إدارة المخاطر والضوابط الداخلية
إدارة المخاطر عملية مستمرة: نحدد المخاطر، ونقيسها، ونقرر وش نسوي فيها، ونراقبها. وكل هذا يتوثق في سجل المخاطر (Risk register).
لكل خطر أربع استجابات ممكنة:
| التجنّب | نوقف النشاط المسبب للخطر. مثلاً: ما نخزن بيانات البطاقات أبداً. |
| التقليل | نضيف ضوابط تقلل الاحتمال أو الأثر: MFA، ونسخ احتياطي. |
| النقل | ننقل الأثر المالي لطرف ثاني: تأمين سيبراني، أو مزوّد خدمة مسؤول تعاقدياً. |
| القبول | الخطر صغير أو تكلفة معالجته أكبر منه، فنقبله بقرار موثق. |
الضوابط الداخلية تحمي الشركة من الخطأ والاحتيال. وأهمها الفصل بين المهام (Segregation of Duties): ما يصير نفس الشخص ينشئ مورد جديد ويعتمد الدفع له، لأنه كذا يقدر يدفع لنفسه. أنظمة ERP تطبّق هذا بالصلاحيات.
انتبهنموذج خطوط الدفاع الثلاثة من معهد المدققين الداخليين (IIA): الإدارات التشغيلية تدير المخاطر، ووظائف المخاطر والالتزام تراقب وتوجّه، والتدقيق الداخلي يعطي تأكيد مستقل للمجلس.