متطلبات تدريب مجالس الإدارة وفق DORA: شرح المادة 5(4)

ابدأ بالكيان والأشخاص، لا بفهرس الدورات

بدأ تطبيق DORA في 17 يناير 2025. ويتحدّد نطاقه في القطاع المالي وفق فئات الكيانات والاستثناءات؛ فهو ليس قانونًا عامًا للتدريب يسري على كل شركة أوروبية. ابدأ بترخيص مؤسستك ووضعها القانوني والقواعد الرقابية ذات الصلة لتحديد الأحكام المطبّقة عليها. يشرح عرض EIOPA العام للائحة DORA سياق القطاع، بينما تحدّد المادة 2 نطاق التطبيق.

قبل إسناد التدريب، أعدّ سجلًا من صفحة واحدة يحدّد نطاقه. اذكر الكيان الخاضع للتنظيم، والإطار الذي يتبعه، وهيئات الحوكمة لديه، والأشخاص الذين يشغلون تلك المناصب، ومن تحقّق من صحة هذا التحديد. يستطيع برنامج على مستوى المجموعة توفير محتوى مشترك، لكن مجلس إدارة الشركة التابعة يحتاج أيضًا إلى فهم خدمات شركته واعتمادياتها وقراراتها. فتقرير إتمام التدريب الصادر عن شركة أم في الخارج لا يثبت أن أعضاء المجلس المحلي يفهمون ترتيبات التعافي المحلية.

استند إلى مسؤوليات الحوكمة الفعلية عند تحديد الفئة المستهدفة. «الهيئة الإدارية» مصطلح قانوني تحدّده المادة 3(30)، وليس مرادفًا لكل من يتضمن مسمّاه الوظيفي كلمة «مدير». اطلب من فريق الحوكمة أو الشؤون القانونية تأكيد الجهات والأدوار التي ينطبق عليها هذا التعريف في مؤسستك. أضف الأعضاء الجدد إلى سجل التدريب فور تعيينهم؛ ولا تؤجّل تدريبهم إلى موعد الحملة الجماعية التالية.

انتبه إلى استثناء مهم: الكيانات الخاضعة للإطار المبسّط في المادة 16 لا تطبّق المواد 5–15 مباشرة. بل تتبع متطلبات التدريب والحوكمة الواردة في ذلك الإطار ومعاييره التقنية. وتبسيط الإطار لا يعني الإعفاء من التدريب.

ميّز بين المتطلب وطريقة تقديم التدريب

تربط المادة 5(4) التدريب المنتظم والمحدّد بالقدرة على فهم مخاطر تقنية المعلومات والاتصالات وتقييمها وتقدير أثرها على الأعمال. وتتناول المادة 13(6)، بصورة منفصلة، التوعية والتدريب على المرونة للموظفين والإدارة العليا. ولا يحدّد أي من النصين عددًا موحّدًا لساعات التدريب السنوية.

هذا التمييز مهم عند شراء برنامج تدريبي. يستطيع المزوّد تقديم منهج مترابط وسجل للتعلّم وتقييم. لكن يظل على شركتك تحديد ما إذا كان المحتوى يتناول مسؤوليات المشاركين والمخاطر التي يتعاملون معها. فالشهادة لا تثبت صلاحية خطة تعافٍ لم يطّلع عليها المتعلّم، ولا سلامة اعتماد على مورّد لا يعرف البرنامج التدريبي بوجوده أصلًا.

حدّد نتائج يمكن ملاحظتها قبل اختيار طريقة التدريب. بعد التعلّم، ينبغي لعضو مجلس الإدارة أن يستطيع توضيح الخدمة التي يسبّب فقدانها أكبر ضرر، وتحديد مواضع ضعف الأدلة المقدّمة من الإدارة، وشرح القرارات التي تبقى من اختصاص المجلس أثناء تعطّل الخدمات. وينبغي للمدير التنفيذي أن يستطيع تطبيق ترتيبات التصعيد الخاصة بمؤسسته، من دون البحث في سياسات لا يعرفها.

لذلك يتكوّن البرنامج العملي من ثلاث طبقات: أساس مفاهيمي مشترك، وإحاطة بواقع المؤسسة نفسها، وتمرين لاتخاذ القرار. تناسب الدراسة عبر الإنترنت الطبقة الأولى، ويمكن لمسؤول الخدمة ومسؤول المخاطر تقديم الثانية، بينما تختبر مناقشة موجّهة الطبقة الثالثة. هذا مزيج مقترح لتصميم التدريب، وليس طريقة إلزامية لتقديمه.

ابنِ مصفوفة تدريب حول القرارات التي يتخذها الأشخاص

المصفوفة التالية نموذج للبدء. استبدل أمثلتها بالمسؤوليات الفعلية في شركتك، واحتفظ بالتفاصيل التشغيلية الحساسة داخل بيئة التعلّم الخاضعة لضوابط مؤسستك. عيّن مسؤولًا عن كل صف يستطيع التحقّق من تحقيق النتيجة التعليمية المقصودة.

لا تقتصر المصفوفة المفيدة على قائمة وحدات. أضف اللغة المطلوبة، واحتياجات إتاحة المحتوى لذوي الإعاقة، وموعد المراجعة التالية، وإصدار المواد، والمقيّم، والإجراء اللازم لمعالجة القصور. فقد يفهم شخص المصطلحات الأساسية لكنه يحتاج إلى مساعدة في تفسير تحليل أثر الأعمال. وقد يمتلك آخر خبرة تقنية عميقة مع معرفة محدودة بحوكمة القطاع المالي.

لا تفرض على الجميع البرنامج نفسه لمعالجة القصور لأن مشاركًا واحدًا واجه صعوبة. سجّل الفجوة بدقة: عبارة «لم يتمكّن من تحديد صاحب صلاحية اعتماد التواصل الطارئ مع العملاء» تقود إلى إجراء واضح، بخلاف عبارة «يحتاج إلى مزيد من الوعي السيبراني». اطلب من المشارك مراجعة الإجراء الداخلي المعني، ثم شرح القرار بكلماته.

حدّد وتيرة تدريب مبرّرة وحالات واضحة تستدعي تحديثه

تربط إجابة EIOPA النهائية عن السؤال DORA 250-3380 وتيرة التدريب بالأدوار ومبدأ التناسب، وتشير إلى الاستفادة من دروس الحوادث والمعلومات الاستخباراتية عن التهديدات عند تحديث البرامج. لذلك لا يكفي وضع مواعيد في التقويم. وثّق دورة التدريب المعتادة، وكذلك الأحداث التي تستدعي تقديم موعده.

إذا كان مجلس الإدارة يبدأ بمعرفة محدودة، فقد يكون المقترح الداخلي المناسب تدريبًا تمهيديًا عند التعيين، ومراجعة سنوية مخططة للأساسيات، وإحاطات مركّزة قبل القرارات الجوهرية، وتمرينًا عندما تستدعيه طبيعة العمل أو التهديدات. هذه خيارات مقترحة للجدولة. والمراجعة السنوية للأساسيات ليست وتيرة تدريب ثابتة يفرضها القانون؛ فقد تحتاج المؤسسة كثيرة التغيّر أو عالية المخاطر إلى تدريب أكثر بكثير.

• نموذج تشغيل جديد، أو استحواذ، أو خدمة حرجة يُدخل تبعيات غير مألوفة.
• يكشف حادث جوهري عن ارتباك بشأن التصعيد أو الأثر على العملاء أو صلاحية اتخاذ قرارات التعافي.
• يُظهر الاختبار أن الحل البديل المفترض لا يمكنه العمل بالمقياس المطلوب.
• يغيّر تبديل المورّد مستوى مخاطر التركز، أو الوصول إلى البيانات، أو قابلية تنفيذ خطة الخروج.
• يتغيّر دور عضو مجلس الإدارة في إحدى اللجان، أو يتولى مسؤولية جديدة.
• يغيّر تطور قانوني أو رقابي جوهري طبيعة القرارات التي يحتاج مجلس الإدارة إلى فهمها.

عيّن مسؤولًا لمراجعة هذه الحالات. فسجل التدريب الذي يكتفي بإرسال تذكيرات بانتهاء الصلاحية يفوّت أنسب فرص التعلّم. أضف حقلًا موجزًا بعنوان «الأثر على احتياجات التدريب» إلى مقترحات التغييرات المهمة وإجراءات ما بعد الحوادث، حتى يتكيّف البرنامج مع الأحداث.

خصّص وقتًا للنقاش. قد تكون إحاطة من خمس دقائق تنتهي بقرار واضح وموثّق أنفع من ساعة إضافية من مشاهدة الشرائح دون مشاركة. هذا لا يجعل خمس دقائق كافية للبرنامج كله، بل يبيّن ضرورة قياس ملاءمة التدريب وفهمه إلى جانب مدته.

احتفظ بأدلة التعلم وما تغير بعدها.

ابنِ سلسلة أدلة يستطيع زميل تتبّعها من دون سؤال مسؤول البرنامج. تبدأ السلسلة بحاجة تدريبية محدّدة، ثم المحتوى المناسب والمشاركة، وتنتهي بالتقييم والإجراءات الناتجة عنه. هذه بنية سجل نقترحها، وليست ادعاءً بأن DORA تفرض هذه الحقول بعينها.

1. سجّل الفئة المستهدفة، والدور الوظيفي، وسبب إسناد التدريب.
2. احتفظ بالمنهج وإصدار المواد وتاريخ تقديم التدريب وتاريخ مراجعة المصادر.
3. سجّل الحضور أو الإتمام بطريقة تُعرِّف المشارك الفعلي.
4. احتفظ بنتائج التقييم ووصف موجز للأسئلة المستخدمة.
5. سجّل الفجوات، والشخص المسؤول عن حلها، وتاريخ الإتمام.
6. اربط المناقشة الجوهرية بقرار المجلس أو سجل الإجراءات ذي الصلة.

قيّم سلامة التقدير إلى جانب القدرة على التذكّر. فسؤال «أي مادة تتناول الحوكمة؟» يختبر الذاكرة. أما سؤال «أعلن المورّد التعافي، لكن مطابقة المعاملات لم تكتمل؛ فما الأدلة التي تطلبها قبل استئناف الخدمة المعتادة؟» فيختبر تمييزًا مهمًا لدى القيادات. ليس مطلوبًا أن يختار المشاركون الإجراءات التشغيلية نفسها، لكن عليهم إدراك مواطن عدم اليقين وشرح مبررات قراراتهم.

اذكر دائمًا العدد الإجمالي المعنيّ وتاريخ القياس عند عرض نسبة الإتمام. عبارة «أكمل ثمانية من أصل عشرة أعضاء مشمولين بالتدريب البرنامج الأساسي الحالي، وحُدّد موعد للتدريب التمهيدي لعضوين جديدين» أوضح من عبارة «الامتثال 80%». فحالة التدريب والامتثال التنظيمي أمران مختلفان.

ضع قواعد الاحتفاظ بالسجلات والوصول إليها بالتعاون مع مسؤولي الخصوصية والسجلات والحوكمة. اقصر تفاصيل تقييم كل فرد على من يحتاجون إليها؛ فقد تكفي مجلس الإدارة صورة إجمالية وجوانب القصور التي لم تُعالج. احتفظ بإصدار الدورة الذي دُرّس، حتى يستطيع أي مراجع لاحق معرفة المحتوى الذي قُدّم فعلًا.

مثال عملي: استخدم اضطرابًا واحدًا للكشف عن احتياجات التعلم الحقيقية

تأمّل هذا التمرين الافتراضي. عند الساعة 09:15، تتعطّل بوابة معاملات العملاء في شركة مالية. يقول المورّد إن البنية التحتية سليمة، لكنه لم يتمكّن بعد من تأكيد اتساق المعاملات المنتظرة في الطابور. وتتلقى خدمة العملاء شكاوى عن مدفوعات مكررة. ويحين موعد الإحاطة التالية للمديرين التنفيذيين بعد عشرين دقيقة.

القرار الأول: وصف المشكلة من منظور العمل

اطلب من المشاركين وصف الخدمة المتأثرة، والعملاء المعرضين للخطر، وعواقب الانتظار. يميز الجواب القوي بين كون الخدمة قابلة للوصول وبين موثوقية المعاملات. كما يحدد ما هو مجهول. إذا تحول النقاش فورًا إلى جدال حول المصطلحات التقنية للمورّد، فإن البرنامج يحتاج إلى مزيد من العمل في ترجمة الحقائق التقنية إلى عواقب تجارية.

القرار الثاني: تحديد الصلاحيات ومسار التصعيد

اطلب معرفة من يمكنه تقييد معالجة المعاملات، ومن ينسق الحادث، ومن يطبق إجراء الإبلاغ، ومتى يتلقى مجلس الإدارة تحديثًا. يجب أن يستخدم المشاركون أدوارهم وإجراءاتهم المعتمدة. لا تختلق مهلة إبلاغ للتمرين، ولا تنتظر انعقاد اجتماع كامل لمجلس الإدارة قبل أن يتمكن فريق مختص من الوفاء بالتزامه القائم في الإبلاغ عن الحوادث.

القرار الثالث: الاتفاق على أدلة التعافي

يعلن المورّد أن المنصة عادت للعمل. على عضو مجلس الإدارة أن يسأل عن عمليات مطابقة المعاملات والتحقّق من سلامة الأعمال وإجراءات حماية العملاء التي تبرّر استئناف الخدمة. ينبغي أن يتيح التمرين للإدارة شرح الخيارات وآثارها، بما فيها تشغيل خدمة جزئية بضوابط محدّدة. عبارة «لوحة المتابعة خضراء» مجرد ملاحظة، وليست دليلًا كافيًا على اكتمال التعافي.

اختم بمراجعة موجزة للتمرين. ربما فهم مجلس الإدارة مسار التصعيد، لكنه لم يستطع التمييز بين هدف التعافي وآخر نتيجة أثبتها الاختبار. حدّد نشاطًا تدريبيًا يعالج هذه النقطة، واطلب من مسؤول الخدمة تحسين التقرير، وراجع القرار في اجتماع لاحق. بذلك تربط التعلّم بالأدلة وتحسين الرقابة، من دون الادعاء بأن تمرين المحاكاة المكتبي يثبت القدرة التقنية على التعافي.

قيّم مدى ملاءمة دورة DORA لاحتياجات مجلس إدارتك

أعدّ موجزًا لمتطلبات الشراء يحدّد ما ينبغي أن يستطيع المشاركون فعله بعد التدريب. اطلب المنهج، ومثالًا لسيناريو مناسب للقيادات، والمصادر القانونية وتاريخ مراجعتها، وطريقة التقييم، والمعلومات التي تتضمنها سجلات الإتمام. واسأل المزوّد كيف يحدّث المواد عندما تتغيّر القواعد القانونية أو الرقابية.

ابحث عن توضيح صريح لحدود البرنامج. ينبغي للدورة الأساسية أن تبيّن المسائل التي تحتاج إلى مناقشة خاصة بالمؤسسة. وإذا ادّعى مزوّد أن إتمام وحدة واحدة يجعل شركتك ممتثلة لـDORA، فاسأله كيف قيّم نموذج تشغيلك وضوابطك وعقودك وأدلتك. لا يمكن إثبات هذا الادعاء بمجرد تقديم تدريب.

فضّل الشرح الواضح لإتاحة الخدمة وسلامة البيانات واعتماديات الخدمات والتعافي والمسؤولية عن المخاطر على قوائم المصطلحات الطويلة. لا يحتاج مجلس الإدارة إلى ضبط جدار حماية كي يناقش افتراضًا غير مدعوم عن التعافي. لكنه يحتاج إلى الثقة لطرح سؤال واضح: ما الذي اختبرته الإدارة، وما الذي لا يزال غير مؤكّد؟

تقدّم BlueTeam Academy التدريب على الأمن السيبراني وفق DORA لمجالس الإدارة والمديرين التنفيذيين في برنامج يركّز على اتخاذ القرار، ويشمل نحو ثلاث ساعات من الدراسة الموجّهة موزّعة على ثماني وحدات. استخدمه لبناء لغة مشتركة، ثم أضف إحاطة بخدمات مؤسستك، ونقاشًا يناسب كل دور، وخطة للتعلّم المستمر. إتمام التدريب سجل للتعلّم، وليس اعتمادًا مهنيًا ولا حكمًا بامتثال مؤسستك لـDORA.

خطة عملية مدتها 90 يومًا لمجلس إدارة قائم

هذا تسلسل تنفيذي لتحسين برنامج، وليس فترة سماح تنظيمية. أولِ الفجوات المعرفية العاجلة اهتمامًا فوريًا حيث تؤثر على القرارات التي تُتخذ بالفعل.

عيّن منسّقًا واحدًا للبرنامج، مع إبقاء مسؤولية كل موضوع لدى الجهة المختصة به. يتابع المنسّق الإتمام ويحفظ السجلات، ويتحقّق مسؤول المخاطر من ملاءمة المحتوى، ويشرح مسؤولو الخدمات واقع التشغيل، ويخصّص رئيس المجلس وقتًا للنقاش المفيد. وثّق كيفية التعامل مع الغياب والتعيينات الجديدة وأوجه القصور التي أظهرها التقييم ولم تُعالج.

في المراجعة النهائية، افحص عيّنة تتكوّن من سجل التعلّم الكامل لأحد المشاركين وإجراء واحد نتج عن التمرين. هل تستطيع إثبات أن الشخص تعلّم ما يفيده، وأن المؤسسة اتخذت إجراءً بشأن المشكلة التي ظهرت؟ إذا غابت إحدى هاتين الحلقتين، فأصلحها قبل إضافة محتوى جديد.

اطرح هذه الأسئلة في اجتماع مجلس الإدارة القادم

• هل حددنا كل شخص يتطلب دوره هذا التعلم؟
• هل يستطيع كل عضو شرح أكثر اعتماد تقني يمكن أن يؤثر في مؤسستنا؟
• هل يتضمن برنامجنا أدلة خدماتنا الخاصة والتعافي؟
• أي حادث أو اختبار أو تغيير حديث يجب أن يغيّر خطة التدريب؟
• ما جوانب القصور المعرفي التي لم نعالجها وقد تؤثر في قرار خلال هذا الربع؟
• هل نستطيع ربط نشاط تدريبي بتحسّن في مراجعة الأدلة نقديًا أو بإجراء اكتمل تنفيذه؟

استخدم الإجابات لوضع جدول أعمال مركّز. قد يحتاج مجلس إدارة ذو معرفة أساسية قوية إلى مناقشة مفصّلة حول مورد واحد. قد يحتاج مجلس إدارة جديد إلى الأساسيات قبل أن يستطيع تفسير لوحة مراقبة المخاطر. يجب أن يكون كلاهما قادرًا على شرح سبب ملاءمة برنامجهم لمسؤولياتهم.

تابع القراءة في دليل مسؤوليات مجلس الإدارة وفق DORA ودليل لوحة تقارير DORA لمجلس الإدارة. يربط الدليلان ما يتعلّمه أعضاء المجلس بالقرارات التي يتخذونها والمعلومات التي يطلبونها.