المواقع والبرمجيات

قائمة تدقيق نظام ERP: ما الذي يجب أن يفحصه التدقيق العام والتدقيق الأمني؟

بقلم فريق ITCM · آخر تحديث أكتوبر 2026

تدقيق نظام تخطيط موارد المؤسسة (ERP) مراجعة منهجية تكشف من يملك صلاحية تنفيذ ماذا داخل النظام، وهل التغييرات والبيانات الرئيسية تحت السيطرة، وهل ينتج النظام سجلات مالية موثوقة يمكن استعادتها عند الحاجة. أما التدقيق الأمني لنظام ERP فهو الجزء الذي يركّز على الصلاحيات والحسابات ذات الامتيازات العالية والسجلات وتحصين النظام تقنيًا. في هذا الدليل تجد قائمة التحقق كاملة، وعلاقة ضوابط تقنية المعلومات العامة (ITGC) بالمراجعة المالية الخارجية، وطريقة تنفيذ التدقيق من تحديد النطاق حتى المعالجة. والمحتوى ينطبق على SAP وOracle وMicrosoft Dynamics وOdoo وNetSuite على حد سواء.

ما هو تدقيق نظام ERP، وما الذي لا يشمله؟

تدقيق نظام ERP يفحص الضوابط المحيطة بالنظام: الوصول والإعدادات والتغييرات والبيانات والتشغيل. وهو يجيب عن سؤال عملي واحد: هل تستطيع الإدارة والمراجعون الوثوق بالأرقام والعمليات التي يُنتجها هذا النظام؟ ويختلف عن المراجعة الوظيفية التي تقيس مدى ملاءمة النظام لإجراءاتكم، وعن مراجعة ما بعد التطبيق التي تقيّم تسليم المشروع، وإن كانت الثلاثة تتقاطع كثيرًا.

أما التدقيق الأمني لنظام ERP فيضيّق التركيز على السرية والسلامة والتوافر: تصميم المستخدمين والأدوار، والوصول بامتيازات عالية، والمصادقة، والسجلات، والتكاملات، والتحديثات، والنسخ الاحتياطي. وتلجأ كثير من الشركات إلى خدمات تدقيق ERP قبل المراجعة المالية الخارجية، أو بعد التشغيل الفعلي، أو بعد الاندماج أو فصل الشركات، أو عند الاشتباه في احتيال أو خلل في البيانات. وتغطي القائمة التالية التدقيق الرقابي والتدقيق الأمني معًا.

الفرق بين تدقيق ERP وضوابط ITGC والمراجعة المالية الخارجية

تُلزم معايير المراجعة المراجعَ الخارجي، مثل المعيار الدولي ISA 315 وكذلك المادة 404 من قانون SOX للشركات المدرجة في الأسواق الأمريكية، بفهم ضوابط تقنية المعلومات العامة (ITGC) حول الأنظمة التي تُنتج البيانات المالية، واختبارها عندما يعتمد عليها. وتنقسم هذه الضوابط عادةً إلى أربعة مجالات: الوصول إلى البرامج والبيانات، وتغييرات البرامج، وتطوير البرامج، وتشغيل الأنظمة. ونظام ERP يقع في قلب المجالات الأربعة.

إذا كانت ضوابط ITGC فعّالة، يستطيع المراجع الاعتماد على الضوابط الآلية وتقارير النظام وتقليل الاختبارات التفصيلية. وإذا كانت ضعيفة، يختبر عددًا أكبر من العمليات يدويًا، فتطول المراجعة وترتفع تكلفتها، وقد تُرفع أوجه القصور إلى الإدارة أو المكلفين بالحوكمة. لذلك فإن تدقيقًا داخليًا لنظام ERP قبل نهاية السنة المالية ببضعة أشهر يتيح لكم اكتشاف هذه المشكلات وإصلاحها قبل وصول فريق المراجعة الخارجية.

صلاحيات المستخدمين والأدوار والحسابات ذات الامتيازات العالية

الصلاحيات هي المصدر الأكبر لملاحظات تدقيق ERP. ابدأ باستخراج قائمة المستخدمين كاملة مع الأدوار وتاريخ آخر دخول والحالة، ثم قارنها بقائمة المغادرين من الموارد البشرية وبالهيكل التنظيمي. يجب أن يعود كل حساب نشط إلى موظف حالي أو خدمة معتمدة، وأن يطابق كل دور حاجة وظيفية موثقة.

وتحتاج الحسابات ذات الامتيازات العالية إلى فحص مستقل، ومن أمثلتها: مستخدمو SAP الذين يملكون ملف SAP_ALL أو SAP_NEW والحسابات الافتراضية مثل SAP* وDDIC، وحساب SYSADMIN في Oracle E-Business Suite، ودور System Administrator في Dynamics 365، وأدوار Administrator أو Full Access في NetSuite، ومستخدمو مجموعة الإعدادات والإدارة في Odoo أو من يستخدمون وضع المطوّر. هذه الحسابات تستطيع تجاوز معظم الضوابط التشغيلية، لذا يجب أن تكون قليلة ومسماة بأسماء أشخاص ومراقَبة، ويُفضّل ألا تُستخدم إلا عبر إجراء معتمد للوصول الطارئ.

• إجراء واضح للتعيين والنقل والمغادرة: أي صلاحية جديدة تحتاج طلبًا معتمدًا، وحسابات المغادرين تُعطَّل في آخر يوم عمل أو قبله.
• لا حسابات مشتركة أو عامة لتنفيذ العمليات، وحسابات الخدمات موثقة ولا يمكن الدخول بها تفاعليًا.
• مراجعة دورية للصلاحيات (ربع سنوية أو نصف سنوية عادةً) يعتمدها أصحاب الإجراءات، مع دليل على ما أُزيل.
• الحسابات الافتراضية وحسابات المورّد مقفلة أو غُيّرت كلمات مرورها، ولا توجد كلمات مرور افتراضية.
• مصادقة قوية: SSO أو المصادقة متعددة العوامل للوصول عن بُعد وللحسابات ذات الامتيازات، مع سياسة كلمات مرور ومهلة انتهاء الجلسة.
• نشاط حسابات المسؤولين مسجَّل ويراجعه شخص مستقل عن المستخدم نفسه.
• الوصول الطارئ محدد بمدة ومرتبط بتذكرة، ويُراجَع بعد الاستخدام.

فصل المهام (SoD) وتعارضاته

فصل المهام يعني ألا يستطيع شخص واحد إتمام إجراء حساس من بدايته إلى نهايته دون شخص ثانٍ. ومن التعارضات الشائعة في أنظمة ERP: إنشاء مورّد مع صرف مدفوعاته، وإنشاء أمر شراء واعتماده وتسجيل استلام البضاعة، وتعديل حدود ائتمان العملاء مع إصدار فواتير المبيعات، وتسجيل القيود اليومية مع اعتمادها. والخطر لا يقتصر على الاحتيال، بل يشمل الأخطاء التي تمر دون اكتشاف.

أعِدّ أو اعتمد مصفوفة لقواعد فصل المهام تحدد الوظائف المتعارضة، ثم اربطها بالصلاحيات الفعلية في النظام (رموز المعاملات أو القوائم أو حقوق الوصول أو صلاحيات الأدوار). تتوفر لـSAP وOracle أدوات حوكمة مخصصة لذلك، أما في Dynamics وNetSuite وOdoo فيمكن تحليل مستخرجات الأدوار والصلاحيات في جدول بيانات أو عبر سكربت. وإذا كان الفريق صغيرًا ولا يمكن فصل المهام، فوثّق ضوابط تعويضية مثل مراجعة شهرية مستقلة لتغييرات بيانات المورّدين والمدفوعات.

إدارة التغيير ونقل التعديلات والإعدادات

يجب أن يمر كل تغيير على الإعدادات أو الأكواد المخصصة أو التقارير أو التكاملات بمسار مضبوط: طلب، فاعتماد، فتطوير، فاختبار في بيئة غير إنتاجية، فاعتماد من قطاع الأعمال، ثم نقل مضبوط إلى الإنتاج. في SAP يتم ذلك عادةً عبر نظام إدارة النقل (Transports)، وفي Dynamics 365 عبر الحزم القابلة للنشر وLifecycle Services، وفي NetSuite عبر حسابات Sandbox وأدوات SuiteCloud، وفي Odoo عبر قاعدة بيانات تجريبية (Staging) ووحدات مخصصة مُدارة بإصدارات في Git.

يريد المراجع أن يرى أن المطوّرين لا يستطيعون نقل تعديلاتهم بأنفسهم إلى الإنتاج، وأن التعديلات المباشرة في الإنتاج ممنوعة أو مسجّلة، وأن عيّنة من التغييرات لديها أدلة مكتملة. وتحقق كذلك من أن بيئة الإنتاج مقفلة أمام تغييرات الإعدادات، وأن أوضاع التصحيح أو المطوّر غير مفعّلة، وأن التخصيصات موثقة.

• بيئات منفصلة للتطوير والاختبار والإنتاج.
• تذاكر تغيير تتضمن الاعتماد وأدلة الاختبار وموافقة الإطلاق لعيّنة من التغييرات.
• المطوّرون لا يملكون صلاحية النشر إلى الإنتاج، والنشر يتم بواسطة شخص آخر أو مسار آلي.
• بيئة الإنتاج مقفلة أمام التغييرات المباشرة، والاستثناءات مسجّلة.
• التغييرات الطارئة تُعتمد لاحقًا خلال مدة محددة.

ضوابط البيانات الرئيسية: المورّدون والعملاء والأصناف والبيانات البنكية

تغييرات البيانات الرئيسية طريق شائع للاحتيال والخطأ، خاصة البيانات البنكية للمورّدين. فتغيير رقم IBAN في سجل مورّد حقيقي قد يحوّل دفعة كاملة دون أن تظهر أي عملية غير معتادة. راجع من يستطيع إنشاء وتعديل المورّدين والعملاء والأصناف والأسعار ودليل الحسابات، وهل التغييرات معتمدة ومسجّلة.

يجب أن يتطلب تغيير البيانات البنكية تحققًا عبر جهة اتصال معروفة (اتصال على رقم مسجّل مسبقًا، لا الرقم الوارد في البريد الذي يطلب التغيير) واعتمادًا من شخص ثانٍ. ابحث عن المورّدين والعملاء المكررين، والسجلات غير النشطة التي ما زالت مفتوحة للتسجيل، والمورّدين بلا رقم ضريبي أو سجل تجاري. وفي المملكة العربية السعودية، حيث تُطبَّق الفوترة الإلكترونية من هيئة الزكاة والضريبة والجمارك (ZATCA)، تأكد من اكتمال وصحة بيانات التسجيل الضريبي في سجلات العملاء والمورّدين، لأن التحقق من الفواتير يعتمد عليها.

إعدادات الاعتمادات وسير العمل والضوابط الآلية

الضوابط الآلية هي القواعد التي يفرضها النظام في كل مرة: حدود الاعتماد، وهوامش المطابقة الثلاثية، وفحص الفواتير المكررة، وإيقاف تجاوز حد الائتمان، والحقول الإلزامية، وإقفال فترات التسجيل. ولأنها تعمل بثبات، يستطيع المراجع اختبارها مرة واحدة والاعتماد عليها، بشرط أن تكون ضوابط ITGC المحيطة بها فعّالة.

لكل سير عمل رئيسي، وثّق القاعدة المُعدّة، واختبر عملها (حاول تجاوز حد معين في بيئة الاختبار)، وحدد من يستطيع تعديلها. وتأكد من أن حدود الاعتماد تطابق مصفوفة الصلاحيات المعتمدة، وأن المعتمِد لا يستطيع اعتماد طلبه بنفسه، وأنه لا توجد طريقة سهلة للالتفاف مثل التسجيل المباشر على حساب دون المرور بسير العمل.

التكاملات والواجهات وجودة البيانات

أنظمة ERP الحديثة تتبادل البيانات مع البنوك والرواتب ونظام CRM والمتاجر الإلكترونية ومنصات الفوترة الإلكترونية وأدوات التحليل وشركات المجموعة الأخرى، وكل تكامل نقطة رقابة. تأكد من وجود حصر للتكاملات، ومن أن مفاتيح API ومستخدمي التكامل يملكون الحد الأدنى من الصلاحيات، وأن بيانات الدخول مخزنة بأمان وتُغيَّر دوريًا، وأن أي نقل فاشل أو ناقص يُطلق تنبيهًا ويُطابَق.

ويجب أن تغطي فحوص جودة البيانات الاكتمال والدقة: مطابقة عدد السجلات والإجماليات بين النظام المُرسِل والمستقبِل، ومراجعة قوائم الأخطاء يوميًا، وعدم تعديل ملفات التكامل يدويًا. وإذا كانت لديكم عمليات بين شركتين مستقلتين قانونيًا داخل النظام نفسه، فتحقق من مطابقة الأرصدة البينية، ومن أن مستخدمي إحدى الشركتين لا يستطيعون التسجيل في الأخرى دون تفويض.

الإقفال المالي والسجلات والنسخ الاحتياطي والتحديثات والتراخيص والأداء

يجب أن تشمل ضوابط الإقفال المالي داخل النظام إقفال فترات التسجيل، وإعادة فتح الفترات المقفلة بشكل مضبوط، ومراجعة القيود اليدوية، ومطابقة الدفاتر الفرعية مع دفتر الأستاذ العام. ويجب تفعيل سجلات التدقيق (Audit Trails) على الجداول والمستندات الرئيسية والاحتفاظ بها للمدة التي تطلبها الجهات التنظيمية والمراجعون، مع التأكد من أن المسؤولين لا يستطيعون حذف السجلات أو تعديلها دون أثر.

وتكتمل الصورة بالضوابط التشغيلية. فالنسخ الاحتياطي يجب أن يكون مجدولًا ومشفّرًا ومحفوظًا خارج الموقع أو في منطقة سحابية منفصلة، مع اختبار استعادة موثق. ويجب أن تبقى الإصدارات والتحديثات ضمن نطاق دعم المورّد مع تطبيق التحديثات الأمنية وفق جدول محدد. كما يجب أن يطابق استخدام التراخيص ما تدفعونه، فالمستخدمون غير النشطين هدر مالي، ونوع الترخيص الخاطئ قد يخلق مخاطر امتثال. وأخيرًا راجع الأداء: بطء مهام نهاية الشهر وفشل المهام المجدولة وتضخم قاعدة البيانات إنذارات مبكرة لمشكلات التوافر. وفي السعودية، راجع كذلك متطلبات نظام حماية البيانات الشخصية (PDPL) وضوابط الهيئة الوطنية للأمن السيبراني (NCA) إن كانت منشأتكم ضمن نطاقها، خاصة ما يتعلق بمكان استضافة البيانات.

• إقفال الفترات مُعدّ، وإعادة فتح فترة مقفلة تتطلب اعتمادًا وتُسجَّل.
• سجلات التغيير والتدقيق مفعّلة على البيانات الرئيسية والقيود والإعدادات وإدارة المستخدمين.
• إرسال السجلات إلى مستودع مركزي أو نظام SIEM حيثما أمكن، مع تحديد مدة الاحتفاظ.
• اختبار النسخ الاحتياطي باستعادة فعلية مرة واحدة سنويًا على الأقل، مع توثيق أهداف زمن الاستعادة (RTO) ونقطة الاستعادة (RPO).
• إصدار النظام وقاعدة البيانات ضمن دعم المورّد، والتحديثات الأمنية متابَعة.
• عدد التراخيص مطابق للمستخدمين النشطين، والمستخدمون الخاملون مُزالون.
• مراقبة فشل المهام المجدولة وتنبيهات الأداء والتعامل معها.

خطوات تنفيذ تدقيق نظام ERP

التدقيق الجيد يقوم على الأدلة وقابل للتكرار. يمكن تنفيذه داخليًا، لكن المراجع المستقل يمنع أن يفحص الأشخاص أعمالهم بأنفسهم. وخطّط لمدة تتراوح عادةً بين أسبوعين وستة أسابيع لنظام ERP في منشأة واحدة، بحسب النطاق وجاهزية الأدلة، بينما تستغرق البيئات متعددة الدول أو كثيرة التخصيص وقتًا أطول. هذه نطاقات تقديرية شائعة في السوق وتختلف كثيرًا من حالة لأخرى.

• النطاق: حدّد الشركات والوحدات والتكاملات والفترة محل المراجعة، واتفق على المخاطر والمعايير المهمة (ITGC وفصل المهام والأنظمة المحلية).
• الجولات الإجرائية: قابل أصحاب الإجراءات وفريق التقنية، ووثّق كيف تتم فعليًا إدارة الصلاحيات والتغييرات والنسخ الاحتياطي والإقفال.
• جمع الأدلة: استخرج قوائم المستخدمين وصلاحيات الأدوار وسجلات التغيير والتذاكر وتقارير النسخ الاحتياطي ولقطات الإعدادات من النظام مباشرة مع التواريخ.
• الاختبار: اختبر التصميم (هل الضابط صحيح؟) وفعالية التشغيل (هل عمل طوال الفترة؟) باستخدام العيّنات.
• الملاحظات: صِف لكل ملاحظة الوضع القائم والمعيار والسبب والأثر والتوصية، ثم صنّف خطورتها.
• التقرير: شارك مسودة الملاحظات مع المسؤولين، واتفق على ردود الإدارة والمواعيد.
• المعالجة وإعادة الاختبار: تابع الإصلاحات ثم أعد الاختبار للتأكد من الإغلاق قبل المراجعة الخارجية.

جدول تصنيف خطورة الملاحظات

التصنيف المتسق للملاحظات يساعد الإدارة على ترتيب الأولويات. اجمع بين الأثر (تحريف مالي، احتيال، تسرب بيانات، توقف الخدمة) والاحتمال (مدى السهولة ودرجة الانكشاف). والجدول التالي مقياس عملي يمكنكم تكييفه مع إطار المخاطر لديكم.

إعداد خطة المعالجة

خطة المعالجة تحوّل الملاحظات إلى إجراءات مؤرخة. سجّل لكل ملاحظة المسؤول والإصلاح المحدد والدليل الذي سيثبت الإصلاح والموعد النهائي وموعد إعادة الاختبار. وعالج الأسباب الجذرية لا الأعراض فقط: حذف حساب موظف مغادر مكسب سريع، لكن إصلاح إجراء الإبلاغ من الموارد البشرية إلى التقنية يمنع تكرار الحالة.

قدّم البنود الحرجة والعالية قبل الزيارة المرحلية للمراجع الخارجي. ومن المكاسب السريعة عادةً: تعطيل الحسابات الخاملة، وقفل الحسابات الافتراضية، وسحب صلاحيات تسجيل العمليات من المسؤولين، وتفعيل سجلات التغيير. أما البنود الأكبر، مثل إعادة تصميم الأدوار لإزالة تعارضات فصل المهام أو بناء بيئة اختبار حقيقية، فهي مشاريع قائمة بذاتها وقد تحتاج إلى خدمات أنظمة ERP أو مراجعة لطريقة إعداد النظام في الأصل، وهو ما يتناوله دليل تطبيق نظام ERP. وارفع تقرير التقدم إلى الإدارة شهريًا حتى تُغلق كل البنود ويُعاد اختبارها.

الأسئلة الشائعة

ماذا يشمل تدقيق نظام ERP؟

يشمل عادةً صلاحيات المستخدمين والأدوار، وفصل المهام، والحسابات ذات الامتيازات العالية، وإدارة التغيير، وضوابط البيانات الرئيسية، وإعدادات الاعتمادات وسير العمل، والتكاملات، وضوابط الإقفال المالي، وسجلات التدقيق، والنسخ الاحتياطي والاستعادة، والتحديثات، واستخدام التراخيص، والأداء. ويُختبر كل مجال بأدلة مستخرجة من النظام.

ما هو التدقيق الأمني لنظام ERP؟

يركّز على حماية النظام وبياناته: تصميم الأدوار، وحسابات المسؤولين والحسابات الافتراضية، والمصادقة متعددة العوامل، وبيانات دخول التكاملات، والسجلات والمراقبة، ومستوى التحديثات، والتشفير، والنسخ الاحتياطي. وهو غالبًا جزء من تدقيق ERP الشامل، ويمكن تنفيذه منفردًا.

ما علاقة ضوابط ITGC بالمراجعة المالية الخارجية؟

يقيّم المراجع الخارجي ضوابط تقنية المعلومات العامة حول الأنظمة التي تُنتج البيانات المالية. فإذا كانت ضوابط الوصول وإدارة التغيير والتشغيل فعّالة، اعتمد على تقارير النظام والضوابط الآلية وقلّل الاختبارات اليدوية. أما ضعفها فيعني عادةً عمل مراجعة أكبر واحتمال الإبلاغ عن أوجه قصور.

كم مرة يجب تدقيق نظام ERP؟

تُجري معظم الشركات تدقيقًا شاملًا مرة سنويًا، ويُفضّل أن يكون قبل المراجعة الخارجية ببضعة أشهر، مع مراجعة الصلاحيات كل ربع سنة أو نصف سنة. ويُستحسن إجراء مراجعة إضافية بعد التشغيل الفعلي أو ترقية كبيرة أو اندماج أو فصل شركات أو عند الاشتباه في احتيال.

ما أكثر ملاحظات تدقيق ERP شيوعًا؟

أبرزها: موظفون مغادرون بحسابات نشطة، وكثرة حسابات المسؤولين، وتعارضات فصل مهام غير معالجة، ومراجعات صلاحيات غير موثقة، ومطوّرون قادرون على تعديل الإنتاج مباشرة، وتغييرات غير مضبوطة على البيانات البنكية للمورّدين، ونسخ احتياطية لم تُختبر استعادتها قط.

كيف أتحقق من آراء العملاء وتجارب شريك تطبيق ERP؟

اطلب مراجع يمكنك التواصل معها مباشرة من شركات بحجم ونشاط مشابهين وتستخدم النظام نفسه، واسألهم تحديدًا عن ترحيل البيانات وتصميم الصلاحيات والدعم بعد التشغيل. دراسات الحالة المنشورة مفيدة، لكن الحديث المباشر مع مرجع ومراجعة نموذج من مخرجات العمل يكشفان أكثر من أي اقتباس على موقع إلكتروني.

هل تختلف قائمة التحقق بين SAP وOracle وDynamics وOdoo وNetSuite؟

أهداف الضوابط واحدة في كل الأنظمة، والاختلاف في مكان الأدلة: رموز المعاملات ونظام النقل في SAP، والمسؤوليات (Responsibilities) في Oracle، والأدوار الأمنية وLifecycle Services في Dynamics 365، والأدوار وعمليات البحث المحفوظة في NetSuite، والمجموعات وحقوق الوصول والوحدات في Odoo.

مقالات وخدمات ذات صلة

• قائمة تحقق تدقيق ITGC
• أودو أم نظام ERP مخصص
• خدمات أنظمة ERP
• دليل تطبيق نظام ERP
• حوكمة تقنية المعلومات والامتثال
• دراسة حالة: أتمتة العمليات عبر نظام ERP
• ما هو نظام ERP؟
• احجز مكالمة مجانية

→ جميع المقالات