المرونة التشغيلية ومخاطر الأطراف الثالثة في تقنية المعلومات والاتصالات، موجز اللجان لعام 2026

انتقلت المرونة التشغيلية من مشروع تنظيمي جانبي إلى تخصص استراتيجي أساسي لمجالس الإدارة واللجان التنفيذية. فالجهات الرقابية في دول كثيرة تتوقع اليوم من المؤسسات أن تثبت قدرة خدماتها الحيوية على الصمود أمام اضطرابات شديدة لكنها واردة الحدوث، والتعافي ضمن حدود التحمّل المعلنة، والتواصل بشفافية في أثناء ذلك. ويخلق تلاقي المرونة التشغيلية مع إدارة مخاطر تقنية المعلومات والاتصالات (ICT) والرقابة على الأطراف الثالثة تحدياً واحداً للحوكمة لا يمكن تفويضه إلى إدارة واحدة بمفردها.

يقوم أي برنامج للمرونة على تعريف موثوق لخدمات الأعمال المهمة. وهذه ليست عمليات داخلية ولا أنظمة تقنية، بل هي النتائج التي يعتمد عليها المستخدمون النهائيون والعملاء والأطراف المقابلة، مثل معالجة المدفوعات، وتسوية الصفقات، وإصدار وثائق التأمين، وإتاحة الوصول إلى الودائع. ويتطلب تحديدها تعاوناً بين مسؤولي المنتجات وفرق المخاطر وقادة العمليات، لأن الصياغة يجب أن تكون ذات معنى للجهات التنظيمية وقابلة للتنفيذ لدى المهندسين في آن واحد.

يُعد الفصل بين ضرر العميل والإزعاج الداخلي أدق اختبار لبرنامج مرونة أُحسن تحديد نطاقه. فتأخر تقرير إداري داخلي مجرد إزعاج. أما عجز العميل عن الوصول إلى أمواله، أو تنفيذ صفقة، أو تقديم مطالبة تأمين، فضرر حقيقي له تبعات تنظيمية وتبعات على السمعة. لذا ينبغي لمجالس الإدارة أن تصرّ على تصنيف واضح يميّز بين الفئتين، بما يضمن توجيه الاستثمار في المرونة نحو السيناريوهات الأهم للأشخاص الذين تخدمهم المؤسسة.

تحدد حدود تحمّل الأثر أقصى مستوى من الاضطراب تقبله المؤسسة لكل خدمة من خدمات الأعمال المهمة. وهي ليست أهدافاً زمنية للاستعادة مستعارة من خطط التعافي من الكوارث. فحدود تحمّل الأثر تراعي في آن واحد مدة الاضطراب، وعدد العملاء المتأثرين، وسلامة البيانات، والخسارة المالية. ووضع حدود تحمّل موثوقة يتطلب تحليلاً كمياً لا عبارات طموحة. والمؤسسات التي تعبّر عن حدود التحمّل بزمن التعافي وحده كثيراً ما تكتشف أنها عالجت البعد الخطأ من ضرر العميل.

يوزّع نموذج الطبقات الذي يعرضه هذا الموجز المسؤوليات بوضوح، من حوكمة مجلس الإدارة حتى التنفيذ التشغيلي. ففي القمة، تحدد لجنة المخاطر في مجلس الإدارة مستوى تقبّل المخاطر وتراجع حالات تجاوز حدود التحمّل. ودونها، تنسّق وظيفة مخصصة للمرونة أعمال تحديد الاعتماديات واختبارها بالتعاون بين الإدارات. وتضم الطبقة التشغيلية فرق التقنية والعمليات وإدارة المورّدين المسؤولة عن الضوابط اليومية. والحدود الواضحة بين الطبقات تمنع تداخل اللجان وتكرار المفردات، وهما أمران يبطئان اتخاذ القرار خلال الحوادث الفعلية.

أصبح تركّز الاعتماد على الأطراف الثالثة في تقنية المعلومات والاتصالات محوراً رئيسياً لاهتمام الجهات الرقابية. فمزوّدو البنية التحتية السحابية، ومورّدو بيانات الأسواق، ومنصات الأنظمة المصرفية الأساسية، وخدمات التحقق من الهوية، يمثّل كل منها نقطة إخفاق منفردة محتملة. ولا تطلب الجهات التنظيمية من المؤسسات تجنّب التركّز كلياً، فذلك غير عملي. بل تتوقع أدلة موثقة على أن المؤسسات تفهم مواطن التركّز لديها، وقيّمت تبعاتها النظامية، وتحتفظ بترتيبات طوارئ بديلة موثوقة. ويشكّل سجل لمزوّدي تقنية المعلومات والاتصالات الحيويين، يُحدَّث كل ربع سنة، الحد الأدنى من الأدلة المطلوبة.

قابلية الاستبدال هي السؤال العملي الكامن وراء كل نقاش حول التركّز. ما السرعة التي تستطيع بها نقل وظيفة حيوية إلى مزوّد بديل، أو منطقة بديلة، أو إجراء يدوي بديل خاضع للرقابة، دون تجاوز حدود تحمّل الأثر المعلنة؟ والإجابة الصادقة عن هذا السؤال تتطلب إثباتاً تقنياً لا تطمينات من فريق المشتريات. فالمؤسسات التي اختبرت فعلاً التحويل إلى منطقة سحابية ثانوية، أو المعالجة اليدوية للمدفوعات تحت ضغط الوقت، تحظى بمصداقية مختلفة جذرياً في حواراتها مع الجهات الرقابية مقارنة بتلك التي تعتمد على خطط نظرية.

تحتفظ المؤسسات الرائدة بسجل محدَّث باستمرار لدواعي الخروج من كل علاقة جوهرية مع طرف ثالث في تقنية المعلومات والاتصالات. ودواعي الخروج لا تقتصر على انتهاء العقد، بل تشمل التراجع المستمر في مستوى الخدمة، والحوادث الأمنية التي تمس الثقة، والتغيرات في ملكية المورّد أو وضعه المالي، والإجراءات التنظيمية المتخذة ضد المزوّد. ويوثّق السجل الداعي، ودليل إجراءات الاستجابة، والمدة التقديرية للانتقال، وتاريخ آخر مراجعة للدليل. أما السجلات الجامدة التي تُهمل بين المراجعات السنوية فلا تمنح الجهات الرقابية إلا قدراً محدوداً من الاطمئنان.

تستحق البنود التعاقدية اهتماماً أكبر مما تحظى به عادةً في مرحلة الشراء الأولى. فالحصول على سجلات التدقيق خلال الحوادث، والحق في المشاركة في اختبارات المرونة المشتركة، والشفافية بشأن سلاسل المعالجين من الباطن، وضمان التعاون في سيناريوهات الخروج، ليست أحكاماً معتادة في معظم اتفاقيات المورّدين. وإعادة التفاوض على هذه الشروط بعد وقوع الحادث مكلفة وبطيئة. لذا تستفيد فرق المشتريات والشؤون القانونية من مكتبة موحّدة للبنود مرتبطة بالتوقعات التنظيمية الخاصة بترتيبات الإسناد الخارجي الجوهرية.

يُعد تصميم السيناريوهات المجال الذي تتعثر فيه برامج المرونة أكثر من غيره. فالسيناريوهات الفعالة محددة بما يكفي لتُفضي إلى إجراءات وقرارات قابلة للقياس. وهي تسمّي الخدمة المتأثرة، ونمط الإخفاق، ووقت الحدوث، ومسار التصعيد، والتزامات التواصل. أما السيناريو الذي يكتفي بعبارة «انقطاع مزوّد السحابة» دون تحديد الخدمات المتأثرة، وساعات العمل التي يقع فيها، وتسلسل التواصل مع العملاء، فلا يوفّر أساساً كافياً لاختبار ذي معنى أو لطمأنة مجلس الإدارة.

تظل تمارين المحاكاة النظرية أيسر أشكال اختبار المرونة، ومع ذلك تنفذها مؤسسات كثيرة تنفيذاً ضعيفاً. فالتمرين الفعال يعرض سيناريو تتوالى مستجداته، فيضطر المشاركون إلى اتخاذ قرارات حقيقية تحت ضغط الوقت. وينبغي أن يشارك فيه كبار صنّاع القرار، لا الموظفون التشغيليون وحدهم، لأن قيمته تكمن في اختبار سلاسل التواصل ومسارات التفويض. والأدلة الموثقة بالتوقيت على القرارات المتخذة خلال التمرين هي المخرَج الأساسي للمراجعة الرقابية.

وبعد تمارين المحاكاة النظرية، تُجري المؤسسات ذات البرامج الأنضج تمارين محاكاة عملية تشمل التحويل الفعلي للأنظمة عند التعطل، والانتقال إلى مزوّدين احتياطيين، وتفعيل إجراءات المعالجة اليدوية. وتولّد هذه التمارين بيانات كمية عن أزمنة التعافي، ومعدلات الأخطاء في أثناء التشغيل بقدرة منقوصة، وتأخر التواصل، لا تستطيع تمارين المحاكاة النظرية وحدها توفيرها. والاستثمار المطلوب أعلى بكثير، لكن الأدلة الناتجة أكثر إقناعاً بالقدر نفسه للجهات الرقابية التي تقيّم ما إذا كانت مرونة المؤسسة حقيقية لا مجرد طموح.

تؤدي الإدارات التقنية دوراً محورياً في تحويل بيانات القياس الهندسية إلى مؤشرات مرونة ذات صلة بالأعمال. فلوحات صحة الخدمات التي تقيس زمن الاستجابة ومعدلات الأخطاء ومعدل المعالجة على مستوى البنية التحتية يجب ربطها بخدمات الأعمال المهمة، بحيث يتحول أي تراجع في مجموعة خوادم قاعدة البيانات أو في طابور الرسائل فوراً إلى تقييم للأثر على العملاء. ومن دون هذا الربط، يكتشف المهندسون المشكلات سريعاً، بينما لا يعلم التنفيذيون بالضرر اللاحق بالعملاء إلا بعد تصاعده على وسائل التواصل الاجتماعي أو ورود استفسار من جهة تنظيمية.

يشكّل رسم خرائط الاعتماديات النسيج الرابط بين البنية التقنية وحوكمة المرونة. فالخريطة الشاملة تتتبّع كل خدمة من خدمات الأعمال المهمة عبر مكونات التطبيقات، وطبقات البنية التحتية، ومخازن البيانات، ومسارات الشبكة، وواجهات الأطراف الثالثة. والحفاظ على دقتها يتطلب أدوات اكتشاف آلية تكمّلها مراجعة يدوية، لأنه لا توجد تقنية فحص واحدة تلتقط سلسلة الاعتماديات كاملة. والخرائط التي لا تُحدَّث إلا سنوياً تفقد موثوقيتها خلال أسابيع من إعدادها، مع تراكم عمليات النشر وتغييرات الإعدادات.

يخصص هذا الموجز قسماً لفرق المشتريات والشؤون القانونية يتضمن قائمة تحقق للتعديلات الجوهرية على العقود. وتغطي القائمة أحكام الوصول لأغراض التدقيق، ومتطلبات المشاركة في الاختبارات المشتركة، والتزامات الإفصاح عن المعالجين من الباطن، ومهل الإبلاغ عن الحوادث، والتزامات التعاون عند الخروج. ويرتبط كل بند بتوقع تنظيمي محدد مستمد من الإرشادات الرقابية الحديثة. وتطبيق هذه التعديلات استباقياً، لا كرد فعل بعد وقوع حادث، يقلّص الوقت المهدور في الخلاف حين تحدد سرعة الاستجابة حجم الضرر اللاحق بالعملاء.

يتضمن الموجز خارطة طريق للتنفيذ مدتها 12 شهراً، صُمّمت عمداً لتكون قابلة للتحقيق لا طموحة. فيركّز الربع الأول على معالجة جودة البيانات وتحديد الخدمات الحيوية. ويُنجز الربع الثاني رسم خرائط الاعتماديات والمعايرة الأولية لحدود تحمّل الأثر. ويطلق الربع الثالث الجولة الأولى من سيناريوهات تمارين المحاكاة النظرية وجمع إقرارات المورّدين. ويُجري الربع الرابع مراجعة شاملة للبرنامج، ويحدّث إطار التقارير المرفوعة إلى مجلس الإدارة، ويضع جدول الاختبارات للسنة التالية. وتصمد خارطة الطريق أمام تغيّر القيادات لأنها تتجنب الافتراضات المفرطة في التفاؤل.

تتناول الفحوص الرقابية عادةً ثلاثة محاور: أدلة على رقابة مستنيرة من مجلس الإدارة، وإثبات أن الدروس المستفادة من الحوادث السابقة أثمرت تحسينات ملموسة في الضوابط، وبرهان على أن مخاطر الأطراف الثالثة مدمجة في الإطار الأشمل لإدارة المخاطر المؤسسية لا تعمل بمعزل عنه. والمجالس التي لا تتلقى سوى درجات مخاطر مجمّعة دون سياق سردي داعم تجد صعوبة في إثبات قدرتها على المساءلة المستنيرة. ويقدّم الموجز نموذجاً لتقارير مجلس الإدارة يوازن بين الإيجاز والتحديد الذي تتوقعه الجهات الرقابية.

ومن الملاحظات الشائعة في الفحوص: برامج مرونة موجودة على الورق تفتقر إلى أدلة تشغيلية، وحدود تحمّل للأثر وُضعت دون تحليل داعم، وسجلات للأطراف الثالثة تُغفل اعتماديات حيوية، واختبار سيناريوهات لم يشارك فيه كبار القادة. وكل ملاحظة منها تمثّل مجالاً تثير فيه الفجوة بين السياسة الموثقة والواقع التشغيلي قلق الجهات الرقابية. ويربط ملحق هذا الموجز كل ملاحظة شائعة بإجراء علاجي، بما يمكّن المؤسسات من إجراء تقييم ذاتي صادق قبل المراجعة الخارجية.

المرونة التشغيلية تخصص مستمر، لا مشروع امتثال له تاريخ انتهاء. والمؤسسات التي تتعامل معها بوصفها قدرة دائمة، مدمجة في قرارات التقنية وإدارة المورّدين وحوكمة مجلس الإدارة، تبني صموداً حقيقياً. أما المؤسسات التي تتعامل معها كتمرين تنظيمي دوري فستجد نفسها تعالج الفجوات ذاتها مراراً. استخدم هذا الموجز إطاراً مرجعياً وأداةً للتقييم الذاتي معاً، وعُد إليه كلما تطورت توقعات الجهات الرقابية.