يُعد تحليل أثر استمرارية الأعمال ساما RTO حجر الزاوية في برامج استمرارية الأعمال للمؤسسات الخاضعة لرقابة البنك المركزي السعودي (ساما). لكن خطأً منهجياً يتكرر في معظم التحليلات: قياس المدة اللازمة لاستعادة منصة تقنية بدلاً من المدة التي يمكن للعمل تحملها لانقطاع نشاط تجاري حرج. عندما يحدد مدير أمن المعلومات هدف وقت الاستعادة لنظام الخدمات المصرفية الأساسية بأربع ساعات لأن فريق البنية التحتية يستطيع تشغيل الموقع الاحتياطي في هذه المدة، فإنه يقيس قدرة تقنية وليس تحمل العمل. هذا النهج يُبطل الغرض من التحليل ويُرفض في مراجعات ساما.
لماذا ترفض ساما التحليلات المرتكزة على التكنولوجيا
يطلب إطار البنك المركزي السعودي لاستمرارية الأعمال من المؤسسات المالية تحديد الخدمات الحرجة وقياس الأثر المالي والتشغيلي والتنظيمي لانقطاعها عبر الوقت. الهدف هو فهم المدة التي يمكن للمؤسسة خلالها الاستمرار في العمل دون نشاط معين قبل أن يصبح الأثر غير مقبول. عندما يبدأ التحليل من الأنظمة التقنية بدلاً من الأنشطة التجارية، تظهر ثلاث مشكلات:
انعكاس المنطق: يُحدد هدف وقت الاستعادة بناءً على ما يمكن تحقيقه تقنياً، وليس على ما يحتاجه العمل. إذا كان فريق التقنية يستطيع استعادة محول الدفع في ساعتين، يُسجل الهدف ساعتين، بغض النظر عما إذا كان العمل يتحمل ست ساعات أو لا يتحمل سوى عشرين دقيقة.
إخفاء الفجوات الحقيقية: عندما تتطابق الأهداف مع القدرات الحالية، تختفي الفجوات. إذا كان العمل يحتاج إلى استعادة تفويض البطاقات خلال ثلاثين دقيقة لكن القدرة الحالية أربع ساعات، فإن تسجيل الهدف بأربع ساعات يُخفي الحاجة إلى استثمار في موقع احتياطي ساخن أو ترتيبات تبديل آلي.
عدم ربط الأثر بالعمل: لا يظهر التحليل كيف يؤثر توقف النظام على الإيرادات أو السيولة أو الالتزامات التنظيمية أو التزامات العملاء. يُصبح هدف وقت الاستعادة رقماً مجرداً لا يُمكن الدفاع عنه أمام المراجع أو استخدامه لتبرير الميزانية.
عندما يطلب مراجع ساما تفسير سبب تحديد هدف وقت الاستعادة لنظام التحويلات بست ساعات، والإجابة "لأن هذا ما يستغرقه التعافي من النسخ الاحتياطي"، يُرفض التحليل. السؤال الصحيح: كم من الوقت يمكن للمؤسسة تحمل عدم قدرتها على تنفيذ التحويلات الصادرة قبل أن تخسر إيرادات مادية، أو تخالف اتفاقيات مستوى الخدمة، أو تفشل في الوفاء بموعد نهائي تنظيمي؟
كيف يُبنى تحليل الأثر الصحيح: من النشاط إلى النظام
التحليل الصحيح يبدأ من الأعلى: الأنشطة التجارية الحرجة، ثم العمليات التي تُنفذها، ثم الأنظمة والبنية التحتية التي تدعمها. هذا الترتيب يضمن أن الأهداف تعكس احتياجات العمل الحقيقية.
الخطوة الأولى: تحديد الأنشطة التجارية الحرجة
الأنشطة التجارية هي ما تفعله المؤسسة لتحقيق الإيرادات أو الوفاء بالتزاماتها. أمثلة:
- صرف القروض الاستهلاكية
- تفويض معاملات البطاقات عند نقاط البيع
- تسوية معاملات التحويل عبر نظام سريع
- إصدار خطابات الضمان
- تحديث أسعار الصرف للمعاملات الفورية
لكل نشاط، يُطرح السؤال: ما الأثر إذا توقف هذا النشاط لساعة، لأربع ساعات، ليوم، لثلاثة أيام؟ الأثر يُقاس في أربعة أبعاد:
المالي: خسارة الإيرادات المباشرة، أو تكلفة الحلول البديلة، أو الغرامات التعاقدية.
التشغيلي: تراكم المعاملات، وعدم القدرة على إكمال عمليات أخرى تعتمد على هذا النشاط.
التنظيمي: مخالفة متطلبات ساما للإبلاغ في الوقت المحدد، أو الفشل في الوفاء بمواعيد التسوية، أو عدم القدرة على تنفيذ تعليمات الجهات الرقابية.
السمعة والعملاء: انتهاك اتفاقيات مستوى الخدمة، وشكاوى العملاء، والأثر على الثقة.
الخطوة الثانية: رسم خريطة العمليات والاعتماديات
كل نشاط تجاري يتكون من عمليات. صرف القرض الاستهلاكي مثلاً يتطلب:
- التحقق من الموافقة النهائية في نظام إدارة القروض
- التحقق من حد الائتمان المتاح في نظام إدارة المخاطر
- إنشاء أمر الدفع في نظام الخدمات المصرفية الأساسية
- إرسال التحويل عبر بوابة سريع
- تحديث حساب العميل وسجل القرض
- إرسال إشعار للعميل عبر قنوات الاتصال
كل عملية تعتمد على موارد: أنظمة تطبيقات، وقواعد بيانات، وبنية تحتية، وأفراد، وموردين خارجيين. رسم الخريطة يكشف الاعتماديات الحرجة والنقاط الوحيدة للفشل. إذا كانت بوابة سريع غير متاحة، يتوقف صرف القروض بالكامل. إذا كان نظام إدارة القروض متوقفاً لكن نظام الخدمات المصرفية الأساسية يعمل، يمكن الصرف يدوياً من خلال إدخال الأوامر مباشرة، لكن بطاقة محدودة.
الخطوة الثالثة: تحديد الحد الأقصى لانقطاع النشاط المقبول
بناءً على الأثر المُقاس، يُحدد الحد الأقصى للمدة التي يمكن للمؤسسة تحملها لانقطاع النشاط قبل أن يصبح الأثر غير مقبول. هذا هو هدف وقت الاستعادة الحقيقي. أمثلة:
- تفويض معاملات البطاقات: ثلاثون دقيقة (بعدها تبدأ الشكاوى الجماعية وتُرفض المعاملات عند التجار الكبار)
- صرف القروض: أربع ساعات (بعدها تُخالف اتفاقيات مستوى الخدمة مع العملاء وتتراكم الطلبات)
- تسوية معاملات سريع: ساعتان (بعدها تُفوت نافذة التسوية التنظيمية)
- تحديث أسعار الصرف: يوم واحد (يمكن استخدام الأسعار السابقة مع هامش أوسع)
هذه الأهداف مستقلة عن القدرات التقنية الحالية. إذا كان هدف وقت الاستعادة لتفويض البطاقات ثلاثين دقيقة لكن القدرة الحالية أربع ساعات، تُسجل الفجوة وتُعالج في استراتيجية التعافي.
الخطوة الرابعة: ترجمة أهداف الأنشطة إلى أهداف الأنظمة
بعد تحديد أهداف وقت الاستعادة للأنشطة التجارية، تُترجم إلى أهداف للأنظمة والبنية التحتية التي تدعمها. إذا كان تفويض البطاقات يحتاج إلى ثلاثين دقيقة، فإن محول الدفع ونظام إدارة البطاقات وقاعدة البيانات المركزية يجب أن تُستعاد جميعها خلال ثلاثين دقيقة. إذا كان نظام واحد يدعم أنشطة متعددة بأهداف مختلفة، يُطبق الهدف الأكثر صرامة.
هذا الترتيب يضمن أن الاستثمار في التعافي يُوجه إلى الأنظمة التي تدعم الأنشطة الأكثر حرجاً، وليس إلى الأنظمة الأكبر أو الأحدث.
الأخطاء الشائعة وكيفية تجنبها
الخطأ الأول: البدء من جرد الأنظمة
كثير من المؤسسات تبدأ بقائمة الأنظمة التقنية وتطلب من أصحاب الأنظمة تقييم الأثر. النتيجة: كل نظام يُصنف "حرج" لأن المالك يريد الميزانية والأولوية. الحل: ابدأوا من الأنشطة التجارية واربطوها بالأنظمة، وليس العكس.
الخطأ الثاني: استخدام فئات الأثر الغامضة
تصنيفات مثل "أثر عالٍ" أو "أثر متوسط" دون تعريف كمي لا تُنتج أهداف استعادة قابلة للاستخدام. الحل: حددوا الأثر بالريال أو عدد المعاملات أو عدد العملاء المتأثرين أو الموعد التنظيمي المُفوت.
الخطأ الثالث: تجاهل الاعتماديات الخارجية
التحليل الذي يفترض أن جميع الموردين والبنية التحتية الخارجية متاحة دائماً يُنتج أهداف استعادة غير واقعية. الحل: ضعوا سيناريوهات تشمل توقف مزود الخدمة السحابية أو انقطاع الاتصال بشبكة سريع.
الخطأ الرابع: عدم مراجعة التحليل بانتظام
الأنشطة التجارية والاعتماديات التقنية تتغير. تحليل الأثر الذي أُجري قبل ثلاث سنوات قبل إطلاق الخدمات المصرفية الرقمية لا يعكس الواقع الحالي. الحل: راجعوا التحليل سنوياً أو عند إطلاق خدمات جديدة أو تغييرات تقنية كبيرة.
كيف يُستخدم التحليل الصحيح لبناء استراتيجية التعافي
عندما يكون تحليل الأثر مبنياً على الأنشطة التجارية، يُصبح أساساً لقرارات الاستثمار. إذا كان هدف وقت الاستعادة لتفويض البطاقات ثلاثين دقيقة والقدرة الحالية أربع ساعات، تُقيّم الخيارات:
- موقع احتياطي ساخن مع تبديل آلي: يُحقق الهدف لكن بتكلفة عالية
- موقع احتياطي دافئ مع تبديل يدوي خلال ساعة: لا يُحقق الهدف لكن يُحسّن الوضع الحالي
- ترتيب تبديل مع مزود خدمة بديل: يُحقق الهدف بتكلفة أقل لكن بتعقيد تشغيلي
القرار يُتخذ بناءً على مقارنة تكلفة كل خيار بالأثر المالي والتنظيمي لعدم تحقيق الهدف. هذا النهج يُنتج استراتيجية تعافٍ قابلة للدفاع أمام الإدارة العليا والمراجعين.
بناء برنامج استمرارية متكامل
تحليل الأثر الصحيح هو نقطة البداية، وليس النهاية. يُتبع بتطوير استراتيجيات التعافي، وكتابة خطط الاستمرارية والتعافي التقني، واختبارها من خلال تمارين منتظمة. التحليل يُحدد ما يجب حمايته ومتى، والاستراتيجية تُحدد كيف، والخطط تُحدد من يفعل ماذا، والتمارين تُثبت أن الخطط تعمل.
يشمل بناء قدرة استمرارية الأعمال والمرونة السيبرانية واختبارها وفق إطار البنك المركزي لاستمرارية الأعمال ومتطلبات المرونة السيبرانية أربع مراحل: التحليل للخدمات الحرجة والاعتماديات والأثر عبر الوقت، والاستراتيجية لخيارات تعافٍ تناسب الأهداف والميزانية، والتخطيط لخطط الاستمرارية والتعافي التقني والسيبراني، والتمرين من خلال تمارين نظرية واختبارات تقنية والدروس والإصلاحات.
تشمل المخرجات تقرير تحليل الأثر على الأعمال، وسياسة وإطار إدارة الاستمرارية، وخطط الاستمرارية والتعافي من الكوارث، وأدلة التعافي السيبراني، وتقارير التمارين وخطة التحسين. تتراوح مدة المشروع من ثمانية إلى اثني عشر أسبوعاً.
الخلاصة: من التقنية إلى العمل
تحليل الأثر الذي يبدأ من الأنظمة التقنية ويقيس قدرات الاستعادة الحالية لا يُنتج أهداف وقت استعادة صحيحة، ولا يجتاز مراجعة ساما، ولا يُوجه الاستثمار إلى الأولويات الحقيقية. التحليل الصحيح يبدأ من الأنشطة التجارية، ويقيس الأثر المالي والتشغيلي والتنظيمي لانقطاعها، ويُحدد الحد الأقصى للانقطاع المقبول بناءً على احتياجات العمل، ثم يُترجم هذه الأهداف إلى متطلبات للأنظمة والبنية التحتية.
عندما تُبنى أهداف وقت الاستعادة على فهم واضح لما يمكن للعمل تحمله، تُصبح قابلة للدفاع أمام المراجعين، وقابلة للاستخدام لتبرير الميزانية، وقابلة للتطبيق لتوجيه قرارات الاستثمار في التعافي. هذا هو الفرق بين تحليل أثر يُرضي المتطلبات الشكلية وتحليل يُنتج برنامج استمرارية فعلي يحمي المؤسسة ويُرضي الجهة الرقابية.
إذا كنتم تبنون أو تُحدّثون برنامج استمرارية الأعمال وتحتاجون إلى تحليل أثر يبدأ من الأنشطة التجارية ويُنتج أهداف استعادة قابلة للدفاع، أو تطوير استراتيجيات تعافٍ تُحقق هذه الأهداف ضمن الميزانية، أو بناء خطط استمرارية وتعافٍ تقني وسيبراني واختبارها من خلال تمارين عملية، فإن خدمة استمرارية الأعمال والمرونة السيبرانية تُقدم نهجاً منهجياً يبدأ من فهم عملكم وينتهي بقدرة مُثبتة على التعافي.
