المجال الثاني من إطار حوكمة تقنية المعلومات الصادر عن البنك المركزي السعودي (ساما) يفرض على المؤسسات المالية إنشاء لجنة أمن سيبراني على مستوى مجلس الإدارة أو الإدارة التنفيذية العليا، مع ميثاق موثق يحدد صلاحياتها وتشكيلها وآليات عملها. لكن كثير من المؤسسات تقدم للفاحصين قوالب عامة منسوخة من الإنترنت أو من مؤسسات أخرى، تفتقر إلى البنود المحددة التي يبحث عنها فاحصو ساما، فتفشل المراجعة الأولى وتتأخر الموافقة.
هذه قائمة تحقق ميثاق لجنة الأمن السيبراني إطار حوكمة تقنية المعلومات ساما — تسعة بنود إلزامية يتحقق منها الفاحصون، والصياغة الدقيقة لقرار مجلس الإدارة الذي يلبي شرط الموافقة الرسمية، لتجتاز هيكل الحوكمة المراجعة من المرة الأولى.
لماذا يرفض الفاحصون المواثيق العامة
إطار حوكمة تقنية المعلومات لساما لا يكتفي بوجود لجنة أمن سيبراني، بل يتطلب أن يكون لها ميثاق مكتوب يحدد نطاق عملها وصلاحياتها وآليات اتخاذ القرار وخطوط الإبلاغ، وأن يوافق عليه مجلس الإدارة رسميًا. القوالب العامة تفشل لأنها:
- تستخدم لغة غامضة مثل "تشرف على الأمن السيبراني" دون تحديد ما تعنيه الإشراف.
- لا تحدد من يحضر الاجتماعات ومن يملك حق التصويت.
- تترك وتيرة الاجتماعات مفتوحة "حسب الحاجة" بدلًا من تحديد حد أدنى.
- لا توضح كيف تصل قرارات اللجنة إلى مجلس الإدارة أو متى تصعد المخاطر.
- تخلط بين لجنة الأمن السيبراني ولجنة التقنية أو لجنة المخاطر.
الفاحصون يبحثون عن بنود محددة تثبت أن اللجنة قادرة على اتخاذ قرارات فعلية وأن مجلس الإدارة يمارس رقابة حقيقية على الأمن السيبراني.
البنود التسعة الإلزامية في ميثاق لجنة الأمن السيبراني
1. التفويض والغرض
حدد بوضوح لماذا توجد اللجنة وما هي سلطتها. اذكر أنها منشأة بقرار من مجلس الإدارة لتحقيق متطلبات إطار حوكمة تقنية المعلومات لساما، وأن دورها هو الإشراف على استراتيجية الأمن السيبراني ومراجعة المخاطر الرئيسية والموافقة على السياسات الحرجة.
لماذا يهم: الفاحصون يريدون أن يروا أن اللجنة ليست استشارية فقط، بل لها صلاحية قرار واضحة.
2. التشكيل والعضوية
اذكر بالاسم أو بالمنصب من يجلس في اللجنة: رئيس اللجنة، الأعضاء الدائمون، الأعضاء المدعوون، والأمين. حدد ما إذا كانت اللجنة على مستوى مجلس الإدارة (تضم أعضاء من المجلس) أو على المستوى التنفيذي (تضم الرئيس التنفيذي أو من يفوضه، ومسؤول أمن المعلومات، ومدير المخاطر، ومدير الامتثال).
لماذا يهم: ساما تتوقع أن يكون للجنة تمثيل من الإدارة العليا وأن يكون مسؤول أمن المعلومات عضوًا دائمًا، لا مجرد مدعو.
3. النصاب القانوني
حدد الحد الأدنى لعدد الأعضاء الذين يجب حضورهم لاعتبار الاجتماع صحيحًا — عادة الأغلبية أو ثلثي الأعضاء، بشرط حضور الرئيس أو نائبه ومسؤول أمن المعلومات.
لماذا يهم: بدون نصاب محدد، يمكن أن تنعقد اجتماعات بحضور شخصين وتتخذ قرارات لا تمثل رأي اللجنة.
4. وتيرة الاجتماعات
حدد الحد الأدنى لعدد الاجتماعات السنوية — عادة أربعة اجتماعات على الأقل (مرة كل ربع سنة)، مع إمكانية عقد اجتماعات استثنائية عند الحاجة.
لماذا يهم: الفاحصون يتحققون من محاضر الاجتماعات؛ إذا كانت الوتيرة غير محددة، يصعب إثبات أن اللجنة تعمل بانتظام.
5. المسؤوليات والصلاحيات
اسرد المسؤوليات المحددة للجنة، مثل:
- مراجعة واعتماد استراتيجية الأمن السيبراني السنوية.
- مراجعة سجل المخاطر السيبرانية الرئيسية والموافقة على خطط المعالجة.
- اعتماد سياسات الأمن السيبراني الحرجة (مثل سياسة إدارة الهوية والوصول، وسياسة مخاطر الأطراف الثالثة).
- مراجعة تقارير الحوادث الرئيسية والدروس المستفادة.
- الموافقة على ميزانية الأمن السيبراني السنوية أو التوصية بها لمجلس الإدارة.
- مراجعة نتائج الاختبارات الأمنية (اختبار الاختراق، التقييمات الخارجية).
- الإشراف على برنامج التوعية الأمنية.
لماذا يهم: قائمة المسؤوليات هذه تثبت أن اللجنة تغطي جميع جوانب الحوكمة التي يتوقعها إطار حوكمة تقنية المعلومات لساما.
6. حدود التصعيد إلى مجلس الإدارة
حدد متى يجب على اللجنة تصعيد موضوع إلى مجلس الإدارة — مثلًا:
- أي حادث سيبراني بتأثير مادي على العمليات أو البيانات أو السمعة.
- أي مخاطرة سيبرانية تتجاوز شهية المخاطر المعتمدة.
- أي تجاوز مادي للميزانية المعتمدة.
- أي تغيير جوهري في استراتيجية الأمن السيبراني.
- أي نتيجة حرجة من تقييم خارجي أو فحص تنظيمي.
لماذا يهم: ساما تريد أن ترى أن مجلس الإدارة يُبلَّغ بالمخاطر الجوهرية في الوقت المناسب، لا بعد فوات الأوان.
7. صلاحية اتخاذ القرار
اذكر بوضوح ما يمكن للجنة أن تقرره بنفسها وما يجب أن ترفعه إلى مجلس الإدارة. مثلًا، اللجنة تعتمد السياسات والخطط التشغيلية، لكنها توصي المجلس بالاستراتيجية والميزانية الكبيرة.
لماذا يهم: الفاحصون يريدون أن يروا أن اللجنة ليست مجرد هيئة استشارية، بل لها صلاحية حقيقية ضمن نطاق محدد.
8. خطوط الإبلاغ والتوثيق
حدد أن اللجنة ترفع تقاريرها إلى مجلس الإدارة (إذا كانت لجنة تنفيذية) أو إلى لجنة المخاطر أو لجنة التدقيق في المجلس (إذا كانت موجودة). اذكر أن الأمين يحفظ محاضر الاجتماعات والقرارات، وأن المحاضر توزع على الأعضاء خلال مدة محددة (مثلًا أسبوعين) وتُعتمد في الاجتماع التالي.
لماذا يهم: الفاحصون يطلبون محاضر الاجتماعات كدليل على أن اللجنة تعمل؛ بدون توثيق منتظم، لا يوجد دليل.
9. قواعد تضارب المصالح والتقييم الذاتي السنوي
اذكر أن الأعضاء يفصحون عن أي تضارب مصالح في بداية كل اجتماع، وأن اللجنة تجري تقييمًا ذاتيًا سنويًا لفعاليتها وترفع النتائج إلى مجلس الإدارة.
لماذا يهم: ساما تتوقع أن تكون اللجان فعالة ومستقلة؛ التقييم الذاتي يثبت أن اللجنة تراجع أداءها باستمرار.
صياغة قرار مجلس الإدارة الذي يلبي شرط الموافقة
إطار حوكمة تقنية المعلومات لساما يتطلب أن يوافق مجلس الإدارة رسميًا على ميثاق لجنة الأمن السيبراني. القرار يجب أن يُسجَّل في محضر اجتماع المجلس ويتضمن:
- الإشارة إلى الإطار التنظيمي: "استنادًا إلى متطلبات إطار حوكمة تقنية المعلومات الصادر عن البنك المركزي السعودي..."
- الموافقة الصريحة: "يوافق مجلس الإدارة على إنشاء لجنة الأمن السيبراني واعتماد ميثاقها المرفق."
- التفويض: "يفوض المجلس اللجنة بممارسة الصلاحيات المحددة في الميثاق."
- التكليف بالمراجعة الدورية: "تُراجع فعالية اللجنة وميثاقها سنويًا، أو عند أي تغيير جوهري في هيكل المؤسسة أو المتطلبات التنظيمية."
الفاحصون يطلبون نسخة من محضر الاجتماع الذي اعتُمد فيه الميثاق؛ إذا كان القرار مجرد "علم المجلس بالميثاق" أو "ناقش المجلس"، فهذا لا يكفي — يجب أن يكون قرارًا صريحًا بالموافقة.
الأخطاء الشائعة التي تؤخر الموافقة
الخلط بين لجنة الأمن السيبراني ولجنة التقنية
كثير من المؤسسات تدمج الأمن السيبراني ضمن لجنة تقنية المعلومات الأوسع. ساما تتوقع لجنة منفصلة أو على الأقل لجنة فرعية بميثاق خاص، لأن الأمن السيبراني يتطلب تركيزًا ورقابة مستقلة عن عمليات التقنية.
عدم تحديد من يملك حق التصويت
بعض المواثيق تذكر "يحضر الاجتماعات مسؤول أمن المعلومات ومدير التقنية ومدير المخاطر" دون أن توضح من هو عضو دائم بحق تصويت ومن هو مدعو بصفة استشارية. هذا يخلق غموضًا في اتخاذ القرار.
غياب آلية التصعيد الواضحة
بعض المواثيق تقول "ترفع اللجنة تقاريرها إلى مجلس الإدارة" دون أن تحدد متى وكيف. الفاحصون يريدون أن يروا حدودًا واضحة: ما الذي يُصعَّد فورًا، وما الذي يُدرج في التقرير الربع سنوي.
ميثاق غير محدَّث
بعض المؤسسات تعتمد ميثاقًا ثم تغير هيكل اللجنة أو تشكيلها دون تحديث الميثاق أو إعادة اعتماده من المجلس. الفاحصون يقارنون الميثاق بمحاضر الاجتماعات الفعلية؛ إذا وجدوا تناقضًا، يطلبون تصحيحًا.
كيف يساعد سيزو في تصميم ميثاق لجنة الأمن السيبراني
عندما تحتاج المؤسسة إلى إنشاء لجنة أمن سيبراني أو تحديث ميثاق موجود ليتوافق مع إطار حوكمة تقنية المعلومات لساما، نقدم خدمة حوكمة الأمن السيبراني والهيكل التنظيمي التي تصمم حوكمة الأمن السيبراني أو تعززها: الوظيفة وصلاحياتها، واللجان، والأدوار والمسؤوليات، وكيف تصل القرارات إلى مجلس الإدارة.
العملية تبدأ بمراجعة الهيكل الحالي والصلاحيات واللجان ورفع التقارير، ثم تحديد الفجوات بالمقارنة بالتوقعات التنظيمية والممارسات الجيدة، ثم تصميم الميثاق واللجان ومصفوفة المسؤوليات والأوصاف الوظيفية، وأخيرًا ترسيخ الهيكل الجديد بدعم الاعتماد وأول دورة للجنة والتسليم.
المخرجات تشمل وثيقة إطار الحوكمة، وميثاق وظيفة الأمن السيبراني، وميثاق اللجنة ونماذج جداول الأعمال، ومصفوفة المسؤوليات، والهيكل التنظيمي والأوصاف الوظيفية. الخدمة تغطي ميثاق وظيفة الأمن السيبراني وصلاحياتها، والشروط المرجعية للجان، ومصفوفة المسؤوليات بين الأعمال والتقنية والأمن، وخطوط رفع التقارير ومسارات التصعيد، ومراجعة الفصل بين المهام.
المدة المعتادة للمشروع من أربعة إلى ستة أسابيع، تبدأ من المراجعة وتنتهي بتسليم المواثيق والنماذج الجاهزة للاعتماد من مجلس الإدارة. نطبق متطلبات إطار الأمن السيبراني لساما وإطار حوكمة تقنية المعلومات لساما والضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني، لنضمن أن الهيكل يجتاز مراجعة الفاحصين من المرة الأولى.
الخلاصة: ميثاق واضح يجتاز المراجعة الأولى
ميثاق لجنة الأمن السيبراني ليس مجرد وثيقة شكلية — إنه الأساس القانوني الذي يحدد كيف تمارس المؤسسة الرقابة على الأمن السيبراني على أعلى مستوى. البنود التسعة في هذه القائمة — التفويض، التشكيل، النصاب، وتيرة الاجتماعات، المسؤوليات، حدود التصعيد، صلاحية القرار، خطوط الإبلاغ، وقواعد تضارب المصالح والتقييم الذاتي — هي ما يبحث عنه فاحصو ساما عند مراجعة هيكل الحوكمة.
إذا كنت تنشئ لجنة أمن سيبراني لأول مرة أو تراجع ميثاقًا موجودًا، استخدم هذه القائمة للتحقق من أن الميثاق يغطي جميع البنود الإلزامية، واحرص على أن يصدر قرار مجلس الإدارة بصياغة صريحة تثبت الموافقة والتفويض. هيكل حوكمة واضح وموثق بدقة يوفر عليك جولات المراجعة المتكررة ويبني ثقة الفاحصين في جدية المؤسسة.
