SOX 404 top–down risk assessment
ریاستہائے متحدہ میں عوامی کمپنیوں کے مالیاتی آڈٹ میں، ایس او ایکس 404 ٹاپ ڈاؤن رسک اسسمنٹ (ٹی ڈی آر اے) ایک مالیاتی رسک اسسمنٹ ہے جو 2002 کے سربنز-آکسلے ایکٹ (ایس او ایکس 404) کے سیکشن 404 کی تعمیل کے لیے کی جاتی ہے۔ ایس او ایکس 404 کے تحت، انتظامیہ کو اپنے اندرونی کنٹرول کی جانچ کرنی چاہیے ؛ اس طرح کی جانچ کے دائرہ کار کا تعین کرنے کے لیے ٹی ڈی آر اے کا استعمال کیا جاتا ہے۔ اسے بیرونی آڈیٹر بھی کمپنی کے اندرونی کنٹرول پر باضابطہ رائے جاری کرنے کے لیے استعمال کرتا ہے۔ تاہم آڈیٹنگ اسٹینڈرڈ نمبر کی منظوری کے نتیجے میں۔ 5، جسے ایس ای سی نے اس کے بعد سے منظور کیا ہے، بیرونی آڈیٹرز کو اب انتظامیہ کے اپنے اندرونی کنٹرول کے جائزے پر رائے فراہم کرنے کی ضرورت نہیں ہے۔ ٹی ڈی آر اے انجام دینے کے بارے میں تفصیلی رہنمائی پی سی اے او بی آڈیٹنگ اسٹینڈرڈ نمبر کے ساتھ شامل ہے۔ 5 (جاری کریں 2007-005 "مالیاتی رپورٹنگ پر اندرونی کنٹرول کا آڈٹ جو مالیاتی بیانات کے آڈٹ کے ساتھ مربوط ہے") اور SEC کی تشریحی رہنمائی (جاری کریں 33-8810/34-55929) "مالیاتی رپورٹنگ پر اندرونی کنٹرول پر انتظامیہ کی رپورٹ"۔ یہ رہنمائی 12/31 مالی سال کے اختتام والی کمپنیوں کے لیے 2007 کے جائزوں کے لیے لاگو ہوتی ہے۔ پی سی اے او بی ریلیز نے موجودہ پی سی اے او بی آڈیٹنگ اسٹینڈرڈ نمبر۔ 2، جبکہ ایس ای سی رہنمائی خاص طور پر انتظامیہ کے لیے پہلی تفصیلی رہنمائی ہے۔ پی سی اے او بی نے 31 دسمبر 2017 تک آڈیٹنگ کے معیارات کو دوبارہ منظم کیا، متعلقہ ایس او ایکس رہنمائی کے ساتھ جو اب اے ایس 2201 کے تحت شامل ہے: مالیاتی رپورٹنگ پر داخلی کنٹرول کا ایک آڈٹ جو مالیاتی بیانات کے آڈٹ کے ساتھ مربوط ہے۔ نئی رہنمائی کا اعلان کرنے میں ایس ای سی کے چیئرمین کی طرف سے استعمال کی گئی زبان بہت براہ راست تھی: "کانگریس کا یہ ارادہ کبھی نہیں تھا کہ 404 کا عمل غیر لچکدار، بوجھل اور فضول ہو جائے۔ سیکشن 404 کا مقصد سرمایہ کاروں کو کمپنی کے اندرونی کنٹرول سسٹم کی تاثیر کے بارے میں بامعنی انکشاف فراہم کرنا ہے، غیر ضروری تعمیل کا بوجھ پیدا کیے بغیر یا شیئر ہولڈر کے وسائل کو ضائع کیے بغیر۔ 2007 کی رہنمائی کی بنیاد پر، ایس ای سی اور پی سی اے او بی نے زیادہ خطرہ والے علاقوں پر کوششوں پر توجہ مرکوز کرکے اور کم خطرہ والے علاقوں میں کوششوں کو کم کرکے، ایس او ایکس 404 کی تعمیل سے وابستہ اخراجات میں نمایاں کمی کی ہدایت کی۔ ٹی ڈی آر اے ایک درجہ بندی کا فریم ورک ہے جس میں اندرونی کنٹرول کی تشخیص میں درکار دائرہ کار اور شواہد کا تعین کرنے کے لیے مخصوص خطرے کے عوامل کا اطلاق شامل ہے۔ پی سی اے او بی اور ایس ای سی رہنمائی دونوں میں ایک جیسے ڈھانچے ہوتے ہیں۔ ہر مرحلے پر، کوالٹی یا مقداری خطرے کے عوامل کو ایس او ایکس 404 تشخیص کی کوشش کے دائرہ کار پر توجہ مرکوز کرنے اور مطلوبہ شواہد کا تعین کرنے کے لیے استعمال کیا جاتا ہے۔ کلیدی اقدامات میں شامل ہیں: اہم مالیاتی رپورٹنگ عناصر (اکاؤنٹس یا انکشافات) کی نشاندہی کرنا ان اکاؤنٹس کے اندر مادی مالیاتی بیان کے خطرات کی نشاندہی کرنا یا انکشافات کا تعین کرنا کہ کون سے ادارے کی سطح کے کنٹرول ان خطرات کو کافی درستگی کے ساتھ حل کریں گے، اس بات کا تعین کرنا کہ کون سے لین دین کی سطح کے کنٹرول ان خطرات کو حل کریں گے، عین مطابق ادارے کی سطح کے کنٹرول کی عدم موجودگی میں جو ان دائرہ کار کے کنٹرول کی تشخیص کو مکمل کرنے کے لیے جمع کیے گئے شواہد کی نوعیت، حد اور وقت کا تعین کرتے ہیں۔ مینجمنٹ کو یہ دستاویز کرنے کی ضرورت ہے کہ اس نے جانچ شدہ کنٹرول کے دائرہ کار تک پہنچنے کے لیے اپنے ٹی ڈی آر اے کی تشریح اور اطلاق کیسے کیا ہے۔ اس کے علاوہ، مطلوبہ شواہد کی کافی مقدار (یعنی کنٹرول ٹیسٹنگ کا وقت، نوعیت اور حد) مینجمنٹ (اور آڈیٹر کے) ٹی ڈی آر اے پر مبنی ہے۔ اس طرح، ٹی ڈی آر اے کے ایس او ایکس 404 کے لیے تعمیل کی لاگت کے نمایاں مضمرات ہیں۔ طریقہ رہنمائی اصولوں پر مبنی ہے، جو ٹی ڈی آر اے کے نقطہ نظر میں نمایاں لچک فراہم کرتی ہے۔ دو بڑے مراحل ہیں: 1) جانچ میں شامل کرنے کے لیے کنٹرول کے دائرہ کار کا تعین کرنا ؛ اور 2) انجام دینے کے لیے جانچ کے طریقہ کار کی نوعیت، وقت اور حد کا تعین کرنا۔ دائرہ کار کا تعین جانچ کے لیے کنٹرول کے دائرہ کار کو قائم کرنے سے متعلق کلیدی ایس ای سی اصول کو مندرجہ ذیل طور پر بیان کیا جا سکتا ہے: "ایسے کنٹرول پر توجہ دیں جو مادی غلط بیانی کے خطرے کو مناسب طریقے سے حل کرتے ہیں۔" اس میں درج ذیل اقدامات شامل ہیں: مالیاتی رپورٹنگ عناصر (اکاؤنٹس اور انکشافات) کے لیے اہمیت اور غلط بیانی کے خطرے کا تعین کرنا پی سی اے او بی اے ایس 5 رہنمائی کے تحت، آڈیٹر کو اس بات کا تعین کرنے کی ضرورت ہے کہ آیا کوئی اکاؤنٹ "اہم" ہے یا نہیں (یعنی ہاں یا نہیں)، مالیاتی بیان کی غلطی اور اکاؤنٹ کی شدت (ڈالر ویلیو) کے امکان سے متعلق خطرے کے عوامل کی ایک سیریز کی بنیاد پر۔ اہم اکاؤنٹس اور انکشافات تشخیص کے لیے دائرہ کار میں ہیں، لہذا انتظامیہ عام طور پر اس معلومات کو اپنی دستاویزات میں شامل کرتی ہے اور عام طور پر آڈیٹر کے ذریعے جائزے کے لیے یہ تجزیہ انجام دیتی ہے۔ اس دستاویز کو عملی طور پر "اہم اکاؤنٹ تجزیہ" کہا جا سکتا ہے۔ بڑے بیلنس والے کھاتوں کو عام طور پر اہم سمجھا جاتا ہے (یعنی دائرہ کار میں) اور کسی نہ کسی قسم کی جانچ کی ضرورت ہوتی ہے۔ ایس ای سی کی رہنمائی کے تحت نیا تصور یہ ہے کہ اہمیت کا تعین کرنے کے لیے استعمال ہونے والے اسی طرح کے عوامل کی بنیاد پر "غلط بیانی کے خطرے" (کم، درمیانے یا زیادہ) کے لیے ہر اہم اکاؤنٹ کی درجہ بندی بھی کی جائے۔ غلط بیانی کے خطرے کی درجہ بندی ایک کلیدی عنصر ہے جو حاصل کیے جانے والے شواہد کی نوعیت، وقت اور حد کا تعین کرنے کے لیے استعمال ہوتا ہے۔ جیسے جیسے خطرہ بڑھتا ہے، اہم اکاؤنٹس سے متعلق کنٹرول کے لیے جمع کیے گئے ٹیسٹنگ شواہد کی متوقع استعداد میں اضافہ ہوتا ہے (ٹیسٹنگ اور شواہد کے فیصلوں کے حوالے سے نیچے سیکشن دیکھیں)۔ اہمیت اور غلط بیانی کا خطرہ دونوں ہی خطرے کے موروثی تصورات ہیں، یعنی یہ کہ کون سے اکاؤنٹس دائرہ کار میں ہیں اس کے بارے میں نتائج کا تعین کنٹرول کی تاثیر پر غور کرنے سے پہلے کیا جاتا ہے۔ مالیاتی رپورٹنگ کے مقاصد کی شناخت کریں مقاصد سیاق و سباق اور حدود طے کرنے میں مدد کرتے ہیں جس میں خطرے کی تشخیص ہوتی ہے۔ سی او ایس او اندرونی کنٹرول-انٹیگریٹڈ فریم ورک، جو ایس او ایکس کی تعمیل کے لیے بڑے پیمانے پر استعمال ہونے والے اندرونی کنٹرول کا ایک معیار ہے، کہتا ہے: "خطرے کی تشخیص کے لیے ایک پیشگی شرط مقاصد کا قیام ہے۔" اور "خطرے کی تشخیص مقاصد کے حصول کے لیے متعلقہ خطرات کی شناخت اور تجزیہ ہے"۔ ایس او ایکس رہنمائی کئی درجہ بندی کی سطحوں کو بیان کرتی ہے جن پر خطرے کی تشخیص ہو سکتی ہے، جیسے وجود، اکاؤنٹ، دعوی، عمل، اور لین دین کی کلاس۔ ان میں سے ہر ایک سطح پر مقاصد، خطرات اور کنٹرول کا تجزیہ کیا جا سکتا ہے۔ ٹاپ ڈاؤن رسک اسسمنٹ کے تصور کا مطلب ہے کہ پہلے فریم ورک کی اعلی سطحوں پر غور کیا جائے، تاکہ نچلی سطح کی تشخیصی سرگرمی کو زیادہ سے زیادہ غور سے فلٹر کیا جا سکے۔ اوپر سے نیچے خطرے کی تشخیص کے بہت سے طریقے ہیں۔ انتظامیہ کنٹرول کے مقاصد کو واضح طور پر دستاویز کر سکتی ہے، یا متن اور دیگر حوالوں کا استعمال کر سکتی ہے تاکہ یہ یقینی بنایا جا سکے کہ ان کا رسک سٹیٹمنٹ اور کنٹرول سٹیٹمنٹ دستاویزات مکمل ہیں۔ دو بنیادی سطحیں ہیں جن پر مقاصد (اور کنٹرول بھی) کی وضاحت کی جاتی ہے: وجود کی سطح اور دعوی کی سطح۔ ادارے کی سطح کے کنٹرول کے مقصد کی ایک مثال یہ ہے: "ملازمین کمپنی کے ضابطہ اخلاق سے واقف ہیں"۔ سی او ایس او 1992-1994 فریم ورک اندرونی کنٹرول کے پانچ اجزاء میں سے ہر ایک کی وضاحت کرتا ہے (یعنی کنٹرول انوائرمنٹ، رسک اسسمنٹ، انفارمیشن اینڈ کمیونیکیشن، نگرانی، اور کنٹرول سرگرمیاں)۔ تشخیص کی تجاویز کو کلیدی سی او ایس او ابواب کے آخر میں اور "تشخیص کے اوزار" کے حجم میں شامل کیا جاتا ہے ؛ ان کو معروضی بیانات میں تبدیل کیا جا سکتا ہے۔ دعوی کی سطح پر قابو پانے کے مقصد کی ایک مثال یہ ہے کہ "محصول کو صرف کارکردگی کی ذمہ داری کے اطمینان پر پہچانا جاتا ہے"۔ دعوی کی سطح کے کنٹرول کے مقاصد کی فہرستیں زیادہ تر مالیاتی آڈٹ کی نصابی کتابوں میں دستیاب ہیں۔ آڈیٹنگ اسٹینڈرڈز نمبر پر اے آئی سی پی اے کے بیان میں بھی بہترین مثالیں دستیاب ہیں۔ انوینٹری کے عمل کے لیے 110 (SAS 110)۔ ایس اے ایس 106 میں مالیاتی بیانات کے دعووں کے بارے میں تازہ ترین رہنمائی شامل ہے۔ دستاویزات، ملکیت اور ٹی ڈی آر اے کے نقطہ نظر کو منظم کرنے میں مدد کے لیے کنٹرول کے مقاصد کو عمل کے اندر منظم کیا جا سکتا ہے۔ عام مالیاتی عمل میں قابل ادائیگی اخراجات اور کھاتے (ادائیگی کے لیے خریداری)، پے رول، قابل وصول محصول اور کھاتے (نقد جمع کرنے کا حکم)، سرمایہ اثاثے وغیرہ شامل ہیں۔ اس طرح زیادہ تر آڈٹ کرنے والی نصابی کتابیں کنٹرول کے مقاصد کو منظم کرتی ہیں۔ عمل کو خطرے کی درجہ بندی بھی کی جا سکتی ہے۔ سی او ایس او نے 15 دسمبر 2014 کے بعد سال کے اختتام کی تاریخوں والی کمپنیوں کے لیے 2013 میں نظر ثانی شدہ رہنمائی جاری کی۔ اس کے لیے بنیادی طور پر کنٹرول بیانات کو پانچ سی او ایس او "اجزاء" کے تحت 17 "اصولوں" کا حوالہ دینے کی ضرورت ہوتی ہے۔ تقریبا 80 "فوکس کے نکات" ہیں جن کا خاص طور پر کمپنی کے کنٹرول کے خلاف جائزہ لیا جا سکتا ہے، تاکہ 17 اصولوں کے بارے میں نتیجہ اخذ کیا جا سکے (یعنی ہر اصول میں فوکس کے کئی متعلقہ نکات ہوتے ہیں)۔ زیادہ تر اصول اور توجہ کے نکات وجود کی سطح کے کنٹرول سے متعلق ہیں۔ جون 2013 تک عملی طور پر استعمال ہونے والے نقطہ نظر ترقی کے ابتدائی مراحل میں تھے۔ ایک نقطہ نظر یہ ہوگا کہ اصولوں اور فوکس کے نکات کو ڈیٹا بیس کے اندر معیار کے طور پر شامل کیا جائے اور ہر ایک کو متعلقہ کنٹرول کا حوالہ دیا جائے جو ان سے خطاب کرتے ہیں۔ مقاصد کے حصول کے لیے مادی خطرات کی شناخت کریں خطرے کی ایک تعریف وہ چیز ہے جو کسی مقصد کے حصول میں مداخلت کر سکتی ہے۔ رسک اسٹیٹمنٹ "کیا غلط ہو سکتا ہے" کا اظہار ہے۔ 2007 کی رہنمائی (یعنی ایس ای سی تشریحی رہنمائی اور پی سی اے او بی اے ایس 5) کے تحت، وہ خطرات جن میں فطری طور پر اکاؤنٹ کے بیلنس یا انکشاف میں مادی غلطی کا سبب بننے کا "معقول حد تک ممکن" امکان ہوتا ہے، وہ مادی غلط بیانی کے خطرات ("ایم ایم آر") ہیں۔ نوٹ کریں کہ یہ پی سی اے او بی اے ایس 2 کی "دور دراز سے زیادہ" امکان کی زبان میں ایک معمولی ترمیم ہے، جس کا مقصد دائرہ کار کو کم، زیادہ اہم مادی خطرات اور متعلقہ کنٹرول تک محدود کرنا ہے۔ اوپر بیان کردہ سطح کے کنٹرول کے مقصد سے مطابقت رکھنے والے رسک سٹیٹمنٹ کی ایک مثال یہ ہو سکتی ہے: "وہ رسک جو مصنوعات اور خدمات کی فراہمی سے پہلے محصولات کو پہچانا جاتا ہے"۔ نوٹ کریں کہ یہ کنٹرول کے مقصد سے بہت ملتا جلتا ہے، صرف منفی میں بیان کیا گیا ہے۔ انتظامیہ ایم ایم آر کی ایک فہرست تیار کرتی ہے، جو اوپر بیان کردہ مخصوص اکاؤنٹس اور/یا کنٹرول کے مقاصد سے منسلک ہوتی ہے۔ ایم ایم آر کی شناخت یہ سوال پوچھ کر کی جا سکتی ہے: "اکاؤنٹ، دعوی یا مقصد سے متعلق کیا غلط ہو سکتا ہے؟" ایم ایم آر اکاؤنٹنگ فنکشن (مثال کے طور پر تخمینوں، فیصلوں اور پالیسی فیصلوں کے حوالے سے) یا اندرونی اور بیرونی ماحول (مثال کے طور پر کارپوریٹ محکمے جو اکاؤنٹنگ ڈیپارٹمنٹ کی معلومات، اقتصادی اور اسٹاک مارکیٹ کے متغیرات وغیرہ کو فراہم کرتے ہیں) کے اندر پیدا ہو سکتا ہے۔ مواصلاتی انٹرفیس، تبدیلیاں (لوگ، عمل یا نظام)، دھوکہ دہی کی کمزوری، کنٹرول کا انتظام، ترغیبی ڈھانچہ، پیچیدہ لین دین، اور پروسیسنگ میں شامل فیصلے یا انسانی مداخلت کی ڈگری دیگر اعلی خطرہ والے موضوعات ہیں۔ عام طور پر، انتظامیہ ایسے سوالات پر غور کرتی ہے جیسے: کون سی چیز کو درست کرنا واقعی مشکل ہے؟ ماضی میں ہمیں اکاؤنٹنگ کے کون سے مسائل کا سامنا کرنا پڑا ہے؟ کیا بدل گیا ہے؟ کون دھوکہ دہی یا دھوکہ دہی سے متعلق مالیاتی رپورٹنگ کرنے کے قابل یا محرک ہو سکتا ہے؟ چونکہ مالیاتی دھوکہ دہی کا ایک بڑا فیصد تاریخی طور پر آمدنی کے حد سے زیادہ بیان میں شامل ہے، اس طرح کے اکاؤنٹس عام طور پر اضافی توجہ کے لائق ہوتے ہیں۔ آڈیٹنگ معیارات نمبر پر اے آئی سی پی اے کا بیان۔ 109 (ایس اے ایس 109) مالیاتی خطرے کی تشخیص کے حوالے سے مددگار رہنمائی بھی فراہم کرتا ہے۔ 2007 کی رہنمائی کے تحت، کمپنیوں کو دھوکہ دہی کے خطرے کی تشخیص کرنے اور متعلقہ کنٹرول کا جائزہ لینے کی ضرورت ہے۔ اس میں عام طور پر ایسے منظرناموں کی نشاندہی کرنا شامل ہے جن میں چوری یا نقصان ہو سکتا ہے اور اس بات کا تعین کرنا کہ آیا موجودہ کنٹرول کے طریقہ کار خطرے کو قابل قبول سطح تک مؤثر طریقے سے سنبھالتے ہیں۔ یہ خطرہ کہ سینئر انتظامیہ مالیاتی رپورٹنگ میں ہیرا پھیری کرنے کے لیے اہم مالیاتی کنٹرول کو ختم کر سکتی ہے، دھوکہ دہی کے خطرے کی تشخیص میں بھی توجہ کا ایک اہم شعبہ ہے۔ عملی طور پر، بہت سی کمپنیاں ایم ایم آر کی وضاحت کرتے وقت معروضی اور خطرے کے بیانات کو یکجا کرتی ہیں۔ یہ ایم ایم آر بیانات ایک ہدف کے طور پر کام کرتے ہیں، جو کنٹرول کو کم کرنے کی کوششوں پر توجہ مرکوز کرتے ہیں۔ ایسے کنٹرول کی شناخت کریں جو مادی غلط بیانی کے خطرات (ایم ایم آر) کو حل کرتے ہیں۔ ہر ایم ایم آر کے لیے، انتظامیہ اس بات کا تعین کرتی ہے کہ کون سا کنٹرول (یا کنٹرول) خطرے کو "کافی حد تک" اور "قطعی طور پر" (پی سی اے او بی AS#5) یا "مؤثر طریقے سے" (ایس ای سی گائیڈنس) کو کم کرنے کے لیے کافی ہے۔ اس تناظر میں لفظ "تخفیف" کا مطلب ہے کہ کنٹرول (یا کنٹرول) ایم ایم آر کے ذریعہ پیش کردہ مادی غلطی کے امکان کو "ریموٹ" امکان تک کم کر دیتا ہے۔ یقین دہانی کی اس سطح کی ضرورت ہوتی ہے کیونکہ اگر کسی اہم اکاؤنٹ کی مادی غلط بیانی کا "معقول طور پر ممکن" یا "ممکنہ" امکان ہو تو مادی کمزوری کو ظاہر کرنا ضروری ہے۔ اگرچہ خطرے پر متعدد کنٹرول برداشت ہو سکتے ہیں، لیکن تشخیص میں صرف وہی شامل ہیں جو اوپر بیان کردہ اس سے نمٹتے ہیں۔ عملی طور پر، ان کو "ان اسکوپ" یا "کلیدی" کنٹرول کہا جاتا ہے جن کی جانچ کی ضرورت ہوتی ہے۔ ایس ای سی گائیڈنس ممکنہ ذمہ داریوں کے لیے ایف اے ایس 5 اکاؤنٹنگ کے مطابق امکانات کی شرائط کو مندرجہ ذیل طور پر بیان کرتی ہے: "ممکنہ: مستقبل کا واقعہ یا واقعات ہونے کا امکان ہے"۔ "معقول طور پر ممکن: مستقبل کے واقعے یا واقعات کے ہونے کا امکان دور دراز سے زیادہ لیکن امکان سے کم ہے۔" "ریموٹ: مستقبل کے واقعات یا واقعات کے ہونے کا امکان معمولی ہے۔" جانچ کے لیے کسی خاص خطرے سے متعلق سب سے اہم کنٹرول کو منتخب کرنے کے لیے فیصلہ عام طور پر بہترین رہنما ہوتا ہے۔ پی سی اے او بی اے ایس 5 ایک تین سطحی فریم ورک متعارف کراتا ہے جو درستگی کی مختلف سطحوں (براہ راست، نگرانی، اور بالواسطہ) پر ہستی کی سطح کے کنٹرول کو بیان کرتا ہے۔ ایک عملی معاملے کے طور پر، کنٹرول کی قسم کے لحاظ سے درستگی کو کنٹرول کریں، انتہائی درست سے کم سے کم ترتیب میں، اس طرح تشریح کی جا سکتی ہے: لین دین سے متعلق مخصوص (لین دین کی سطح)-مخصوص، انفرادی لین دین سے متعلق اجازت یا جائزہ (یا روک تھام کے نظام کے کنٹرول) ؛ لین دین کا خلاصہ (لین دین کی سطح)-انفرادی لین دین کو درج کرنے والی رپورٹوں کا جائزہ ؛ پیریڈ اینڈ رپورٹنگ (اکاؤنٹ کی سطح)-جرنل انٹری کا جائزہ، اکاؤنٹ میں مصالحت یا تفصیلی اکاؤنٹ تجزیہ (مثال کے طور پر، یوٹیلیٹی اخراجات فی اسٹور) ؛ مینجمنٹ ریویو کنٹرول (براہ راست ادارے کی سطح)-جمع کرنے کی مختلف سطحوں پر انکم سٹیٹمنٹ اکاؤنٹس کے اتار چڑھاؤ کا تجزیہ یا مختصر مالی اور آپریشنل معلومات پر مشتمل ماہانہ رپورٹنگ پیکیج ؛ نگرانی کنٹرول (نگرانی ادارے کی سطح)-کنٹرول کی تصدیق کے لیے سیلف اسسمنٹ اور اندرونی آڈٹ کے جائزے۔ یہ بحث کرنا تیزی سے مشکل ہوتا جا رہا ہے کہ کنٹرول پر انحصار دعوی کی سطح کے مقاصد کے حصول میں معقول ہے کیونکہ کوئی اس تسلسل کے ساتھ انتہائی عین مطابق سے کم سے کم سفر کرتا ہے، اور جیسے جیسے خطرہ بڑھتا جاتا ہے۔ اوپر ٹائپ 3-6 کنٹرولز کا مجموعہ ٹائپ 1 اور 2 کنٹرولز (ٹرانزیکشن لیول) کی تعداد کو کم کرنے میں مدد کر سکتا ہے جس میں خاص طور پر کم رسک، ٹرانزیکشن پر مبنی عمل میں مخصوص خطرات کی تشخیص کی ضرورت ہوتی ہے۔ 2007 کی رہنمائی کے تحت، ماضی کے مقابلے میں پیریڈ اینڈ کنٹرولز (یعنی جرنل اندراجات کا جائزہ اور اکاؤنٹ مصالحت) اور انتظامی جائزے کے کنٹرول پر نمایاں طور پر زیادہ انحصار کرنا قابل قبول معلوم ہوتا ہے، جس سے بہت سے مادی غلط بیانی کے خطرات کو مؤثر طریقے سے حل کیا جاتا ہے اور دونوں میں سے کسی ایک کو فعال کیا جاتا ہے: a) پچھلے سال کی جانچ کے دائرہ کار سے لین دین کے کنٹرول کی ایک بڑی تعداد کا خاتمہ ؛ یا b) حاصل کردہ متعلقہ شواہد کو کم کرنا۔ لین دین کی سطح کے کنٹرول کی تعداد کو نمایاں طور پر کم کیا جا سکتا ہے، خاص طور پر کم خطرہ والے کھاتوں کے لیے۔ جانچ اور شواہد کے فیصلوں میں غور ثبوت کے فیصلوں سے متعلق ایس ای سی کے کلیدی اصول کا خلاصہ اس طرح کیا جا سکتا ہے: "ان شعبوں پر تشخیصی طریقہ کار کی نوعیت، وقت اور حد کو سیدھا کریں جو قابل اعتماد مالیاتی رپورٹنگ کے لیے سب سے زیادہ خطرہ ہیں۔" ایس ای سی نے اشارہ دیا ہے کہ مخصوص ایم ایم آر کی تشخیص کی حمایت کرنے کے لیے درکار شواہد کی کافی مقدار دو عوامل پر مبنی ہونی چاہیے: a) مالیاتی عنصر غلط بیانی کا خطرہ ("غلط بیانی کا خطرہ") اور b) ناکامی کے خطرے پر قابو پانا۔ یہ دونوں تصورات (اکاؤنٹ یا افشاء سے متعلق خطرات اور کنٹرول سے متعلق خطرات) کو مل کر "فنانشل رپورٹنگ رسک پر اندرونی کنٹرول" یا "آئی سی ایف آر" رسک کہا جاتا ہے۔ اس تصور کی وضاحت کے لیے رہنمائی میں (اس حصے میں دکھایا گیا) ایک خاکہ شامل کیا گیا تھا ؛ یہ واحد ایسا خاکہ ہے، جو ایس ای سی کی طرف سے اس پر دیے گئے زور کی نشاندہی کرتا ہے۔ آئی سی ایف آر کا خطرہ اوپر بتائے گئے ان اسکوپ کنٹرولز سے وابستہ ہونا چاہیے اور اس تجزیے کا حصہ ہو سکتا ہے۔ اس میں درج ذیل مراحل شامل ہیں: ہر کلیدی کنٹرول کو متعلقہ اکاؤنٹ کے "غلط بیانی کے خطرے" سے جوڑیں یا افشاء کرنے کے انتظام کو ہر اہم اکاؤنٹ اور افشاء کے لیے غلط بیانی کے خطرے کی درجہ بندی (اعلی، درمیانے یا کم) تفویض کی گئی ہے۔ کم، درمیانے یا اعلی درجہ بندی کا جائزہ خطرے کے بیانات اور اکاؤنٹ سے متعلق کنٹرول بیانات سے بھی منسلک ہونا چاہیے۔ اس کو پورا کرنے کا ایک طریقہ یہ ہے کہ کمپنی کے رسک سٹیٹمنٹ اور کنٹرول سٹیٹمنٹ دستاویزات میں درجہ بندی کو شامل کیا جائے۔ بہت سی کمپنیاں اس مقصد کے لیے ڈیٹا بیس کا استعمال کرتی ہیں، اس معلومات کو حاصل کرنے کے لیے اپنے رسک اور کنٹرول دستاویزات کے اندر ڈیٹا فیلڈز بناتی ہیں۔ "کنٹرول فیلئیر رسک (سی ایف آر)" اور "آئی سی ایف آر رسک" کے لیے ہر کلیدی کنٹرول کو انفرادی کنٹرول کی سطح پر لاگو کیا جاتا ہے، جو پروسیسنگ کی پیچیدگی، دستی بمقابلہ کنٹرول کی خودکار نوعیت، شامل فیصلے وغیرہ سے متعلق رہنمائی کے عوامل پر مبنی ہوتا ہے۔ انتظامیہ بنیادی طور پر یہ سوال پوچھتی ہے: "ہر بار اس کنٹرول کو صحیح طریقے سے انجام دینا کتنا مشکل ہے؟" اکاؤنٹ میں غلط بیانی کے خطرے اور سی ایف آر کی وضاحت کے ساتھ، انتظامیہ پھر کنٹرول کے لیے آئی سی ایف آر کے خطرے (کم، درمیانے یا زیادہ) پر نتیجہ اخذ کر سکتی ہے۔ آئی سی ایف آر ثبوت کے فیصلوں میں استعمال ہونے والا کلیدی رسک تصور ہے۔ ہر کنٹرول سٹیٹمنٹ کے لیے آئی سی ایف آر ریٹنگ حاصل کی جاتی ہے۔ بڑی کمپنیوں کے پاس عام طور پر سینکڑوں اہم اکاؤنٹس، رسک اسٹیٹمنٹ اور کنٹرول اسٹیٹمنٹ ہوتے ہیں۔ ان کا "بہت سے سے بہت سے" تعلق ہوتا ہے، جس کا مطلب ہے کہ خطرات کا اطلاق متعدد اکاؤنٹس پر ہو سکتا ہے اور کنٹرول کا اطلاق متعدد خطرات پر ہو سکتا ہے۔ جانچ کے وقت، نوعیت اور حد پر خطرے کے اثرات پر غور کریں یہ رہنمائی غلط بیانی کے خطرے اور ناکامی کے خطرے پر قابو پانے (مل کر، آئی سی ایف آر رسک) کے تعامل کی بنیاد پر ثبوت کے وقت، نوعیت اور حد میں لچک فراہم کرتی ہے۔ ان دونوں عوامل کو زیادہ تر کمپنیوں کے ذریعہ استعمال کردہ "سیمپلنگ اینڈ ایویڈنس گائیڈ" کو اپ ڈیٹ کرنے کے لیے استعمال کیا جانا چاہیے۔ جیسے جیسے ان دو خطرے کے عوامل میں اضافہ ہوتا ہے، ہر ایم ایم آر سے نمٹنے کے لیے درکار شواہد کی کافی مقدار میں اضافہ ہوتا ہے۔ انتظام میں درج ذیل جانچ اور شواہد کے تحفظات کے حوالے سے نمایاں لچک ہے، کسی دیئے گئے کنٹرول سے متعلق آئی سی ایف آر کے خطرے کے تناظر میں: وسعت (نمونے کا سائز): نمونے کا سائز آئی سی ایف آر کے خطرے کے متناسب طور پر بڑھتا ہے۔ ثبوت کی نوعیت: تفتیش، مشاہدہ، معائنہ اور دوبارہ کارکردگی ثبوت کی چار قسمیں ہیں، جو کافی کی ترتیب میں درج ہیں۔ تفتیش سے بالاتر ثبوت، عام طور پر دستاویزات کا معائنہ، کنٹرول آپریٹنگ تاثیر کی جانچ کے لیے ضروری ہے۔ سب سے زیادہ خطرے پر قابو پانے کے لیے دوبارہ کارکردگی کے ثبوت کی توقع کی جائے گی، جیسے کہ مدت کے آخر میں رپورٹنگ کے عمل میں۔ کنٹرول کی نوعیت (دستی بمقابلہ خودکار): مکمل طور پر خودکار کنٹرول کے لیے، یا تو ایک کا نمونہ سائز یا "بینچ مارکنگ" ٹیسٹ کی حکمت عملی استعمال کی جا سکتی ہے۔ اگر تبدیلی کے انتظام سے متعلق آئی ٹی کے عمومی کنٹرول موثر ہیں اور ماضی میں مکمل طور پر خودکار کنٹرول کا تجربہ کیا گیا ہے، تو سالانہ جانچ کی ضرورت نہیں ہے۔ معیار کو وقتا فوقتا قائم کیا جانا چاہیے۔ رول فارورڈ ٹیسٹنگ کا دائرہ کار درکار ہے: جیسے جیسے خطرہ بڑھتا ہے، عبوری ٹیسٹنگ کے اثر کو سال کے آخر تک بڑھانے کے لیے رول فارورڈ ٹیسٹنگ کے تیزی سے ضروری ہونے کا امکان ہے۔ کم خطرہ والے کنٹرولز میں ممکنہ طور پر رول فارورڈ ٹیسٹنگ کی ضرورت نہیں ہوتی ہے۔ وسیع و عریض عوامل جو مندرجہ بالا شواہد کے تحفظات کو بھی متاثر کرتے ہیں ان میں شامل ہیں: وجود کی سطح کے کنٹرول کی مجموعی طاقت، خاص طور پر کنٹرول ماحول: وجود کی سطح کے مضبوط کنٹرول پورے بورڈ میں خطرہ مول لینے کے لیے ایک وسیع "جوابی وزن" کے طور پر کام کرتے ہیں، جس سے کم خطرہ والے علاقوں میں درکار شواہد کی استعداد کو کم کیا جاتا ہے اور مجموعی کوشش کو کم کرنے کے لحاظ سے نئی رہنمائی کے جذبے کی حمایت کی جاتی ہے۔ مخصوص کنٹرول کے حوالے سے پہلے کے جائزوں سے مجموعی علم: اگر مخصوص عمل اور کنٹرول مؤثر طریقے سے کام کرنے کی تاریخ رکھتے ہیں، تو کم خطرہ والے علاقوں میں درکار شواہد کی حد کو کم کیا جا سکتا ہے۔ جانچ کے فیصلوں میں رسک، معروضیت اور اہلیت پر غور کریں۔ انتظامیہ کو اس بات کا خاص اختیار حاصل ہے کہ اس کی جانچ کون انجام دیتا ہے۔ ایس ای سی رہنمائی اس بات کی نشاندہی کرتی ہے کہ دیئے گئے کنٹرول کی جانچ کرنے والے شخص کی معروضیت اس کنٹرول سے متعلق آئی سی ایف آر کے خطرے کے متناسب طور پر بڑھنی چاہیے۔ لہذا، خود تشخیص جیسی تکنیکیں کم خطرہ والے علاقوں کے لیے موزوں ہیں، جبکہ اندرونی آڈیٹرز (یا اس کے مساوی) کو عام طور پر زیادہ خطرہ والے علاقوں کی جانچ کرنی چاہیے۔ عملی طور پر ایک درمیانی تکنیک "کوالٹی اشورینس" ہے، جہاں مینیجر اے مینیجر بی کے کام کی جانچ کرتا ہے، اور اس کے برعکس۔ انتظامیہ کی جانچ پر انحصار کرنے کی بیرونی آڈیٹرز کی صلاحیت اسی طرح کی منطق پر عمل کرتی ہے۔ ریلائنس اس انتظامی شخص کی اہلیت اور معروضیت کے متناسب ہے جس نے ٹیسٹنگ مکمل کی ہے، خطرے کے تناظر میں بھی۔ سب سے زیادہ خطرے والے علاقوں کے لیے، جیسے کہ کنٹرول ماحول اور پیریڈ اینڈ رپورٹنگ کے عمل کے لیے، اندرونی آڈیٹر یا تعمیل کرنے والی ٹیمیں ممکنہ طور پر جانچ کرنے کے لیے بہترین انتخاب ہیں، اگر بیرونی آڈیٹر سے کافی حد تک انحصار کی توقع کی جاتی ہے۔ انتظامیہ کی تشخیص پر انحصار کرنے کی بیرونی آڈیٹر کی صلاحیت تعمیل میں لاگت کا ایک بڑا عنصر ہے۔ موثر ایس او ایکس 404 تشخیص کے لیے حکمت عملی ایس او ایکس 404 تشخیص کو ہر ممکن حد تک موثر بنانے کے لیے مختلف قسم کے مخصوص مواقع موجود ہیں۔ کچھ زیادہ طویل مدتی نوعیت کے ہوتے ہیں (جیسے سنٹرلائزیشن اور پروسیسنگ کی آٹومیشن) جبکہ دیگر کو آسانی سے نافذ کیا جا سکتا ہے۔ انتظامیہ اور بیرونی آڈیٹر کے درمیان بار بار بات چیت اس بات کا تعین کرنے کے لیے ضروری ہے کہ ہر کمپنی کے مخصوص حالات میں کون سی کارکردگی کی حکمت عملی موثر ہوگی اور کس حد تک کنٹرول کے دائرہ کار میں کمی مناسب ہے۔ سنٹرلائزیشن اور آٹومیشن سینٹرلائز: کلیدی خطرے والے علاقوں میں مشترکہ سروس ماڈل کا استعمال متعدد مقامات کو جانچ کے مقاصد کے لیے ایک کے طور پر استعمال کرنے کے قابل بناتا ہے۔ مشترکہ سروس ماڈل عام طور پر پے رول اور اکاؤنٹس قابل ادائیگی کے عمل کے لیے استعمال ہوتے ہیں، لیکن ان کا اطلاق کئی قسم کے ٹرانزیکشن پروسیسنگ پر کیا جا سکتا ہے۔ فنانس ایگزیکٹوز انٹرنیشنل کے ایک حالیہ سروے کے مطابق، وکندریقرت کمپنیوں میں مرکزی کمپنیوں کے مقابلے میں ایس او ایکس کی تعمیل کے اخراجات ڈرامائی طور پر زیادہ تھے۔ خودکار اور بینچ مارک: کلیدی مکمل طور پر خودکار آئی ٹی ایپلی کیشن کنٹرولز میں نمونے کے سائز کی کم سے کم ضروریات ہوتی ہیں (عام طور پر ایک، دستی کنٹرول کے لیے 30 کے مقابلے میں) اور ہو سکتا ہے کہ بینچ مارکنگ تصور کے تحت براہ راست ٹیسٹ کرنے کی ضرورت نہ پڑے۔ بینچ مارکنگ مکمل طور پر خودکار آئی ٹی ایپلی کیشن کنٹرولز کو جانچ سے خارج کرنے کی اجازت دیتی ہے اگر کچھ آئی ٹی تبدیلی کے انتظام کے کنٹرول موثر ہیں۔ مثال کے طور پر، بہت سی کمپنیاں سسٹمز کے درمیان دستی انٹرفیس پر بہت زیادہ انحصار کرتی ہیں، جن میں دستی جرنل اندراجات کو ڈاؤن لوڈ کرنے اور اپ لوڈ کرنے کے لیے بنائی گئی اسپریڈشیٹ ہوتی ہیں۔ کچھ کمپنیاں ہر ماہ اس طرح کی ہزاروں اندراجات پر کارروائی کرتی ہیں۔ دستی جریدے کی اندراجات کو خودکار بنانے سے، محنت اور ایس او ایکس تشخیص کے اخراجات دونوں کو ڈرامائی طور پر کم کیا جا سکتا ہے۔ اس کے علاوہ مالیاتی بیانات کی وشوسنییتا میں بہتری آتی ہے۔ مجموعی تشخیص کا نقطہ نظر جانچ کے نقطہ نظر اور دستاویزات کا جائزہ لیں: بہت سی کمپنیوں یا بیرونی آڈٹ فرموں نے غلطی سے لین دین کی منفرد سطح کے عمل یا تمام مقامات پر عام ڈھانچے کو نافذ کرنے کی کوشش کی۔ مثال کے طور پر، زیادہ تر سی او ایس او فریم ورک عناصر بالواسطہ ہستی کی سطح کے کنٹرول کی نمائندگی کرتے ہیں، جن کی ٹرانزیکشن کے عمل سے الگ جانچ کی جانی چاہیے۔ اس کے علاوہ، آئی ٹی سیکیورٹی کنٹرولز (آئی ٹی جی سی کا ایک ذیلی سیٹ) اور مشترکہ سروس کنٹرولز کو علیحدہ عمل دستاویزات میں رکھا جا سکتا ہے، جس سے ٹیسٹ کی ذمہ داری کی زیادہ موثر تفویض کو قابل بنایا جا سکتا ہے اور تمام مقامات پر بے کار پن کو دور کیا جا سکتا ہے۔ کلیدی جریدے کے اندراجات اور کھاتوں میں مصالحت کو علیحدہ کوششوں کے طور پر جانچنا اضافی کارکردگی اور توجہ کو ان اہم کنٹرول میں لانے کے قابل بناتا ہے۔ براہ راست وجود کی سطح کے کنٹرول پر انحصار: رہنمائی اس بات کی نشاندہی پر زور دیتی ہے کہ کون سے براہ راست وجود کی سطح کے کنٹرول، خاص طور پر مدت کے اختتام کا عمل اور کچھ نگرانی کے کنٹرول، دائرہ کار سے دعوی کی سطح (لین دین) کے کنٹرول کو ہٹانے کے لیے کافی درست ہیں۔ کلیدی بات یہ طے کرنا ہے کہ ہستی کی سطح اور دعوی کی سطح کے کنٹرول کا کون سا مجموعہ مخصوص ایم ایم آر کو ایڈریس کرتا ہے۔ رول فارورڈ ٹیسٹنگ کو کم سے کم کریں: انتظامیہ کے پاس نئی رہنمائی کے تحت سال کے وسط ("عبوری") ادوار کے دوران انجام دی گئی ٹیسٹنگ کی موثر تاریخ کو سال کے آخر تک بڑھانے کے لیے زیادہ لچک ہے۔ صرف زیادہ رسک کنٹرول کے لیے ممکنہ طور پر نئی رہنمائی کے تحت رول فارورڈ ٹیسٹنگ کی ضرورت ہوگی۔ پی سی اے او بی اے ایس 5 اشارہ کرتا ہے کہ انکوائری کے طریقہ کار، اس بارے میں کہ آیا کنٹرول کے عمل میں تبدیلیاں عبوری اور سال کے آخر کی مدت کے درمیان ہوئیں، بہت سے معاملات میں رول فارورڈ ٹیسٹنگ کو محدود کرنے کے لیے کافی ہو سکتی ہیں۔ تشخیص شدہ مقامات یا کاروباری اکائیوں کے دائرہ کار پر نظر ثانی کریں: یہ ایک پیچیدہ شعبہ ہے جس میں کافی فیصلے اور تجزیہ کی ضرورت ہوتی ہے۔ 2007 کی رہنمائی وکندریقرت اکائیوں پر حاصل کیے جانے والے شواہد کے دائرہ کار اور استعداد کا تعین کرنے میں ڈالر کی شدت کے بجائے مخصوص ایم ایم آر پر مرکوز تھی۔ یہ تشریح (2007 سے پہلے کی رہنمائی کے تحت عام) کہ اکائیوں کا ایک یونٹ یا گروپ مادی تھا اور اس لیے متعدد عملوں میں بڑی تعداد میں کنٹرول کے لیے خطرے سے قطع نظر جانچ کی ضرورت ہوتی ہے، کو ختم کر دیا گیا ہے۔ جہاں واحد اکائیوں یا اسی طرح کی اکائیوں کے گروپوں کے اکاؤنٹ بیلنس مجموعی اکاؤنٹ بیلنس کا ایک مادی حصہ ہیں، انتظامیہ کو احتیاط سے غور کرنا چاہیے کہ آیا کسی خاص یونٹ میں ایم ایم آر موجود ہو سکتا ہے۔ اس کے بعد صرف ایم ایم آر سے متعلق کنٹرول پر مرکوز جانچ کی جانی چاہیے۔ نگرانی کے کنٹرول، جیسے کہ مضبوط رپورٹنگ پیکجوں کے ساتھ تفصیلی کارکردگی کے جائزے کی میٹنگوں پر بھی لین دین سے متعلق مخصوص جانچ کو محدود کرنے کے لیے غور کیا جانا چاہیے۔ آئی ٹی تشخیص کا نقطہ نظر فوکس آئی ٹی جنرل کنٹرول (آئی ٹی جی سی) ٹیسٹنگ: آئی ٹی جی سی ایس ای سی یا پی سی اے او بی رہنمائی کے تحت ادارے کی سطح کے کنٹرول کی تعریف میں شامل نہیں ہیں۔ لہذا، آئی ٹی جی سی کی جانچ اس حد تک کی جانی چاہیے جس حد تک یہ مخصوص ایم ایم آر سے نمٹتی ہے۔ فطری طور پر، آئی ٹی جی سی انتظامیہ کو مکمل طور پر خودکار ایپلی کیشن کنٹرول (یعنی وہ جو انسانی مداخلت کے بغیر کام کرتے ہیں) اور آئی ٹی پر منحصر کنٹرول (یعنی وہ جو خودکار طور پر تیار کردہ رپورٹوں کا جائزہ لیتے ہیں) پر انحصار کرنے کے قابل بناتا ہے۔ فوکسڈ آئی ٹی جی سی ٹیسٹنگ کنٹرول کے مقاصد یا دعووں کی حمایت کرنے کے لیے قابل قدر ہے کہ مکمل طور پر خودکار کنٹرول کو اجازت کے بغیر تبدیل نہیں کیا گیا ہے اور یہ کہ کنٹرول رپورٹنگ درست اور مکمل دونوں ہے۔ اس لیے آئی ٹی جی سی کے اہم توجہ مرکوز کرنے والے شعبوں میں شامل ہیں: اس مدت کے دوران مخصوص مالیاتی نظام کے نفاذ پر لاگو انتظامی طریقہ کار میں تبدیلی ؛ بینچ مارکنگ حکمت عملی کی حمایت کے لیے کافی انتظامی طریقہ کار میں تبدیلی ؛ اور ڈیوٹی کی علیحدگی سمیت ایپلی کیشن سیکیورٹی کی وقتا فوقتا نگرانی۔ 2007 کے بعد پی سی اے او بی کی رہنمائی پی سی اے او بی وقتا فوقتا "اسٹاف آڈٹ پریکٹس الرٹس" (ایس اے پی اے) جاری کرتا ہے جو "نئے، ابھرتے ہوئے یا بصورت دیگر قابل ذکر حالات کو اجاگر کرتا ہے جو اس بات کو متاثر کر سکتے ہیں کہ آڈیٹر معیارات کی موجودہ ضروریات کے تحت آڈٹ کیسے کرتے ہیں۔" ایس اے پی اے #11 مالیاتی رپورٹنگ پر داخلی کنٹرول کے آڈٹ پر غور (24 اکتوبر 2013) کے تحت، پی سی اے او بی نے آئی سی ایف آر تشخیص سے متعلق اہم آڈٹ پریکٹس کے مسائل پر تبادلہ خیال کیا۔ ان میں دیگر موضوعات کے علاوہ شامل ہیں: سسٹم سے تیار کردہ رپورٹیں ("ادارے کے ذریعہ فراہم کردہ معلومات" یا "آئی پی ای"): وہ تقاضے جو آڈیٹرز (اور پراکسی مینجمنٹ کے ذریعے) اضافی ثبوت حاصل کرتے ہیں کہ مکمل طور پر خودکار رپورٹیں اور دستی سوالات جو کنٹرول ان پٹ کے طور پر استعمال ہوتے ہیں وہ درست اور مکمل ہوتے ہیں۔ ہستی کی سطح کے کنٹرول اور انتظامی جائزے کے کنٹرول: بعض اوقات ہستی کی سطح کے کنٹرول اور انتظامی جائزے کے کنٹرول (نظریاتی طور پر پیریڈ اینڈ کنٹرول سے ملتے جلتے) پر ضرورت سے زیادہ انحصار رکھا جاتا تھا، جو مادی غلط بیانی کے خطرے کو "ریموٹ" سطح تک کم کرنے کے لیے ناکافی طور پر درست تھے۔ ایس اے پی اے #11 درستگی کی اس تشخیص میں مدد کے لیے اضافی معیار فراہم کرتا ہے۔ تحقیقات کے لیے معیار: آڈیٹرز نے ہمیشہ کافی ثبوت حاصل نہیں کیے کہ انتظامیہ کے کنٹرول کو مؤثر طریقے سے انجام دیا گیا جہاں مخصوص رواداری سے باہر غیر معمولی تغیرات کو نوٹ کیا گیا تھا۔ مثال کے طور پر، انتظامیہ نے یہ کہتے ہوئے ایک کنٹرول رپورٹ پر دستخط کیے ہوں گے کہ اس کا جائزہ لیا گیا تھا لیکن رپورٹ میں کچھ غیر معمولی سرگرمی کے باوجود تحقیقات کی کوئی دوسری دستاویزات فراہم نہیں کی گئیں۔ ایس اے پی اے #11 کہتا ہے: "اس بات کی تصدیق کرنا کہ جائزہ سائن آف کیا گیا تھا، کنٹرول کی تاثیر کے بارے میں خود سے بہت کم یا کوئی ثبوت فراہم نہیں کرتا ہے۔" SAPA #11 انتظامی ٹیموں کے لیے مزید کام میں تبدیل ہو سکتا ہے، جو آڈیٹرز کے لیے اس بات کا ثبوت برقرار رکھنے کے لیے ضروری ہو سکتا ہے کہ یہ رپورٹیں اور سوالات درست اور مکمل تھے۔ مزید برآں، انتظامیہ کو تحقیقات کے اضافی شواہد کو برقرار رکھنے کی ضرورت پڑ سکتی ہے جہاں جاسوس کنٹرول رپورٹ کی رقوم میں لین دین یا پہلے سے طے شدہ رواداری کی حدود سے باہر کے رجحانات ہوتے ہیں۔ حوالہ جات ریاستہائے متحدہ میں آڈیٹنگ سربانس-آکسلے ایکٹ