كان سجل مخاطر الموردين لدى شركة تقنية قد نما بشكل كبير على مدى ثلاث سنوات من نضج برنامج TPRM. فكل دورة تقييم كانت تضيف نتائج إلى السجل. وكان السجل يُظهر جميع النتائج في واحدة من ثلاث حالات: مفتوحة (لم تبدأ المعالجة)، أو قيد المعالجة (أقر المورد بها وبدأ معالجتها)، أو مقبولة (قُبلت رسميًا باعتماد من مالك الأعمال). وخلال مراجعة للحوكمة، طلب CISO البنود المفتوحة عالية الأولوية الحالية التي تتطلب اهتمامًا فوريًا. فصفّى فريق المخاطر السجل لعرض البنود المفتوحة عالية الأولوية: سبعة وأربعون إدخالًا. وعند السؤال عن عدد ما بقي منها في السجل لأكثر من ستة أشهر، كانت الإجابة واحدًا وثلاثين. ولأكثر من اثني عشر شهرًا: تسعة عشر. ولأكثر من ثمانية عشر شهرًا: أحد عشر. وعند السؤال عن عدد ما أُغلق منها، أي عولج بالكامل وأزيل من السجل، خلال الأشهر الاثني عشر الماضية، كانت الإجابة صفرًا. فالسجل لم تكن لديه قط عملية إغلاق. كانت البنود تُضاف عندما تكشف التقييمات عن مشكلات، وتُحدَّث عندما يبلغ الموردون عن تقدم في المعالجة، وتُقبل عندما يعتمدها مالكو الأعمال. ولم يُغلق أي شيء رسميًا ويُزَل قط. لقد وثّق السجل بدقة كل نتيجة أُضيفت منذ بدء البرنامج، لكنه لم يمثل بدقة المشهد الحالي لمخاطر الموردين.
ما حقيقة مشكلة دقة سجل المخاطر؟
سجل المخاطر هو الجرد المرجعي للمخاطر المحددة التي تجري إدارتها حاليًا، أي مشهد المخاطر النشطة الذي تستخدمه عمليات الحوكمة لتحديد أولويات المعالجة وتخصيص الموارد ورفع التقارير إلى القيادة. ودقة سجل المخاطر هي مدى تعبير السجل عن بيئة المخاطر الحالية بدلًا من السجل التاريخي لجميع المخاطر التي حُدِّدت في أي وقت. والسجل الدقيق للمخاطر يتسع عند تحديد مخاطر جديدة، ويتقلص عند معالجة المخاطر، أو قبولها بعد مراجعة مناسبة، أو تجاوزها بفعل ظروف غيّرت ملف المخاطر. أما السجل الذي لا يفعل سوى الاتساع فلا يحافظ بدقة على صورة المخاطر الحالية، بل يراكم النتائج دون التحقق من استمرار ارتباطها بالواقع.
فجوة عملية الإغلاق هي الإخفاق الهيكلي الذي يُنتج سجلات تتسع دون أن تتقلص. فلسجلات المخاطر عمليات إضافة محددة جيدًا، إذ توثَّق نتائج التقييم وتُصنَّف وتُضاف عبر مسارات عمل محددة. أما معظم سجلات المخاطر فعمليات الإغلاق فيها ضعيفة التحديد أو غائبة تمامًا، أي معايير تأكيد معالجة الخطر وإزالته من السجل النشط، والأدلة المطلوبة لتأكيد الإغلاق، واعتماد الحوكمة المطلوب قبل إغلاق النتيجة. ومن دون عملية إغلاق محددة، تتراكم النتائج إلى أجل غير مسمى بصرف النظر عما إذا كان الخطر الأساسي قد عولج.
مشكلة تضخم الحالة هي النمط الثاني لإخفاق الدقة. فالنتائج التي بقيت في حالة «قيد المعالجة» ستة أشهر أو اثني عشر شهرًا أو ثمانية عشر شهرًا دون تقدم مُتحقَّق منه إما أنها تعثرت فعلًا، وإما أنه يجري الإبلاغ عنها على أنها قيد التنفيذ دون تقدم ملموس. وفي الحالتين، تقدم حالة «قيد المعالجة» صورة مضللة، إذ توحي بأن معالجة نشطة جارية في حين أن النتيجة أصبحت في الواقع قبولًا طويل الأمد متنكرًا في هيئة عمل مستمر. وتتطلب حالة «قيد المعالجة» الحقيقية تحققًا دوريًا من أن المعالجة تتقدم، لا مجرد إقرار المورد بالنتيجة.
- غياب عملية الإغلاق: إضافة النتائج دون عملية محددة لإزالتها عند معالجتها
- تضخم الحالة: نتائج تبقى في حالة «قيد المعالجة» لفترات طويلة دون تقدم مُتحقَّق منه
- الخلط بالأرشيف التاريخي: سجل يخلط المخاطر النشطة الحالية بإدخالات معالَجة وقديمة ومتجاوَزة
- غياب الإغلاق القائم على الأدلة: الموردون يبلغون عن المعالجة دون التحقق من الأدلة قبل الإغلاق
- حجم السجل يحجب الأولوية: تزايد عدد الإدخالات يجعل تحديد البنود عالية الأولوية القائمة فعلًا أكثر صعوبة
لماذا يهم هذا
تكتسب دقة سجل المخاطر أهمية بالنسبة لـTPRM لأن السجل هو الأداة الرئيسية لاتخاذ قرارات الحوكمة، أي تحديد أولويات موارد المعالجة، ورصد البنود عالية الخطورة، وإبلاغ القيادة بالمخاطر الحالية. والسجل الذي يخلط المخاطر النشطة الحالية بإدخالات قديمة ونتائج متضخمة الحالة يُفضي إلى قرارات حوكمة مبنية على صورة غير دقيقة للمخاطر. فالقيادة التي تراجع سجلًا يضم سبعة وأربعين بندًا مفتوحًا عالي الأولوية قد يكون انزعاجها في محله، لكن إذا كان تسعة عشر بندًا منها مفتوحة منذ أكثر من عام، وأحد عشر منذ أكثر من ثمانية عشر شهرًا، فإن هذا الانزعاج مبرر جزئيًا، وهو جزئيًا نتيجة لتراكم الإدخالات في السجل لا لخطر نشط عالي الأولوية.
فجوة المساءلة في SLA المعالجة هي النتيجة التشغيلية المباشرة. فعندما لا يكون للنتائج في سجل المخاطر SLA للمعالجة ولا عواقب محددة لبقائها مفتوحة لفترات طويلة، يصبح السجل مستودعًا تتراكم فيه النتائج دون ضغط من الحوكمة لمعالجتها. والمورد الذي يقر بنتيجة ما ويدخل حالة «قيد المعالجة» يكون قد استوفى الحد الأدنى من التزامه تجاه الحوكمة، ويمكنه البقاء في تلك الحالة إلى أجل غير مسمى في غياب آلية مساءلة محددة تُصعّد الأمر عند عدم الوفاء بالجداول الزمنية للمعالجة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم تصميم عملية إغلاق عند إنشاء سجل المخاطر. فعمليات الإضافة تُصمَّم عند إطلاق البرنامج، أما عمليات الإغلاق فيُكتشف غيابها بعد أشهر أو سنوات، حين يكون السجل قد بلغ حجمًا يحجب فائدته بوصفه صورة حالية للمخاطر.
- عدم تصميم عملية إغلاق عند إنشاء السجل
- عدم اشتراط الإغلاق القائم على الأدلة: قبول الإبلاغ الذاتي من المورد لتحديثات الحالة
- غياب SLA للمعالجة: نتائج مفتوحة إلى أجل غير مسمى دون تصعيد
- قبول تحديثات الحالة دون التحقق من التقدم
- مراجعة السجل لا تشمل تقييم الارتباط بالوضع الحالي
كيف تبدو الممارسة الجيدة
تحدد برامج سجلات المخاطر الناضجة معايير الإغلاق عند إطلاق البرنامج: ما الأدلة المطلوبة لإغلاق نتيجة ما، ومن يعتمد الإغلاق، وكم مرة يجري التحقق من التقدم الفعلي للنتائج قيد المعالجة.
- معايير إغلاق محددة: ما الأدلة المطلوبة ومن يعتمد قبل إزالة النتيجة
- اتفاقيات مستوى الخدمة للمعالجة: الحد الأقصى للمدة في مرحلة المعالجة قبل التصعيد
- التحقق الدوري من النتائج قيد المعالجة: اشتراط أدلة على التقدم على فترات محددة للنتائج قيد المعالجة
- مراجعة الارتباط بالوضع الحالي: مراجعة دورية للنتائج القديمة لتحديد ما إذا كان الخطر الأساسي لا يزال قائمًا
- مقاييس سلامة السجل: تتبع مدة بقاء النتائج مفتوحة، ومعدل الإغلاق، والأداء في SLA المعالجة
الأدوات
منصات GRC: ServiceNow GRC، وArcher، وMetricStream
تدعم منصات GRC التي تتضمن قدرات إدارة سجل المخاطر سير عمل الإغلاق، من خلال تحديد متطلبات الأدلة، وتوجيه اعتمادات الإغلاق، وتتبع الأداء في SLA المعالجة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت منصة GRC لدى المورد تفرض الإغلاق القائم على الأدلة مع اعتماد من الحوكمة يمثل سؤالًا محددًا عن دقة السجل.
منصات TPRM التي تتيح تتبع المعالجة: ProcessUnity وPrevalent
ترصد منصات TPRM التي تتضمن ميزات تتبع المعالجة تقدّمَ الموردين في المعالجة، فتُنبّه إلى النتائج التي لم تتجاوز مرحلة الإقرار الأولي، وتُصعّد النتائج التي تجاوزت اتفاقيات مستوى الخدمة الخاصة بالمعالجة. وبالنسبة لممارسي TPRM، فإن استخدام ميزة تتبع المعالجة في منصة TPRM بدلًا من التحديثات اليدوية للسجل يوفر رصدًا وتصعيدًا آليين لـSLA.
تحديات الحوكمة
يتمثل تحدي الحوكمة في دقة سجل المخاطر في الاستثمار اللازم لأدلة الإغلاق. فإغلاق نتيجة ما يتطلب دليلًا على أن الخطر الأساسي قد عولج، وهو ما يستلزم إما قبول الإبلاغ الذاتي من المورد (جودة أدلة منخفضة) أو إجراء تحقق (جودة أدلة أعلى لكنه يستهلك الموارد). والتوازن بين متطلبات أدلة الإغلاق وكفاءة عملية الإغلاق هو ما يحدد ما إذا كانت عملية الإغلاق تُستخدم أم يجري الالتفاف عليها.
- حدِّد معايير الإغلاق ومتطلبات الأدلة الآن إن لم تكن محددة بالفعل
- حدِّد اتفاقيات مستوى الخدمة للمعالجة لجميع النتائج المفتوحة: الحد الأقصى للمدة في كل حالة قبل التصعيد
- اشترط الإغلاق القائم على الأدلة: مراجعة أدلة المورد على المعالجة قبل الإغلاق
- أجرِ مراجعات دورية للسجل للتحقق من الارتباط بالوضع الحالي: تقييم النتائج القديمة لمعرفة ما إذا كانت لا تزال قابلة للتطبيق
- تتبَّع معدل الإغلاق بوصفه مقياسًا لسلامة البرنامج إلى جانب معدل إضافة النتائج
إذا كنت فريقًا صغيرًا
صفِّ سجل المخاطر لديك لعرض النتائج التي بقيت في أي حالة لأكثر من اثني عشر شهرًا. واطرح سؤالين عن كل منها: هل لا يزال الخطر الأساسي قائمًا اليوم، أي هل تغيّر شيء عالج الخطر أو غيّر طبيعته؟ وبالنسبة للنتائج قيد المعالجة: ما الأدلة التي وردت على أن المعالجة تتقدم فعلًا؟ سيفصل هذان السؤالان المخاطر المفتوحة القائمة فعلًا عن التراكم في السجل. والنتائج التي تصمد أمام السؤالين كليهما هي التي تتطلب فعلًا اهتمام الحوكمة في الوقت الحالي.
- صفِّ السجل لعرض النتائج التي يزيد عمرها على اثني عشر شهرًا وقيِّم مدى ارتباطها بالوضع الحالي
- اطلب أدلة لجميع النتائج قيد المعالجة التي يزيد عمرها على ستة أشهر
- حدِّد معايير الإغلاق وطبّق عملية للإغلاق
- حدِّد اتفاقيات مستوى الخدمة للمعالجة لجميع النتائج المفتوحة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة للنتائج التي بقيت في حالة المعالجة لأكثر من ستة أشهر، هل يمكنكم تقديم أدلة على التقدم في المعالجة، وتحديدًا: ما الذي أُنجز منذ الإقرار بالنتيجة، وما الذي يتبقى إنجازه مع تاريخ إنجاز مستهدف؟»
ما تتوقعه دليلًا
- أدلة على خطوات المعالجة المنجزة للنتائج طويلة الأمد
- خطوات المعالجة المتبقية مع تواريخ الإنجاز المستهدفة
- السبب الجذري للتأخير إذا كانت المعالجة متأخرة عن الجدول الزمني
- إقرار بالتصعيد إذا تعثرت المعالجة
ينبغي أن يُطلب من المورد الذي تبقى نتائجه في حالة المعالجة لأكثر من ستة أشهر تقديم أدلة على التقدم وجدول زمني للإنجاز. فعبارة «قيد المعالجة» تصف حالة، أما الأدلة فتبيّن ما إذا كانت الحالة دقيقة.
كيف تُثبت ذلك
- توثيق عملية الإغلاق في السجل
- سجلات تتبع SLA للمعالجة
- سجلات الإغلاق القائم على الأدلة
- سجلات مراجعة الارتباط بالوضع الحالي للنتائج القديمة
الخلاصة الرئيسية
سجل المخاطر الذي يتسع دون أن يتقلص هو أرشيف لا صورة للمخاطر. فثلاثة وتسعون إدخالًا أضيفت على مدى ثلاث سنوات دون أي إغلاق تعكس برنامجًا نجح باستمرار في تحديد المخاطر وأخفق باستمرار في إتمام دورة الحوكمة التي تبدأ بالتحديد وتنتهي بالمعالجة المُتحقَّق منها والإغلاق الرسمي. فعملية الإضافة تعمل، أما عملية الإغلاق فغير موجودة. وتتطلب الصورة الحالية للمخاطر الأمرين معًا: نتائج تُضاف عند تحديدها وتُزال عند معالجتها بالأدلة. والنتائج التي تمثل فعلًا مخاطر مفتوحة حالية تستحق اهتمام الحوكمة. أما النتائج التي بقيت قيد المعالجة ثمانية عشر شهرًا فتستحق إما التصعيد وإما إعادة تصنيف صادقة. صمّم عملية الإغلاق الآن.