المشكلة: دورة اعتماد تستنزف الموارد وتعطّل الامتثال
عندما تستغرق عملية اعتماد سياسات الأمن السيبراني ستة أسابيع أو أكثر، فإن المؤسسة لا تواجه فقط تأخيرًا إداريًا — بل تواجه فجوة امتثال حقيقية. في شركات التأمين السعودية الخاضعة لرقابة البنك المركزي السعودي (ساما)، يعني هذا التأخير أن السياسات المحدّثة لا تواكب التغييرات التنظيمية أو التهديدات الناشئة، وأن فرق الأمن تظل معلقة في انتظار موافقات متعددة من جهات لا تملك خارطة طريق واضحة.
المؤشرات التي تدل على أن دورة الاعتماد لديك بحاجة إلى إعادة هيكلة تشمل:
- تراكم مسودات السياسات في صناديق البريد الإلكتروني دون معرفة من يراجعها حاليًا
- غياب جدول زمني محدد لكل مرحلة من مراحل المراجعة
- تكرار التعليقات المتضاربة من أصحاب مصلحة مختلفين في مراحل متأخرة
- عدم وجود سجل موحد يوثق من وافق ومتى ولماذا
- تأجيل تحديثات السياسات الضرورية لأن الفريق يعلم أن العملية ستستغرق شهرًا أو أكثر
النتيجة المثالية ليست مجرد سرعة أكبر — بل عملية قابلة للتكرار، تحافظ على جودة المراجعة، وتوفر أثرًا واضحًا للمساءلة، وتمكّن المؤسسة من الاستجابة بسرعة للمتطلبات التنظيمية الجديدة.
السياق التنظيمي: لماذا تحتاج شركات التأمين إلى سياسات محكمة
تخضع شركات التأمين في المملكة لمتطلبات صارمة من البنك المركزي السعودي فيما يتعلق بحماية البيانات والأمن السيبراني. تشمل هذه المتطلبات وضع سياسات موثقة تغطي إدارة الوصول، وحماية بيانات العملاء، والاستجابة للحوادث، واستمرارية الأعمال، وإدارة المخاطر التقنية.
لا يكفي أن توجد هذه السياسات على الورق — يجب أن تكون محدّثة، ومعتمدة رسميًا من الإدارة العليا، وقابلة للتطبيق عمليًا من قبل الفرق التشغيلية. عندما تستغرق دورة الاعتماد أسابيع، تفقد السياسة قيمتها قبل أن تصبح نافذة.
المشكلة الأعمق هي أن معظم المؤسسات لا تملك سير عمل موحد لتطوير السياسات واعتمادها. بدلاً من ذلك، تعتمد على اجتهادات فردية: مدير الامتثال يرسل مسودة إلى مدير تقنية المعلومات، الذي يحيلها إلى مدير الأمن، الذي يطلب رأي المستشار القانوني، وهكذا — دون تسلسل واضح أو مواعيد نهائية محددة.
سير العمل الثلاثي المراحل: من التحليل إلى الاعتماد
لتحويل عملية اعتماد سياسات الأمن السيبراني من عبء إداري إلى نظام قابل للقياس، بنينا سير عمل من ثلاث مراحل متتالية لشركة تأمين خاضعة لرقابة ساما. كل مرحلة لها مدخلات ومخرجات ومسؤوليات محددة، ولا تبدأ المرحلة التالية حتى تكتمل السابقة.
المرحلة الأولى: تحديد أصحاب المصلحة وتحليل الفجوات
قبل كتابة سطر واحد من السياسة، نحتاج إلى معرفة من سيراجعها، ومن سيوافق عليها، ومن سيطبقها. في هذه المرحلة، نعقد جلسات عمل مع الإدارات المعنية لتحديد:
- أصحاب المصلحة الأساسيين: من يملك صلاحية الموافقة النهائية (عادة الرئيس التنفيذي أو مجلس الإدارة)
- المراجعين الفنيين: من سيقيّم الجدوى التقنية (فرق تقنية المعلومات والأمن)
- المراجعين القانونيين والامتثال: من سيتحقق من التوافق مع المتطلبات التنظيمية
- المنفذين التشغيليين: من سيطبق السياسة يوميًا (مديرو الأقسام، فرق العمليات)
في الوقت نفسه، نجري تحليل فجوات مقابل متطلبات البنك المركزي السعودي والضوابط الأساسية للأمن السيبراني. هذا التحليل يحدد أي سياسات موجودة تحتاج إلى تحديث، وأي سياسات مفقودة تمامًا، وأي تعارضات بين السياسات الحالية.
المخرج من هذه المرحلة هو مصفوفة أصحاب المصلحة وقائمة السياسات المطلوبة مع الأولويات. هذه الوثيقتان تشكلان الأساس لكل ما يلي.
المرحلة الثانية: تطوير المسودات وفق قوالب موحدة
بمجرد أن نعرف من سيراجع ماذا، ننتقل إلى التطوير الفعلي. هنا، نستخدم قوالب موحدة تضمن أن كل سياسة تحتوي على العناصر نفسها:
- الغرض والنطاق: لماذا توجد هذه السياسة ومن تشمل
- المسؤوليات: من يفعل ماذا، بالاسم الوظيفي لا الشخصي
- المتطلبات الإلزامية: ما يجب فعله، بصيغة واضحة قابلة للقياس
- الإجراءات المرتبطة: كيف يتم تنفيذ المتطلبات عمليًا
- الاستثناءات والتصعيد: متى يمكن الانحراف عن السياسة وكيف
- المراجعة والتحديث: متى تُراجع السياسة (عادة سنويًا أو عند تغيير تنظيمي)
القوالب ليست مجرد أداة تنسيق — بل أداة ضمان جودة. عندما يعرف كل مراجع أين يجد المعلومات التي يحتاجها، تتقلص مدة المراجعة بشكل كبير.
في هذه المرحلة، نعمل مع فريق الامتثال الداخلي لصياغة المسودات الأولى، مع الإشارة الواضحة إلى أي متطلب تنظيمي تلبيه كل فقرة. هذا يسهّل على المراجعين فهم السياق دون الحاجة إلى العودة إلى النصوص التنظيمية.
المرحلة الثالثة: دورة المراجعة المتسلسلة والاعتماد
هذه المرحلة هي التي تحدد السرعة الفعلية. بدلاً من إرسال المسودة إلى جميع أصحاب المصلحة في وقت واحد (ما يؤدي إلى تعليقات متضاربة)، نتبع تسلسل مراجعة محدد:
- المراجعة الفنية: فريق الأمن وتقنية المعلومات يراجعون الجدوى التقنية والتطبيق العملي (مدة محددة: يومان عمل)
- المراجعة القانونية والامتثال: المستشار القانوني وفريق الامتثال يتحققون من التوافق التنظيمي (مدة محددة: يوم عمل واحد)
- المراجعة التشغيلية: مديرو الأقسام المعنية يقيّمون الأثر على العمليات اليومية (مدة محددة: يوم عمل واحد)
- الاعتماد النهائي: الإدارة العليا توقّع على النسخة النهائية بعد دمج جميع التعليقات (مدة محددة: نصف يوم)
المفتاح هنا هو المدد المحددة والأدوار الواضحة. كل مراجع يعرف متى يتوقع أن يستلم المسودة، وكم لديه من الوقت للرد، ومن سيستلمها بعده. إذا لم يرد مراجع في المدة المحددة، تنتقل المسودة تلقائيًا إلى المرحلة التالية مع تسجيل الموافقة الضمنية.
نستخدم سجل تتبع مركزي يوثق كل تعليق، ومن قدمه، ومتى، وكيف تم التعامل معه. هذا السجل ليس فقط أداة إدارة مشروع — بل دليل امتثال يثبت أن السياسة مرت بمراجعة شاملة قبل الاعتماد.
النتيجة: من ستة أسابيع إلى أربعة أيام
عندما طبقنا هذا السير الثلاثي المراحل، انخفضت مدة اعتماد السياسة الواحدة من ستة أسابيع إلى أربعة أيام عمل. لكن الفائدة الأكبر لم تكن السرعة — بل القابلية للتكرار.
بعد اعتماد السياسة الأولى بهذه الطريقة، أصبحت السياسات التالية أسرع. الفرق تعلمت التسلسل، وأصحاب المصلحة عرفوا متى يتوقعون المراجعة، والقوالب ضمنت أن كل سياسة جديدة تحتوي على العناصر نفسها.
الأهم من ذلك، أصبح لدى المؤسسة أثر واضح للمساءلة. في أي وقت، يمكن لمدير الامتثال أو المدقق الخارجي أن يرى من راجع السياسة، وما كانت تعليقاته، وكيف تم دمجها. هذا الأثر ضروري عند التعامل مع مراجعات البنك المركزي السعودي أو عمليات التدقيق الداخلي.
العوامل التي تضمن نجاح التطبيق
لا يكفي أن تصمم سير عمل جيد — يجب أن تضمن التزام الجميع به. العوامل التي ضمنت نجاح هذا النهج تشمل:
الرعاية من الإدارة العليا: عندما يعلن الرئيس التنفيذي أو نائب الرئيس للامتثال أن هذا هو السير الرسمي، يلتزم الجميع. بدون هذه الرعاية، سيتجاوز بعض أصحاب المصلحة التسلسل أو يطلبون مراجعات إضافية.
التدريب المسبق: قبل إطلاق السير الجديد، عقدنا جلسات توجيهية مع كل مجموعة من أصحاب المصلحة. شرحنا دورهم، والمدة المتوقعة، وكيفية تقديم التعليقات. هذا قلل من الارتباك والتأخير.
الأدوات المناسبة: استخدمنا نظام إدارة وثائق بسيط يتيح التعليقات المتزامنة ويحفظ الإصدارات تلقائيًا. لا يشترط أن يكون نظامًا معقدًا — حتى جدول بيانات مشترك مع سجل تعليقات يمكن أن يفي بالغرض.
المرونة في الحالات الاستثنائية: بعض السياسات — مثل تلك المتعلقة بالخصوصية أو مكافحة غسل الأموال — قد تحتاج إلى مراجعة إضافية من جهات خارجية. السير الجيد يسمح بهذه الاستثناءات دون أن يفقد بنيته الأساسية.
متى تحتاج مؤسستك إلى إعادة هيكلة عملية الاعتماد
إذا كنت تواجه أيًا من هذه المؤشرات، فقد حان الوقت لإعادة النظر في عملية اعتماد سياسات الأمن السيبراني:
- التأخير المتكرر: السياسات المحدثة تستغرق شهرًا أو أكثر للاعتماد
- غياب الوضوح: لا أحد يعرف في أي مرحلة توجد المسودة حاليًا
- التعليقات المتأخرة: أصحاب المصلحة يقدمون تعليقات جوهرية في المراحل النهائية
- عدم الاتساق: كل سياسة تتبع مسارًا مختلفًا حسب من يقودها
- ضعف التوثيق: لا يوجد سجل واضح لمن وافق ومتى
هذه ليست مجرد مشاكل إدارية — بل مخاطر امتثال حقيقية. عندما لا تستطيع إثبات أن سياساتك مرت بمراجعة شاملة ومعتمدة رسميًا، فإنك تفتح المؤسسة لملاحظات تنظيمية وعقوبات محتملة.
كيف نساعدك في بناء عملية قابلة للتكرار
نقدم في سيزو للاستشارات خدمة تطوير السياسات التي تشمل تطوير شامل لسياسات وإجراءات الأمن السيبراني وفق الأطر التنظيمية السعودية. نعمل معك لبناء سير العمل الذي يناسب بنية مؤسستك، ونوثق كل مرحلة، ونضمن أن الفرق الداخلية قادرة على تكرار العملية بعد انتهاء المشروع.
إذا كنت تواجه تأخيرات متكررة في اعتماد السياسات، أو تحتاج إلى تحديث سياساتك الحالية لتتوافق مع متطلبات البنك المركزي السعودي، تواصل معنا لمناقشة كيف يمكننا مساعدتك في بناء عملية اعتماد واضحة وقابلة للقياس.
