وظيفة التدقيق الداخلي في السعودية تحكمها جهتان في آنٍ واحد: معيار مهني عالمي، ومجموعة التزامات رقابية سعودية أكثر تحديدًا مما ينص عليه المعيار. أغلب الوظائف قوية في الأولى وتجتهد في الثانية.
هذه هي التزامات المراجعة التي تفرضها الجهات الرقابية فوق المعيار المهني. لكل منها دورية محددة، ولبعضها شرط استقلالية صريح.
| Ref | الالتزام | الدورية |
|---|---|---|
| CSCC 1-4-1 | مراجعة تطبيق ضوابط الأنظمة الحساسة من قِبل الإدارة المعنية بالأمن السيبراني | سنويًا على الأقل |
| CSCC 1-4-2 | مراجعة تطبيق الضوابط من قِبل أطراف مستقلة من خارج الإدارة المعنية بالأمن السيبراني | كل ثلاث سنوات على الأقل |
| ECC 1-8 | المراجعة والتدقيق الدوري للأمن السيبراني | حسب الدورية المعتمدة في الجهة |
| SAMA CSF | تدقيق داخلي على وظيفة الأمن السيبراني، مع متابعة الملاحظات حتى الإغلاق ورفعها للجنة التدقيق | دورية معتمدة وموثّقة |
| DCC 1-1 | المراجعة والتدقيق الدوري لضوابط أمن البيانات | تختلف بحسب مستوى تصنيف البيانات |
| IIA IPPF | تقييم خارجي مستقل لجودة وظيفة التدقيق الداخلي | كل خمس سنوات على الأقل |
الضابط 1-4-2 هو الأكثر إغفالًا. فهو يشترط مراجعة تطبيق ضوابط الأنظمة الحساسة من قِبل أطراف مستقلة عن الإدارة المعنية بالأمن السيبراني، كل ثلاث سنوات على الأقل. وهو ليس التقييم الذاتي، وليس المراجعة السنوية المنصوص عليها في 1-4-1 — بل مهمة مستقلة بساعة زمنية من ثلاث سنوات. وإن لم يكن لها مالك محدد، فلا أحد يَعُدّ السنوات الثلاث أصلًا.
ميثاق تدقيق معتمد من لجنة التدقيق أو المجلس، وخط تبعية وظيفي إلى اللجنة وإداري إلى الرئيس التنفيذي — لا إلى المدير المالي أو مدير تقنية المعلومات.
خط التبعية هو ما يحدد قدرة التدقيق الداخلي على تنفيذ المراجعة المستقلة المطلوبة في الضابط 1-4-2.
حصر منظم لكل ما يمكن تدقيقه — العمليات والأنظمة والكيانات والأطراف الخارجية، إضافة إلى الالتزامات التنظيمية نفسها كوحدات قابلة للتدقيق.
التصنيف بالمخاطر يجب أن يشمل عامل التعرّض التنظيمي، وهو ما تغفله المنهجيات العامة.
خطة سنوية مشتقة من عالم التدقيق لا من التناوب، مع اعتماد لجنة التدقيق وإعادة اعتماد أي تعديل خلال السنة.
تُثبَّت المراجعات ذات الدورية الملزمة في الخطة أولًا، قبل توزيع الطاقة الاستيعابية المتبقية.
مذكرة تخطيط لكل مهمة، وبرنامج تدقيق مشتق من مجموعة الضوابط المعنية، وأوراق عمل تُراجَع من شخص غير مُعدّها.
حفظ الأدلة مقابل مرجع الضابط — لا مقابل مجلد المهمة — هو ما يجعل دليلًا واحدًا يخدم أكثر من إطار.
ملاحظات بمسؤول وموعد معالجة وعمر زمني، مع تصعيد تلقائي للمتأخر، وإغلاق يتحقق منه التدقيق لا الإدارة.
الملاحظات المتأخرة هي السؤال الأكثر تكرارًا من لجنة التدقيق، وأصعب ما يُنتَج يدويًا.
برنامج QAIP يشمل المتابعة المستمرة والتقييم الذاتي الدوري والتقييم الخارجي المستقل.
التقييم الخارجي يفحص بشكل متزايد ما إذا كانت المراجعات الملزمة أعلاه قد نُفّذت فعليًا وفي وقتها.
عالم التدقيق والخطة السنوية والمهام وأوراق العمل والملاحظات وتقارير لجنة التدقيق في مكان واحد — مع مكتبات ضوابط ساما والهيئة الوطنية مهيأة مسبقًا، ومسار تتبّع للمراجعات ذات الدورية الملزمة. المنصة مستضافة داخل المملكة، وفريقا التنفيذ في الرياض والدمام.
اطلب عرضًا توضيحيًا