في مراجعاتنا، نادرًا ما تكون نقاط الضعف الرقابية الأهم معقدة. إنها تعود إلى شخص واحد يستطيع أن يفعل أمرين كان ينبغي أن يقوم بهما شخصان: أن يضيف موردًا ويدفع له، أو أن يستلم النقدية ويسجّل التحصيل. الفصل بين المهام من أقدم الضوابط الداخلية، وهو في نظام تخطيط الموارد من أسهلها نقضًا بتغيير واحد في إعدادات المستخدم.
ما الفصل بين المهام؟
المبدأ ألا يتحكم شخص واحد في كل مراحل المعاملة. تقسّم أُطر الرقابة المعاملة إلى أربع وظائف: اعتمادها، وتسجيلها، وحيازة الأصل المعني، وتسوية السجلات بالواقع. وحين يجمع شخص واحد وظيفتين منها يستطيع أن يُحدث الخطأ وأن يخفيه معًا. والغاية ليست الشك في أي فرد، بل تصميم يجعل الخطأ، أو التحريف المتعمد، يمر حتمًا على يد ثانية.
ما أزواج المهام المتعارضة؟
- إنشاء مورد أو تعديله، بما في ذلك حسابه البنكي، واعتماد المدفوعات للموردين أو إصدارها.
- إصدار أمر الشراء واستلام البضاعة مقابله، أو اعتماد فاتورة المورد للأمر نفسه.
- إنشاء العملاء وتحديد حدود الائتمان، واعتماد البيع الآجل أو إصدار إشعارات الدائن.
- استلام النقدية أو مدفوعات العملاء، وترحيل التحصيلات أو تسوية الحساب البنكي.
- ترحيل القيود اليومية اليدوية، واعتمادها أو تغيير تواريخ الإقفال التي تحمي الفترات المُقفلة.
- إدارة صلاحيات المستخدمين في النظام، ومعالجة المعاملات المالية فيه.
- تسوية كميات المخزون، وجرد المخزون نفسه أو تقييمه.
كيف تطبّقه في Odoo؟
يتحكم Odoo فيما يستطيع المستخدم فعله عبر مجموعات صلاحيات تُسند لكل تطبيق. في المحاسبة تتدرج المستويات من صلاحية الفوترة فقط حتى صلاحيات المحاسبة الكاملة والمدير؛ ولكل من المشتريات والمبيعات والمخزون مستوى مستخدم ومستوى مدير. وتختلف أسماء المجموعات وما تتيحه كل منها حسب الإصدار والنسخة، ولهذا نتأكد من الإصدار قبل تصميم المصفوفة. أما التسلسل العملي فواحد في كل تنفيذ.
- ابدأ من العملية لا من النظام: اكتب من يفعل ماذا في المشتريات والمبيعات والخزينة والمخزون والإقفال، وحدد الأزواج المتعارضة.
- حوّل النتيجة إلى مصفوفة أدوار، ثم إلى مجموعات صلاحيات في Odoo، وامنح كل مستخدم أدنى مستوى يتيح له أداء عمله.
- أضف خطوات اعتماد حيث يجب أن يفحص دور دورًا آخر: تطبيق المشتريات يتيح اعتمادًا على مرحلتين لأوامر الشراء فوق مبلغ تحدده، ويمكن إضافة اعتمادات أخرى على المدفوعات أو القيود بأدوات الاعتماد في Odoo، حسب النسخة.
- احمِ الفترات المُقفلة بتواريخ الإقفال، وقيّد من يستطيع تغييرها.
- اسحب صلاحيات المدير ممن يعالجون المعاملات، واحتفظ بحساب مدير منفصل نادر الاستخدام.
- راجع قائمة المستخدمين وإسناد المجموعات كل ربع سنة على الأقل؛ فالصلاحيات تنحرف كلما غطّى أحدهم عن زميل في إجازة.
هذا جزء من طريقة MFT في تصميم تنفيذ Odoo: يوقّع مسؤول المالية على مصفوفة الصلاحيات قبل إنشاء المستخدمين، فيبدأ النظام والفصل مبني فيه، بدل أن يُضاف لاحقًا بعد أول مراجعة.
ماذا لو كان الفريق أصغر من أن تُقسَّم المهام؟
فريق مالية من شخصين لا يستطيع الفصل بين سبعة أزواج من المهام. وهذا لا يُسقط المبدأ، بل يعني ضوابط تعويضية: فحوصًا يجريها شخص خارج المعاملة، عادة المالك أو المدير العام، تكشف ما كان الفصل سيمنعه.
- يعتمد المالك كل مورد جديد وكل تغيير في البيانات البنكية للموردين، من تقرير بالتغييرات على سجلات الموردين.
- تصل كشوف الحساب البنكية إلى المالك مباشرة، ويراجع التسوية الشهرية ويوقّعها.
- قائمة شهرية بالقيود اليدوية وإشعارات الدائن وتسويات المخزون يراجعها شخص لم يرحّلها.
- المدفوعات فوق مبلغ محدد تحتاج معتمِدًا ثانيًا، حتى لو كان من خارج المالية.
الفصل بين المهام ليس أن تثق بالناس أقل. إنه ألا تطلب من أحد أن يكون الضابط الوحيد.
كيف تعرف أنه يعمل؟
اختبره. صدّر المستخدمين ومجموعاتهم من Odoo وقارنهم بالمصفوفة المعتمدة. اختر تغييرات على الموردين وتحقق ممن أجراها ومن اعتمدها. ابحث عن أي شخص رحّل قيدًا واعتمده بنفسه. مراجعة الصلاحيات ضمن المراجعة الداخلية قصيرة حين يكون التصميم سليمًا، وهي الطريقة الوحيدة لمعرفة هل صمد التصميم أمام تغييرات الموظفين خلال العام الماضي.