقّق عملك ولا عمل من ترفع إليه تقاريرك مباشرة. ما دون ذلك يحتاج إلى حكم. نقدّم في الدورة مصفوفة قرار صغيرة: هل شاركت في تصميم الضابطة؟ هل تستفيد من نتيجة معينة؟ هل تجمعك بالمالك علاقة تجعل الرفض صعباً؟ إن كانت الإجابة نعم على أي منها، سجّل ذلك واطلب مدققاً بديلاً أو مراجعة ثانية لعملك.

التقنيات السلوكية لا تقل أهمية. لا تدخل المقابلة بفرضية. اسأل عن العملية، لا عن الشخص. اطلب الدليل قبل أن تعلّق. وحين تجد مشكلة، اكتب ما يفعله النظام لا ما فعله الموظف. صياغة النتيجة حول العملية تخفض المقاومة إلى النصف وتحسّن جودة الإجراء التصحيحي.

ما الأدلة التي تجمعها، وكم يكفي منها؟

الدليل هو ما يفصل النتيجة عن الرأي. نعلّم أربعة مصادر: الوثائق، والسجلات، والملاحظة المباشرة، والمقابلة. والقاعدة العملية أن الرأي الشفهي وحده لا يكفي لإثبات المطابقة، ولا يكفي وحده لإثبات عدمها.

المعاينة موضوع نخصص له وقتاً. كم ملفاً تفحص من أصل مئتين؟ لا توجد إجابة واحدة، لكن توجد طريقة دفاع: اذكر حجم المجتمع، وطريقة اختيارك، وسبب حجم العيّنة، وماذا ستفعل إن ظهرت مخالفة في العيّنة. المدقق الذي يكتب «فُحصت عيّنة» دون تفصيل يترك نتيجته بلا أرض تقف عليها.

نُدرّب أيضاً على تسجيل الدليل بصيغة قابلة للتتبع: رقم المستند، وتاريخه، ومصدره، ومن قدّمه. بعد ثلاثة أشهر، حين تُسأل عن نتيجتك، لن تسعفك الذاكرة.

كيف تكتب النتائج وترفع التقرير إلى إدارتك؟

النتيجة الجيدة تحتوي ثلاثة عناصر: المتطلب، والدليل، والفجوة بينهما. بهذا الترتيب. من دون المتطلب تصبح النتيجة رأياً شخصياً، ومن دون الدليل تصبح اتهاماً، ومن دون تسمية الفجوة تصبح ملاحظة غامضة لا تُنتج إجراءً.

نفرّق بوضوح بين حالة عدم مطابقة وفرصة تحسين، ونحذّر من العادة الشائعة: تسجيل كل شيء كفرصة تحسين تفادياً للإحراج. هذه العادة تُفرغ التدقيق الداخلي من معناه وتجعله بلا قيمة أمام أي مراجعة لاحقة.

التقرير موجّه إلى إدارتك أنت، لا إلى جهة منح شهادات. لذلك اكتب بلغة القرار: ما المخاطرة، ما حجمها، ما الخيارات. وضع النتائج مرتبة حسب الأهمية لا حسب ترتيب زيارتك للأقسام.

نقطة تستحق أن تُقال صراحة: حين تأتي جهة منح الشهادات لاحقاً، سينظر مدققها في سجلات تدقيقك الداخلي باعتبارها دليلاً على أن منظمتك تفي بالبند 9.2. تقارير مكتوبة بعناية، ببرنامج مبرَّر ونطاق موثّق، تجعل هذا الجزء من التدقيق الخارجي أهدأ بكثير. يمكنك الاطلاع على إجراءات تدقيق ISO وعملية إصدار الشهادات لفهم ما يبحث عنه المدقق الخارجي.

ما الذي تغيّر في ISO 37001:2025، وكيف يؤثر على نطاقك؟

ISO 37001 هو المعيار الدولي لنظام إدارة مكافحة الرشوة. النسخة الحالية ISO 37001:2025 صدرت في فبراير 2025 وحلّت محل نسخة 2016. الموعد النهائي لانتقال الشهادات الصادرة وفق نسخة 2016 هو 28 فبراير 2027.

التغييرات التي تهم من يحدّد النطاق:

• اعتماد البنية المنسّقة، وتغيّر مصطلح «أصحاب المصلحة» إلى «الأطراف المهتمة».
• البندان 4.1 و4.2 يتطلبان الآن أخذ تغيّر المناخ في الاعتبار ضمن السياق والأطراف المهتمة.
• البند 5.1.3 يجعل ثقافة مكافحة الرشوة متطلباً صريحاً، لا أثراً جانبياً للتدريب.
• البند 7.2.2 يضيف التوعية بتضارب المصالح إلى عمليات التوظيف.
• دور وظيفة مكافحة الرشوة واستقلاليتها موصوفان بوضوح أكبر.
• البند 8.4 يضيف عمليات الدمج والاستحواذ كمجال ضوابط غير مالية.
• البند 10 أُعيد ترتيبه: 10.1 التحسين المستمر، و10.2 عدم المطابقة والإجراء التصحيحي.

عملياً، كل تغيير من هذه يفتح مجالاً جديداً يستحق موقعاً في برنامج تدقيقك القادم. الثقافة مثلاً لم تكن تُدقَّق بجدية من قبل؛ الآن لها بند خاص، ولها أدلة يمكن طلبها: رسائل القيادة، وسلوك اتخاذ القرار عند التعارض بين الهدف التجاري والسياسة، وما حدث فعلاً لآخر حالة تصعيد.

يغطي المعيار الرشوة في أربعة اتجاهات: الرشوة من المنظمة، ومن أفرادها، ومن شركاء أعمالها الذين يتصرفون نيابةً عنها، والرشوة الموجّهة إلى المنظمة. حين تحدد النطاق، تأكد أن الاتجاهات الأربعة ممثلة في البرنامج السنوي، حتى لو لم تُمثَّل كلها في دورة واحدة.

ما طرق الحضور والتقييم والشهادة؟

تُقدَّم الدورة بأربع صيغ. في قاعة تدريب بأحد مراكز IAS، أو داخل مقرّك لفريق واحد — وهذه الصيغة مفيدة تحديداً لهذه الدورة، لأن التمارين تُبنى على مخاطرك أنت. وهناك الصيغة الافتراضية بقيادة مدرب عبر مؤتمرات الويب، وأخيراً المسار الذاتي الوتيرة مع وصول لمدة 30 يوماً إلى المادة عبر منصة التعلّم الإلكتروني.

التقييم مستمر طوال اليومين، يُضاف إليه اختبار تحريري. عند الإتمام تُصدَر شهادة إتمام من IAS مع EAS. الدورة مقدَّمة من IAS بالتعاون مع EAS تحت اعتماد UQAS الخاص بـ IAS، وهو اعتماد يشمل برامج التدريب إلى جانب منح الشهادات. تجد تفاصيل ذلك في صفحة الاعتماد الأكاديمي، وفي دليل استخدام الشعارات إن أردت معرفة قواعد عرض العلامات.

فريق التدريب مفصول عن فريق التدقيق. هذا الفصل مطلب حياد، لا ترتيب إداري اختاره أحد للراحة. من يدرّبك لا يقرر نتيجة تدقيق منظمتك.

ما لا تفعله هذه الدورة

نقولها بوضوح ودون مواربة. إتمام هذه الدورة لا يجعلك مدققاً لدى IAS. أنت لا تنضم إلى فريق تدقيق IAS، ولا تكتسب صلاحية إجراء عمليات تدقيق نيابةً عن جهة منح شهادات.

وإتمامك الدورة لا يمنح جهة عملك شهادة ISO 37001 ولا يقرّبها منها بشكل تلقائي. التدقيق الداخلي متطلب من متطلبات النظام، وليس بديلاً عن التدقيق الخارجي ولا طريقاً مختصراً إليه. الشهادة تُمنح بعد تدقيق تُجريه جهة منح شهادات وفق مسارها الخاص، ويمكنك الاطلاع على مسار شهادة ISO 37001 لمعرفة الفرق.

كذلك، الحصول على شهادة لا يثبت أن الرشوة لم تحدث ولن تحدث. ما تثبته الشهادة هو وجود نظام مصمم ومُطبَّق وفق متطلبات المعيار، وقت التدقيق.

بيان بشأن الأنظمة المحلية

هذه الصفحة لا تذكر أي قانون محلي أو لائحة أو جهة تنظيمية أو موافقة حكومية، ولا تدّعي أن هذه الدورة مطلوبة بموجب أي نظام في أي دولة، ولا تقدّم استشارة قانونية من أي نوع. المحتوى هنا يتعلق بمتطلبات معيار ISO 37001 وبمنهج الدورة فحسب. إن أردت معرفة ما تتطلبه الأنظمة السارية في نشاطك، فاستشر مختصاً قانونياً مؤهلاً في ولايتك القضائية.

مسارات ذات صلة

من يحدد أولويات التدقيق في نظام مكافحة الرشوة يجد غالباً أن المنطق نفسه ينطبق على أنظمته الأخرى. إن كانت منظمتك تشغّل أكثر من نظام إدارة، فقد يعنيك الاطلاع على تدريب المراجع الرئيسي ISO 9001، أو تدريب المراجع الرئيسي ISO 27001 حيث تتشابه منطقية المعاينة وجمع الأدلة، أو تدريب المراجع الرئيسي ISO 14001 وتدريب كبير المراجعين ISO 45001.

وإن كان اهتمامك بالجانب التسجيلي لا التدريبي، فابدأ من شهادة النظام أو من الصفحة العامة لـشهادة الأيزو.

صفحة معلوماتية عن منهج تدريب المدقق الداخلي ISO 37001؛ لا تتضمن استشارة قانونية ولا التزاماً تعاقدياً.