دور مجلس الإدارة في المرونة: الإشراف وشهية المخاطر والأسئلة الصحيحة

شأن يخص مجلس الإدارة لا إدارة تقنية المعلومات

حين يتوقف نظام المدفوعات في مصرف أو غرفة التحكم في منشأة صناعية يوما كاملا، يقع الضرر على ما يحمله المجلس أمانة بين يديه، أي الميزانية العمومية وثقة العملاء ورخصة مزاولة النشاط. وواجب العناية الذي يحمله أعضاء المجالس يمتد بطبيعته إلى كل ضرر يمكن توقعه، وتوقف خدمة حيوية لساعات طويلة أصبح اليوم من أكثر الأضرار قابلية للتوقع. والجهات الرقابية لم تعد تكتفي بالتلميح بل كتبت المجلس في نصوصها بالاسم. فمواد الحوكمة في المواصفة الإماراتية NCEMA 7000 الصادرة عن الهيئة الوطنية لإدارة الطوارئ والأزمات والكوارث تضع مسؤولية برنامج استمرارية الأعمال على الإدارة العليا وتلزمها باعتماد السياسة ومراجعة النتائج، ومصرف الإمارات العربية المتحدة المركزي يتوقع من مجالس المؤسسات المرخصة أن تملك مخاطر التشغيل والاستمرارية لا أن تكتفي بالاطلاع عليها، ولائحة DORA الأوروبية تحمل الجهاز الإداري، أي المجلس واللجنة التنفيذية، المسؤولية النهائية عن المرونة التشغيلية الرقمية وتصل إلى إلزام الأعضاء شخصيا بتحديث معارفهم. لذلك فإن إحالة المرونة بكاملها إلى إدارة تقنية المعلومات ليست خيارا تنظيميا بريئا، بل ثغرة حوكمة يستطيع المراقب الإشارة إليها برقم المادة.

ما الذي يملكه المجلس ولا يفوضه

ثلاثة قرارات لا يصح أن تنزل عن طاولة المجلس.

• شهية المخاطر تجاه التعطل. المجلس هو من يعتمد حجم التعطل الذي تحتمله المؤسسة، معبرا عنه بحدود تحمل الأثر لكل خدمة رئيسية، أي عدد ساعات التوقف وحجم العمليات المتعثرة والنقطة التي يصبح الضرر بعدها على العملاء غير مقبول. أما منهجية بناء البيان والدفاع عنه أمام المجلس فهي علم قائم بذاته نعرضه في دليل شهية المخاطر.
• مسؤول تنفيذي واحد مسمى. شخص باسمه ومنصبه، لا لجنة ولا تفويض مشترك، يجيب أمام المجلس عن المرونة في المؤسسة كلها ويملك الميزانية والصلاحية اللازمتين. فحيث تكون المسؤولية جماعية تتأجل التمارين وتشيخ الملاحظات في صمت.
• خطوط الدفاع الثلاثة مطبقة على المرونة. الإدارة التشغيلية تملك الاستمرارية وتشغلها بوصفها الخط الأول، ووظيفة المخاطر تضع الإطار وتمارس التحدي بوصفها الخط الثاني، والتدقيق الداخلي يتحقق باستقلالية بوصفه الخط الثالث. وينبغي أن يسمع المجلس من الخطوط الثلاثة، فالتقرير الذي لم يمر بالخط الثاني أو الثالث تقييم ذاتي لا ضمان.

إشراف لا إدارة

أسرع طريق ليفشل المجلس في المرونة أن يحاول إدارتها بنفسه. فالمجلس لا يكتب خطط الاستمرارية ولا يصمم السيناريوهات ولا يدير تمارين المحاكاة ولا يختار أنظمة التعافي، فهذه كلها من عمل الإدارة التنفيذية وبرنامجها. للمجلس فعلان اثنان. أن يوجه، فيعتمد الشهية ويعين المسؤول التنفيذي ويطلب تقويما سنويا للتمارين ومراجعة دورية للبرنامج. وأن يتحقق، فيقرأ التقارير ويسائل النتائج ويكلف جهة مستقلة بأعمال الضمان ويعود إلى الموضوع بعد كل حادث لا في الموعد المجدول وحده. والفرق عملي لا شكلي، فالمجلس الذي يحرر الخطط بنفسه جعل نفسه جزءا من الخط الأول، ولم يعد هناك من يراجع عمله.

سبعة أسئلة يطرحها عضو المجلس على الإدارة التنفيذية

الإشراف يمارس بالأسئلة. هذه السبعة لا تحتاج إلى مفردات تقنية، والإجابة المراوغة عن أي منها ملاحظة بحد ذاتها.

1. "أي خدماتنا يتضرر عملاؤها خلال ساعات إذا توقفت؟" إن لم تستطع الإدارة تسميتها في نفس واحد فالتحليل لم ينجز بعد.
2. "ما حد التحمل لكل خدمة منها، ومتى اختبرنا مقابله آخر مرة؟" الحد الذي لم يختبر قط أمنية لا حد.
3. "ماذا أخفق في آخر تمرين، وما الذي تغير بسببه؟" برنامج التمارين الذي لا يكشف إخفاقا لا يتمرن، بل يتدرب على التصفيق.
4. "كم يكلفنا يوم توقف واحد بالمال والعملاء والرخصة؟" هذا الرقم هو مرجع كل نقاش لاحق حول ميزانية المرونة.
5. "من يقرر في الساعة الأولى، وهل يعرف ذلك؟" الأزمات تخسر في الفجوة بين وقوع الحادث وأول قرار.
6. "متى رأى هذا المجلس آخر تقرير عن المرونة، وماذا فعلنا به؟" إذا كانت الإجابة الصادقة قبل أكثر من عام أو أحطنا علما، فالإشراف قائم على الورق فقط.
7. "لو وصلت الجهة الرقابية غدا، فماذا ستجد؟" ينبغي أن تأتي الإجابة من الخطين الثاني والثالث، لا من الفريق الخاضع للتفتيش نفسه.

وما يعود إلى المجلس لا يقل أهمية عما يسأل عنه. شكل تقرير المرونة الجاهز لقاعة المجلس ومقاييسه، صفحة واحدة تعرض حدود التحمل مقابل نتائج الاختبار والملاحظات وأعمارها، نتناوله في صفحة مستقلة عن تقارير المرونة التشغيلية لمجالس الإدارة. ولمن يريد من أعضاء المجالس والتنفيذيين البنية الكاملة لحوكمة المرونة، من الشهية إلى المساءلة إلى الضمان، فإن الوحدة الأولى من برنامج ERGP مكرسة لحوكمة المرونة ودور مجلس الإدارة فيها.