حوكمة بيانات ESRS والضوابط الداخلية: من مالكي نقاط البيانات إلى أدلة التأكيد

أُعدّ هذا المحتوى باللغة الإنجليزية البريطانية في صورة حزمة بطاقة معرفية للممارسين: إجابة، وشرح، وتطبيق، وأدلة، وروابط، وطبقة نشر.

يجمع إعداد تقارير ESRS معلومات ذات خصائص مختلفة جداً: مقاييس موحدة، وتقديرات، وبيانات المواقع، ومعلومات سلسلة القيمة، وسياسات، وأهداف، وخطط مستقبلية، وأحكام نوعية، وادعاءات سردية. وقد تنشأ هذه البنود في أنظمة مالية، ومنصات للموارد البشرية، وسجلات بيئية، وأدوات للمشتريات، وسجلات قانونية، واستقصاءات، ونماذج يعدّها مستشارون، وملفات تتم صيانتها يدوياً. ولذلك قد يعتمد بيان واحد للاستدامة على مئات المساهمين والتحويلات غير المرئية في التقرير المنشور.

ولا تقتصر مخاطر إعداد التقارير على وجود رقم غير صحيح. فقد ينشأ التحريف الجوهري أيضاً عن:

• إفصاح محذوف أو منشأة مفقودة؛

• حدود أو فترة أو وحدة أو تعريف غير صحيح؛

• بيان غير مدعوم بشأن تنفيذ سياسة أو فعاليتها؛

• نموذج تم تغييره ولم تتم الموافقة عليه؛

• تقديم تقدير دون افتراضاته أو حدوده؛

• هدف لا يتوافق مع خط أساسه؛

• تعديل متأخر يتجاوز المراجعة؛

• نسخة من التقرير لم تعد تتطابق مع حزمة الأدلة الخاضعة للضبط.

لا يتمثل الهدف في إنشاء ضوابط على غرار الضوابط المالية لذاتها. بل يتمثل في بناء سلسلة معلومات تتيح للإدارة ومجلس الإدارة ومقدم أعمال التأكيد فهم مصدر المعلومات، وسبب ملاءمتها، وكيف تمت مراجعتها، والقيود المتبقية.

تتطلب معايير ESRS الحالية لعام 2023 من المنشأة الإفصاح عن السمات الرئيسية لنظام إدارة المخاطر والرقابة الداخلية لديها فيما يتعلق بعملية إعداد تقارير الاستدامة. ويشمل الإفصاح نطاق النظام ومكوناته الرئيسية، ونهج تقييم المخاطر وترتيب أولوياتها، والمخاطر الرئيسية واستراتيجيات التخفيف منها، وإدماج النتائج في الوظائف الداخلية، وإعداد تقارير دورية إلى الهيئات الإدارية وهيئات الإدارة والهيئات الإشرافية.

تُبسّط معايير ESRS المعتمدة لعام 2026 الإفصاح الرئيسي ليقتصر على نطاق عمليات ونظم إدارة المخاطر والرقابة الداخلية وسماتها ومكوناتها الرئيسية. وينص متطلب التطبيق ذي الصلة على أن المنشأة يجب أن تراعي اكتمال البيانات وسلامتها ودقة نتائج التقدير باعتبارها جوانب ذات صلة بإدارة مخاطر إعداد التقارير.

لا تحدد معايير ESRS إطاراً واحداً للرقابة، أو منتجاً برمجياً واحداً، أو نموذج الخطوط الثلاثة، أو هيكلاً واحداً لمجلد الأدلة، أو تردداً إلزامياً واحداً لكل رقابة. يجب على المنشأة تصميم ضوابط متناسبة مع مخاطر إعداد تقاريرها وهيكلها ونضج بياناتها. ويجوز لها مواءمة النظام مع عمليات إعداد التقارير المالية الحالية، أو إدارة مخاطر المنشأة، أو الامتثال، أو التدقيق الداخلي، إلا أن التصميم يجب أن يعالج المخاطر المميزة لمعلومات الاستدامة.

يفصل النموذج الموثوق بين الإعداد والملكية والمراجعة والموافقة، مع تجنب عدد غير قابل للإدارة من عمليات التسليم.

بالنسبة إلى منشأة أصغر، قد يؤدي شخص واحد عدة أدوار تشغيلية. ومع ذلك، ينبغي ألا تُعد المعلومات المهمة ويُعتمد عليها نهائياً من الشخص نفسه دون مراجعة إضافية.

ثلاثة مستويات مترابطة للضوابط

1. ضوابط على مستوى المنشأة تحكم النطاق والمسؤوليات وسياسة إعداد التقارير وتقييم المخاطر والأخلاقيات والتصعيد وإشراف مجلس الإدارة.

2. ضوابط على مستوى العملية تحكم جمع البيانات والتوحيد والحسابات والتقديرات والسرديات والإقفال وتجميع التقرير.

3. ضوابط على مستوى الإفصاح تتحقق من مقياس أو بيان معين مقابل مواصفاته وأدلته ومتطلبات العرض في ESRS.

يربط النظام الناضج بين المستويات الثلاثة جميعها. فقد يظل المقياس الذي أعيد حسابه بصورة مثالية مضللاً إذا كان حد المنشأة غير صحيح. وقد تفشل سياسة المجموعة المصممة جيداً إذا حمّل أحد المواقع مصنفاً غير خاضع للضبط.

تمثل مصفوفة الإفصاحات الطبقة التنظيمية بين الأهمية النسبية وجمع البيانات. وينبغي أن تسجل، لكل أثر أو خطر أو فرصة (IRO) جوهري ولكل إفصاح منطبق، ما يلي:

• معيار ESRS، أو DR، أو الفقرة، أو نقطة البيانات؛

• الموضوع الجوهري والارتباط بالأثر أو الخطر أو الفرصة (IRO)؛

• حدود التقرير والفترة؛

• مالك الإفصاح والمساهم فيه؛

• حالة البيانات الكمية أو السردية؛

• معرّف قاموس البيانات أو مواصفة السرد؛

• النظام المصدر أو فئة الأدلة؛

• معرّف الحساب أو المنهجية؛

• معرّف الضبط وتواتر المراجعة؛

• قسم التقرير والإحالة المرجعية؛

• حالة التأكيد والنتائج المفتوحة؛

• الإصدار الحالي وتاريخ آخر تغيير.

إن قائمة نقاط بيانات ESRS ليست بعدُ مصفوفة ضوابط. ويجب على المؤسسة أن تحدد أي المعلومات جوهرية، وكيف تنطبق على وقائعها، وأي أدلة تدعم العرض العادل.

يمنع قاموس البيانات المواقع والوظائف والفترات المختلفة من استخدام التسمية نفسها لمعلومات مختلفة. وينبغي أن يتضمن كل سجل لمقياس خاضع للضبط، كحد أدنى:

ينبغي اعتماد القاموس قبل طلب البيانات النهائي. ويؤدي تغيير التعريفات أثناء الإقفال إلى إنشاء بيانات مقارنة غير متسقة وانحياز إداري غير موثق.

يسجل سجل الأدلة مكان حفظ المستندات الداعمة وكيفية ارتباطها بأحد الإفصاحات. وليس من الضروري نسخ كل مستند مصدر إلى مجلد واحد، لكن يجب أن يكون الرابط دائمًا ومتاحًا للمراجعين المصرح لهم.

تشمل الحقول الموصى بها ما يلي:

• معرّف الدليل وعنوانه ووصفه؛

• المقياس أو الادعاء السردي أو الهدف أو الحكم ذي الصلة؛

• مالك المصدر وأمينه؛

• النظام أو المستودع الأصلي؛

• فترة إعداد التقارير وتاريخ الاستخراج؛

• الإصدار أو تجزئة الملف أو المعرّف غير القابل للتغيير حيثما كان متاحًا؛

• تصنيف الوصول: عام، داخلي، مقيّد، متمتع بالسرية المهنية أو بيانات شخصية؛

• فترة الاحتفاظ؛

• المراجعة المنفذة والمراجع؛

• القيود أو الأدلة الداعمة المفقودة؛

• رابط إلى سجل المسألة والمعالجة؛

• إصدار التقرير النهائي المدعوم.

تسلسل جودة الأدلة

تكون الأدلة أقوى عندما تكون معاصرة، ومكتملة، ومنشأة بصورة مستقلة أو خاضعة لضوابط النظام، ومرتبطة مباشرة بالفترة المبلغ عنها وقابلة لإعادة التنفيذ. وقد يكون شرح الإدارة ضروريًا، لكنه لا ينبغي أن يحل محل سجلات المصدر حيث ينبغي أن تكون تلك السجلات موجودة.

بالنسبة إلى الإفصاحات السردية، قد تشمل الأدلة السياسات المعتمدة، ومحاضر مجلس الإدارة، وسجلات البرامج، والعقود، وسجلات إشراك أصحاب المصلحة، وبيانات التظلمات، وحضور التدريب، والميزانيات، ومتتبعات الإجراءات وتحليل النتائج. تثبت السياسة أن الصياغة اعتُمدت؛ لكنها لا تثبت في حد ذاتها التنفيذ أو الفعالية.

تتطلب مقاييس الاستدامة في كثير من الأحيان عمليات تحويل أكثر تعقيدًا مما يوحي به الرقم النهائي. وينبغي أن تحدد قائمة جرد الحسابات كل مصنف عمل وكل برنامج نصي وكل نموذج وكل حساب خارجي مستخدم في إعداد التقارير.

تشمل الضوابط الدنيا ما يلي:

1. اعتماد الصيغة. يؤكد مالك المنهجية الصيغة والعوامل والوحدات والنطاق.

2. المطابقة بين المصدر والمدخلات. تتطابق المدخلات مع إجماليات نظام المصدر أو المستخرجات الموثقة.

3. إعادة الحساب الآلية أو المستقلة. يعيد المراجع تنفيذ الحسابات المهمة أو يختبر سلامة الصيغة.

4. حوكمة العوامل. تتضمن عوامل الانبعاث ومعدلات التحويل وجداول التصنيف المصدر والإصدار وفترة السريان.

5. التحقق من التقديرات. تكون الافتراضات معقولة وقابلة للدعم، ويُقيَّم عدم اليقين، وتُقارن النتائج الفعلية بالتقديرات السابقة حيثما أمكن.

6. ضبط التغييرات. تتطلب تغييرات النموذج سببًا موثقًا وتقييمًا للأثر وموافقة ومراجعة مقارنة.

7. الحماية. تقلل الخلايا المقفلة ومستودعات الشيفرة البرمجية وأذونات الوصول والملفات الرئيسية الخاضعة للرقابة من التغييرات العرضية أو غير المصرح بها.

8. مطابقة المخرجات. تتطابق الجداول النهائية والقيم السردية مع مخرجات الحساب المعتمدة وإصدار التقرير.

يمكن إخضاع جدول البيانات للرقابة إذا كانت الملكية والإصدارات والوصول ومراجعة الصيغ والأدلة منضبطة. وقد تكون المنصة المتطورة غير خاضعة للرقابة إذا كانت التعريفات أو الموافقات ضعيفة.

قد تشمل الأدلة المطلوبة لـ ESRS معلومات شخصية، وتظلمات، وسجلات العاملين، ونتائج متعلقة بالموردين، ومشورة قانونية، وافتراضات حساسة تجاريًا. ولا يُعد الوصول الواسع شفافيةً في الأدلة.

ينبغي لنموذج عملي للوصول أن:

• يطبق أذونات الحد الأدنى من الامتيازات؛

• يفصل بين حقوق المُعدّ والمراجع والمسؤول حيثما كان ذلك متناسبًا؛

• يقيّد بيانات الأفراد والتظلمات ويوفر مستخرجات تقارير منزوعة الهوية؛

• يحدد المواد المشمولة بالسرية المهنية القانونية أو مواد التحقيق؛

• يمنع الحذف أو الاستبدال الصامت بعد الموافقة؛

• يحتفظ بسجلات الوصول للمستودعات عالية المخاطر؛

• يستخدم أساليب نقل خاضعة للرقابة للشركات التابعة ومقدمي الخدمات الخارجيين؛

• يحدد ما يجوز لمقدم خدمة التأكيد فحصه وكيفية التعامل مع الأدلة المقيّدة؛

• يلغي الوصول بعد تغييرات الأدوار أو إكمال المشروع.

ينبغي أن يكون التقرير العام قابلًا للتتبع إلى الأدلة دون الكشف عن تفاصيل سرية غير ضرورية للبيان.

ينبغي للمراجع أن يفعل أكثر من مجرد التأكد من ملء حقل. وينبغي أن تتناول المراجعة التأكيد ذي الصلة بالمعلومات.

يتضمن نموذج الاعتماد النهائي المرحلي عادةً ما يلي:

• تصديق المُعدّ؛

• موافقة مالك نقطة البيانات؛

• مراجعة مالك الضبط؛

• مراجعة ESRS الفنية؛

• مراجعة وظيفية أو قانونية للسرديات الحساسة؛

• اعتماد الإدارة على مستوى الموضوع؛

• تصديق إعداد التقارير على مستوى المجموعة؛

• الموافقة النهائية من الإدارة ومجلس الإدارة.

ينبغي أن تحدد الاعتمادات البيانات الدقيقة وإصدار التقرير المعتمد. وتُعد رسالة بريد إلكتروني عامة تقول «يبدو جيدًا» دليلًا ضعيفًا.

يحتاج كل بند معلومات خاضع للضبط إلى قاعدة للتغييرات بعد التقديم الأولي. وينبغي أن يسجل سجل التغييرات ما يلي:

• البند والإصدار اللذان تم تغييرهما؛

• تاريخ التغيير والشخص الذي أجراه؛

• السبب: بيانات مصدر جديدة، أو تصحيح خطأ، أو تغيير في المنهجية، أو تغيير في الحدود، أو تعديل في العرض؛

• الأثر الكمي والنوعي؛

• الأثر على المعلومات المقارنة، والأهداف، والآثار المالية، والإفصاحات المرتبطة؛

• إعادة تنفيذ الضوابط المطلوبة؛

• الموافقات التي تم الحصول عليها؛

• ما إذا كان مقدم التأكيد ومجلس الإدارة قد أُبلغا؛

• إصدار التقرير النهائي المتأثر.

وينبغي أن تتبع التغييرات المتأخرة حدًا محددًا ومسارًا للتصعيد. ولا يتمثل الهدف في حظر التصحيح، بل في ضمان ألا يؤدي التصحيح إلى إنشاء حالات عدم اتساق جديدة في موضع آخر من البيان.

تدعم إقرارات الإدارة المساءلة؛ لكنها لا تحل محل الأدلة أو الضوابط. وتنص إرشادات CEAOB غير الملزمة بشأن التأكيد المحدود على أنه ينبغي للممارسين طلب خطاب إقرار موقّع من عضو مسؤول واحد على الأقل من الإدارة العليا أو من المكلفين بالحوكمة، بما في ذلك تأكيد المسؤولية عن بيانات الاستدامة.

وقد تطلب عملية الإقرار الداخلية من المسؤولين التنفيذيين المعنيين تأكيد ما يلي، حسب أفضل ما لديهم من علم:

• أن المعلومات في نطاق مسؤوليتهم كاملة ومُعدة وفق التعريفات المعتمدة؛

• أن التقديرات والأحكام والقيود المهمة قد تم الإفصاح عنها؛

• أن الأخطاء المعروفة، والشواغل المتعلقة بالاحتيال، وحالات عدم الامتثال ذات الصلة بالبيان قد تم الإبلاغ عنها؛

• أن الأحداث اللاحقة والتغييرات الجوهرية قد تم إبلاغها؛

• أن السياسات والإجراءات والأهداف موصوفة بدقة؛

• أن الأدلة قد تم الاحتفاظ بها وهي متاحة؛

• أن المسائل غير المحلولة مدرجة بدلًا من إخفائها.

ويمثل خطاب الإقرار الطبقة الأخيرة من المسؤولية، وليس علاجًا لنقص توثيق المصادر.

ينبغي إدارة النتائج في سجل واحد مضبوط للمسائل، سواء نشأت عن مراجعة الإدارة، أو التدقيق الداخلي، أو التأكيد، أو ملاحظات الجهة التنظيمية، أو التصحيح بعد النشر.

ومن مسارات العمل المفيدة ما يلي:

1. تسجيل المسألة مع الإفصاح والمصدر والضبط وإصدار التقرير المتأثر.

2. تصنيف المسألة: البيانات، أو الحدود، أو المنهجية، أو الأدلة، أو تنفيذ الضبط، أو السرد، أو العرض، أو الحوكمة.

3. تقييم شدة الأثر استنادًا إلى التحريف المحتمل، والانتشار، والمخاطر التنظيمية، والوقت المتبقي حتى النشر.

4. احتواء الخطر الفوري، مثل تعليق رقم أو تقييد ادعاء غير مدعوم.

5. تصحيح معلومات الفترة الحالية وإعادة تنفيذ الضوابط المتأثرة.

6. تحليل السبب الجذري: فشل في التصميم، أو فشل في التنفيذ، أو القدرة، أو النظام، أو التعريف، أو الإشراف.

7. معالجة المسألة مع تحديد المسؤول والموعد النهائي والتمويل وأدلة النجاح.

8. التحقق من الإغلاق بصورة مستقلة وتحديث مصفوفة الضوابط أو قاموس البيانات أو المنهجية.

9. إبلاغ الإدارة ومجلس الإدارة بالمسائل المهمة أو المتأخرة.

ولا يعادل إغلاق طلب تأكيد معالجة العملية الأساسية. فالإغلاق المستدام يغير النظام الذي تسبب في النتيجة.

المصفوفة أدناه إيضاحية. وينبغي مواءمة وتيرة الضبط والأدلة مع المخاطر والجدول الزمني لإعداد التقارير ونضج النظام.

الشكل 2. مصفوفة ضوابط ESRS إيضاحية تربط بين المخاطر والضوابط والمسؤولين والأدلة. مادة تعليمية مرئية تحمل علامة London Reporting Academy.

كيفية استخدام المصفوفة

ينبغي أن يكون لكل ضبط سجل تصميم منفصل يحدد الهدف، والمجتمع، والإجراء، والأدلة، وكفاءة المراجع، ومعايير الفشل، والتصعيد. وقد يصف الجدول الوارد في التقرير النظام ككل؛ بينما تظل المصفوفة التفصيلية دليلًا داخليًا.

الملف التعريفي. تقدّر جهة تصنيع متنوعة انبعاثات السلع المشتراة باستخدام الإنفاق على المشتريات وعوامل الانبعاثات الخاصة بالقطاع، لأن بيانات نشاط خاصة بالموردين غير مكتملة.

الخطر الأولي. يستبعد مستخرج المشتريات كيانين تم الاستحواذ عليهما حديثاً، وتُحوَّل العملات باستخدام أسعار مختلفة، ولا تُوثَّق إصدارات العوامل، ولا يرسل الاستشاري سوى الرقم النهائي.

تصميم الضوابط. تقوم المجموعة بما يلي:

1. تسوية قائمة الكيانات مع التجميع المالي؛

2. استخراج إنفاق المشتريات من خلال استعلام خاضع للرقابة وتسوية الإجماليات مع الإدارة المالية؛

3. تطبيق اتفاقية واحدة معتمدة لتحويل العملات؛

4. توثيق مصدر العامل وإصداره وتصنيفه وفترته السارية؛

5. الاحتفاظ بالنموذج واشتراط تفاصيل كافية لإعادة التنفيذ؛

6. إجراء تحليل الحساسية وتحديد أكبر محركات عدم اليقين؛

7. مقارنة النتيجة بالسنة السابقة وبالتغيرات في نشاط الأعمال؛

8. الحصول على اعتماد المنهجية ومالك نقطة البيانات؛

9. الإفصاح عن طريقة التقدير والقيود بصورة متناسبة؛

10. تسجيل خطة لزيادة تغطية البيانات الخاصة بالموردين.

أدلة التأكيد. تتضمن حزمة الأدلة تسوية التجميع، ومستخرج المشتريات، وجدول المطابقة، ومكتبة العوامل، والنموذج، وتحليل الحساسية، وسجل المراجعة، والإحالة المرجعية للإفصاح.

القيد. هذا تصميم توضيحي للضوابط. تعتمد منهجية غازات الدفيئة المناسبة وحدود الفئة والإفصاح على وقائع المنشأة's ومتطلبات ESRS المنطبقة.

1. تعيين «مسؤول ESRS» واحد لمئات من نقاط البيانات. خصص ملاكاً مسؤولين على مستوى الإفصاح أو المقياس، وحدد المساهمين والمراجعين.

2. إنشاء سجل الأدلة بعد إعداد المسودة. حدد متطلبات الأدلة في قاموس البيانات ومصفوفة الإفصاح قبل طلب البيانات.

3. التعامل مع الإفصاحات السردية باعتبارها نصاً غير خاضع للضبط. استخدم سجلاً للادعاءات ومراجعة للأدلة المتعلقة بالسياسات والإجراءات والأهداف والتقدم والفعالية.

4. استخدام المراجعة نفسها لكل مقياس. صمم الضوابط حول التأكيد والمخاطر الفعلية: الاكتمال، أو النطاق، أو القطع، أو التقدير، أو العرض.

5. السماح لجداول البيانات المحلية بالكتابة فوق تعريفات المجموعة. ثبّت المواصفات الرئيسية واشترط توثيق الاستثناءات.

6. الاحتفاظ بالنماذج في أنظمة مقدمي الخدمات الخارجيين فقط. تعاقد للحصول على البيانات والمنهجية والمخرجات الكافية لملكية الإدارة وإعادة التنفيذ.

7. استخدام إقرارات الإدارة لتغطية الأدلة المفقودة. تكمل الإقرارات السجلات والضوابط، لكنها لا تحل محلها.

8. إغلاق النتائج دون معالجة السبب الجذري. حدّث تصميم العملية أو المالك أو النظام أو الضابط، وتحقق من الفعالية.

9. عدم ضبط ملف Word النهائي أو ملف التصميم أو ملف الوسم. طابق الإصدار المنشور مع البيانات المعتمدة، وأرشف الحزمة النهائية الدقيقة.

10. الإفراط في هندسة نقاط البيانات منخفضة المخاطر مع إهمال التقديرات والنطاقات عالية المخاطر. استخدم تقييماً موثقاً للمخاطر لترتيب الأولويات.

• ESRS 2 GOV-5 الحالي: إدارة المخاطر والضوابط الداخلية على إعداد تقارير الاستدامة.

• ESRS 2 GOV-4 وAR 10 المنقحان والمعتمدان: نطاق نظام الرقابة وسماته الرئيسية ومكوناته؛ والنظر في اكتمال البيانات وسلامتها ودقة التقديرات.

• ESRS 1: العرض العادل، والخصائص النوعية، والمعلومات ذات الأهمية النسبية، والتقديرات، ومعلومات سلسلة القيمة، وإعداد بيان الاستدامة.

• GDR-M وGDR-T: المنهجية والمعلومات السياقية للمقاييس والأهداف.

• EFRAG IG 3: جرد غير ملزم لنقاط البيانات الخاصة بـ ESRS لعام 2023؛ وهو مفيد للبنية، لكنه ليس بديلاً عن تحديد الأهمية النسبية أو تصميم الضوابط.

• إرشادات CEAOB بشأن التأكيد المحدود: إجراءات قائمة على المخاطر، وأدلة كافية ومناسبة، وإعادة الحساب، وإعادة التنفيذ، ومعلومات سلسلة القيمة، وخطابات التمثيل، مع مراعاة الإصدارات الوطنية.

• ISSA 5000: معيار دولي شامل لارتباطات التأكيد على الاستدامة حيثما اعتُمد أو كان منطبقاً بخلاف ذلك.

هل يتطلب ESRS إطاراً رسمياً للرقابة الداخلية؟

يتطلب ESRS الإفصاح عن نظام إدارة مخاطر إعداد التقارير والرقابة الداخلية، لكنه لا يفرض إطاراً محدداً مسمى. وينبغي للمنظمة أن تستخدم نظاماً موثقاً ومتناسباً يعالج مخاطر إعداد التقارير ذات الأهمية النسبية.

هل سجل الأدلة إلزامي؟

لا تفرض المعايير أداة تسمى سجل الأدلة. وهو وسيلة عملية لإثبات قابلية التتبع والمسؤولية وإمكانية الوصول والمراجعة، ويفيد بصفة خاصة في الاستعداد لأعمال التأكيد.

هل يمكن لفريق الاستدامة أن يتولى مسؤولية جميع الضوابط؟

يمكن للفريق المركزي أن يتولى مسؤولية إطار إعداد التقارير، لكن ينبغي أن تظل المعلومات المصدرية عادةً خاضعة لمسؤولية صاحب المسؤولية المعني في مجال الأعمال أو المالية أو الموارد البشرية أو المشتريات أو الشؤون القانونية أو العمليات. وينبغي أن تكون المراجعة المستقلة متناسبة مع المخاطر.

هل يختبر مقدمو التأكيد المحدود كل ضابط؟

لا. تعتمد أعمال التأكيد على المخاطر. ويصمم الممارس إجراءات للحصول على أدلة كافية ومناسبة لدعم الاستنتاج، ويجوز له استخدام الفحص أو الملاحظة أو المصادقة أو إعادة الحساب أو إعادة التنفيذ أو الإجراءات التحليلية أو الاستفسار. ولا ينبغي للإدارة أن تفترض أنه سيجري اختبار كل ضابط أو نقطة بيانات.

كيف ينبغي ضبط الادعاءات الوصفية؟

أنشئ سجلاً للادعاءات يربط كل بيان مهم بالأدلة وصاحب المسؤولية والمراجعة ونسخة التقرير. وميّز بين وجود السياسة، ونشاط التنفيذ، والمخرجات، والنتائج، والفعالية.