لماذا فصل بنكان في الرياض لجنة المخاطر عن لجنة الأمن السيبراني (ومتى يجب عليك ذلك)
يجمع معظم البنوك والمؤسسات المالية في المملكة الإشراف على الأمن السيبراني مع مخاطر المؤسسة تحت لجنة واحدة في مجلس الإدارة. هذا الترتيب يبدو منطقيًا على الورق: الأمن السيبراني هو مخاطرة تشغيلية، ودمج الإشراف يقلل عدد الاجتماعات ويحافظ على كفاءة المجلس. لكن في السنوات الأخيرة، راجع بنكان في الرياض هيكل لجنة الأمن السيبراني ساما وقررا فصل الإشراف السيبراني عن لجنة المخاطر التقليدية، بعد أن وجدا أن الدمج أضعف كلا الأجندتين وأبطأ تصعيد الحوادث إلى المستوى المناسب.
لم يكن القرار تنظيميًا بحتًا. البنك المركزي السعودي (ساما) يتطلب من المؤسسات المالية إنشاء حوكمة فعالة للأمن السيبراني، لكنه لا يفرض هيكلًا واحدًا للجان. القرار نبع من ملاحظات عملية: أجندة الأمن السيبراني كانت تُضغط في نهاية اجتماعات لجنة المخاطر، والأعضاء ذوو الخلفية المالية كانوا يكافحون لطرح الأسئلة الصحيحة حول التهديدات التقنية، وتصعيد الحوادث كان يمر بطبقات إضافية قبل أن يصل إلى المجلس الكامل.
نستعرض في هذا المقال المحفزات الثلاثة التي تبرر فصل اللجان، وبنود الميثاق التي تغيرت، وتعديلات خطوط الإبلاغ التي حافظت على كفاءة المجلس دون إضافة عبء إداري.
المحفزات الثلاثة التي تبرر لجنة منفصلة
الحوادث التي تحتاج تصعيدًا فوريًا لا تحتمل دورة اجتماعات ربع سنوية
لجنة المخاطر التقليدية تجتمع عادة كل ربع سنة، وأحيانًا كل شهرين. هذا الإيقاع مناسب لمراجعة مخاطر الائتمان والسوق والسيولة، لكنه بطيء جدًا للأمن السيبراني. في أحد البنكين، اكتُشفت محاولة اختراق موجهة ضد أنظمة التحويلات الخارجية في منتصف الربع. فريق الأمن السيبراني احتوى الحادث، لكن التصعيد الرسمي إلى لجنة المخاطر انتظر ستة أسابيع حتى الاجتماع التالي. عندما وصل الموضوع إلى جدول الأعمال، كان قد فقد السياق العملي، وتحول النقاش إلى مراجعة تقرير بدلًا من اتخاذ قرارات استراتيجية.
بعد الفصل، أصبحت لجنة الأمن السيبراني تجتمع شهريًا، مع بروتوكول واضح لعقد اجتماع طارئ خلال 48 ساعة في حال حدوث حادث جسيم. هذا الترتيب سمح للمجلس بالإشراف الفعلي على الاستجابة، وليس فقط الاطلاع على ما حدث بعد انتهائه.
الأعضاء ذوو الخلفية المالية يحتاجون وقتًا أطول لفهم المخاطر التقنية
في اجتماعات لجنة المخاطر المشتركة، كان مدير الأمن السيبراني يعرض تقريرًا عن الثغرات المكتشفة أو التهديدات الناشئة، لكن الأعضاء — معظمهم من خلفيات مصرفية ومالية — كانوا يكافحون لطرح الأسئلة الصحيحة. السؤال الأكثر تكرارًا كان: "هل هذا يعني أننا في خطر؟" دون القدرة على التعمق في طبيعة التهديد أو كفاية الضوابط.
عندما فُصلت اللجنة، أُعيد تشكيل العضوية لتشمل عضوًا واحدًا على الأقل من خلفية تقنية أو سيبرانية، إلى جانب أعضاء من خلفيات قانونية وتنظيمية. هذا التنوع سمح بنقاشات أعمق: الأسئلة تحولت من "هل نحن في خطر؟" إلى "ما هي الفجوات في ضوابط الكشف؟" و"كيف نقيس فعالية الاستجابة؟"
الأجندة المزدحمة تدفع الموضوعات السيبرانية إلى نهاية الاجتماع
في لجنة المخاطر المشتركة، كانت الأجندة تبدأ بمخاطر الائتمان والسوق والسيولة — الموضوعات التي يعرفها الأعضاء جيدًا ويناقشونها بتفصيل. بحلول الوقت الذي يصل فيه الدور إلى الأمن السيبراني، يكون الوقت قد ضاق والطاقة قد نفدت. في أحد الاجتماعات، خُصص 15 دقيقة لمراجعة نتائج اختبار اختراق خارجي كشف عن ثغرات حرجة، بينما استغرقت مناقشة محفظة قروض الشركات 90 دقيقة.
بعد الفصل، أصبح للأمن السيبراني أجندة كاملة خاصة به، مع وقت كافٍ لمراجعة التهديدات، ونتائج الاختبارات، وخطط الاستجابة للحوادث، وتقدم مشاريع التحديث التقني.
بنود الميثاق التي تغيرت
عندما قرر البنكان فصل اللجان، لم يكن الهدف إضافة طبقة بيروقراطية جديدة، بل إعادة توزيع المسؤوليات بوضوح. التغييرات الرئيسية في مواثيق اللجان شملت:
نقل الإشراف على الضوابط التقنية من لجنة المخاطر إلى لجنة الأمن السيبراني
أصبحت لجنة الأمن السيبراني مسؤولة عن الإشراف على:
- إطار الأمن السيبراني والسياسات المرتبطة به
- نتائج تقييمات المخاطر السيبرانية وخطط المعالجة
- اختبارات الاختراق وتمارين الاستجابة للحوادث
- برامج التوعية والتدريب السيبراني
- الامتثال لمتطلبات ساما في الأمن السيبراني
بقيت لجنة المخاطر مسؤولة عن الإشراف على:
- إطار إدارة المخاطر المؤسسية الشامل
- مستوى تقبل المخاطر ومؤشرات الأداء الرئيسية
- مخاطر الائتمان والسوق والسيولة والتشغيل (باستثناء الأمن السيبراني)
- تقارير المخاطر الموحدة إلى المجلس
تحديد بروتوكول التصعيد للحوادث الجسيمة
أضيف بند واضح في ميثاق لجنة الأمن السيبراني يحدد متى يجب التصعيد الفوري:
- أي حادث يؤثر على توفر الخدمات المصرفية الأساسية لأكثر من ساعتين
- أي اختراق مؤكد لبيانات العملاء
- أي طلب فدية أو تهديد بنشر بيانات
- أي حادث يتطلب إبلاغ ساما خلال ساعة
في هذه الحالات، يُبلغ رئيس لجنة الأمن السيبراني فورًا، ويُعقد اجتماع طارئ خلال 48 ساعة، ويُرفع تقرير مختصر إلى المجلس الكامل خلال 72 ساعة.
تحديد التقاطعات بين اللجنتين
لتجنب الازدواجية أو الفجوات، حُددت التقاطعات بوضوح:
- سجل المخاطر المؤسسية: تُدرج المخاطر السيبرانية الكبرى في سجل المخاطر الموحد الذي تراجعه لجنة المخاطر، لكن التفاصيل التقنية وخطط المعالجة تبقى ضمن اختصاص لجنة الأمن السيبراني.
- مؤشرات الأداء: تُرفع مؤشرات الأمن السيبراني الرئيسية (مثل نسبة الثغرات المعالجة ومتوسط وقت الاستجابة للحوادث) إلى لجنة المخاطر ضمن لوحة المؤشرات الموحدة، لكن التفاصيل التشغيلية تُناقش في لجنة الأمن السيبراني.
- الميزانية والموارد: تُراجع ميزانية الأمن السيبراني وطلبات التوظيف في لجنة الأمن السيبراني، ثم تُرفع توصية إلى لجنة المخاطر لإدراجها ضمن الميزانية الشاملة للمخاطر والامتثال.
تعديلات خطوط الإبلاغ التي حافظت على الكفاءة
أحد المخاوف الرئيسية عند فصل اللجان كان إضافة عبء إداري على الإدارة التنفيذية. لتجنب ذلك، أُجريت تعديلات دقيقة على خطوط الإبلاغ:
مدير الأمن السيبراني يرفع تقاريره مباشرة إلى لجنة الأمن السيبراني
قبل الفصل، كان مدير الأمن السيبراني يرفع تقاريره إلى مدير المخاطر، الذي يلخصها ويرفعها إلى لجنة المخاطر. هذا الترتيب أضاف طبقة وسيطة وأضعف التفاصيل التقنية. بعد الفصل، أصبح مدير الأمن السيبراني يرفع تقاريره مباشرة إلى لجنة الأمن السيبراني، مع نسخة إلى مدير المخاطر للاطلاع.
تقرير موحد ربع سنوي إلى المجلس الكامل
لتجنب إغراق المجلس الكامل بتقارير متعددة، اتُفق على رفع تقرير موحد ربع سنوي يجمع ملخصات من كلا اللجنتين. يتضمن التقرير:
- أبرز المخاطر السيبرانية والتشغيلية
- الحوادث الجسيمة والدروس المستفادة
- التقدم في مشاريع التحديث الكبرى
- مؤشرات الأداء الرئيسية الموحدة
هذا الترتيب سمح للمجلس بالحصول على صورة شاملة دون الحاجة لحضور تفاصيل كل لجنة.
اجتماع تنسيق ربع سنوي بين رئيسي اللجنتين
لضمان عدم وجود فجوات أو ازدواجية، يجتمع رئيسا لجنة المخاطر ولجنة الأمن السيبراني مع مدير المخاطر ومدير الأمن السيبراني كل ربع سنة لمراجعة:
- التقاطعات بين أجندتي اللجنتين
- الموضوعات التي تحتاج تنسيقًا (مثل مخاطر الطرف الثالث أو استمرارية الأعمال)
- التوصيات المشتركة التي ستُرفع إلى المجلس
متى يجب عليك النظر في فصل اللجان؟
ليس كل مؤسسة تحتاج لجنة أمن سيبراني منفصلة. المؤسسات الصغيرة أو تلك التي لديها بصمة تقنية محدودة قد تجد أن الدمج أكثر كفاءة. لكن الفصل يصبح مبررًا عندما تلاحظ واحدًا أو أكثر من المحفزات التالية:
- الحوادث السيبرانية تحتاج تصعيدًا أسرع من دورة اجتماعات لجنة المخاطر الحالية
- أعضاء لجنة المخاطر يكافحون لطرح أسئلة تقنية مفيدة
- الأجندة السيبرانية تُضغط في نهاية الاجتماعات أو تُؤجل بانتظام
- الجهات التنظيمية (ساما أو الهيئة الوطنية للأمن السيبراني) تطلب إشرافًا أكثر تفصيلًا
- المؤسسة تمر بتحول رقمي كبير أو تطلق خدمات رقمية جديدة
كيف نساعدك في إعادة هيكلة الحوكمة
إعادة تصميم هيكل اللجان ليست مجرد تعديل على الورق. تحتاج إلى مراجعة شاملة لمواثيق الحوكمة، واختصاصات اللجان، ومصفوفة المسؤوليات، وخطوط الإبلاغ، وبروتوكولات التصعيد. نقدم في سيزو للاستشارات خدمة الحوكمة والمخاطر والامتثال التي تساعدك على بناء هياكل حوكمة وإدارة مخاطر وبرامج امتثال متوافقة مع الأطر السعودية والدولية — برنامج حوكمة ومخاطر وامتثال تستطيع الجهة التنظيمية تتبّعه وتستطيع فرقكم تشغيله.
نبدأ بمراجعة هيكل الحوكمة الحالي ومواثيق اللجان، ثم نصمم ميثاق الحوكمة واختصاصات اللجان ومصفوفة المسؤوليات بما يحقق ملكية واضحة من مجلس الإدارة حتى مشغّلي الضوابط. نطور منهجية مخاطر الأمن السيبراني وسجل المخاطر مرتبطة بمستوى تقبّل المخاطر لديكم، ونبني إطار ضوابط موحّد مع ربط بين الأطر — مجموعة ضوابط واحدة مربوطة بمتطلبات ساما والهيئة ونظام حماية البيانات وISO 27001. نصمم أيضًا مراقبة الامتثال ولوحة مؤشرات الأداء التي توضح للقيادة كيف تتغير المخاطر، لتحصلوا على أدلة مستمرة بدلًا من الاستعجال في مواسم التقييم.
المشروع يستغرق من 8 إلى 16 أسبوعًا، مع إمكانية الحصول على دعم مستمر اختياري بعد ذلك. نعمل على أداة الحوكمة التي تستخدمونها حاليًا — نصمم البرنامج أولًا ثم نهيئه على منصتكم الحالية، أو نوصي بمنصة مناسبة إن لم تكن لديكم واحدة.
إذا كنت تراجع هيكل لجان مجلس الإدارة أو تلاحظ أن الأجندة السيبرانية لا تحصل على الوقت والتركيز المناسبين، تواصل معنا لمناقشة كيف يمكن إعادة تصميم الحوكمة بما يحقق الإشراف الفعال دون إضافة عبء إداري.
