الأدوار والصلاحيات والفصل بين المهام

ما المقصود بالفصل بين المهام

الفصل بين المهام هو المبدأ الرقابي القائل بأنه لا ينبغي لشخص واحد أن يكون قادرًا على اعتماد معاملة، وتسجيلها، وحفظ الأصل المرتبط بها، والتحقق من نتيجتها في آنٍ واحد. وتكمن أهميته في أن معظم حالات الاحتيال الداخلي، وكثيرًا من الأخطاء غير المكتشفة، تحتاج إلى أن يتحكم شخص واحد في خطوتين من هذه الخطوات، وفصلها يعني أن أي خطأ أو سرقة لا بد أن تمر عبر شخص آخر يراجعها.

في نظام تخطيط موارد المؤسسات (ERP)، يُطبَّق الفصل بين المهام من خلال الأدوار والصلاحيات: يمنح كل دور الشاشات والإجراءات التي تحتاجها وظيفة واحدة فقط، ولا شيء أكثر من ذلك. والمبدأ بسيط، أما الصعوبة فتكمن في تطبيقه مع فريق صغير لا يكفي عدد أفراده للفصل بين كل شيء، ومع حسابات المدير (Admin) التي تستطيع فعل كل شيء. يشرح هذا الدليل المبدأ أولاً، ثم يوضح كيف تعمل الأدوار والصلاحيات والوصول حسب الموقع والاعتمادات في Skyline Nexus ERP، وكيفية التعويض عندما يكون الفريق أصغر من أن يفصل بين المهام فصلاً كاملاً.

الوظائف الأربع الواجب الفصل بينها

يُعامل إطار كوسو المتكامل للرقابة الداخلية (COSO Internal Control – Integrated Framework) الفصل بين المهام باعتباره أحد أنشطة الرقابة، ويبحث المدققون الذين يقيّمون الرقابة الداخلية بموجب معيار التدقيق الدولي 315 المعدَّل 2019 (ISA 315) عنه في أهم العمليات: المشتريات والمدفوعات، والمبيعات والمقبوضات، والرواتب والقيود اليومية. ويفصل النموذج المعتاد بين أربع وظائف، وأي شخص يجمع بين وظيفتين منها في المعاملة نفسها يمكنه إحداث مشكلة وإخفاؤها.

• التفويض بالاعتماد (Authorisation): اعتماد عملية شراء، أو تغيير سعر، أو حد ائتماني، أو قيد يومية
• التسجيل (Recording): إدخال الفواتير والمقبوضات والمدفوعات والقيود في النظام
• العهدة (Custody): التعامل مع النقدية أو الشيكات أو المخزون أو بيانات الدفع البنكية
• التسوية والمراجعة (Reconciliation and Review): التسويات البنكية، وجرد المخزون، ومراجعة دفتر الأستاذ
• تعارض نموذجي: لا ينبغي للشخص الذي يضيف الموردين أن يتولى أيضًا صرف المدفوعات
• تعارض نموذجي: لا ينبغي للصرّاف أن يسوّي درج النقدية الذي يشغّله بنفسه
• تعارض نموذجي: لا ينبغي للشخص الذي يرحّل القيود أن يعتمد قيوده الخاصة

كيف تعمل الأدوار في Skyline Nexus ERP

تُنشأ الأدوار في Skyline Nexus ERP من إدارة المستخدمين، الأدوار، إضافة دور (User Management, Roles, Add Role)، بإدخال اسم الدور وقائمة الصلاحيات المصنّفة حسب المجال: المستخدم، الأدوار، المورد، العميل، المنتج، الشراء وتسوية المخزون، نقطة البيع، المبيعات، المصروفات، التقارير، الإعدادات وغيرها. وتأتي عدة صلاحيات بصيغتين، عرض الخاص بي وعرض الكل، بحيث يمكن قصر مندوب المبيعات على مبيعاته الخاصة. وتتحكم صلاحيات أخرى مباشرة في بيانات وإجراءات حساسة، مثل عرض سعر الشراء وحقوق تعديل الأسعار أو منح الخصومات في نقطة البيع.

تضيف كل وحدة صلاحياتها الخاصة. وتضيف وحدة المحاسبة، ضمن ما تضيفه، الصلاحيات التالية: الوصول إلى وحدة المحاسبة؛ عرض دليل الحسابات؛ إنشاء الحسابات وتعديلها وحذفها؛ عرض القيود اليومية وإنشاؤها وتعديلها وحذفها؛ ترحيل القيود اليومية؛ عكس القيود اليومية؛ عرض السندات وإنشاؤها وتعديلها وحذفها؛ اعتماد السندات؛ ربط المعاملات بالحسابات (Map Transactions)؛ تسوية الحسابات؛ عرض مراكز التكلفة والميزانيات وإدارتها؛ عرض التقارير المحاسبية؛ إدارة السنوات المالية؛ إغلاق الفترة المالية؛ إدارة الإعدادات؛ وإدارة التوحيد المالي (Consolidation). وتتيح هذه الدقة في التصنيف فصل الترحيل عن العكس، وفصل إغلاق الفترة عن الإدخال اليومي المعتاد.

دور المدير (Admin): أبقِه صغيرًا

لكل منشأة في Skyline Nexus ERP دور مدير (Admin) يجتاز كل فحص صلاحية. وهذا ضروري للإعداد الأولي والحالات الطارئة، لكنه يُبطل الفصل بين المهام لدى من يحمله: فبإمكان مستخدم المدير أن يضيف موردًا، ويدخل فاتورة، ويسددها، ثم يعكس الدليل على ذلك. لذا اقصر دور المدير على المالك، وعلى قائد مالي واحد عند الحاجة، وامنح كل شخص آخر دورًا مسمى مصممًا لوظيفته.

يتولى مستخدمو المدير أيضًا اعتماد القيود المُرسَلة. ويتحقق اعتماد القيود من صلاحيات يحملها عمليًا دور المدير، وتسجل خطوة الاعتماد من اعتمد القيد، لكنها لا تمنع بذاتها منشئ القيد من اعتماده بنفسه. تعامل مع هذه النقطة باعتبارها موضع ضبط: اجعل القيود يُنشئها مستخدمون من غير المدير ويعتمدها مستخدم المدير، وراجع سجل التدقيق شهريًا بحثًا عن أي قيد اعتمده الشخص نفسه الذي أنشأه.

الصلاحيات التي تستحق أكبر قدر من الحذر

تبدو بعض الصلاحيات إدارية في ظاهرها، لكنها تغيّر الأرقام بقدر ما يغيّرها القيد اليومي. وحق إدارة إعدادات المحاسبة هو المثال الأوضح: فمن يستطيع تغيير إعدادات الترحيل التلقائي (Auto-Post Settings) أو ربط الحسابات يمكنه توجيه كل مبيعة أو مشترى أو مصروف مستقبلي إلى حساب مختلف، أو إيقاف الترحيل كليًا، دون إدخال قيد يومية واحد. وهذا يجعل إدارة الإعدادات صلاحية أعلى خطورة من إنشاء القيود اليومية، وينبغي أن تقتصر على القائد المالي وحده.

وينطبق المنطق نفسه على الصلاحيات التي تُغلق الدفاتر أو تعيد فتحها، وعلى تلك التي تغيّر التاريخ المحاسبي. فصلاحية إغلاق الفترة المالية تتحكم في إمكانية تحريك شهر تم إعداد تقاريره. وصلاحية عكس القيود اليومية يمكن أن تلغي قيدًا مرحّلاً، وهو أمر مشروع للتصحيحات لكنه أيضًا الأداة المفضلة لإخفاء قيد. وصلاحيات حذف الحسابات، وإنشاء الحسابات وتعديلها، وربط المعاملات، تعيد تشكيل دليل الحسابات الذي يعتمد عليه كل تقرير. أما على الجانب التشغيلي، فصلاحية عرض سعر الشراء تكشف هوامش الربح، وحقوق تعديل السعر أو الخصم في نقطة البيع تتيح للصرّاف تغيير ما يدفعه العميل. امنح كل صلاحية من هذه الصلاحيات عن قصد، لأدوار مسمّاة، وتحقق ممن يحملها في كل مراجعة وصول.

• إدارة الإعدادات: مفاتيح الترحيل التلقائي وربط الحسابات، للقائد المالي وحده
• إغلاق الفترة المالية وإدارة السنوات المالية: لمدير الشؤون المالية، بمراجعة من المالك
• عكس القيود اليومية: يُفصل عن إنشاء القيود اليومية حيثما سمح حجم الفريق
• إنشاء الحسابات وتعديلها وحذفها؛ ربط المعاملات: لمدير الشؤون المالية وحده
• عرض سعر الشراء وتعديلات السعر أو الخصم في نقطة البيع: للمشرفين المسمّين فقط

حدود اعتماد القيود اليومية

تحوّل مسارات الاعتماد التفويضَ إلى خطوة نظامية. وفي Skyline Nexus ERP، تضم السلطة المالية، الإعدادات، إعدادات الاعتماد (Fiscal Authority, Settings, Approval Settings) خيار اشتراط اعتماد القيود (Require Approval for Journals) وحد الاعتماد (Approval Threshold)؛ والإعدادات الافتراضية عند التثبيت هي تفعيل الاعتماد وحد قدره 10,000 بالعملة الأساسية. ويرسل حفظ وإرسال (Save and Submit) أي قيد يساوي الحد أو يتجاوزه للاعتماد، بينما يُعتمد القيد الأقل منه تلقائيًا. ويُرحَّل القيد المعتمد من مستخدم يملك صلاحية ترحيل القيود اليومية، أو تلقائيًا إذا كان الترحيل التلقائي عند الاعتماد (Auto-post on Approval) مفعّلاً. وتحتاج المبالغ التي تساوي ضعف الحد أو تتجاوزه إلى مستوى ثانٍ من الاعتماد.

اختر الحد بناءً على الأهمية النسبية لديك، لا بناءً على الملاءمة. فحدٌ يوضع أعلى قليلاً من مبلغ الاستحقاق المعتاد في نهاية الشهر يعني ألا يُراجَع شيء أبدًا؛ وحدٌ منخفض جدًا يجعل كل شيء ينتظر في الطابور يعلّم المعتمِدين النقر دون تمحيص. راجع سجل التدقيق بحثًا عن تكتلات من القيود اليدوية تقع أدنى الحد مباشرة، فهذه علامة كلاسيكية على تجزئة المبالغ.

• قيد يدوي بمبلغ 4,500: أقل من 10,000، يُعتمد تلقائيًا
• قيد يدوي بمبلغ 12,000: يساوي 10,000 أو يتجاوزه، ينتظر الاعتماد
• قيد يدوي بمبلغ 25,000: يساوي 20,000 أو يتجاوزه، يحتاج اعتمادًا من المستوى الثاني
• العناصر المعلّقة: القيود اليومية، الموافقات المعلقة، اعتماد أو رفض مع ملاحظات

خطوات اعتماد أخرى عبر النظام

القيود اليومية ليست نقطة الاعتماد الوحيدة. يضم Skyline Nexus ERP أيضًا خطوات اعتماد للميزانيات، التي تُرسل ثم تُعتمد أو تُرفض؛ وإقرارات الزكاة، التي تنتقل من مسودة إلى جاهزة، ثم مُرسَلة، ثم مودعة؛ واستطلاعات الاستثمار الأجنبي المباشر (FDI)؛ واقتناء الأصول عبر الموافقات المعلقة؛ واعتمادات الخزينة؛ واعتمادات إدارة الموارد البشرية (HCM) للرواتب والإجازات. ولسندات المصروفات صلاحية اعتماد السندات الخاصة بها.

اربط كل خطوة اعتماد بشخص مسمّى ونائب له، وتأكد من ألا يكون المعتمِد هو نفسه من أعدّ البند. وبالنسبة للرواتب على وجه الخصوص، ينبغي أن يقارن المعتمِد التشغيلة بالشهر السابق وبتغيرات عدد الموظفين، لأن الرواتب هي حيث يختبئ الموظفون الوهميون والزيادات غير المصرح بها في الأجور.

الوصول حسب الفرع كبُعد ثانٍ

تحدد الأدوار ما يستطيع المستخدم فعله؛ ويحدد الوصول حسب الموقع أين يفعله. وفي إدارة المستخدمين، المستخدمين، يكون حقل مواقع الوصول (Access locations) لكل مستخدم إما جميع الفروع أو قائمة بفروع محددة، ولا يرى المستخدم غير المخوّل بجميع الفروع أو يعامل إلا في الفروع الممنوحة له في شاشات المبيعات والمشتريات والمخزون. وهكذا يستطيع مدير الفرع أن يعتمد ويسجّل ضمن فرعه دون أي رؤية لعملاء فرع آخر أو أسعاره أو مخزونه.

والجمع بين هذين البُعدين يمنح تصميمًا واضحًا للمنشآت متعددة الفروع: عدد محدود من الأدوار حسب الوظيفة، يُطبَّق على كل فرع عبر الوصول حسب الموقع. ويتناول دليلنا عن المحاسبة متعددة الفروع في Skyline Nexus ERP إعداد الفروع الذي يقوم عليه هذا الأمر.

مثال عملي: أدوار لتاجر جملة صغير

لتاجر جملة كندي بمستودعين مالكٌ، ومدير شؤون مالية، وموظف ذمم دائنة، وموظف ذمم مدينة، ومشرف مستودع في كل موقع، وموظف رواتب بدوام جزئي. يمنح التصميم أدناه كل شخص دورًا واحدًا، ويقصر دور المدير على المالك ومدير الشؤون المالية، ويفصل بين كل زوج متعارض من المهام بين شخصين من خارج دور المدير.

وتبقى فجوتان، كما هي الحال في معظم الفرق الصغيرة: يستطيع مدير الشؤون المالية ترحيل القيود واعتمادها معًا، ويتولى موظف الذمم المدينة المقبوضات وكشوفات حسابات العملاء معًا. والضوابط التعويضية هنا هي مراجعة المالك الشهرية لسجل التدقيق بحثًا عن قيود اعتمدها من أنشأها، واستلام المالك لكشوفات الحساب البنكية مباشرة ومراجعته للتسوية البنكية.

• المالك: دور المدير؛ يعتمد القيود التي تتجاوز الحد، ويراجع التسوية البنكية وسجل التدقيق
• مدير الشؤون المالية: دور المدير؛ قيود نهاية الشهر، وإغلاق الفترة المالية، والتسويات
• موظف الذمم الدائنة: المشتريات، وسجلات الموردين، والسندات؛ دون صلاحية اعتماد السندات أو صرف المدفوعات البنكية
• موظف الذمم المدينة: المبيعات، والمقبوضات، وكشوفات حسابات العملاء؛ دون حق تعديل الأسعار أو منح خصومات نقطة البيع
• مشرفو المستودعات: تحويلات المخزون وتسوياته؛ وصول إلى موقعهم فقط
• موظف الرواتب: إعداد الرواتب؛ يعتمدها المالك
• خارج مستخدمَي دور المدير الاثنين، لا يستطيع أحد إضافة مورد وصرف مدفوعاته معًا

مراجعة الوصول الربع سنوية

تنحرف الصلاحيات مع الوقت. فالأشخاص يغيّرون وظائفهم، ويغطّون لزملائهم، ويحتفظون بالوصول، وتتحول صلاحيات المدير المؤقتة إلى دائمة. وتلتقط المراجعة الربع سنوية للوصول هذا الانحراف. اسرد المستخدمين بأدوارهم ومواقعهم، واطلب من كل مدير أن يؤكد وصول فريقه كتابيًا، واحذف أي وصول غير مبرَّر في اليوم نفسه. واستخدم سجل النشاطات، الذي يسجل تسجيلات الدخول والخروج، للعثور على الحسابات غير المستخدَمة التي ينبغي تعطيلها.

يوضح دليلنا عن الضوابط المالية التي تحتاجها فعلاً منشأة صغيرة الضوابط الواجب إعطاؤها الأولوية عندما يكون الفريق أصغر من أن يفصل بين كل شيء، ويوضح دليلنا عن سجل التدقيق وسجل النشاطات في Skyline Nexus ERP كيفية مراجعة ما فعله المستخدمون فعليًا بالصلاحيات المتاحة لهم.

• اسرد كل مستخدم يحمل دور المدير وبرّر كل حالة
• تحقق من الصلاحيات المحاسبية لكل دور: الترحيل، والعكس، وإغلاق الفترة المالية، وإدارة الإعدادات
• تأكد من مواقع الوصول للموظفين في الفروع
• عطّل المستخدمين الذين لم يسجّلوا الدخول خلال 90 يومًا في سجل النشاطات
• سجّل تاريخ المراجعة والمراجع والتغييرات التي أُجريت