مسؤوليات مجلس الإدارة وفق DORA: من السياسات إلى القرارات

حدّد المسؤوليات والجهات المعنية في DORA

تبدأ المراجعة بالكيان القانوني الخاضع للتنظيم. تحدّد المادة 2 نطاق DORA واستثناءاته، بينما تربط المادة 3(30) تعريف «الهيئة الإدارية» بترتيبات الحوكمة القطاعية والوطنية المطبّقة. ولا يكفي المسمّى الوظيفي وحده لتحديد الجهة المعنية. وثّق الهيئة أو الهيئات التي تؤدي الوظائف ذات الصلة في مؤسستك.

في الإطار العام، تسند المادة 5(2) إطار مخاطر تقنية المعلومات والاتصالات إلى الهيئة الإدارية، بما يشمل المسؤولية النهائية عن تلك المخاطر لدى الكيان. ولا يتعارض ذلك مع تولّي المختصين التنفيذ. السؤال العملي هو: هل يستطيع مجلس الإدارة إثبات أنه حدّد التوقعات، وحصل على معلومات كافية، وناقش أوجه القصور نقديًا، وتابع تنفيذ القرارات الجوهرية؟

يركّز هذا المقال على الإطار العام. أما الكيانات الخاضعة للمادة 16 فتتبع نظامًا مبسّطًا بدل تطبيق المواد 5–15، وتفصّل المادة 28 من اللائحة المفوّضة 2024/1774 أحكام الحوكمة الخاصة به. تحقّق من النظام المطبّق على مؤسستك قبل تحويل هذا الدليل إلى سجل داخلي للالتزامات.

تحتاج ترتيبات المجموعة إلى الوضوح نفسه. قد توفّر الشركة الأم خبرات في العمليات الأمنية أو المشتريات أو السياسات. لكن الشركة التابعة تظل بحاجة إلى صورة عملية للخدمات التي تعتمد عليها، والمخاطر التي تتحملها، والقرارات التي يجب على هيئتها الإدارية اتخاذها. عبارة «تتولى المجموعة الأمر» لا تفسّر المساءلة تفسيرًا كافيًا.

اعتبر الموافقة بداية للرّقابة

تتناول المادة 5 مسؤوليات تشمل استراتيجية المرونة وحدود تحمّل المخاطر التقنية، وترتيبات الاستمرارية والتعافي، وتخطيط التدقيق، والموارد، وسياسة التعامل مع المورّدين، وقنوات الإبلاغ. راجع التوزيع الدقيق للمسؤوليات في المادة 5(2)(c)–(i). وما يلي أسلوب عملي نقترحه لتنظيم العمل الناتج، وليس بديلًا عن النص التنظيمي.

لكل موافقة مهمة، احتفظ بسجل قرار موجز يربط ثلاثة أمور: ما الذي أجازه المجلس، وما الافتراضات التي استند إليها، وما الأدلة التي يتوقّع تلقيها لاحقًا. ينبغي أن تؤدي الموافقة على الاستراتيجية إلى تقدّم في الأولويات، والموافقة على خطة التعافي إلى قدرة اختُبرت فعليًا، والموافقة على الميزانية إلى توفير أشخاص أو خدمات أو ضوابط تعالج المخاطر المحدّدة.

مثلًا، الموافقة على خطة معالجة مدتها ستة أشهر دون السؤال عمّن سينفّذها تخلق مشكلة متوقّعة. إذا كان المختصان المطلوبان ملتزمين أصلًا بمشروع انتقال تقني ضروري، فقد يتعذّر تنفيذ الخطة. اطلب بيانًا بالموارد والقدرة المتاحة قبل الموافقة، ووثّق المفاضلة. موعد معدّل واقعي يصاحبه ضابط مؤقت واضح أنفع من موعد طموح لا يستطيع أحد الالتزام به.

ميّز بين البنود المعروضة لاتخاذ قرار والبنود المعروضة للإحاطة. يجب أن توضّح كل مذكرة تطلب قرارًا الإجراء المقترح، والبدائل الواقعية، وعواقب التأخير، وما لم يُحسم بعد، والموعد النهائي للقرار. يساعد ذلك أعضاء المجلس على مناقشة التوصية نقديًا من دون الانشغال بكل تفصيل تقني في التنفيذ.

أزل الغموض بمصفوفة لصلاحيات اتخاذ القرار

اتفقوا على من يُعدّ كل مسألة جوهرية، ومن يراجعها نقديًا، ومن يقرّر بشأنها، ومن يتحقّق من تنفيذها. كيّف النموذج التالي مع الهيكل القانوني لمؤسستك، والمسائل المحفوظة لجهات بعينها، واختصاصات اللجان. وتعني كلمة «المجلس» أدناه الهيئة الإدارية المعنية في ذلك الهيكل، ولا تعني أن كل قرار تشغيلي يجب أن ينتظر اجتماع المجلس كاملًا.

ينبغي أن تتمكّن جهتا المخاطر والامتثال من مناقشة المقترح نقديًا، من دون أن تصبحا مسؤولتين عن تنفيذ كل ضابط تشغيلي. وينبغي أن يحافظ التدقيق الداخلي على الاستقلال المناسب لدوره. لا تجعل لجنة واحدة تنفّذ الإصلاح ثم تكون المصدر الوحيد للتأكيد على نجاحه.

اختبر المصفوفة بقرار فعلي قريب. إذا كان عقد مورّد يحتاج إلى تجديد الأسبوع القادم، فهل يستطيع الجميع تحديد صاحب صلاحية الموافقة، ومن يستطيع اشتراط ضوابط إضافية، ومن يقبل المخاطر المتبقية؟ عالج تضارب الإجابات قبل أن يكشفه حادث أو موعد تجاري نهائي.

حوّل حدود تحمّل المخاطر إلى خيارات تخص الخدمات

القول إن الشركة «لا تتقبّل إلا قدرًا منخفضًا من المخاطر السيبرانية» لا يوضّح للمدير التنفيذي كيف يفاضل بين المشاريع. اطلب من الإدارة ربط هذا التوجّه بالخدمات والأثر على العملاء والضوابط المتوقعة ومسار التصعيد. وميّز صراحة بين النتيجة المنشودة والقدرة التي أثبتها الاختبار.

لنفترض أن شركة استثمار افتراضية تدرس استخدام منصة جديدة لإعداد تقارير العملاء. تقترح الإدارة هدفًا للتعافي استنادًا إلى المواد التسويقية للمورّد. على مجلس الإدارة أن يسأل: هل يشمل الهدف خدمة إعداد التقارير كاملة، بما فيها بيانات المصدر والمصادقة والمطابقة ووصول الموظفين وإيصال التقارير إلى العملاء؟ إذا اختُبرت المنصة وحدها، فسجّل الاعتماديات التي لم تُختبر والقرار المتأثر بها.

من الأسئلة المفيدة للمراجعة النقدية:

• ما الضرر الذي ينشأ إذا كانت الخدمة غير متاحة أو لم تعد بياناتها موثوقة؟
• أي افتراضات تم إثباتها، وأيها لا تزال مجرد تقديرات؟
• ما العمل الذي نستطيع مواصلته بأمان بينما تعمل الخدمة الرئيسية بقدرات محدودة؟
• ما الحدث الذي يتطلب التصعيد أو اتخاذ قرار تشغيلي مختلف؟
• من يملك قبول المخاطر المتبقية، ولأي مدة، وبأي شروط؟

ضع حدودًا واضحة للاستثناءات. يمكن للاستثناء المحدود زمنيًا أن يحدّد الخدمة المتأثرة، والمبررات، والضوابط المؤقتة، والمسؤول، وتاريخ الانتهاء، والحالات التي تستدعي مراجعته مبكرًا. ينبغي أن يدفع تكرار التمديد إلى مناقشة مدى واقعية الخطة الأصلية. لا يصبح سجل الاستثناءات أداة لاتخاذ القرار إلا عندما يتصرف أحد بناءً عليه.

اختبر مدى كفاية الميزانية لتحقيق النتيجة الموعودة

تتناول المادة 5(2)(g) توفير الموارد المناسبة والمراجعة الدورية للميزانية. عمليًا، تكون الميزانية أوضح عندما تربط الإنفاق بنتيجة، بدل الاكتفاء بتسميته «DORA» أو «الأمن السيبراني». اطلب من الإدارة شرح الخطر الذي ستعالجه، وما يعتمد عليه التنفيذ، والأدلة التي ستثبت التحسّن.

قارن بين مقترحين: «شراء منتج جديد للنسخ الاحتياطي» و«إثبات إمكانية استعادة الخدمة المقدّمة للعملاء، ببيانات خضعت للمطابقة، باستخدام بيئة تعافٍ معزولة». يتيح الثاني السؤال عن الأشخاص ووقت الاختبار والتكامل والتحقّق من سلامة الأعمال. قد يكون المنتج ضروريًا، لكن شراءه لا يساوي تحقيق النتيجة.

ينبغي أن توضّح مذكرة الاستثمار المفيدة:

1. الخدمة والمخاطر اللتين تبرّران العمل.
2. النتيجة وكيفية التحقق منها.
3. التكاليف الأولية والمستمرة، بما فيها وقت الموظفين ودعم المورّد.
4. اعتماد التنفيذ على مشاريع أخرى أو مهارات نادرة.
5. المخاطر المتبقية إذا تأخر المقترح أو تقلّص نطاقه.
6. من سيتحقّق من تحقيق المنفعة المتوقعة.

أدرج التعلّم وتمارين اتخاذ القرار ضمن تخطيط الموارد. قد تفشل الخطة لأن الموظفين لا يعرفون كيفية تفعيلها، رغم سلامة التقنية التي تعتمد عليها. وفي المقابل، لا يعوّض التدريب غياب ضابط تقني. اربط هذه الاحتياجات ببعضها، مع قياس كل منها على حدة.

تبقى المسؤولية على المؤسسة حتى عندما يقدم الخدمة طرف خارجي

يغيّر التعاقد مع جهة خارجية طريقة تقديم الخدمة، لكنه لا يعفي المؤسسة من مسؤولياتها. بالنسبة إلى المؤسسات الخاضعة لهذه المتطلبات، تفرض المادة 3 من اللائحة المفوّضة 2024/1773 حوكمة واضحة للترتيبات المعنية، ومراجعة الهيئة الإدارية مرة واحدة سنويًا على الأقل لسياسة خدمات تكنولوجيا المعلومات والاتصالات التي تدعم الوظائف الحيوية أو المهمة. راجع الاستثناءات الواردة في المادة 28(2) من DORA، ومنها استثناء المنشآت المتناهية الصغر. هذا الموعد المحدد لمراجعة السياسة لا يعني وجود دورية موحدة لجميع تدريبات مجالس الإدارة.

عندما تعتمد خدمة مهمة على مورّد، اطلب شرحًا موجزًا يركز على أثر هذا الاعتماد. ماذا سيفقد العملاء إذا تعطلت خدماته؟ ما الخدمات الأخرى التي تعتمد على البنية التحتية نفسها أو المقاول الفرعي نفسه؟ كيف ستحصل مؤسستك على المعلومات، وتحافظ على قدرتها على التحكم، وتستعيد بياناتها؟ وما الذي يتطلبه الانتقال إلى بديل فعليًا؟

تخيّل عرضًا لتجديد عقد يتضمن خصمًا كبيرًا مقابل الالتزام لمدة أطول. لدى الإدارة حق تعاقدي في تصدير البيانات، لكنها لم تختبر قط استيرادها إلى بيئة بديلة قابلة للتشغيل. لا يحتاج مجلس الإدارة إلى تصميم عملية نقل النظام. لكنه يحتاج إلى التحقق من أن إمكانية الانتقال إلى بديل واقعية، وتحديد ما إذا كان التجديد مشروطًا باختبار البيانات، أو تقدير الموارد اللازمة للانتقال، أو تقليل الاعتماد المركّز على مزوّد واحد.

ميّز بين وثائق المورّد والاستنتاجات التي توصلت إليها مؤسستك. قد تدعم الشهادة أو تقرير التأكيد عملية العناية الواجبة، لكن ينبغي فحص النطاق والفترة التي يغطيها والاستثناءات ومدى صلته بالخدمة. سجّل من راجع الوثيقة وما المسائل التي ما زالت دون حسم.

تضع الأولويات الرقابية للبنك المركزي الأوروبي للفترة 2026–2028 المرونة التشغيلية وقدرات تكنولوجيا المعلومات والاتصالات ضمن أولويات القطاع المصرفي، وتؤكد أن الإشراف على المورّدين الحيويين يكمّل إدارة البنوك نفسها لمخاطر الأطراف الخارجية. هذه أولويات رقابية مصرفية، ولا تعني أن جميع المؤسسات المالية تخضع للمعاملة الرقابية نفسها.

حدّد صلاحيات إدارة الأزمة قبل وقوعها

اتخذ قرارًا مسبقًا حول كيفية استلام مجلس الإدارة للمعلومات الجوهرية وما يمكن أن تفعله الإدارة فورًا. لا ينبغي أن يكشف الحادث عن خلاف حول من يمكنه تقييد خدمة أو اعتماد إنفاق طارئ أو إصدار تحديث للعملاء. يحتاج فريق العمليات أيضًا إلى مسارات واضحة للإبلاغ التنظيمي وفقًا للإجراءات المعمول بها.

اطلب تحديثات موجزة تتضمن أربعة عناصر: ما نعرفه، وما لم نتأكد منه بعد، والإجراءات الجارية، والقرار المطلوب. لا تضغط للحصول على موعد مؤكد للتعافي إذا لم تدعمه الأدلة. اطلب بدلًا من ذلك تحديد خطوة التحقق التالية وموعد تقديم معلومات أدق.

يجب أن يشمل قرار استعادة الخدمة سلامة نتائجها، لا مجرد إتاحتها. فقد يعود التطبيق للعمل بينما تظل بعض السجلات مفقودة أو مكررة أو غير متسقة. اسأل من يتحقق من صحة النتائج التشغيلية، وما أعمال مطابقة السجلات التي لم تُنجز بعد، وما القيود التي تحمي العملاء خلال الاستعادة الجزئية.

اختبر هذه الترتيبات في تمرين يحاكي تعطل قناة الاجتماعات المعتادة، وعدم توافر أحد المديرين التنفيذيين، وورود تحديثات متناقضة من المورّد. راقب قدرة البدلاء المخولين على التصرف، واستمرار توثيق القرارات. هذا مقترح لتصميم تمرين، وليس بديلًا عن الاختبارات التقنية والترتيبات الأخرى المطلوبة بموجب الإطار المنطبق.

بعد التمرين، عيّن مسؤولًا محددًا عن كل نتيجة مهمة، وحدّد الأدلة اللازمة لإغلاقها. قد يكفي تحديث إجراء لمعالجة نقص في التوثيق، لكنه لا يثبت القدرة على استعادة الخدمة. إغلاق هذا القصور يتطلب إثبات تلك القدرة عمليًا.

أدر اجتماعًا ينتهي بقرارات واضحة ومحضر مفيد

قد يكون جدول أعمال مختصر أنفع من عرض تقني طويل. المثال التالي مقترح لاجتماع حوكمة دوري؛ حدّد وتيرته وفقًا للمخاطر والالتزامات المنطبقة وهيكل اللجان في مؤسستك.

1. راجع ما تغيّر منذ الاجتماع السابق: المخاطر التي تتعرض لها الخدمات، والحوادث المهمة، والاعتماد على الأنظمة والمورّدين.
2. افحص الفجوة الأهم بين القدرة المتوقعة والقدرة المثبتة فعليًا.
3. قرر بشأن الاستثناءات أو الموارد أو الأولويات التي تتجاوز الصلاحيات المفوضة.
4. ناقش أسباب تأخر الإجراءات وتكرار تمديد مواعيدها.
5. حدّد الأدلة المطلوب تقديمها في المراجعة التالية وأي احتياجات تدريبية ظهرت.

ينبغي أن يوضح المحضر الأسئلة والاعتراضات الجوهرية دون أن يتحول إلى تفريغ حرفي للاجتماع. سجّل المعلومات التي استند إليها النقاش، وأوجه عدم اليقين، والبدائل المطروحة، والقرار وشروطه. حدّد المسؤول عن التنفيذ وموعد المتابعة. لا تكتفِ بعبارة عامة مثل «أحاط المجلس علمًا بمستجدات الأمن السيبراني» إذا كان المجلس قد قبل فعليًا خطرًا ذا تبعات مهمة.

مثال توضيحي لمحضر قرار: راجع المجلس نتائج اختبار استعادة خدمة تقارير العملاء. عاد التطبيق للعمل، لكن مطابقة السجلات التشغيلية لم تكتمل خلال المدة المخططة. ستُبقي الإدارة على الفحص اليدوي المؤقت، وتتحقق من قدرته على استيعاب حجم العمل، ثم تقدم نتائج إعادة اختبار الخدمة من بدايتها إلى نهايتها. يتولى المدير التنفيذي للعمليات متابعة الإجراء، ويُدوّن موعد المراجعة التالية في سجل الإجراءات.

يركز هذا المثال على الوقائع. فهو لا يعلن امتثال المؤسسة ولا يدعي انتهاء المشكلة، بل يوضح ما لم يُحسم والخطوة التالية. ولتحديد المعلومات التي تدعم اجتماعًا كهذا، راجع دليل إعداد لوحة تقارير DORA لمجلس الإدارة.

حسّن دورة الحوكمة خلال التسعين يومًا المقبلة

طبّق خطة التحسين هذه بالتوازي مع الوفاء بالالتزامات الحالية؛ فهي لا تبرر تأجيل أي واجب قائم. ابدأ بالفجوة التي قد تؤثر أكثر من غيرها في القرارات العاجلة.

قيّم جودة إغلاق الإجراءات. اختر ثلاثة إجراءات مكتملة وافحص ما إذا كانت الأدلة المرفقة تعالج المشكلة الأصلية. إذا كان كل ما أنجزه الإجراء هو إعداد وثيقة بينما الخطر قائم، فأعد مناقشته. ثم اختر استثناءً سبق قبوله، وتحقق من صلاحية موعد انتهائه وشروطه وتحديد المسؤول عنه.

أخيرًا، تأكد من أن أعضاء مجلس الإدارة يفهمون المعلومات التي يُطلب منهم مناقشتها ونقدها. يشرح دليل متطلبات تدريب مجالس الإدارة وفق DORA كيفية بناء تدريب يتناسب مع الأدوار. وتقدم دورة DORA في الأمن السيبراني لمجالس الإدارة والمديرين التنفيذيين برنامجًا يركز على اتخاذ القرار، ويستغرق نحو ثلاث ساعات من الدراسة الموجّهة موزعة على ثماني وحدات. استكمله بترتيبات الحوكمة والتمارين الخاصة بمؤسستك؛ فإتمام الدورة لا يُعد اعتمادًا مهنيًا ولا حكمًا بالامتثال.