مخاطر موردي تقنية المعلومات وفق DORA: دليل رقابة مجلس الإدارة

1. ابدأ بالخدمة التي يجب أن تواصل الشركة تقديمها

يبدأ تقرير المشتريات عادةً بالمورّدين والإنفاق السنوي ومواعيد التجديد. أما نقاش DORA المفيد في مجلس الإدارة فيبدأ بما يجب تقديمه للعميل: سداد مطالبة تأمين، أو تنفيذ دفعة، أو حفظ سجل استثماري، أو إتاحة الوصول إلى حساب. انطلق من هذه النتيجة وحدّد الأنظمة والخدمات الخارجية والأشخاص اللازمين لتحقيقها.

بهذا يتحول السؤال من «هل قيّمنا مزوّدنا السحابي؟» إلى «ماذا يحدث لهذه الخدمة إذا تعطلت منصة إدارة الهوية أو منطقة الاستضافة أو جهة الدعم؟». يكشف السؤال الثاني أوجه اعتماد قد لا تظهر في بطاقة تقييم المورّد. فقد يؤدي تعطل خدمة مصادقة منخفضة التكلفة إلى توقف أعمال أكثر مما يسببه تعطل برنامج ذي عقد باهظ.

النقطة القانونية الأساسية هي أن استخدام خدمات تكنولوجيا المعلومات والاتصالات لا ينقل التزامات الكيان المالي إلى مورّده. يضع DORA مخاطر الطرف الثالث في تكنولوجيا المعلومات والاتصالات ضمن إطار إدارة المخاطر للكيان. انظر المادة 28 من اللائحة (EU) 2022/2554. تُعد التفسيرات وطرق العمل الواردة في هذا الدليل اقتراحات عملية؛ فهي ليست بيانًا شاملاً لكل المتطلبات المطبقة على كل نوع من الكيانات.

عند إعداد تقرير للمجلس، اطلب من المسؤول التنفيذي تحديد الخدمة المتأثرة، والمسؤول الداخلي عنها، وحدود التعطل المقبول، والمخاطر الحالية، والقرار المطلوب. ضع التفاصيل التقنية في المرفقات الداعمة. يحتاج أعضاء المجلس إلى ما يكفي لفحص الافتراضات، لا إلى تولّي عمل فريق الاستجابة للحوادث أو التفاوض بأنفسهم على كل بند تعاقدي.

2. ميّز بين الوظيفة الحيوية والمزوّد المصنّف رسميًا بأنه حيوي

نحن أمام تقييمين يجيبان عن سؤالين مختلفين. تحدد مؤسستك الوظائف الحيوية أو المهمة ضمن إطار DORA، بينما تصنّف السلطات الرقابية الأوروبية مزوّدي الخدمات التقنية الخارجيين الحيويين الخاضعين لإطار الإشراف على مستوى الاتحاد. وتوضح ESMA أن هذا الإشراف يكمّل مسؤوليات المؤسسات المالية ولا يحل محلها. راجع شرح ESMA لإطار الإشراف بموجب DORA.

خذ مزوّدًا صغيرًا متخصصًا مثالًا. قد تعتمد عليه وحده لتقديم خدمة مالية مهمة، رغم عدم إدراجه في قائمة المزوّدين المصنّفين رسميًا بأنهم حيويون. وبالمقابل، لا يعفيك شراء خدمة محدودة من مزوّد كبير مصنّف من تقييم الاستخدام الفعلي لها. سجّل التصنيفين كلًا على حدة، حتى لا تقود خانة مبهمة بعنوان «حيوي: نعم/لا» جميع القرارات اللاحقة.

3. اجعل السجل كاملًا ومترابطًا وواضحًا

لا يقتصر السجل على العقود التي تدعم الوظائف الحيوية أو المهمة. فالمادة 28(3) تشمل جميع الترتيبات التعاقدية لخدمات تكنولوجيا المعلومات والاتصالات التي تقدمها أطراف خارجية، مع تمييز الترتيبات الداعمة لتلك الوظائف. وتحدد اللائحة التنفيذية (الاتحاد الأوروبي) 2024/2956 النماذج الموحدة، بما فيها معلومات إضافية عن التقييم وسلسلة التوريد للوظائف الحيوية أو المهمة.

تبدأ عملية التحقق العملي من الاكتمال بمقارنة السجل بسجلات المشتريات، والمدفوعات المتكررة، وجرد التطبيقات، ومعرفة مالكي الخدمات. تعتبر الاختلافات عناصر يجب التحقيق فيها، وليست دليلاً تلقائيًا على وجود مخالفة: قد تمثل فاتورة خدمة غير متعلقة بتكنولوجيا المعلومات والاتصالات، أو قد تنتمي عدة فواتير إلى ترتيب واحد. قم بتوثيق الاستنتاج بدلاً من تجاهل عدم التطابق بصمت.

اطلب من شخص خارج الفريق الذي يدير السجل تتبع اعتماد واحد من البداية إلى النهاية. هل يستطيع تحديد المؤسسة المتعاقدة، والجهة التي تستخدم الخدمة فعليًا، والمزوّد، والوظيفة المدعومة، والمسؤول عنها، والعقد الساري؟ وهل يميّز بين التعاقد الخارجي والترتيب المرتبط به داخل المجموعة؟ إذا تعذر شرح هذه الروابط، فإن تصدير ملف صحيح تقنيًا لا يحل المشكلة الإدارية.

• عيّن مسؤولًا محددًا لحسم المسائل المفتوحة المتعلقة بالتصنيف وتوزيع المسؤوليات.
• سجّل تاريخ التغيير وسببه، ولا سيما بعد الاستحواذات أو نقل الخدمات.
• طابق التغييرات عند اعتماد خدمة جديدة، لا قبيل موعد تقديم التقرير فقط.
• اعرض على المديرين التنفيذيين فجوات التغطية والمدة التي ظلت فيها مفتوحة، بدل الاكتفاء بإجمالي عدد المورّدين.

لا يحتاج المجلس إلى اعتماد كل صف في جدول البيانات، بل إلى الاطمئنان إلى وجود مسؤول عن اكتمال السجل، وإلى وضوح ما لم يُحسم، وحصول أوجه الاعتماد المهمة على الاهتمام المناسب.

4. حوّل سياسة الأطراف الخارجية إلى نقاط لاتخاذ القرار

تصبح السياسة مفيدة عندما تؤثر في القرار قبل أن تعتمد المؤسسة على المزوّد. وبالنسبة إلى المؤسسات الخاضعة لمتطلبات السياسة ذات الصلة، تتناول اللائحة المفوّضة (الاتحاد الأوروبي) 2024/1773 دورة حياة الترتيبات الداعمة للوظائف الحيوية أو المهمة. وتلزم الهيئة الإدارية بمراجعة السياسة سنويًا على الأقل وتحديثها عند الحاجة. ينبغي التحقق من الانطباق والتناسب وفق الفئة التنظيمية للمؤسسة.

النقاط التالية نموذج تشغيلي مقترح. قبل الاختيار، يصف المسؤول عن الخدمة طبيعتها وعواقب تعطلها. وقبل التوقيع، تحدد فرق المخاطر والأمن والشؤون القانونية والمشتريات معًا المسائل العالقة. وقبل التشغيل، يثبت فريق العمليات توافر ترتيبات المراقبة والدعم والتعافي. وعند التجديد أو حدوث تغيير مهم، يعيد المسؤول تقييم صلاحية الافتراضات الأصلية.

عند كل نقطة، ميّز بين ثلاثة أمور: الأدلة التي جُمعت، والحكم المهني الذي صدر، والاستثناء الذي قُبل. فتقرير التأكيد الصادر عن المورّد دليل؛ واستنتاج أنه يغطي استخدام مؤسستك للخدمة على نحو كافٍ حكم مهني؛ والمضي قدمًا رغم فجوة لم تُعالج استثناء يتطلب قرارًا من صاحب الصلاحية وشروطًا وموعد انتهاء.

لا تجعل عبارة «قبلت إدارة الأعمال الخطر» جوابًا لكل مشكلة. حدّد من يحق له قبول كل نوع من المخاطر وفق ترتيبات الحوكمة. وصعّد الحالات التي تتجاوز عواقبها حدود تلك الصلاحية. قد يكون أهم دور للمجلس تمويل قدرة تعافٍ مفقودة، أو رفض إطلاق متعجل لم تُختبر افتراضات مرونته التشغيلية.

5. افحص مخاطر التركّز بعيدًا عن قيمة الإنفاق على المورّدين

تشمل مخاطر التركّز احتمال تعطل خدمات مترابطة، لا الاعتماد التجاري وحده. فقد يعتمد عقدان مع شركتين مختلفتين على منصة الاستضافة نفسها أو مزوّد الاتصال نفسه أو خدمة إدارة الهوية أو المقاول الفرعي نفسه. وقد تشترك منطقتان سحابيتان في منظومة إدارة واحدة. لا يستطيع مخطط توزيع الإنفاق على المورّدين الإجابة عن هذه الأسئلة المعمارية.

تتناول المادة 29 من DORA تقييم مخاطر التركّز في خدمات تكنولوجيا المعلومات والاتصالات. لنقاش عملي في المجلس، اطلب من الإدارة عرض عدد محدود من سيناريوهات التعطل المعقولة، وتوضيح الخدمات التي ستتوقف معًا. أظهر الافتراضات بوضوح: توافر الموظفين، والوصول إلى المفاتيح، والاتصال، واتساق البيانات، وسعة البديل المقترح.

قد يزيد تعدد المورّدين أيضًا التعقيد وتكاليف التشغيل ومخاطر التنسيق. فالهدف ليس حظر التركّز في جميع الحالات أو اشتراط بنية تحتية مكررة لكل شيء، بل اتخاذ قرار مستنير بشأن خطر محدد، مع خيارات واقعية ومسؤول واضح. وثّق لماذا تتناسب المعالجة المختارة مع الخطر، وما الحدث الذي يستدعي إعادة النظر فيها.

6. راجع أدلة العقد مقابل الخدمة التي تستخدمها فعليًا

لا تكفي عبارة «وُقّع ملحق DORA» لتوفير رقابة فعالة. تحدد المادة 30 المتطلبات التعاقدية، مع أحكام إضافية للخدمات التقنية التي تدعم وظائف حيوية أو مهمة. ينبغي للمستشارين القانونيين ربط المتطلبات المنطبقة بالترتيب الفعلي. والمقارنة التالية أداة عملية لفحص الأدلة، وليست صياغة تعاقدية بديلة.

اقرأ تقارير التأكيد مع فهم حدودها. ما الفترة التي تغطيها؟ وما إعدادات الخدمة التي خضعت للتقييم؟ هل تفترض تنفيذ العميل لمسؤوليات معينة؟ وهل تستبعد مكوّنًا تعتمد عليه خطة التعافي؟ قد تكون الشهادة السارية مفيدة، لكنها تترك سؤالًا تشغيليًا محددًا دون جواب.

احتفظ بسجل موجز للفجوات يربط كل مسألة بأثرها على الأعمال والضابط التعويضي والمسؤول والموعد النهائي. اعرض على المجلس المخاطر المهمة التي لم تُعالج والقرارات التي تتجاوز الصلاحيات المفوضة. لا تدفن فجوة مؤثرة خلف نسبة مرتفعة من البنود المكتملة؛ فقد تكون قدرة واحدة مفقودة أهم من إغلاق بنود كثيرة محدودة الأثر.

7. اختبر ما إذا كان يمكن تنفيذ خطة الخروج

الحق التعاقدي في إنهاء التعامل لا يساوي القدرة التشغيلية على الانتقال إلى بديل. ترد أحكام DORA الخاصة بالخروج من ترتيبات الخدمات الداعمة للوظائف الحيوية أو المهمة في المادة 28(8). وعمليًا، ينبغي للمجلس فحص افتراضات الخطة: البديل المقصود، والبيانات، والأشخاص، والوقت، والتكلفة، واستمرار الخدمة.

ميّز بين نقل الخدمة بصورة مخططة والاستجابة لتعطل طارئ. قد يكون برنامج انتقال مدته ستة أشهر واقعيًا تجاريًا، لكنه لا يصلح استجابة فورية لانقطاع الخدمة. قد تحافظ خطة التعافي على تشغيل الخدمة، بينما تعالج خطة الخروج الاعتماد على المورّد على المدى الأطول. اطلب من الإدارة شرح العلاقة بينهما، بدل تقديم أي منهما حلًا لكل الحالات.

1. اختر خدمة تمثل الحالة التي تريد اختبارها، وحدّد ما الذي يستدعي تفعيل خطة الخروج.
2. صدّر عينة مُتحكَّم بها من البيانات المطلوبة مع حماية مناسبة.
3. تأكد من أن الوجهة يمكنها قراءة ومطابقة البيانات، وليس فقط تخزين ملف.
4. تحقّق من حقوق الوصول والتراخيص والمهارات المتخصصة ودعم الانتقال المتفق عليه تعاقديًا.
5. قِس الوقت المطلوب، وحدّد الأعمال اليدوية وأوجه الاعتماد التي أغفلتها الخطة والافتراضات التي لم تُختبر.
6. حدّث التكلفة وتسلسل الخطوات والمسؤول عن التنفيذ وموعد الاختبار التالي.

هذا تسلسل اختبار مقترح، وليس دعوة إلى نقل أنظمة الإنتاج دون ضوابط. اختر اختبارات آمنة تناسب الخدمة ووثّق حدودها. إذا اختبرت عينة صغيرة فقط، فاذكر ذلك. وإذا لم يكن البديل جاهزًا، فأظهر هذا القيد بوضوح والقرار المؤقت بشأن الخطر. لا ينبغي أن تعني الحالة الخضراء مجرد وجود وثيقة.

8. قدّم للمجلس تقريرًا مختصرًا يوضح القرارات المطلوبة

يمكن بناء تقرير رقابي مفيد حول خمسة أسئلة: ما الذي تغيّر؟ ما الذي قد يتعطل معًا؟ ما الأدلة التي لم تعد تمنح الاطمئنان السابق؟ ما البدائل المتاحة؟ وما القرار المطلوب؟ هذا هيكل مقترح للتقرير. وتُحدَّد دوريته وفق مخاطر المؤسسة وترتيبات حوكمتها، لا وفق جدول ربع سنوي موحد يُنسب إلى DORA دون سند.

ركّز على أوجه الاعتماد القليلة ذات العواقب الأكبر على الأعمال، والتغييرات الحديثة التي تؤثر فيها، والإجراءات المهمة المتأخرة، والقرار القادم بشأن التعاقد أو الانتقال. فسّر الاتجاهات: ارتفاع عدد المورّدين قد يعكس تحسن اكتمال السجل، لا زيادة المخاطر. وانخفاض عدد الإجراءات المفتوحة قد يعكس معالجة فعلية أو مجرد تغيير في طريقة العد.

• اربط كل خطر جوهري بالخدمة التي يؤثر فيها والمسؤول التنفيذي عنها.
• ميّز بين قدرة تعافٍ اختُبرت فعليًا وبين هدف معلن أو وعد من المورّد.
• أظهر الاستثناءات التعاقدية والفجوات في أدلة التأكيد، والمدة التي بقيت فيها مفتوحة.
• حدّد تغيرات التركّز والافتراضات التي تحتاج إلى أدلة جديدة.
• اذكر القرار المطلوب والبدائل التي نوقشت وعواقب التأجيل.

استخدم دليل لوحة تقارير DORA لمجلس الإدارة لربط هذه المؤشرات بالرقابة الأوسع على المخاطر التقنية. وللتطبيق، أدخل أحد أوجه الاعتماد عالية الأثر في تمرين المحاكاة المكتبي للاستجابة للحوادث المخصص للمجلس. ينبغي أن تتسق أسماء الخدمات والمسؤولون عن المخاطر وافتراضات التعافي في النقاشات الثلاثة.

9. حضّر النقاش التالي حول اعتماد فعلي واحد

لا تبدأ بطلب إعادة تصميم كل تقرير لدى كل فريق. اختر خدمة مهمة واطلب سلسلة أدلة مترابطة: تقييم الوظيفة، وقيد السجل، والعقد، ومراجعة أدلة التأكيد، واختبار التعافي، وخطة الخروج. اطلب من المسؤولين المختلفين مراجعتها معًا. ستظهر سريعًا المعرّفات المتعارضة والافتراضات القديمة والإجراءات التي لم يُعيَّن لها مسؤول.

حوّل النتائج إلى خطة تحسين مختصرة. ابدأ بسد فجوات المسؤوليات والحصر، ثم عالج القرارات العاجلة بسبب التجديد أو الانتقال أو مستوى الخطر. بعد ذلك حسّن دورة الإشراف لمنع تكرار الفجوات. حدّد لكل إجراء نتيجة يمكن التحقق منها، بدل الاكتفاء بطلب عام مثل «تحسين الحوكمة».

يحتاج أعضاء المجلس أيضًا إلى فهم مشترك لدورهم. يشرح دليل متطلبات تدريب مجالس الإدارة وفق DORA كيفية ربط التعلم بمسؤوليات الحوكمة. وتقدم BlueTeam Academy دورة DORA في الأمن السيبراني لمجالس الإدارة والمديرين التنفيذيين، وهي برنامج يركز على اتخاذ القرار لقيادات المؤسسات المالية الخاضعة للائحة. البرنامج ليس تقييمًا لامتثال المؤسسة. استكمل التدريب بأدلتك وقراراتك ومتابعتك الخاصة بكل خدمة.