نطاق التدقيق الذي أعددتموه العام الماضي لن يغطي هذا العام
إذا كنتم بصدد إعداد تدقيق داخلي بموجب تفويض الفوترة الإلكترونية الصادر عن الهيئة الاتحادية للضرائب (FTA) في الإمارات العربية المتحدة، فإن القائمة التي استخدمتموها في الربع الماضي أصبحت متقادمة بالفعل. إن الانتقال إلى الإبلاغ القائم على Peppol، والتقديم شبه الفوري وفق نموذج الزوايا الخمس (5-corner)، والتداخل بين تدفقات B2B و B2G، يُغيّر ما تختبرونه، ومَن ينبغي أن يحمل صلاحيات الوصول، وأين يكمن خطر الاحتيال فعلياً. يُقدّم لكم هذا المقال إطار ضوابط عملياً مُهيّأً لبيئة الإمارات، يغطي الضوابط الوقائية، والفصل بين المهام، وسيناريوهات الاحتيال التي تستحق تضمينها في خطة التدقيق لديكم قبل أن تدخل مرحلة الإبلاغ التالية حيّز التنفيذ.
لماذا يتسع سطح التدقيق فور تفعيل الفوترة الإلكترونية
لم تعد العناصر التي اعتادت فرق التدقيق الداخلي اختبارها (اعتمادات الفواتير اليدوية، وأرشيف ملفات PDF، وتسوية إقرار ضريبة القيمة المضافة) تُغطّي سطح الخطر بالكامل. فبموجب قرار مجلس الوزراء رقم 106 لعام 2025، والقرارين الوزاريين رقم 243 و 244 لعام 2025، تنتقل الفواتير من الجهة المُصدِرة عبر مزوّد خدمة معتمد (ASP) إلى الهيئة الاتحادية للضرائب (FTA) في وقت شبه فوري، وفق مواصفة PINT-AE (Peppol International Invoice, UAE Profile). ثلاثة أمور تتغيّر بالنسبة للمدقق.
باتت دقة بيانات الفواتير تُختبر عند نقطة الإرسال، لا عند إقفال نهاية الشهر.
يصبح أي تقديم مرفوض أو فاشل استثناءً في الضوابط، لا مجرد مسألة كتابية.
يُعدّ الوصول إلى بوابة ASP والبيانات الرئيسية (TRN، وأكواد الأصناف، ووحدة القياس) خطر وصول مُميّز.
ينبغي أن يُغطّي نطاق التدقيق لديكم نظام ERP، ورابط ASP، وطبقة إقرارات FTA. فاختبار أحدها بمعزل عن الآخرين يُفوّت الكشف عن التعرّض الحقيقي للخطر.
قائمة التحقق من الجاهزية قبل العمل الميداني التي يمكنكم استخدامها هذا الربع
قبل بدء أي أخذ للعينات، تأكّدوا من وجود هذه الضوابط التأسيسية ومن توثيقها. وتعاملوا مع أي ثغرة هنا باعتبارها السبب الجذري لمعظم الملاحظات اللاحقة.
ضوابط التنظيم والتوثيق
سياسة مكتوبة للفوترة الإلكترونية تتوافق مع توجيهات FTA وقاموس البيانات الإماراتي
جرد مُفصَّل لتدفقات معاملات B2B و B2G و B2C (إبلاغ B2C يختلف)
مُبرّرات موثّقة لاختيار ASP واتفاقيات خدمة مُوقَّعة
سجل تغييرات لإعدادات ERP مرتبط بإطلاق الفوترة الإلكترونية
ضوابط الأنظمة والبيانات
مصفوفة ضوابط وصول قائمة على الأدوار لوحدة الفوترة في ERP وواجهة ASP
قواعد تحقق من الحقول الإلزامية في PINT-AE مُطبَّقة من المصدر
الاحتفاظ بسجلات التدقيق بما يتوافق مع متطلبات حفظ السجلات لدى FTA
إجراء دوري للتسوية بين أعداد فواتير ERP، وتقارير إرسال ASP، وإقرارات FTA
الضوابط التشغيلية
إجراء للتعامل مع استثناءات الفواتير المرفوضة
سير عمل لإشعارات الدائن مرتبط بالفاتورة الأصلية
دليل تفويض الفوترة الذاتية عند انطباقها
توثيق معالجة الاحتساب العكسي على مستوى المعاملة
فصل المهام المُصمَّم لبيئة Peppol ذات الزوايا الخمس
يُدخل نموذج Peppol ذو الزوايا الخمس (المُرسِل، و ASP الخاص بالمُرسِل، و ASP الخاص بالمُستلِم، والمُستلِم، و FTA بوصفها زاوية السلطة الضريبية) نقاط وصول لم تكن قائمة في سير العمل الورقي أو عبر ملفات PDF. ويُتيح الفصل الضعيف لمستخدم واحد إنشاء الفاتورة، واعتمادها، وإرسالها، وتعديلها، دون مراجعة مستقلة ثانية. وكثير من فرق المالية في الإمارات لا تكتشف هذه الثغرة إلا عند تحديد نطاق أول مراجعة للفوترة الإلكترونية بعد التنفيذ، وفي تلك المرحلة تكون استثناءات الضوابط مُسجَّلة بالفعل.
الحد الأدنى لمصفوفة فصل المهام:
الوظيفة لا ينبغي أن يُؤدي أيضاً
إنشاء الفاتورة اعتماد الفاتورة
اعتماد الفاتورة تجاوز تقديم ASP
البيانات الرئيسية (TRN العميل، والأكواد الضريبية) ترحيل الفاتورة
إصدار إشعار الدائن اعتماد الفاتورة الأصلية
صلاحية إدارة ASP معالجة الفواتير اليومية
التسوية مع إقرارات FTA أيٌّ مما سبق
بالنسبة للفرق الأصغر حجماً التي يصعب فيها تطبيق الفصل الصارم، تتحمّل الضوابط التعويضية العبء الأكبر. فأدخلوا الاعتماد المزدوج على إشعارات الدائن التي تتجاوز حداً معيناً، وآلية مُنشِئ ومراجِع (maker checker) مفروضة من النظام على تغييرات البيانات الرئيسية، وتسوية شهرية مستقلة تُنفَّذ خارج قسمَي الحسابات الدائنة (AP) والمدينة (AR). وثّقوا كل ضابط تعويضي، لأن كلاً من المدقق الخارجي و FTA سيسألانكم عن كيفية التعامل معه.
أنماط الاحتيال التي تستحق الاختبار في التدفقات الإماراتية
تكشف ممارسات التدقيق في بيئات B2B و B2G في الإمارات بالفعل عن مجموعة متكررة من أنماط الاحتيال. أدرجوا هذه الأنماط في اختياركم للعينات بدلاً من انتظار بلاغ.
احتيال المورّد الوهمي: يُستحدَث مورّد جديد برقم TRN يبدو صحيحاً، وتُرسَل الفواتير بنجاح، ثم يُفرَج عن الدفعة قبل التحقق من TRN. اختبروا كل رقم TRN لمورّد جديد مُضاف خلال الفترة باستخدام أداة التحقق التابعة لـ FTA.
احتيال التقديم المُكرَّر: تُرسَل الفاتورة ذاتها مرتين عبر ASP، إحداهما بشكل صحيح والأخرى ببيانات بنكية مُعدَّلة. استعلِموا من سجل ASP عن أرقام مرجعية مكررة للفواتير عبر طوابع زمنية مختلفة.
إساءة استخدام إشعارات الدائن: تُصدَر إشعارات دائن دون فاتورة أصلية مرتبطة، أو بقيمة تتجاوز الأصلية، مما يُضخِّم ضريبة القيمة المضافة القابلة للاسترداد. خذوا عينات من إشعارات الدائن التي تفتقر إلى معرّفات الفواتير الأصلية.
الفواتير المُخفاة: تُنشَأ فاتورة في ERP لكنها لا تُرسَل أبداً إلى ASP، مما يؤدي إلى تخفيض الإيرادات وضريبة القيمة المضافة المستحقة. سوّوا تسلسلات ترقيم فواتير ERP مع سجلات إرسال ASP للكشف عن الفجوات.
التلاعب بالتصنيف: تطبيق علامات الصفر الضريبي أو الإعفاء على التوريدات ذات المعدل القياسي لتخفيض ضريبة القيمة المضافة المستحقة. اختبروا العينات وفق قاموس البيانات الإماراتي.
القاسم المشترك بين هذه الأنماط الخمسة هو أنه لا يمكن كشف أي منها بالنظر إلى ERP بمعزل عن غيره. فكل نمط يستلزم الربط بين بيانات ERP وسجلات إرسال ASP وإقرارات FTA. وإذا كانت أدواتكم الحالية للتدقيق لا تستقي من المصادر الثلاثة جميعاً، فإن اختياركم للعينات سيُفوِّت المعاملات ذاتها التي يحدث فيها الاحتيال. وبالنسبة لكثير من الفرق، هنا تحديداً تُضيف مراجعة الامتثال الخارجية أعلى قيمة، من خلال رسم خريطة لتدفق البيانات ثلاثي الطبقات قبل سحب العينة الأولى.
ملف الأدلة الذي ينبغي أن يُنتجه كل اختبار
في كل اختبار مما سبق، ينبغي أن تتضمّن أوراق عملكم:
سجل المعاملة المصدر في ERP
حمولة XML الصادرة بصيغة PINT-AE
سجل إرسال ASP مع الطابع الزمني
إقرار FTA أو كود الرفض
أي مُبرِّر للتجاوز اليدوي
إذا تعذّر إبراز أي عنصر من هذه العناصر عند الطلب، فإن ذلك يُعدّ ثغرة في الضوابط تستحق الإشارة إليها في خطاب الإدارة. وتتشارك تدفقات B2B و B2G المتطلبات ذاتها للأدلة، وإن كانت تدفقات B2G قد تُضيف مراجع للجهة المتعاقدة تستحق فحصها بشكل منفصل. وغالباً ما تستفيد الفرق التي تتولى تحديد النطاق لأول مرة من ورشة عمل قصيرة قبل التدقيق مع مستشار امتثال مقيم في الإمارات للاتفاق على معيار الأدلة قبل بدء العمل الميداني.
ما يمنحكم إياه هذا الإطار، وما ينبغي فعله لاحقاً
يتحوّل التدقيق الداخلي من مراجع دوري إلى شريك ضمان شبه مستمر بمجرد تفعيل الفوترة الإلكترونية. ويمنحكم الإطار الموضَّح أعلاه ثلاث ركائز يمكنكم الدفاع عنها أمام لجنة التدقيق: مجموعة ضوابط موثّقة تتوافق مع تفويض FTA، ومصفوفة لفصل المهام مبنية حول نموذج الزوايا الخمس، ومكتبة اختبارات احتيال مرتكزة على أنماط إماراتية فعلية. وعند تطبيقها معاً، فإنها تُقلِّل التعرُّض للتدقيق، وتكشف الإبلاغ غير الصحيح مبكراً، وتُقدِّم للجنة موقفاً واضحاً إذا طلبت FTA أدلة على مستوى المعاملة. أدرجوا ذلك ضمن دورة التدقيق التالية بدلاً من انتظار حادثة بعد الإطلاق تفرض إجراء المراجعة.
دور شريك الامتثال
بالنسبة لفرق التدقيق التي تتولى تحديد نطاق أول مراجعة بعد التنفيذ لتدفقات الفوترة الإلكترونية B2B و B2G في الإمارات، يمكن لمستشار امتثال خارجي أن يُساعدكم في هيكلة إطار الضوابط، وربط مصفوفة فصل المهام (SoD) بنظام ERP لديكم، وإعداد ملف الأدلة وفق معيار FTA. احجزوا تقييم امتثال لمواءمة خطة التدقيق لديكم مع إطلاق الفوترة الإلكترونية، أو اطَّلعوا على مكتبة الامتثال الكاملة للحصول على إرشادات تدقيق متخصصة بحسب القطاع.
الأسئلة الشائعة
ما دور المدقق الداخلي في الامتثال للفوترة الإلكترونية في الإمارات؟
يتحقّق المدققون الداخليون من أن بيئة ضوابط الفوترة الإلكترونية تُلبّي توقعات FTA بموجب قرار مجلس الوزراء رقم 106 لعام 2025. ويشمل الدور اختبار دقة بيانات الفواتير عند نقطة إرسال ASP، ومراجعة ضوابط الوصول عبر واجهة ERP و ASP، والتحقق من مصفوفة فصل المهام، وتسوية أعداد فواتير ERP مع إقرارات FTA، واختبار سيناريوهات الاحتيال كالفواتير المُخفاة، والتقديمات المكررة، والتلاعب بـ TRN عبر تدفقات B2B و B2G في العمليات داخل الإمارات.
كيف يعمل فصل المهام في نموذج Peppol ذي الزوايا الخمس؟
يفصل نموذج الزوايا الخمس بين إنشاء الفاتورة، وإرسالها، وتسلُّمها، والإبلاغ إلى السلطة الضريبية. وينبغي أن يحول فصل المهام دون تحكُّم أي مستخدم واحد في أكثر من زاوية. ومن الناحية العملية، فإن المستخدم الذي يُنشئ الفاتورة ينبغي ألا يعتمدها أيضاً، أو يتجاوز تقديمات ASP، أو يحتفظ ببيانات TRN العملاء، أو يُسوّي إقرارات FTA. وبالنسبة لفرق المالية الأصغر حجماً في الإمارات، تصبح الضوابط التعويضية كالاعتمادات المزدوجة وآلية مُنشِئ ومراجِع (maker checker) المفروضة من النظام على البيانات الرئيسية أمراً جوهرياً لسد الثغرة.
ما مخاطر الاحتيال الخاصة بالفوترة الإلكترونية في الإمارات ضمن تدفقات B2B و B2G؟
تشمل المخاطر الشائعة إنشاء موردين وهميين باستخدام أرقام TRN غير مُتحقَّق منها، والتقديمات المكررة للفواتير بتفاصيل دفع مُعدَّلة، وإساءة استخدام إشعارات الدائن دون فواتير أصلية مرتبطة، والفواتير المُخفاة التي لا تُرسَل أبداً إلى ASP، والتلاعب بالتصنيف الضريبي للتوريدات ذات المعدل القياسي باعتبارها خاضعة للصفر. وتحمل معاملات B2G تعرُّضاً إضافياً يتعلق بمراجع الجهات المتعاقدة وعتبات المشتريات. ويتطلّب كل خطر اختبار عينات مُستهدَفاً مقابل بيانات ERP و ASP و FTA مجتمعةً، لا بمعزل عن بعضها.
هل تحتاج الشركات في المناطق الحرة في الإمارات إلى ضوابط التدقيق الداخلي ذاتها للفوترة الإلكترونية؟
نعم. تخضع كيانات المناطق الحرة التي تمارس توريدات B2B أو B2G خاضعة للضريبة لإطار الفوترة الإلكترونية ذاته لدى FTA الذي تخضع له شركات البر الرئيسي، بما في ذلك تنسيق PINT-AE، وإرسال ASP، والتزامات الإبلاغ الفوري. وينبغي أن تعكس ضوابط التدقيق الداخلي، وفصل المهام، واختبار الاحتيال، متطلبات البر الرئيسي. أما أي تصنيفات بمعدل الصفر أو مُعفاة تخص نشاط المناطق الحرة فينبغي اختبارها وفق قاموس البيانات الإماراتي والتحقق منها لدى FTA قبل الإطلاق بدلاً من افتراضها.
متى ينبغي أن يبدأ التدقيق الداخلي في مراجعة ضوابط الفوترة الإلكترونية في الإمارات؟
ينبغي أن يشارك التدقيق الداخلي قبل الإطلاق، لا بعده. وتشمل المراجعة السابقة للتنفيذ تهيئة ERP، وشروط عقد ASP، ومصفوفات الوصول، ومدى جاهزية إجراءات التعامل مع الاستثناءات. وتليها مراجعة ثانية خلال أول دورة إبلاغ لاختبار التدفق الفعلي للمعاملات، ومعدلات إقرارات FTA، والاحتفاظ بالأدلة. فالانتظار دورةَ تدقيق كاملة بعد الإطلاق يعني في العادة اكتشاف ثغرات الضوابط من خلال استفسارات FTA لا من خلال النتائج الداخلية، وهو ما يحمل تعرُّضاً أعلى بكثير.
