في المراحل المبكرة من نمو المؤسسة المالية، يبدو توزيع الإشراف على المخاطر عبر رؤساء الأقسام منطقيًا. المدير المالي يشرف على المخاطر المالية، ومدير التقنية يتابع مخاطر الأمن السيبراني، ومدير العمليات يدير المخاطر التشغيلية. تُجمع التقارير في اجتماعات فصلية، وتُحدّث جداول المخاطر، ويبدو النموذج فعالًا من حيث التكلفة. لكن هذا النموذج يعمل فقط حتى تتجاوز التعقيدات التنظيمية والتنظيمية عتبة معينة لا تستطيع الجداول والاجتماعات الفصلية إدارتها بفعالية.
السؤال الذي يواجه الرؤساء التنفيذيين وأعضاء مجالس الإدارة في المؤسسات الخاضعة لإشراف البنك المركزي السعودي (ساما) ليس ما إذا كانت الملكية الموزعة للمخاطر خاطئة من حيث المبدأ، بل متى تعيين مسؤول رئيسي للمخاطر ساما يصبح ضرورة تنظيمية وتشغيلية بدلاً من خيار استراتيجي. الإجابة تكمن في خمس إشارات تنظيمية واضحة تظهر عادة قبل أن تتحول الفجوات في الحوكمة إلى ملاحظات تنظيمية رسمية أو إخفاقات تشغيلية.
الإشارة الأولى: تضارب سجلات المخاطر بين الأقسام
عندما تطلب الإدارة العليا أو مجلس الإدارة سجل المخاطر الموحد، تظهر ثلاثة أو أربعة سجلات مختلفة. قسم التقنية يحتفظ بسجل مخاطر الأمن السيبراني بمنهجية معينة، والعمليات تستخدم تصنيفًا مختلفًا للمخاطر التشغيلية، والامتثال يتتبع المخاطر التنظيمية بأداة منفصلة، والمالية لديها نموذجها الخاص لمخاطر الائتمان والسوق.
التضارب ليس فقط في الأدوات أو القوالب. المشكلة الحقيقية تكمن في اختلاف منهجيات تقييم المخاطر نفسها. ما يُصنّف كمخاطر عالية في قسم قد يكون متوسطًا في قسم آخر، لأن كل قسم يستخدم معايير تقييم مختلفة للاحتمالية والأثر. عندما يحاول أحد المساعدين دمج هذه السجلات في تقرير واحد لمجلس الإدارة، تظهر تناقضات لا يمكن حلها بدون إعادة تقييم شاملة.
هذا التضارب يعني أن المؤسسة لا تملك صورة موحدة لمشهد المخاطر الحقيقي. لا يستطيع مجلس الإدارة اتخاذ قرارات مستنيرة حول تقبّل المخاطر أو تخصيص الموارد عندما تكون البيانات الأساسية غير متسقة. وعندما يطلب ساما تقريرًا عن المخاطر الرئيسية، يستغرق إعداده أسابيع من التنسيق اليدوي بدلاً من ساعات من استخراج البيانات.
الإشارة الثانية: ملاحظات تنظيمية تشمل وظائف متعددة
تصل ملاحظة من ساما بعد فحص تنظيمي أو مراجعة امتثال. المحتوى يشير إلى فجوة في إدارة المخاطر تمتد عبر عدة وظائف: ضوابط الأمن السيبراني غير مرتبطة بشكل واضح بسياسات حماية البيانات، وإجراءات استمرارية الأعمال لا تعكس بشكل كافٍ المخاطر التشغيلية المحددة في التقييمات، وتقارير الامتثال لا تغطي جميع المتطلبات التنظيمية ذات الصلة بالمخاطر السيبرانية.
المشكلة ليست في أي قسم بمفرده. كل قسم ينفذ مسؤولياته بشكل معقول ضمن نطاقه. لكن الفجوة تكمن في التنسيق والربط بين الوظائف. لا يوجد شخص واحد مسؤول عن ضمان أن ضوابط الأمن السيبراني تتماشى مع متطلبات حماية البيانات الشخصية التي تفرضها الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية، وأن كلاهما ينعكس في سجل المخاطر المؤسسي، وأن تقارير الامتثال تغطي جميع هذه الطبقات.
عندما تتطلب الملاحظة التنظيمية ردًا يشمل التقنية والعمليات والامتثال والمالية، يصبح واضحًا أن البنية الحالية لا تدعم النظرة الشاملة التي يتوقعها المنظم. الرد على الملاحظة يستغرق وقتًا طويلاً لأنه يتطلب تنسيقًا بين عدة مديرين تنفيذيين، كل منهم لديه أولويات وجداول زمنية مختلفة.
الإشارة الثالثة: أسئلة مجلس إدارة لا يستطيع أي تنفيذي واحد الإجابة عليها
في اجتماع مجلس الإدارة، يطرح أحد الأعضاء سؤالًا مباشرًا: "ما هي أكبر ثلاثة مخاطر تواجه المؤسسة حاليًا، وما الذي نفعله حيالها؟" أو "كيف نعرف أن ضوابطنا تعمل بفعالية؟" أو "هل نحن ملتزمون بجميع متطلبات ساما ذات الصلة بالأمن السيبراني؟"
لا يستطيع أي مدير تنفيذي واحد الإجابة بشكل كامل. المدير المالي يتحدث عن المخاطر المالية، ومدير التقنية يضيف المخاطر السيبرانية، ومدير الامتثال يذكر المخاطر التنظيمية. لكن لا أحد يقدم إجابة موحدة تعكس الأولويات المؤسسية الشاملة. لا أحد يستطيع أن يقول بثقة أن المؤسسة تعمل ضمن مستوى تقبّل المخاطر المعتمد من مجلس الإدارة، لأنه لا يوجد شخص واحد يتتبع جميع المخاطر مقابل هذا المستوى.
هذا الوضع يضع مجلس الإدارة في موقف صعب. المجلس مسؤول عن الإشراف على المخاطر وفقًا لمتطلبات ساما بشأن حوكمة الشركات، لكنه لا يحصل على المعلومات بالشكل الذي يمكّنه من ممارسة هذا الإشراف بفعالية. الأسئلة تتكرر في كل اجتماع، والإجابات تظل مجزأة.
الإشارة الرابعة: ملاحظات مراجعة داخلية أو خارجية تشير لفجوات التنسيق
تقرير المراجعة الداخلية أو مراجعة خارجية يتضمن ملاحظات متكررة حول "عدم وضوح المسؤوليات" أو "فجوات في التنسيق بين الوظائف" أو "عدم وجود نظرة شاملة للمخاطر". المراجعون لا يقولون إن الضوابط غير موجودة، بل يشيرون إلى أن الملكية غير واضحة وأن التنسيق بين الضوابط المختلفة ضعيف.
على سبيل المثال، قد تجد المراجعة أن ضوابط الوصول إلى البيانات موجودة في التقنية، وسياسات تصنيف البيانات موجودة في الامتثال، وإجراءات التعامل مع البيانات موجودة في العمليات، لكن لا يوجد شخص واحد مسؤول عن ضمان أن هذه الضوابط والسياسات والإجراءات تعمل معًا كنظام متكامل لحماية البيانات وفقًا لمتطلبات نظام حماية البيانات الشخصية.
الملاحظة الأخرى الشائعة تتعلق بـ مصفوفة المسؤوليات. عندما يطلب المراجعون مصفوفة توضح من المسؤول عن كل ضابط، تظهر مصفوفات متعددة غير متسقة، أو مصفوفة واحدة قديمة لا تعكس الواقع الحالي. لا يوجد مالك واحد لهذه المصفوفة يحدّثها ويضمن دقتها.
الإشارة الخامسة: متطلبات دمج الشركات أو التوسع الجغرافي
تستحوذ المؤسسة على شركة أخرى، أو تفتح فرعًا جديدًا، أو تطلق خط عمل جديد. فجأة، تحتاج إلى دمج أطر مخاطر مختلفة، أو تطبيق ضوابط موحدة عبر كيانات متعددة، أو ضمان الامتثال لمتطلبات تنظيمية إضافية.
الملكية الموزعة للمخاطر تجعل هذا الدمج معقدًا للغاية. كل قسم في المؤسسة الأم يحاول دمج القسم المقابل في الكيان الجديد، لكن لا يوجد تنسيق شامل. النتيجة: تأخيرات كبيرة في الدمج، وازدواجية في الجهود، وفجوات في التغطية حيث يفترض كل قسم أن قسمًا آخر يتعامل مع مخاطر معينة.
التوسع الجغرافي يطرح تحديات مماثلة. عندما تفتح المؤسسة فرعًا في منطقة جديدة، تحتاج إلى ضمان أن جميع الضوابط والسياسات تُطبّق بشكل متسق، وأن المخاطر المحلية تُحدّد وتُدار، وأن التقارير تُدمج في النظرة المؤسسية الشاملة. بدون وظيفة مركزية للحوكمة والمخاطر والامتثال، يصبح هذا التنسيق عبئًا إداريًا كبيرًا.
ما الذي يتغير عند إنشاء وظيفة حوكمة ومخاطر وامتثال مستقلة
عندما تقرر المؤسسة إنشاء وظيفة مستقلة للحوكمة والمخاطر والامتثال بقيادة مسؤول رئيسي للمخاطر أو ما يعادله، تتغير عدة أمور جوهرية:
أولًا: تصبح هناك ملكية واضحة وموحدة لإطار المخاطر المؤسسي. شخص واحد مسؤول أمام الرئيس التنفيذي ومجلس الإدارة عن النظرة الشاملة للمخاطر، وعن ضمان أن جميع المخاطر تُحدّد وتُقيّم وتُدار بمنهجية متسقة.
ثانيًا: تُبنى منهجية موحدة لتقييم المخاطر مرتبطة بمستوى تقبّل المخاطر المعتمد من مجلس الإدارة. جميع الأقسام تستخدم نفس المعايير لتصنيف الاحتمالية والأثر، ونفس العتبات لتحديد متى تتطلب المخاطر تصعيدًا أو معالجة فورية.
ثالثًا: تُربط الضوابط عبر الوظائف المختلفة. بدلاً من مجموعات ضوابط منفصلة لكل إطار تنظيمي، تُبنى مجموعة ضوابط واحدة تُربط بمتطلبات متعددة في وقت واحد: متطقبات ساما، ومتطلبات الهيئة الوطنية للأمن السيبراني، ونظام حماية البيانات الشخصية، ومعايير مثل ISO 27001 إن كانت المؤسسة تطبقها.
رابعًا: تصبح التقارير إلى مجلس الإدارة واضحة ومتسقة. بدلاً من تقارير متعددة من أقسام مختلفة، يحصل المجلس على تقرير موحد يوضح المخاطر الرئيسية، والتغيرات في مشهد المخاطر، وفعالية الضوابط، ومستوى الامتثال، كل ذلك في سياق مستوى تقبّل المخاطر المعتمد.
خامسًا: تصبح الاستجابة للمتطلبات التنظيمية أسرع وأكثر شمولية. عندما يطلب ساما تقريرًا أو يصدر متطلبات جديدة، يوجد شخص واحد مسؤول عن تنسيق الاستجابة عبر جميع الوظائف ذات الصلة، وضمان أن الرد يعكس النظرة المؤسسية الشاملة.
كيف يُبنى برنامج حوكمة ومخاطر وامتثال فعّال
بناء برنامج حوكمة ومخاطر وامتثال ليس مجرد تعيين مسؤول جديد أو إنشاء قسم جديد. يتطلب الأمر بناء هيكل حوكمة واضح، ومنهجية مخاطر متسقة، وإطار ضوابط موحّد، ومجموعة سياسات شاملة، ونظام مراقبة مستمر.
يبدأ العمل بتحديد هيكل الحوكمة: من يملك ماذا، ومن يشرف على من، وكيف تتدفق المعلومات من مشغّلي الضوابط حتى مجلس الإدارة. يشمل ذلك ميثاق الحوكمة الذي يحدد الأدوار والمسؤوليات على مستوى المؤسسة، واختصاصات اللجان التي توضح دور كل لجنة في الإشراف على المخاطر والامتثال، ومصفوفة المسؤوليات التي تحدد بدقة من المسؤول عن كل ضابط وكل سياسة.
بعد ذلك تُبنى منهجية المخاطر. تحدد المنهجية كيف تُحدّد المخاطر، وكيف تُقيّم، وكيف تُعالج، وكيف تُراقب. تُربط المنهجية بمستوى تقبّل المخاطر المعتمد من مجلس الإدارة، بحيث يكون واضحًا متى تكون المخاطر ضمن المستوى المقبول ومتى تتطلب معالجة أو تصعيدًا. يُبنى سجل المخاطر وفقًا لهذه المنهجية، ويشمل جميع أنواع المخاطر عبر المؤسسة.
الخطوة التالية هي بناء إطار الضوابط الموحّد. بدلاً من مجموعات ضوابط منفصلة لكل متطلب تنظيمي، يُبنى إطار واحد يُربط بجميع المتطلبات ذات الصلة. كل ضابط يُربط بالمتطلبات التنظيمية التي يلبيها، وبالمخاطر التي يخفّفها، وبالسياسات التي تحكمه. هذا الربط يجعل من السهل إثبات الامتثال، ويقلل الازدواجية، ويوضح الفجوات.
تُبنى مجموعة السياسات والمعايير لتغطي جميع المجالات المطلوبة: أمن المعلومات، وحماية البيانات، واستمرارية الأعمال، وإدارة التغيير، وإدارة الموردين، وغيرها. كل سياسة تُربط بالضوابط التي تنفّذها وبالمتطلبات التنظيمية التي تلبيها.
أخيرًا، يُصمّم نظام مراقبة الامتثال المستمر. بدلاً من الاستعجال في مواسم التقييم أو الفحوصات التنظيمية، تُجمع الأدلة بشكل مستمر. تُبنى لوحة مؤشرات الأداء التي توضح للقيادة كيف تتغير المخاطر، وما إذا كانت الضوابط تعمل بفعالية، وأين توجد فجوات في الامتثال.
هذا البناء يستغرق عادة من ثمانية إلى ستة عشر أسبوعًا، حسب حجم المؤسسة وتعقيدها. بعد ذلك، يمكن توفير دعم مستمر اختياري لمساعدة الفرق الداخلية على تشغيل البرنامج والحفاظ عليه.
الانتقال من الملكية الموزعة إلى الحوكمة المركزية
القرار بإنشاء وظيفة حوكمة ومخاطر وامتثال مستقلة ليس انتقادًا للنموذج السابق. الملكية الموزعة تعمل بشكل جيد في مراحل معينة من نمو المؤسسة. لكن عندما تظهر الإشارات الخمس الموضحة أعلاه، يصبح واضحًا أن التعقيد قد تجاوز قدرة هذا النموذج.
الانتقال يتطلب تخطيطًا دقيقًا. لا يعني إنشاء وظيفة مركزية أن رؤساء الأقسام يفقدون مسؤوليتهم عن المخاطر في مجالاتهم. بل يعني أن هناك الآن طبقة تنسيق تضمن أن جميع هذه الجهود تعمل معًا كنظام متكامل، وأن هناك شخصًا واحدًا يملك النظرة الشاملة ويستطيع الإجابة على أسئلة مجلس الإدارة والجهات التنظيمية بثقة.
المؤسسات التي تؤجل هذا الانتقال تجد نفسها في موقف صعب: تزداد الملاحظات التنظيمية، وتتكرر أسئلة مجلس الإدارة دون إجابات مرضية، وتستغرق عمليات الدمج أو التوسع وقتًا أطول وتكلفة أعلى، وتظهر فجوات في الحوكمة لا تُكتشف إلا بعد حدوث مشكلة.
الخطوة التالية
إذا كانت مؤسستكم تواجه واحدة أو أكثر من الإشارات الخمس الموضحة في هذا المقال، فقد يكون الوقت مناسبًا لمراجعة هيكل الحوكمة الحالي وتقييم ما إذا كان يدعم المتطلبات التنظيمية والتشغيلية الحالية.
سيزو للاستشارات تقدم خدمات الحوكمة والمخاطر والامتثال لبناء هياكل حوكمة وإدارة مخاطر وبرامج امتثال متوافقة مع الأطر السعودية والدولية. العمل يشمل بناء ميثاق الحوكمة واختصاصات اللجان ومصفوفة المسؤوليات، وتطوير منهجية مخاطر الأمن السيبراني وسجل المخاطر، وبناء إطار ضوابط موحّد مع ربط بين الأطر، وإعداد مجموعة السياسات والمعايير، وتصميم مراقبة الامتثال ولوحة مؤشرات الأداء.
البرنامج يُصمّم بحيث تكون الملكية واضحة من مجلس الإدارة حتى مشغّلي الضوابط، وتكون منهجية المخاطر مرتبطة بمستوى تقبّل المخاطر لديكم، وتكون مجموعة الضوابط واحدة مربوطة بمتطلبات ساما والهيئة ونظام حماية البيانات وISO 27001، وتُجمع الأدلة بشكل مستمر بدلاً من الاستعجال في مواسم التقييم، وتوضح المؤشرات للقيادة كيف تتغير المخاطر.
المدة من ثمانية إلى ستة عشر أسبوعًا، ثم دعم مستمر اختياري. نعمل على أداة الحوكمة التي تستخدمها المؤسسة حاليًا، حيث نصمم البرنامج أولًا ثم نهيئه على منصتكم الحالية، أو نوصي بمنصة مناسبة إن لم تكن لديكم واحدة.
