تجربه نشان داده‌است که بیش از ۶۰ درصد تقلب‌ها یعنی بیش از ۴ تا ۹ درصد درآمد ناخالص داخلی به دلیل نارسایی‌ها و ضعف‌های بااهمیت کنترل داخلی به جیب تقلب پیشگان می رود. با یک حساب سرانگشتی می‌توان پی‌برد که هزینه اجرای دستورالعمل کنترل داخلی در مقایسه با مزایای بازدارندگی، و پیشگیری از تقلب‌های ممکن که از وجود کنترل‌های داخلی اثربخش منتج می‌شوند بسیار ناچیز است.
مزیت دیگر گزارشگری کنترل داخلی، به ویژه حسابرسی کنترل داخلی، که از آن در پنج مقاله غفلت شده‌است، نصیب خود حسابرسان می‌شود. این مزیت نه تنها هزینه‌ای برای حسابرسان ندارد بلکه هزینه حسابرسی صورت‌های مالی را کاهش هم می‌دهد. در بخش بعدی در این باره بحث می‌شود.
اعتراف و عادت:
چند می‌گیری حسابرسی کنی
نویسندگان پنج مقاله همگی اعتراف می‌کنند که کنترل‌های داخلی مستقر نیست یا کیفیت لازم را ندارد. صرف نظر از این که این گزاره درست باشد یا نه، حقیقت این است که پذیرش این گزاره به مثابه این است که آنان اعتراف می کنند حسابرسان ایرانی صورت‌های مالی را در یک فضای دشوار گواهی و اطمینان‌بخشی می‌کنند. اگر دست روی دست بگذارند و به حسابرسی کنترل‌های داخلی تن ندهند معنی‌اش این است که آنان از بودن در این فضا واهمه‌ای ندارند و به آن عادت کرده‌اند. از طرف دیگر خودداری از حسابرسی کنترل‌های داخلی یا به دلیل دشواری ترک عادت است یا راه فرار از این فضا را نمی‌دانیم. یک راه فرار از این فضا همین حسابرسی کنترل‌های داخلی است. نگارنده، گزارشگری کنترل داخلی را بهشت برین حسابرسان می‌داند. ولی با فرض این که چنین فضای دشواری وجود دارد بیایید نگاهی گذرا از منظر ریسک حسابرسی بیندازیم.
اگر کنترل‌های داخلی مستقر نیست؛ بنابراین ریسک کنترل یا CR، حداکثری یا ۱۰۰ درصد است . اگر این ریسک حداکثری باشد معنی‌اش این است که حسابرس باید ریسک ذاتی یا IR را حداکثر در نظر بگیرد. عجب وضعیتی است! چون هم CR و هم IR حداکثری یا ۱۰۰ درصد هستند. این یک فضای دشوار برای حسابرسان است. معنی‌اش این است که نمی توان به کنترل‌های داخلی اتکا کرد. وقتی نتوان به کنترل‌های داخلی اتکا کرد نتیجتا صاحب‌کار بالقوه پرریسک است و نباید کار را پذیرفت. ولی ما که فرض کردیم در این فضا باید کار کرد و تا حالا هم کار کردیم. در این صورت ریسک اثربخشی یا بتا به دلیل هجوم کژنمایی بالقوه به صورت‌های مالی و ناتوانی پالایه‌های پیشگیری و کشف کنترل داخلی به حداکثر می‌رسد. از طرف دیگر ریسک کارآیی یا آلفا هم به دلیل انتخاب راهبرد عمدتا محتوایی(ریسک کنترلی حداکثری) و ضرورت انجام آزمون‌های محتوایی حداکثری به حداکثر می‌رسد. عجب فضایی است! پیش از ادامه بحث دوباره تاکید می‌شود گزارشگری کنترل داخلی به ویژه حسابرسی کنترل داخلی می‌تواند این فضا را به بهشت برین تبدیل کند. به بحث ادامه دهیم. به عبارت دیگر وقتی ریسک‌های ذاتی و کنترل حداکثری هستند حسابرسان ناچارند برای کاهش ریسک حسابرسی یا AR در سطح صورت‌های مالی، ابتدا در مرحله طرح‌ریزی، «ریسک کشف طرح‌ریزی‌شده برآوردی پذیرفتنی» یا APADR را به حداقل برسانند و سپس در مرحله آزمونگری ریسک کشف واقعی یا ADR را در سطح تک‌تک ادعانامه‌ها، حساب‌ها، و چرخه‌های حسابداری تا حد ممکن پایین بیاورند. همه می دانیم این ریسک فقط با هزینه کردن از وقت و پول باارزش مهار می‌شود. حالا یک پرسش می‌ماند: چند می‌گیری حسابرسی کنی؟ اصلا با چه درآمدی می‌توان از پس آن ریسک برآمد.
می‌توان با بررسی نرخ‌های حسابرسی و ساعات‌کاری که در حسابرسی صورت‌های مالی انجام می‌شود پی برد که هیچ کدام برای پوشش سطح ریسک حداکثری کفایت نمی‌کنند. پس، حسابداران عمومی همه و همه در معرض حداکثر ریسک‌های آلفا و بتا قرار دارند.
در این فضا حسابرسان تنها نیستند هیات‌های راهبری، مدیران ارشد، و همه کارکنان و هر سه هدف کنترل داخلی در معرض ریسک حداکثری هستند. به اینها باید تمام ذی‌نفعان به ویژه سهامداران و اعتباردهندگان را اضافه کنید. چون آنان باید صورت‌های مالی را بخوانند که کنترل‌های داخلی حاکم بر آنها مستقر نیست. من که حاضر نیستم حتی یک لحظه هم تصور چنین فضایی را بکنم چه برسد به این که بنا به ادعای این پنج مقاله بپذیرم یک چنین ناکجاآبادی وجود دارد. هیچ‌کس در این نا‌کجاآباد خشنود نیست. همه در هراس‌اند. با فرض محال، که محال نیست، حسابرسان یا می‌توانند با کار اضافی از پس این ریسک برآیند یا ناچارند با آن مصالحه کنند. نگارنده که حاضر نیست حتی برای یک لحظه هم به این فضا چه در مقام حسابرس، چه در مقام مدیرمالی، چه سرمایه‌گذار پابگذارد. ولی نمی‌شود. همه در این فضا حضور داریم.
این فضا برای حسابرسان و مدیران مالی علاوه بر ریسک مالی تاوان سنگین‌تری هم دارد. اگر چه مثالی که در ادامه خواهم آورد به ناکجا آباد تعلق ندارد و مربوط به دنیای واقعی ما است ولی می‌توانید در این فضا هرلحظه شاهد اتفاقات مشابه و شدیدتر باشید. و اما مثال: به شرایطی که تقلب ۳۰۰۰ میلیارد تومانی در گروه امیرمنصور آریا برای مدیر مالی‌اش (اعدام) و حسابرسان‌اش (تعلیق و حبس) ایجاد کرد نگاهی بیندازید. به این ترتیب حسابداران عمومی ایرانی باید بیش از جاهای دیگر دنیا نگران ریسک‌های حسابرسی صورت‌های مالی باشند. این ریسک‌ها عمدتا به دلیل CR است که حسابرسان را تهدید می‌کند و حسابرسی کنترل‌های داخلی که در همه جای دنیا حسابرسان درصدد انجام آن هستند برای کاهش این ریسک اختراع شده‌است.
دفاع و بدهی
در همه جای دنیا حسابرسان داوطلب گزارشگری کنترل داخلی هستند و ضابطه‌گذاران به‌ویژه بورس‌های اوراق بهادار که می دانند این نوع خدمات در جهت منافع عمومی است با استدلال و پیگیری فشار می‌آورند این خدمات را الزامی کنند. در جریان تصویب قانون Sox مهم‌ترین گروه لابی‌گر موافق را جامعه حسابداران عمومی گواهی‌شده آمریکا تشکیل می‌داد. برعکس مهم‌ترین گروه لابی گر مخالف را مدیران شرکت‌ها تشکیل می دادند. چون نفع اصلی را حسابرسان می‌بردند. و شرکت‌ها و مدیران‌شان به دلیل تقبل مسوولیت‌های جدید و مجازت‌های احتمالی با بهانه کردن بالا رفتن هزینه پایش کنترل داخلی با آن مخالفت می کردند. این اتفاق در جاهای دیگر دنیا هم افتاده است. ولی خوشبختانه در ایران شاهدیم مدیران با صدور گزارش‌های کنترل داخلی به استقبال دستورالعمل رفته اند بی آنکه با آن به مخالفت برخیزند. برعکس حسابرسان در مقام مخالف به ایفای نقش می پردازند.
البته، مدیران در جاهای دیگر دنیا نشان داده اند در صورتی که گواهی‌نامه روی اظهارنامه یا گزارش مدیریتی ارزش‌یابی کنترل داخلی بگیرند آن را دوست دارند. چون در این صورت مثل حسابرسی صورت‌های مالی می‌توانند با خریدن بیمه‌نامه به جیب حسابرسان دسترسی داشته‌باشند. ولی چون حسابرسان حاضر نیستند دوبار گواهی‌نامه، یکی برای صورت‌های مالی و یکی برای کنترل‌های داخلی، بدهند، مدیران هم حاضر نیستند بپردازند. با این وجود در آن جاها حسابرسان حاضر نشدند با صدور گواهی‌نامه، گزارش ارزش‌یابی مدیران را بیمه‌کنند و دولت‌ها نیز استدلال آنها را پذیرفتند. طرح این استدلال به مقاله‌ای جدا نیاز دارد. شاید وقتی دیگر.
اساسا هر دو گزارش مدیریتی و حسابرسی کنترل‌های داخلی در وهله اول به منظور بالابردن سطح اتکاپذیری صورت‌های مالی، و سپس کاهش ریسک، اعم از مدیریتی و حسابرسی ابداع شده‌اند. خوب که نگاه‌کنید می‌بینید تهیه هر دو گزارش ریسک به ویژه ریسک حسابرسی را از طریق کاهش CR پایین می‌آورند و تاکید بر مسوولیت مدیران در قبال کنترل داخلی می‌گذارند. در ایران ظاهرا حسابرسان به جای منافع عمومی و منافع خود به مخالفت با دستورالعمل و دفاع تخیلی از شرکت‌ها برخاسته اند. باز هم دچار یک پارادوکس (متناقض‌نما) هستیم.
همان گونه که بحث شد تاکنون مقاله‌ای از سوی مدیران نوشته نشده است که بخواهند با دستورالعمل مخالفت کنند. چون نفع آنها هم در این است که بتوانند کنترل‌های داخلی اثربخشی داشته باشند. با این حال می‌بینیم حسابرسان در اینجا نقش وکیل مدافع تسخیری را بازی می‌کنند. می‌گویند کنترل‌های داخلی مستقر نیست، هزینه بالا است، و امکان تهیه گزارش برای مدیران و شرکت‌ها وجود ندارد. بنابراین مدیران نمی‌توانند گزارش تهیه کنند، آنها هم که تهیه نکنند ما چرا اطمینان‌بخشی کنیم. شاید حسابرسان تصور می کنند بدهی قانونی دارند.
ولی اطمینان‌بخشی کنترل داخلی اساسا به‌نفع حسابرسان است. چون خودشان استفاده کننده مستقیم از آن در حسابرسی صورت‌های مالی هستند. به علاوه هیچ بدهی یا مسوولیتی را متوجه حسابرسان نمی‌کند، بدهی اصلی حسابرسان به گزارش حسابرسی صورت‌های مالی مربوط می‌شود. می‌دانیم یک بدهی بالقوه در صورت وجود کژنمایی بااهمیت در صورت‌های مالی بر ذمه حسابرسان است. گزارش حسابرسی کنترل داخلی مثل نامه مدیریت است. هیچ بدهی بالقوه‌ای در برابر ذی‌نفعان به حسابرسان تحمیل نمی‌کند. بدهی یا مسوولیت بالقوه حسابرسان فقط در برابر ذی‌نفعان صورت‌های مالی در دادگاه‌ها قابل پیگرد است.
به هر حال، هر دو گزارش کنترل داخلی برای پشتیبانی و افزودن به کیفیت و اتکاپذیری صورت‌های مالی تهیه می‌شوند. چون استفاده‌کنندگان از آن صورت‌ها برای تصمیم‌گیری استفاده می‌کنند. در واقع صورت‌های مالی محصول کنترل‌های داخلی حاکم بر گزارشگری مالی هستند. هدف همان‌طور که در ماده واحده و تعریف کنترل داخلی، و تعریف حسابرسی صورت‌های مالی آمده است، اتکاپذیری گزارش‌های مالی از جمله صورت‌های مالی، است. اصلا فرض کنید گزارش مدیریتی کنترل داخلی جزو ضمایم صورت‌های مالی و گزارش حسابرسی کنترل داخلی جزو ضمایم گزارش حسابرسی صورت‌های مالی هستند. حالا بهتر می توانید به بدهی قانون بیندیشید. تجربه هم نشان داده است که تا کنون هیچ دادگاهی حسابرسان را به دلیل گزارش حسابرسی کنترل داخلی محکوم به پرداخت نکرده‌است. پس حسابرسان، حسابرسی کنترل داخلی را به دلیل بالا بردن کیفیت صورت‌های مالی کاهش ریسک حسابرسی و بالا بردن کیفیت گزارش خود ابداع کرده‌اند.
نمونه‌هایی از گزارش‌های مدیریتی کنترل داخلی و حسابرسی اثربخش کنترل داخلی
خوب که به هر پنج مقاله نگاه کنید، می بینید همگی به نوعی گزارش‌های جامع مدیریتی کنترل داخلی یا حسابرسی اثربخشی کنترل داخلی در سطح تمام شرکت‌های بورسی وحتی از آن همه فراتر در سطح شرکت‌های ایران هستند. چه ادعاهای آنها در مورد کنترل داخلی درست باشد چه نباشد واقعیت این مقالات این است که در مورد کل شرکت‌های بورسی گزارش داده‌اند. این همان چیزی است که ضابطه‌گذار از مدیران شرکت‌ها و حسابرسان انتظار دارد. شاید باید بین استقرار کنترل داخلی و گزارشگری کنترل فرق گذارد. مسأله استقرار کنترل داخلی حاکم بر گزارشگری در تمام شرکت‌های بورسی حل شده است. اگر نشده بود ما الان به هیچ وجه هیچ صورت مالی نداشتیم. الان مساله اساسا گزارشگری کنترل داخلی و بعضا تقویت کنترل داخلی به دلیل تغییرات در راهبری شرکتی است.
اجازه دهید به یک مثال زیبا از گزارشگری در پنج مقاله بسنده کنم. عنوان یکی از مقالات پیش‌گفته این است که «شرایط برای اظهارنظر حسابرسان نسبت به کنترل‌های داخلی فراهم نیست». چه این گزاره درست باشد چه نباشد خود این یک بند نتیجه‌گیری از یک گزارش بالقوه سلب نظر یا عدم اظهارنظر است. در همان مقاله چنین آمده است: «در شرایط فعلی و با توجه به عدم استقرار کنترل‌های داخلی مناسب و وجود شاخص ضعف‌های عمده در کنترل‌های داخلی و همچنین نبود استاندارد رسیدگی و گزارشگری مالی، صدور گزارش اظهارنظر نسبت به موثر بودن کنترل‌های داخلی حاکم بر گزارشگری مالی در عمل امکان‌پذیر نیست». با کمی اغماض این یک بند نتیجه‌گیری از یک گزارش بی‌نظری، ممتنع، یا عدم اظهارنظر است که بدون رسیدگی و فقط به پشتوانه شهود نویسنده صادر شده است. تردیدی نیست که این گزارش (اظهارنظر) بر اساس دانش و تجربه نویسنده صادر شده‌است و مبتنی بر استاندارد نیست. ولی عجب اظهار نظری است! به همین راحتی یک گزارش عدم اظهارنظر در مورد تمام شرکت‌های بورسی صادر شده است. ولی فکر نمی کنم شرکت‌ها، استفاده‌کنندگان، و سازمان بورس دوست داشته باشند تمام شرکت‌ها گزارش عدم اظهارنظر بگیرند. شاید اگر صاحب این اظهار نظر چند تا از شرکت‌ها را رسیدگی کرده بود به نظرهای متفاوت در مورد شرکت‌های متفاوت می‌رسید. استفاده کنندگان به دنبال همین اطمینان بخشی هستند. چرا از آنها دریغ کنیم.
تجویز و تکلیف
فرهنگ گزارشگری در تمام دنیا از بطن نیازهای استفاده‌کنندگان و شرکت‌داری و ساختارهای سازمانی بیرون می‌آید. گزارشگری و حسابرسی کنترل داخلی نیز به صورت داوطلبانه و نشات گرفته از همین فرهنگ از دهه ۱۹۷۰ در آمریکا آغاز شد. ولی در جایی که پای منافع عمومی در میان باشد بعدا دولت به خاطر حفاظت از منافع عمومی آن را به ضابطه یا قانون تبدیل می‌کند. در مورد کنترل داخلی از دهه ۱۹۷۰ در دنیا این اتفاق رخ داده است.
در ایران ظاهرا این فرهنگ به دلیل جوانی بازار سرمایه و شرکت‌داری سهامی هنوز نهادینه نشده است. بنابراین نقش دولت و ضابطه‌گذار مهم است. این نقش به تجویز کنترل داخلی می‌انجامد. در این فرهنگ تجویز بهترین علاج است. دولت وقتی تجویز می کند که تشخیص بدهد گزارشگری کنترل داخلی یک ضرورت است.. پس دولت تشخیص داده است تجویز کند که کرده‌است. هر تجویزی یک تکلیف دارد. حالا تکلیف ما است که به دستورالعمل کنترل داخلی عمل کنیم. حتی دیروز دیر است. در اینجا «ما» به همه اهالی صنعت حسابداری دلالت دارد. همه ما با فرآیند کنترل داخلی یا در مقام مدیر ارشد، عضو هیات راهبری، حسابدار، حسابرس داخلی، یا در مقام حسابرس و پایشگر بیرونی درگیریم. بالا بردن کیفیت کنترل داخلی صرف نظر از تکلیف ضابطه‌گذار رسالت شغلی و حرفه‌ای و تکلیف عقلانیت ما است. کنترل داخلی شغل ما است و همیشه بوده است. همه در محیط کنترل، نقش داریم؛ ریسک‌ها را ارزیابی می‌کنیم؛ فعالیت‌های کنترلی را انجام می‌دهیم؛ با تولید صورت‌های مالی و دیگر گزارش‌ها ارتباط‌گری و اطلاع‌رسانی می‌کنیم؛ و با حسابرسی داخلی و حسابرسی مستقل و سایر بازبینی‌ها اثربخشی کنترل داخلی را پایش می‌کنیم. حالا دستورالعمل کنترل داخلی به پشتیبانی ما آمده است و ما ندانسته فرصت‌سوزی می‌کنیم. همتایان ما در کشورهای دیگر از دولت و ضابطه‌گذار قدردانی می‌کنند و ما مثل همیشه دولت را علیه حرفه می‌دانیم. به نظر نگارنده دستورالعمل کنترل داخلی مهم‌ترین ضابطه در طول تاریخ ایران برای حسابداران است.
اصل و فرع
همان‌طور که گفته شد صورت‌های مالی محصول کنترل داخلی حاکم بر گزارشگری مالی است. در واقع دو گزارش مدیریتی و حسابرسی صورت‌های مالی هر دو برای تقویت کیفیت اطلاعات صورت‌های مالی و در نتیجه تامین هدف اتکاپذیری صورت‌های مالی صادر می‌شوند. به بیان دیگر، اصل موضوع مربوط به صورت‌های مالی است و هردو گزارش مدیریتی و حسابرسی کنترل‌های داخلی حاکم بر گزارشگری مالی فرع آن هستند. اگر تا به اینجا به لزوم گزارشگری حسابرسی کنترل داخلی در جهت منافع عمومی و منافع حسابرسان ایمان آورده‌ایم، یک نکته می‌ماند و آن این‌که دو گزارش مدیریتی و حسابرسی کنترل داخلی مستقل از هم هستند. ولی دومی برای کنترل اولی است.
حسابرسان! نگران نباشید اگر شرکت‌ها به وظیفه خود عمل نمی‌کنند. به موجب دستورالعمل قرارداد ببندید و اثربخشی کنترل داخلی را گزارش کنید. مطمئن باشید ریسک حسابرسی شما کاهش خواهد یافت. این یک گزارش مستقل است نه یک گواهی‌نامه. هیچ ریسکی برای شما ندارد. ریسک شما را پایین می‌آورد. درآمد شما را بالا می‌برد. برخلاف انتظار شما در فضای دشوار نخواهید بود و از بهشت لذت خواهید برد. شرکت‌ها ، مدیران، سهامداران، اعتباردهندگان، دولت و دیگر استفاده کنندگان و در یک کلمه عموم نیز از این رهگذر نفع می برند.
نتیجه‌گیری
نتیجه‌گیری را به یکی دو گزاره کوتاه محدود می‌کنم: تقلب بیداد می‌کند. لطفا نه نگویید، و قفل از غفلت کنترل داخلی، در صورت وجود، بگشایید. بگذارید هرچه زودتر دستورالعمل کنترل داخلی به اجرا درآید. باور کنید نفع اصلی، اول به عموم و بعد به حسابرسان و حسابداران می‌رسد، گرچه ما در مقام سهامدار، بیمه‌پرداز، مالیات‌پرداز، شهروند، پس‌انداز‌کننده و نقش‌های دیگر، جز عموم هستیم، ولی تردید نکنید با شغل کنترل داخلی است که حافظان اصلی منافع، رفاه و بهتر زیستن عموم هستیم.
امیر پوریانسب*
* عضو انجمن حسابداران خبره ایران
منبع : دنیای اقتصاد