مساءلة عن ضوابط لا تملكها
وظيفة الالتزام تملك الأطر ولا تملك أي ضابط. تقنية المعلومات تملك الوصول، والموارد البشرية التدريب، والشؤون القانونية العقود، والمشتريات المورّدين. وكل دليل تحتاجه يملكه شخص لا يرفع إليك — والجهة التنظيمية تُحمّلك المسؤولية رغم ذلك.
المشكلة البنيوية في كل وظيفة التزام
من واقع برامج الالتزام التي نبنيها ونُشغّلها في المملكة: فريق الالتزام مُساءل عن الوضع التنظيمي للمنشأة ولا يُشغّل تقريباً أياً من الضوابط التي تُنتجه. فالسلطة في الإدارات والمساءلة لدى الالتزام. وتلك الفجوة هي حيث تفشل البرامج، ولا يُغلقها أي قدر من الجهد من فريق الالتزام.
وهذا ليس انتقاداً لطريقة تنظيم المنشآت. بل هو البناء الصحيح — فضبط الوصول يخصّ تقنية المعلومات فعلاً، والتوعية تخصّ الموارد البشرية فعلاً. والمشكلة فيما يقع بينهما، حيث تُطبّق وظيفة الضابط، وتُوثّقه وظيفة أخرى، وترفع عنه تقريراً ثالثةٌ لم تشهد أياً منهما.
ضبط الوصول والتشفير والتسجيل وإدارة الثغرات وإدارة التغيير والنسخ الاحتياطي. أكبر حصة من الضوابط التقنية في كل إطار، تملكها وظيفة لها خارطة طريقها وأولوياتها.
التوعية والفحص والتعيين ودورة الالتحاق والانتقال والانفصال. ضوابط تُخفق بصمت، لأن أحداً لا يلاحظ إلغاء وصول لم يحدث.
بنود العقود واتفاقيات المعالجة وتفسير المتطلبات. وهي غالباً الوظيفة التي تقرّر معنى المتطلّب دون أن تملك ما يليه.
إدراج المورّدين والمتطلبات المرفقة به. وهي أقدر الوظائف على فرض ضوابط الأطراف الخارجية وأقلّها احتمالاً لأن تُخبَر بوجودها.
الوصول المادي والضوابط البيئية والإتلاف الآمن. تُنسى باطّراد حتى يطلب المُقيّم سجل الزوّار.
أنشطة المعالجة والبيانات والمخاطر الفعلية. ونادراً ما ترى نفسها جزءاً من برنامج الالتزام، وهذا تحديداً سبب غياب سجلاتها.
ولكلٍّ من هؤلاء عمل يومي ليس الالتزام. والبرنامج الذي يعتمد على حسن نيّتهم يعمل حتى ينشغل الربع، وهو الربع ذاته الذي يقع فيه التقييم.
وأنت لا تُدير إطاراً واحداً
المنشأة السعودية تحمل عادةً أربعة أو خمسة في آن، يُقيّمها أطراف مختلفة بجداول مختلفة.
| ما تحمله | لأن | يُقيّمه |
|---|---|---|
| الضوابط الأساسية | بنية تحتية وطنية حساسة أو عمل لجهات حكومية | الهيئة الوطنية والجهات التي تورّد لها |
| إطار قطاعي | جهتك التنظيمية أصدرت واحداً | تلك الجهة بدورتها |
| نظام حماية البيانات | تعالج بيانات شخصية | سدايا وكل صاحب بيانات يسأل |
| آيزو 27001 أو SOC 2 | عميل طلب، والصفقة توقّفت عليه | جهة منح شهادات أو مكتب محاسبة، سنوياً |
| متطلبات العملاء | كبار المشترين يُصدرون مجموعات ضوابطهم | العميل أثناء مراجعة المورّدين |
| السياسة الداخلية | مجلسك يتوقّع أكثر من الحد الأدنى | المراجعة الداخلية |
والتداخل بينها كبير — فضبط الوصول يظهر في الستّة جميعاً — لكن إدارتها منفصلةً تُولّد ستة طلبات للمهندس ذاته للدليل ذاته خلال ربع واحد. وهذه ليست مشكلة التزام، بل مشكلة مصداقية، وهي سبب تجاهل الطلب السادس.
ما الذي يتغيّر داخل Govrly
الفجوة بين المساءلة والسلطة لا تختفي. بل تصبح مرئية، وهذا معظم المعركة.
طبّق مرة واستوفِ عدّة
ضبط وصول مُطبَّق مرة واحدة يستوفي متطلّباً في الضوابط الأساسية وضابطاً في الملحق (أ) وضمانة في نظام حماية البيانات وبنداً تعاقدياً لعميل — من السجل ذاته. فالتداخل الذي تعرف وجوده يصبح شيئاً يتصرّف النظام بناءً عليه.
أشخاص بالاسم خارج فريقك
كل ضابط يحمل مالكاً في الوظيفة التي تُشغّله وتاريخاً مستهدفاً. لا مدير الالتزام افتراضياً، وهو ما يُنتجه جدول البيانات بهدوء.
تُطلَب مرة وتُستخدَم في كل مكان
المستند الذي يُثبت عمل الضابط يُطلَب ممّن يُنتجه ثم يدعم كل إطار مرتبط به. طلب واحد بدل ستة، وهو الفرق بين التعاون والتهرّب.
الأدلة تنتهي من تلقائها
اختبار اختراق صالح في مارس لا يُثبت شيئاً في ديسمبر. فالدليل يحمل مدة صلاحية ويظهر قبل انقضائها، بدل اكتشافه متقادماً أثناء العمل الميداني.
تُغلق بالتحقّق لا بالإقرار
سبب جذري وإجراء تصحيحي ومالك وخطوة تحقّق. والإغلاق عند اكتمال التحقّق فقط هو الفرق بين ملاحظة مُعالَجة وأخرى تعود في الدورة التالية.
وضع لا نشاط
ما هو مغطّى وما هو مفتوح وما هو متأخر ومن يملكه — لكل إطار بلغته. فالمجلس يسأل سؤالاً مختلفاً عن المُقيّم، وكلاهما ينبغي أن يُجاب دون تجميع عرض تقديمي.
طلب الدليل الذي لا يردّ عليه أحد
يستحق التسمية، لأن كل وظيفة التزام تعرفه وقليل منها يعدّه مشكلة قابلة للحل.
مهندس أول يتلقّى طلباً لتصدير مراجعة الصلاحيات ذاته في فبراير للمراجعة الداخلية، وفي أبريل لزيارة متابعة آيزو، وفي يوليو لتقييم مورّدين من عميل، وفي سبتمبر للرفع التنظيمي. أربعة طلبات وأربع صيغ ومستند واحد ومهندس يزداد عدم استجابة.
وبحلول الطلب الرابع تصبح الإجابة أبطأ والصيغة غير متّسقة، ويُصدّر أحدهم شيئاً ليس تماماً ما طُلب. وتلك هي اللحظة التي تتدهور فيها جودة الأدلة — لا بإهمال، بل بنفاد صبر أشخاص معقولين من عملية تسألهم السؤال ذاته مراراً.
أطر تُدار منفصلةً
كل برنامج يصون قائمة أدلته الخاصة، فيُطلَب المستند الأساسي ذاته مرة لكل برنامج لا مرة لكل فترة.
تعاون متناقص
أزمنة الاستجابة تطول عبر السنة، ويقرؤها فريق الالتزام مقاومةً بينما هي إرهاق من عملية لا تعترف أبداً بما قُدّم سلفاً.
الدليل ككائن مشترك
مستند واحد يُجمَع مرة ويُطابَق على كل متطلّب يدعمه عبر كل إطار — فيُسأل المهندس حين يستحقّ الدليل فعلاً لا حين يتذكّره كل برنامج.
متى لا تحتاج المنشأة هذا
يستحق القول بوضوح، لأن المنصة المشتراة قبل الحاجة إليها تصبح نظاماً آخر لا يصونه أحد.
- تحمل أكثر من إطارين والتداخل بينهما يُصان يدوياً
- مُلّاك الضوابط في وظائف لا ترفع إلى الالتزام
- الدليل ذاته يُطلَب عدة مرات في السنة من أطراف مختلفة
- الملاحظات تتكرّر عبر الدورات لأن الإغلاق أُقرَّ ولم يُتحقّق منه
- تجميع تقرير للمجلس أو الجهة التنظيمية يستغرق أياماً
- الشخص الذي يعرف موضع كل شيء قد يغادر
- تحمل إطاراً واحداً بنطاق مستقر
- فريق الالتزام يُشغّل معظم الضوابط بنفسه
- التقييم سنوي والإعداد له قابل للإدارة
- حجم الأدلة صغير بما يسع شخصاً واحداً أن يحفظه
- أنت في طور تأسيس البرنامج ولا تعرف بعد ما تحتاجه
والاختبار الصادق ليس حجم المنشأة. بل هل تجاوزت كلفة التنسيق بين الوظائف كلفة العمل نفسه. فدون ذلك الخط، جدول البيانات كافٍ فعلاً. وفوقه، لا ينفع مزيد من الجهد من فريق الالتزام — وهي النقطة التي تبدأ عندها معظم المنشآت بالبحث.
البدء دون مشروع يمتد سنة
المنشآت التي تنجح تبدأ ضيّقاً. والتي تتعثّر تحاول نمذجة كل شيء قبل أن يستخدمه أحد.
- ابدأ بالإطار الذي ستُقيَّم عليه تالياًلا الأهم — بل الأقرب موعداً. فالنجاح ببرنامج واحد يكسب التعاون الذي ستحتاجه لبقيتها.
- ابنِ مكتبة الضوابط ممّا تفعله أصلاًضوابطك موجودة. في السياسات والإجراءات ورؤوس الناس. والتقاطها هو الأساس، وهو أسرع من كتابة جديدة.
- طابق متطلبات ذلك الإطار على تلك الضوابطوهنا ترى التغطية بصدق لأول مرة، وهنا تتوقّف الفجوات عن كونها شعوراً وتصبح قائمة.
- أسنِد المُلّاك في الوظائف التي تُشغّلهاالخطوة غير المريحة، وهي التي تحدّد هل يعمل البرنامج. فالضابط الذي يملكه الالتزام ضابط لا يُشغّله أحد.
- أضِف الإطار الثاني ودع التداخل يظهرفمعظمه يُطابَق على ضوابط التقطتها سلفاً. وهذه اللحظة التي يُبرّر فيها المنهج نفسه أمام من وافقوا عليه على مضض.
- انقل جمع الأدلة إلى المنصةتُطلَب من المُلّاك، وتُراجَع قبل احتسابها، بمدة صلاحية. وهذا ما يُنهي مشكلة الأربعة طلبات لمستند واحد.
- أدخِل الملاحظات من حيث تسكنالمراجعة الداخلية والتقييم الخارجي ومراجعة العملاء. فالملاحظات المتابَعة في أماكن منفصلة تتكرّر في أماكن منفصلة.
- ثم امتدّ إلى البقيةمتى عمل إطاران بصورة سليمة، صارت إضافة ثالث تهيئةً لا مشروعاً — وتكون حينها قد كسبت المصداقية الداخلية لتطلب.
مكتبة ضوابط واحدة مشتركة عبر الضوابط الأساسية ونظام حماية البيانات وشهادتك في آيزو ومتطلبات عملائك — مع ملكية كل ضابط للشخص في تقنية المعلومات أو الموارد البشرية أو المشتريات الذي يُشغّله فعلاً، ودليل يُطلَب مرة واحدة لا مرة لكل إطار.
شاهد عرضاً توضيحياً ←أسئلة شائعة حول المنشآت الكبرى
كيف تختلف هذه عن صفحتَي المجموعات والشركات القابضة؟
تلك تصف مشكلات بنيوية — عدّة كيانات بالتزامات متشابهة، أو محفظة أعمال بالتزامات مختلفة. أما هذه الصفحة فتصف مشكلة داخلية في منشأة واحدة، حيث يمتد عمل الالتزام عبر إدارات لا ترفع إلى وظيفة الالتزام. فإن كنت مجموعة أو محفظة، فتلك الصفحتان أنسب.
ضوابطنا تملكها تقنية المعلومات والموارد البشرية. هل ينفع ذلك؟
هو الترتيب الوحيد الذي ينفع. فالضابط الذي يملكه فريق الالتزام ضابط لا يُشغّله أحد، لأن الالتزام لا يُجري مراجعة الصلاحيات ولا يقدّم التدريب. وإسناد الملكية إلى الوظيفة التي تؤدّي العمل غير مريح في التفاوض، وهو ما يصنع الفرق بين برنامج ووثيقة.
نُدير عدّة أطر. هل نحتاج برامج منفصلة؟
لا، وهنا تكمن معظم القيمة. فالأطر تتداخل جوهرياً — ضبط الوصول يظهر فيها جميعاً — فضابط واحد مُطبَّق ودليل معتمد واحد يستطيعان استيفاء متطلّب في الضوابط الأساسية وضابط في الملحق (أ) وبند عميل في آن، مع تقييم كل إطار بشروطه.
كيف نتوقّف عن طلب الدليل ذاته من المهندس ذاته؟
بحفظ الأدلة ككائن مشترك لا لكل برنامج. فمستند واحد يُجمَع مرة يدعم كل متطلّب مرتبط به، فيصل الطلب حين يستحقّ الدليل فعلاً لا مرة لكل إطار يحتاجه. وهذا عادةً أول تغيير يلاحظه مُلّاك الضوابط.
هل نستطيع البدء بإطار واحد؟
ينبغي ذلك. ابدأ بأقرب تقييم موعداً، وابنِ مكتبة الضوابط ممّا تفعله أصلاً، وأضِف الإطار الثاني متى عمل الأول. ويظهر التداخل عند تلك النقطة، وهو ما يُبرّر المنهج داخلياً أمام من وافقوا عليه على مضض.
هل هذا مبالغة إن كان لدينا إطار واحد؟
ربما. فإن كنت تحمل إطاراً واحداً بنطاق مستقر، وفريق الالتزام يُشغّل معظم الضوابط بنفسه، وحجم الأدلة صغير، فجدول البيانات كافٍ فعلاً. والاختبار الصادق ليس حجم المنشأة — بل هل تجاوزت كلفة التنسيق بين الوظائف كلفة العمل نفسه.
وماذا عن الملاحظات التي تعود دائماً؟
تتكرّر لأن الإغلاق أُقرَّ ولم يُتحقّق منه. فالملاحظة تحتاج سبباً جذرياً وإجراءً تصحيحياً ومالكاً وخطوة تحقّق، ولا تُغلق إلا باكتمال التحقّق. وإصلاح العَرَض دون السبب الجذري هو سبب ظهور الملاحظة ذاتها في نظام آخر بعد ستة أشهر.
متى يصبح هذا نافعاً؟
أول إطار مُطابَق على ضوابطك القائمة نافع فوراً، لأنه يخبرك بتغطيتك الفعلية لا المفترَضة. والمنشآت التي تتعثّر هي التي تحاول نمذجة كل شيء قبل أن يستخدمه أحد.
وحدات أعمالنا لا ترى أن الالتزام يخصّها.
هذا شائع وهو حيث تكون السجلات الناقصة عادةً — أنشطة المعالجة والبيانات والمخاطر الفعلية. وتسمية مالك داخل وحدة الأعمال للضوابط التي تقع هناك أنجع من التصعيد، لأن التصعيد يُنتج استجابة لمرة واحدة والملكية تُنتج عادة.
ماذا لو غادر الشخص الذي يعرف كل شيء؟
تلك من أوضح الإشارات إلى أن المنصة تأخّرت. فالبرنامج المحفوظ في معرفة شخص واحد برنامج بنقطة إخفاق وحيدة، وكلفة ذلك الاعتماد لا تظهر إلا في أسوأ لحظة ممكنة.
شاهد تغطيتك الفعلية لا المفترَضة
ابدأ بالإطار الذي ستُقيَّم عليه تالياً، واعرف ما تستوفيه ضوابطك القائمة أصلاً.