الإجابة المختصرة
تلزم المادة 5(4) من DORA أعضاء الهيئة الإدارية بتحديث معارفهم ومهاراتهم في مخاطر تكنولوجيا المعلومات والاتصالات، من خلال تدريب متخصص ومنتظم يتناسب مع المخاطر التي يديرونها. لكنها لا تفرض موعدًا سنويًا موحدًا للجميع. ضع دورة تدريب موثقة تراعي التوقعات الرقابية المنطبقة، واستجب للتغييرات المهمة قبل موعد التدريب التنشيطي المعتاد التالي.
1. ما الذي تتطلبه أحكام التدريب فعليًا
بدأ تطبيق DORA في 17 يناير 2025. ابدأ بتحديد نطاق انطباقه على المؤسسة المالية والإطار الذي تخضع له. في الإطار العام، تتناول المادة 5(4) قدرة الهيئة الإدارية على فهم مخاطر تكنولوجيا المعلومات والاتصالات وتقييمها وتقدير أثرها على العمليات. الهدف هو تحديث المعرفة وتحسين الحكم المهني، وليس إعادة الشرائح نفسها كل اثني عشر شهرًا. ولا تحدد صياغة المادة فترة زمنية موحدة للجميع.
تتناول المادة 13(6) إلزامية التوعية بأمن تكنولوجيا المعلومات والاتصالات والتدريب على المرونة التشغيلية الرقمية للموظفين والإدارة العليا. ويجب أن يتناسب مستوى التعقيد مع مسؤوليات كل وظيفة، مع إشراك مورّدي خدمات تكنولوجيا المعلومات والاتصالات المعنيين عند الاقتضاء. أما المؤسسات المؤهلة للإطار المبسط في المادة 16 فتخضع لأحكام مختلفة، منها تدريب الموظفين والإدارة بحسب احتياجاتهم بموجب المادة 16(1)(h). لذلك لا تعتبر مادة تدريب الهيئة الإدارية أساسًا قانونيًا ينطبق على كل متعلّم أو مؤسسة.
هذه الفروق مهمة عند إعداد جدول التدريب. فقد يحتاج عضو مجلس إدارة ومنسق حوادث وموظف خدمة عملاء إلى التدريب بعد الانقطاع نفسه، لكن القرارات المطلوبة ومستوى التفاصيل يختلفان بينهم. وقد تخدم إحاطة مشتركة عدة احتياجات؛ ولا يعني ذلك وجوب شراء دورات منفصلة. اقرأ دليل متطلبات تدريب مجالس الإدارة قبل تحويل الالتزام القانوني إلى مواصفات شراء.
2. التدريب التنشيطي السنوي خيار في تصميم البرنامج
يمكن للتدريب التنشيطي السنوي أن يوفر أساسًا منتظمًا للتخطيط والميزانية ومتابعة التدريب التمهيدي، وأن يتيح للمجلس مراجعة أولوياته التدريبية. لكن وصفه بأنه الدورية الوحيدة التي يسمح بها DORA يخلط بين تصميم مزوّد التدريب لمنتجه ونص اللائحة. وضّح سبب اختيار هذه الوتيرة، وحدّد الأحداث التي قد تستدعي تقديم موعد التدريب.
قد تؤثر توقعات رقابية أخرى في هذا القرار. فعلى سبيل المثال، تتناول توقعات البنك المركزي الأوروبي المنشورة بشأن الممارسات الجيدة لخبرات مجالس البنوك في التكنولوجيا والأمن موضوع التدريب السنوي. هذا سياق مهم للبنوك المعنية، لكنه لا يبرر الادعاء بأن القاعدة نفسها تنطبق على جميع المؤسسات المالية. وعلى فريق الامتثال تحديد التوجيهات الرقابية والمتطلبات الوطنية المنطبقة إلى جانب إطار DORA.
نوصي في BlueTeam Academy بالتدريب التنشيطي السنوي كخيار تخطيطي. ويمكن لمسؤولي الشركة اختيار فترة مراجعة مختلفة بحسب الأدوار والمخاطر. يحدد هذا الإعداد موعدًا داخليًا للمراجعة، ولا يثبت أن الفترة المختارة تفي بكل الالتزامات. ينبغي أن يستطيع مجلس الإدارة شرح مبررات اختياره، والمعلومات التي استند إليها، ومن سيعيد النظر في القرار إذا تغيرت المخاطر. فالجدول وحده لا يعوّض خطة تدريب مبنية على أسباب واضحة.
3. حدّد التغييرات التي تستدعي تقديم موعد التدريب
يجب أن يستوعب البرنامج التغييرات التي تحدث بين الجلسات المخططة، مثل إطلاق خدمة مهمة، أو تغيير مزوّد سحابي أو منصة لإدارة الهوية، أو الاستحواذ على شركة، أو وقوع حادث جوهري، أو تكرار ملاحظة تدقيق، أو تولّي عضو مجلس إدارة دورًا جديدًا. اسأل: هل يغير الحدث المعرفة المطلوبة من الأشخاص المعنيين أو القرارات التي يتخذونها؟ لا يستلزم كل تعديل تقني دورة للمجلس، لكن التغييرات المهمة تستحق تقييمًا معللًا.
تخيّل مؤسسة مدفوعات تنقل بيئة التعافي إلى المنصة السحابية نفسها التي تشغّل خدمتها الأساسية. أكمل المجلس وحدة استمرارية الأعمال قبل شهرين. إذا انتظر عشرة أشهر أخرى لمناقشة هذا التركّز في الاعتماد، فقد يستمر أعضاؤه في الاستناد إلى افتراض لم يعد صحيحًا بشأن التعافي. يمكن لإحاطة محددة وتمرين لاتخاذ القرار معالجة الفجوة دون تكرار البرنامج بالكامل.
أنشئ سجلًا مبسطًا يوضح التغيير، والخدمة المتأثرة، والأدوار المعنية، والاحتياج التدريبي، والنشاط المقترح، والمسؤول عنه، وأدلة إتمامه. اربطه بإجراءات إدارة المخاطر أو حوكمة التغيير المعتادة، بدلًا من الاعتماد على تذكّر أحدهم جدول التدريب. وبعد أي حادث، استفد من دروس اتخاذ القرار والتصعيد، لا من السبب التقني وحده. فالإجراء الجديد لا يحقق فائدته إلا إذا فهم من سيطبقونه ما الذي ينبغي فعله بصورة مختلفة.
4. ابنِ الخطة على الأدوار والخدمات المالية
تبدأ الخطة المفيدة بالأشخاص والخدمات التي تقع ضمن مسؤولية المؤسسة. حدّد أعضاء الهيئة الإدارية وواجباتهم الرقابية، ثم مسؤوليات الإدارة العليا والأدوار التشغيلية التي تتطلب وعيًا أو مهارات محددة في المرونة التشغيلية. اربط هذه المسؤوليات بالخدمات والبيانات المهمة والأنظمة التي تعتمد عليها وأوجه التعطل المتوقعة. بهذه الطريقة تكون الخطة أمتن من مجرد إسناد المحتوى نفسه إلى كل حساب في دليل الموظفين.
بالنسبة إلى المجلس، قد يكون الهدف هو القدرة على مناقشة حدود تقبّل المخاطر والاستثمارات وأدلة التعافي والاعتماد المهم على المورّدين. وبالنسبة إلى منسق الحوادث، قد يكون الهدف دقة التصنيف والتصعيد والتنسيق وفق الإجراءات المعتمدة. أما الموظف الذي يتعامل مع تعليمات العملاء فقد يحتاج إلى اكتشاف مؤشرات خلل في سلامة البيانات والإبلاغ عنها بسرعة. هذه النتائج مترابطة، لكن اختبارًا عن الاستخدام الآمن لكلمات المرور وحده لا يثبت جودة قرارات المجلس بشأن التعافي أو تخصيص الموارد.
اجعل عمق التدريب متناسبًا مع الحاجة. فالمسؤول عن خدمة ذات اعتماد معقد على أنظمة مشتركة قد يحتاج إلى سيناريوهات أكثر تفصيلًا من العرض التمهيدي. وثّق الحد الفاصل بين المحتوى المشترك والإحاطات أو ورش العمل الخاصة بالمؤسسة. وإذا لم يُحسم الإطار القانوني المنطبق بعد، فسجّل ذلك كإجراء مفتوح وحدّد المسؤول عنه. لا تعرض الإعداد الافتراضي لنظام التعلم وكأنه قرار قانوني بشأن نطاق الانطباق.
5. دورة عملية من التأهيل الأولي إلى التدريب التنشيطي
يمكن البدء بالتدريب التمهيدي، ثم برنامج أساسي مشترك للقيادات، ثم مناقشة خدمات المؤسسة الفعلية، وأخيرًا مراجعة دورية للتغييرات. يعرّف البرنامج الأساسي المصطلحات وأساليب اتخاذ القرار. وتختبر المناقشة مدى صلاحية هذه الأساليب لتصميم التعافي وسلسلة المورّدين وترتيبات الحوكمة الفعلية. ثم تبحث المراجعة الدورية ما تغيّر، وأي الافتراضات السابقة يحتاج إلى أدلة جديدة.
مثلًا، قد يُكمل عضو مجلس إدارة جديد البرنامج المخصص للمجلس، ويحضر إحاطة عن الخدمات، ويسجّل الأسئلة التي يريد من الإدارة الإجابة عنها. ويمكن لأمين المجلس أو مسؤول التدريب متابعة الإنجاز وفق المواعيد المتفق عليها. وفي المراجعة التالية، يراجع العضو التغييرات في المسؤوليات والمخاطر التي لم تُحسم، ثم يأخذ تدريبًا تنشيطيًا أو يشارك في تمرين محدد. تتبع المواعيد احتياجات المؤسسة والتوقعات المنطبقة؛ فهذا تسلسل توضيحي وليس جدولًا إلزاميًا.
اربط الأنشطة بعضها ببعض. إذا كشفت ورشة عمل أن التعافي يعتمد على عنصر لم يُختبر، فينبغي أن ينتج عنها إجراء واضح وطلب أدلة لمراجعته لاحقًا. ويعود التدريب التنشيطي التالي إلى نتيجة الإجراء: هل حسّن قدرة الخدمة؟ هكذا يصبح التعلم جزءًا من الإشراف المستمر. ويساعد ذلك الشركة على تقييم الدورة بحسب القرارات التي تدعمها، بدل الاكتفاء بعدد الفيديوهات أو شكل الشهادة أو استخدام المزوّد لكلمة «الامتثال».
6. وثّق التدريب وما تبقى من فجوات
احتفظ لكل متعلّم ببيانات هويته ومؤسسته ودوره المهني، والوحدات المسندة إليه، وإصدار الدورة وتواريخ الإتمام. سجّل نتائج التقييم ومعرّف شهادة الإتمام إن صدرت. وافصل سجلات التدريب التنشيطي وورش العمل الخاصة بالشركة عن سجل الدورة الأساسية. يجب ألا يغيّر تعديل عنوان الدورة دلالة سجل إتمام سابق دون توضيح.
يجب أن يُظهر تقرير الشركة الفجوات والإنجازات معًا: من لم يبدأ، والوحدات غير المكتملة، والتقييمات التي لم تُجتز أو لم تُؤدَّ بعد، والتكليفات المتأخرة، وأنشطة المتابعة. فقد تُخفي نسبة الإتمام الإجمالية أن أعضاء المجلس المسؤولين عن خدمة حيوية لم يُكملوا التدريب المناسب لها. استخدم التقرير لتحديد من يحتاج إلى دعم أو نشاط مختلف، ولا تتعامل معه باعتباره درجة للامتثال التنظيمي.
للأدلة حدود. فالوقت المقضي على صفحة لا يثبت الفهم. والاختبار ذو الإجابات المحددة يقيّم عينة من القرارات، لا الكفاءة في كل حادث فعلي. وقد يكشف التبرير المكتوب والنقاش الموجّه عن افتراضات خفية، لكن يجب أن يوضح السجل ما إذا كانت الإجابات قد روجعت فعلًا. وإذا سجّل مسؤول الشركة حضور ورشة عمل، فبيّن أنه إقرار صادر عن المسؤول. راجع دليل شهادات تدريب DORA لفهم الفرق بين إثبات إتمام التدريب وادعاءات الاعتماد غير المدعومة.
7. مثال: استجابة مجلس الإدارة لتغيّر الاعتماد على الخدمات السحابية
تخطط شركة تأمين افتراضية لتدريب تنشيطي اعتيادي للقيادات في نوفمبر. وفي مارس، يؤدي تغيير المورّد إلى اعتماد خدمتين موجهتين للعملاء على منصة إدارة الهوية نفسها. وفي أبريل، ينجح تمرين التعافي في استعادة البيانات، لكنه لا يختبر تعطل تلك المنصة. يلاحظ مسؤول التدريب أن أعضاء المجلس قد يعتبرون وجود عقدين منفصلين دليلًا على استقلال مساري التعافي. الفجوة هنا هي افتراض غير صحيح بشأن نقاط الاعتماد المشتركة.
تنظم المؤسسة إحاطة قصيرة عن الخدمة وتمرينًا للمجلس قبل اعتماد قرار التجديد. يحدد المشاركون نقطة الاعتماد المشتركة، ويفحصون مبررات تقدير مدة التعافي، ويطلبون الأدلة اللازمة. يوثق السجل التاريخ والأدوار والسيناريو والقرارات والإجراءات المفتوحة. يتولى الفريق التقني اختبارًا يحاكي ظروف التعافي ذات الصلة، ويتولى المسؤول عن الخدمة قرار قبول المخاطر المتبقية. التدريب لا يحل محل أي من هاتين المسؤوليتين.
في نوفمبر، يعود التدريب التنشيطي إلى نتيجة الاختبار وأسئلة المجلس السابقة. وإذا ظل الخطر دون معالجة، فيجب أن يوضح التقرير ذلك. إتمام التدريب لا يحوّل ضابطًا غير فعّال إلى ضابط ناجح. يبيّن المثال أهمية الجمع بين الجدول المنتظم والتدريب الذي تستدعيه الأحداث: الجدول يضمن الاستمرارية، والاستجابة للتغييرات تحافظ على ملاءمة المعرفة للقرارات التي لا تحتمل الانتظار.
8. ضع الخطة في مساحة عمل الشركة
استخدم دورة DORA في الأمن السيبراني لمجالس الإدارة والمديرين التنفيذيين أساسًا مشتركًا لتدريب القيادات، ثم أضف سياق شركتك. يتضمن البرنامج الأساسي ثماني وحدات، وتمارين مكتوبة لاتخاذ القرار، وتقييمًا قائمًا على سيناريوهات. والمدة المقدرة، نحو ثلاث ساعات، تشمل الدراسة الموجّهة والتمارين؛ وليست حدًا أدنى يفرضه القانون ولا ضمانًا لكفاية التدريب لكل دور.
يساعد التدريب التنشيطي المنفصل للمجلس على مراجعة تغيّر المسؤوليات وافتراضات التعافي والدروس المستفادة من المورّدين أو التدقيق. يستطيع مسؤولو الشركة إسناده إلى الأشخاص المعنيين وتتبع إتمامه مستقلًا عن البرنامج الأصلي. ويمكن توثيق ورش العمل بعد انعقادها، مع تسجيل الميسّر والمشاركين والأهداف والقرارات. أبقِ الإجراءات التشغيلية المفتوحة ضمن عملية الحوكمة المعتادة، إلى جانب توثيق التدريب الذي نتج عنها.
قبل اعتماد الخطة، اتفق مع المسؤولين عن التدريب والمخاطر والامتثال على نطاقها. حدّد من يتولى تحديث الجدول، ومن يتلقى تقارير التأخير، وما التغييرات التي تستدعي تدريبًا محددًا، وكيف ستقيّم المراجعة التالية تحسّن الفهم. تحديد هذه المسؤوليات أهم من مجرد اختيار موعد متكرر.
أسئلة يطرحها القادة
هل يعني التدريب المنتظم التدريب مرة كل عام؟
لا تحدد أحكام التدريب في DORA دورية سنوية واحدة للجميع. قد يكون التدريب التنشيطي السنوي مناسبًا لكثير من المؤسسات، مع مراعاة التوقعات الرقابية المنطبقة. وثّق مبررات جدولك، وأدوار المشاركين ومخاطر تكنولوجيا المعلومات والاتصالات، وحدّد كيف تستدعي التغييرات المهمة تقديم موعد التدريب. لا تعرض موعد التجديد المعتاد لدى المزوّد وكأنه نص صريح في اللائحة.
هل يجب تكرار الدورة بالكامل بعد كل تغيير؟
لا تفرض هذه الأحكام قاعدة عامة تلزم بإعادة الدورة نفسها بعد كل تغيير. قيّم أثر التغيير على المعارف والمهارات والقرارات المطلوبة من صاحب الدور. قد تكون إحاطة محددة أو تمرين محاكاة أو وحدة محدّثة أنسب لسد الفجوة. احتفظ بسجل الدورة السابقة، ووثّق النشاط الجديد بصورة منفصلة مع غرضه وإجراءات المتابعة.
هل يثبت إتمام التدريب التنشيطي امتثال الشركة لـ DORA؟
لا. إنه دليل على نشاط تدريبي وعلى نتيجة التقييم المسجلة، إن أُجري تقييم. أما امتثال المؤسسة فيشمل الحوكمة والضوابط والالتزامات الأوسع المنطبقة عليها. ويوضح السجل التدريبي الموثوق ما دُرّس وما قُيّم، والإصدار المستخدم، والمسائل التي لم تُحسم. ينبغي أن يدعم الإشراف المستنير، لا أن يُروَّج له كبديل عنه.
المصادر وقراءات إضافية
نصوص التشريعات والمواد الرقابية الأصلية. الأمثلة العملية والقوالب في هذا الدليل مقترحات، وليست نماذج تنظيمية مفروضة.
- DORA: المواد 5 و13 و16
- أسئلة وأجوبة EIOPA، المرجع 250–3380: التدريب والتناسب
- البنك المركزي الأوروبي: الخبرات المتوقعة من مجالس البنوك في التكنولوجيا والأمن
هذا دليل تعليمي. تحقّق مع فريق الشؤون القانونية والامتثال من نطاق التطبيق على كيانك، والإطار الذي يخضع له، والمتطلبات الرقابية ذات الصلة.
