تواجه المؤسسات المالية الخاضعة لإشراف البنك المركزي السعودي (ساما) تحدياً متكرراً عند إعداد تحليل فجوات الامتثال إطار ساما المخاطر السيبرانية أدلة: الخلط بين توثيق السياسات وبين الأدلة التشغيلية على التنفيذ الفعلي. يتطلب المجال التاسع من إطار ساما للمرونة السيبرانية ومخاطر الاحتيال أدلة على تحديد التزامات الامتثال وتعيينها ومراقبتها والإبلاغ عنها، وليس فقط وجود سياسات معتمدة من مجلس الإدارة. ومع ذلك، تتعامل معظم تحليلات الفجوات الأولية مع السياسات المعتمدة وسجلات الامتثال العامة كدليل كافٍ، ما يؤدي إلى تأخير جمع الأدلة الفعلية لأربعة أشهر بعد انتهاء التحليل الأولي.
الفرق بين التوثيق والتنفيذ في المجال التاسع
يركز المجال التاسع من إطار ساما للمرونة السيبرانية ومخاطر الاحتيال على الامتثال والحوكمة، ويشمل ضوابط فرعية تتطلب من المؤسسة إثبات أنها تحدد التزاماتها التنظيمية، وتعيّن مسؤوليات واضحة لتنفيذها، وتراقب الامتثال بشكل دوري، وتُبلّغ مجلس الإدارة والإدارة العليا بحالة الامتثال.
عند مراجعة تحليلات الفجوات التي أُعدّت داخلياً أو بواسطة جهات أخرى، نلاحظ نمطاً متكرراً: تُصنّف الضوابط الفرعية للمجال التاسع على أنها "مُنفّذة جزئياً" أو "مُنفّذة" استناداً إلى:
- وجود سياسة امتثال معتمدة من مجلس الإدارة
- وجود سجل امتثال عام يسرد المتطلبات التنظيمية
- وجود محاضر اجتماعات تشير إلى مناقشة الامتثال
- وجود تقرير امتثال سنوي أو نصف سنوي
لكن عند طلب الأدلة التشغيلية الفعلية، تظهر الفجوة: لا توجد إقرارات موقّعة من أصحاب الضوابط، ولا سجلات تقييم ذاتي فصلية، ولا سجلات تتبع استثناءات موثّقة، ولا حزم تقارير دورية لمجلس الإدارة تُظهر حالة كل التزام.
الاثنا عشر مُصنّفاً من الأدلة المطلوبة فعلياً
يتوقع فاحصو البنك المركزي السعودي والمُقيّمون الخارجيون أدلة تشغيلية محددة لكل ضابط فرعي في المجال التاسع. من واقع تقييمات الامتثال التي ننفذها، تشمل الأدلة المقبولة:
أدلة التحديد والتعيين
سجل الالتزامات التنظيمية الذي يسرد كل متطلب من الأطر السارية (إطار ساما للمرونة السيبرانية، إطار الهيئة الوطنية للأمن السيبراني للضوابط الأساسية، نظام حماية البيانات الشخصية، معايير ISO 27001 إن كانت مطلوبة) مع تعيين واضح لكل التزام إلى:
- المالك المسؤول (بالاسم والمسمى الوظيفي)
- الضابط أو الإجراء المُنفّذ
- تاريخ التنفيذ المستهدف
- حالة التنفيذ الحالية
مصفوفة تعيين المسؤوليات التي تربط كل ضابط من ضوابط الإطار بمالك محدد، مع توقيعات أو إقرارات إلكترونية من هؤلاء المالكين تؤكد قبولهم المسؤولية.
وثائق تفويض الصلاحيات التي تُظهر أن المالكين المعيّنين يملكون الصلاحيات والموارد اللازمة لتنفيذ الضوابط.
أدلة المراقبة والتقييم
سجلات التقييم الذاتي الفصلية أو نصف السنوية، حيث يقيّم كل مالك ضابط حالة تنفيذ الضوابط المسندة إليه، مع توثيق:
- تاريخ التقييم
- النتائج (مُنفّذ بالكامل، جزئياً، غير مُنفّذ)
- الأدلة المرجعية
- الفجوات المحددة
- خطط المعالجة
تقارير المراجعة الداخلية التي تتضمن اختبار عينات من الضوابط والتحقق من وجود الأدلة التشغيلية.
سجلات الاستثناءات التي توثّق أي انحراف عن السياسات أو الضوابط، مع:
- وصف الاستثناء
- المبرر التجاري
- المخاطر المرتبطة
- الضوابط التعويضية
- الموافقات المطلوبة
- تاريخ المراجعة أو الانتهاء
سجلات الحوادث والانتهاكات المرتبطة بالامتثال، مع توثيق الإجراءات التصحيحية والوقائية.
أدلة الإبلاغ والحوكمة
حزم التقارير الدورية لمجلس الإدارة (ربع سنوية على الأقل) التي تتضمن:
- ملخص حالة الامتثال لكل إطار
- الفجوات الحرجة والمخاطر المرتبطة
- تقدم خطط المعالجة
- الاستثناءات الجديدة أو المتجددة
- التوصيات للإدارة العليا
محاضر اجتماعات مجلس الإدارة أو لجنة المخاطر التي تُظهر مناقشة تقارير الامتثال واتخاذ القرارات.
تقارير الامتثال المُقدّمة للجهات التنظيمية (البنك المركزي السعودي، الهيئة الوطنية للأمن السيبراني) في المواعيد المحددة، مع إثبات التقديم.
سجلات التدريب والتوعية التي تُظهر أن الموظفين المعنيين بالامتثال قد تلقوا التدريب المناسب على الأطر والمتطلبات.
سجلات التحديثات والمراجعات للسياسات والإجراءات، مع توثيق:
- تاريخ المراجعة
- التغييرات المُدخلة
- المبررات (تغيير تنظيمي، حادث، تحسين مستمر)
- الموافقات
الصيغ المقبولة لدى فاحصي البنك المركزي السعودي
من واقع مشاريع التقييم التي ننفذها، يقبل فاحصو البنك المركزي السعودي الأدلة بصيغ متعددة، بشرط أن تكون:
موثّقة ومؤرّخة: كل دليل يجب أن يحمل تاريخاً واضحاً ومعلومات عن المُعِد أو المسؤول.
قابلة للتتبع: يجب أن تكون الأدلة مرتبطة بوضوح بالضابط أو المتطلب المحدد، مع إمكانية تتبع السلسلة من السياسة إلى الإجراء إلى الدليل التشغيلي.
محدّثة: الأدلة القديمة (أكثر من سنة في معظم الحالات) لا تُثبت الامتثال المستمر.
شاملة: يجب أن تغطي الأدلة دورة كاملة (سنة على الأقل) لإثبات الاستمرارية.
تشمل الصيغ المقبولة:
- جداول بيانات Excel موقّعة أو محمية
- تقارير من أنظمة إدارة المخاطر أو الحوكمة (GRC)
- ملفات PDF موقّعة إلكترونياً
- لقطات شاشة من الأنظمة مع طوابع زمنية
- رسائل بريد إلكتروني رسمية (بشرط أن تكون من عناوين مؤسسية)
- محاضر اجتماعات موقّعة
لا يُشترط استخدام نظام GRC محدد، لكن وجود مستودع مركزي للأدلة يُسهّل عملية التقييم بشكل كبير.
لماذا يحدث التأخير الأربعة أشهر
يحدث التأخير النموذجي لأن معظم تحليلات الفجوات الأولية تتبع هذا التسلسل:
- الشهر الأول: مراجعة السياسات والوثائق الاستراتيجية
- الشهر الثاني: إجراء مقابلات مع المسؤولين وجمع الإجابات على الاستبيانات
- الشهر الثالث: إعداد تقرير الفجوات الأولي
- الشهر الرابع: مراجعة التقرير مع الإدارة واعتماده
ثم، بعد اعتماد التقرير، تبدأ المؤسسة في جمع الأدلة التشغيلية الفعلية، لتكتشف أن:
- معظم الأدلة غير موجودة أصلاً
- بعض الأدلة موجودة لكن غير موثّقة بالشكل المطلوب
- بعض الضوابط التي اعتُبرت "مُنفّذة" في التحليل الأولي غير مُنفّذة فعلياً
- يلزم إعادة تصنيف الفجوات وإعادة ترتيب الأولويات
هذا يضيف أربعة أشهر أخرى على الأقل لجمع الأدلة وإعادة تقييم الفجوات.
النهج الصحيح: الجمع بالتوازي
النهج الأكثر كفاءة هو جمع الأدلة التشغيلية بالتوازي مع مراجعة السياسات منذ البداية. يتضمن ذلك:
مرحلة النطاق
تحديد الأطر المشمولة (إطار ساما للمرونة السيبرانية، إطار الهيئة الوطنية للأمن السيبراني، نظام حماية البيانات الشخصية، وأي معايير أخرى سارية)، والجهات والأنظمة المعنية، ونوع الأدلة المطلوبة لكل ضابط.
مرحلة الجمع
إلى جانب الاستبيان والمقابلات، يُطلب من كل مالك ضابط تقديم الأدلة التشغيلية الفعلية:
- سجلات التنفيذ
- نتائج التقييمات السابقة
- تقارير المراقبة
- سجلات الاستثناءات
- حزم التقارير المُقدّمة للإدارة
إذا لم تكن الأدلة موجودة، يُسجّل ذلك فوراً كفجوة، مع تقدير الوقت والجهد اللازمين لإنشائها.
مرحلة التقييم
اختبار الضوابط لا يعتمد فقط على الإجابات، بل على فحص عينات من الأدلة الفعلية. يُقيّم النضج لكل مجال بناءً على:
- وجود السياسات والإجراءات
- وجود الأدلة التشغيلية
- اكتمال الأدلة وحداثتها
- انتظام المراقبة والإبلاغ
- فعالية الإجراءات التصحيحية
مرحلة التقرير
يتضمن تقرير التقييم ودرجات النضج، وسجل الفجوات مع الأدلة (أو غيابها)، وخارطة المعالجة التي تحدد أولويات بناء الأدلة الناقصة، وملخص لمجلس الإدارة والإدارة.
كيف يساعد تقييم الامتثال الشامل
تقدم سيزو للاستشارات تقييمات شاملة للفجوات والاستعداد وفق أطر البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني ونظام حماية البيانات ومعايير ISO 27001. يتبع التقييم عملية منهجية تشمل تحديد النطاق (الأطر والجهات والأنظمة المشمولة)، والجمع (الاستبيان والمقابلات والأدلة)، والتقييم (اختبار الضوابط وتقييم النضج)، والتقرير (الملاحظات وخارطة الطريق والعرض على الإدارة).
يتضمن التقييم تقييماً ضابطاً ضابطاً، واختبار الأدلة والعينات، وتقييم النضج لكل مجال، وربط النتائج بين الأطر، وخطة معالجة مرتبة الأولويات. تشمل المخرجات تقرير التقييم ودرجات النضج، وسجل الفجوات مع الأدلة، وخارطة المعالجة، وملخص لمجلس الإدارة والإدارة. تستغرق هذه التقييمات من أربعة إلى ثمانية أسابيع.
بعد التقييم، يمكن للمؤسسات التي تحتاج إلى دعم في تنفيذ خطة المعالجة الاستفادة من برنامج معالجة الالتزام التنظيمي، الذي يدير برنامج المعالجة بعد التقييم أو المراجعة التنظيمية: ترتيب الفجوات حسب الأولوية، وتنسيق المالكين، وتطبيق الضوابط، وبناء الأدلة التي تغلق كل ملاحظة.
الخلاصة
المجال التاسع من إطار ساما للمرونة السيبرانية ومخاطر الاحتيال لا يتطلب فقط سياسات امتثال معتمدة، بل يتطلب أدلة تشغيلية على أن المؤسسة تحدد التزاماتها، وتعيّن مسؤوليات واضحة، وتراقب الامتثال بشكل دوري، وتُبلّغ مجلس الإدارة بحالة الامتثال. الاثنا عشر مُصنّفاً من الأدلة الموضحة أعلاه ليست اختيارية، بل هي ما يتوقعه فاحصو البنك المركزي السعودي فعلياً.
جمع هذه الأدلة بالتوازي مع مراجعة السياسات، وليس بعدها، يوفّر أربعة أشهر من التأخير ويُنتج تحليل فجوات أكثر دقة وخارطة معالجة أكثر واقعية.
للمؤسسات المالية التي تستعد لتقييمات إطار ساما للمرونة السيبرانية ومخاطر الاحتيال، أو التي ترغب في مراجعة تحليلات الفجوات الحالية والتحقق من اكتمال الأدلة التشغيلية، تقدم سيزو للاستشارات تقييمات امتثال شاملة تجمع الأدلة الفعلية منذ اليوم الأول.
