شأن يخص مجلس الإدارة لا إدارة تقنية المعلومات
حين يتوقف نظام المدفوعات في مصرف أو غرفة التحكم في منشأة صناعية يوما كاملا، يقع الضرر على ما يحمله المجلس أمانة بين يديه، أي الميزانية العمومية وثقة العملاء ورخصة مزاولة النشاط. وواجب العناية الذي يحمله أعضاء المجالس يمتد بطبيعته إلى كل ضرر يمكن توقعه، وتوقف خدمة حيوية لساعات طويلة أصبح اليوم من أكثر الأضرار قابلية للتوقع. والجهات الرقابية لم تعد تكتفي بالتلميح بل كتبت المجلس في نصوصها بالاسم. فمواد الحوكمة في المواصفة الإماراتية NCEMA 7000 الصادرة عن الهيئة الوطنية لإدارة الطوارئ والأزمات والكوارث تضع مسؤولية برنامج استمرارية الأعمال على الإدارة العليا وتلزمها باعتماد السياسة ومراجعة النتائج، ومصرف الإمارات العربية المتحدة المركزي يتوقع من مجالس المؤسسات المرخصة أن تملك مخاطر التشغيل والاستمرارية لا أن تكتفي بالاطلاع عليها، ولائحة DORA الأوروبية تحمل الجهاز الإداري، أي المجلس واللجنة التنفيذية، المسؤولية النهائية عن المرونة التشغيلية الرقمية وتصل إلى إلزام الأعضاء شخصيا بتحديث معارفهم. لذلك فإن إحالة المرونة بكاملها إلى إدارة تقنية المعلومات ليست خيارا تنظيميا بريئا، بل ثغرة حوكمة يستطيع المراقب الإشارة إليها برقم المادة.
ما الذي يملكه المجلس ولا يفوضه
ثلاثة قرارات لا يصح أن تنزل عن طاولة المجلس.
- شهية المخاطر تجاه التعطل. المجلس هو من يعتمد حجم التعطل الذي تحتمله المؤسسة، معبرا عنه بحدود تحمل الأثر لكل خدمة رئيسية، أي عدد ساعات التوقف وحجم العمليات المتعثرة والنقطة التي يصبح الضرر بعدها على العملاء غير مقبول. أما منهجية بناء البيان والدفاع عنه أمام المجلس فهي علم قائم بذاته نعرضه في دليل شهية المخاطر.
- مسؤول تنفيذي واحد مسمى. شخص باسمه ومنصبه، لا لجنة ولا تفويض مشترك، يجيب أمام المجلس عن المرونة في المؤسسة كلها ويملك الميزانية والصلاحية اللازمتين. فحيث تكون المسؤولية جماعية تتأجل التمارين وتشيخ الملاحظات في صمت.
- خطوط الدفاع الثلاثة مطبقة على المرونة. الإدارة التشغيلية تملك الاستمرارية وتشغلها بوصفها الخط الأول، ووظيفة المخاطر تضع الإطار وتمارس التحدي بوصفها الخط الثاني، والتدقيق الداخلي يتحقق باستقلالية بوصفه الخط الثالث. وينبغي أن يسمع المجلس من الخطوط الثلاثة، فالتقرير الذي لم يمر بالخط الثاني أو الثالث تقييم ذاتي لا ضمان.
إشراف لا إدارة
أسرع طريق ليفشل المجلس في المرونة أن يحاول إدارتها بنفسه. فالمجلس لا يكتب خطط الاستمرارية ولا يصمم السيناريوهات ولا يدير تمارين المحاكاة ولا يختار أنظمة التعافي، فهذه كلها من عمل الإدارة التنفيذية وبرنامجها. للمجلس فعلان اثنان. أن يوجه، فيعتمد الشهية ويعين المسؤول التنفيذي ويطلب تقويما سنويا للتمارين ومراجعة دورية للبرنامج. وأن يتحقق، فيقرأ التقارير ويسائل النتائج ويكلف جهة مستقلة بأعمال الضمان ويعود إلى الموضوع بعد كل حادث لا في الموعد المجدول وحده. والفرق عملي لا شكلي، فالمجلس الذي يحرر الخطط بنفسه جعل نفسه جزءا من الخط الأول، ولم يعد هناك من يراجع عمله.
التصنيف: أي الخدمات وأي القرارات تعود إلى المجلس
في التصنيف يصبح الخط الفاصل بين الإشراف والإدارة ملموسا. يصنف المجلس أمرين: الخدمات بحسب الضرر الذي يسببه انقطاعها، والقرارات بحسب من يتخذها.
| الدرجة | ما يندرج تحتها | ما يحدده المجلس | من يشغلها |
|---|---|---|---|
| الخدمات الحرجة | انقطاعها يضر بالعملاء أو السوق أو استمرارية المؤسسة خلال ساعات أو أيام | يعتمد القائمة وحد تحمل لكل خدمة ومالكا تنفيذيا مسمى | الإدارة، مع اختبار مقابل حد التحمل مرة في السنة على الأقل |
| الخدمات المهمة | انقطاعها يضر بالإيراد أو العمليات لكنه قابل للتعافي دون ضرر دائم | يطلع على القائمة وأهداف التعافي في المراجعة السنوية | الإدارة تحدد أهداف التعافي وتختبرها |
| الخدمات الأخرى | تستوعب العمليات المعتادة انقطاعها | لا شيء محدد | تدار تشغيليا |
والخط نفسه يمر عبر القرارات. يتخذ المجلس القليل منها مما يحدد الاتجاه والمساءلة، ويبقى كل ما يبني القدرة ويشغلها لدى الإدارة.
| القرار أو النشاط | المجلس | الإدارة التنفيذية |
|---|---|---|
| شهية التعطل وحدود التحمل | يعتمد | تقترح وتعاير لكل خدمة |
| قائمة الخدمات الحرجة | يعتمد ويراجع سنويا | تحدد الخدمات وترسم التبعيات |
| المسؤول التنفيذي المساءل | يعين ويحدد التفويض والميزانية | يجيب أمام المجلس |
| سياسة استمرارية الأعمال | يعتمد | تصوغ وتطبق وتحدّث |
| تحليل الأثر وتقييم المخاطر وأهداف التعافي | يتلقى الملخص ويتحداه | تنفذ وتحدّث |
| خطط الاستمرارية واستراتيجيات التعافي | يتحقق من تغطية الخدمات الحرجة | تكتب وتملك وتحدّث |
| برنامج التمارين | يطلب جدولا ويقرأ النتائج والملاحظات | تصمم وتنفذ وتغلق الملاحظات |
| الأطراف الثالثة الحرجة | يحدد التوقعات للإسناد الجوهري | تقيّم المزودين وتتفق على شروط التعافي وتخطط للخروج |
| الاستجابة في الساعات الأولى للحادث | يُبلَّغ عند عتبات التصعيد المتفق عليها | تقرر وتتصرف |
| الضمان المستقل | يكلف التدقيق الداخلي بالمراجعة عبر لجنة التدقيق أو المخاطر | تستجيب للملاحظات |
| تقارير المرونة | يحدد التواتر والمحتوى ويقرأ ويتصرف | تعد التقرير |
سبعة أسئلة يطرحها عضو المجلس على الإدارة التنفيذية
الإشراف يمارس بالأسئلة. هذه السبعة لا تحتاج إلى مفردات تقنية، والإجابة المراوغة عن أي منها ملاحظة بحد ذاتها.
- "أي خدماتنا يتضرر عملاؤها خلال ساعات إذا توقفت؟" إن لم تستطع الإدارة تسميتها في نفس واحد فالتحليل لم ينجز بعد.
- "ما حد التحمل لكل خدمة منها، ومتى اختبرنا مقابله آخر مرة؟" الحد الذي لم يختبر قط أمنية لا حد.
- "ماذا أخفق في آخر تمرين، وما الذي تغير بسببه؟" برنامج التمارين الذي لا يكشف إخفاقا لا يتمرن، بل يتدرب على التصفيق.
- "كم يكلفنا يوم توقف واحد بالمال والعملاء والرخصة؟" هذا الرقم هو مرجع كل نقاش لاحق حول ميزانية المرونة.
- "من يقرر في الساعة الأولى، وهل يعرف ذلك؟" الأزمات تخسر في الفجوة بين وقوع الحادث وأول قرار.
- "متى رأى هذا المجلس آخر تقرير عن المرونة، وماذا فعلنا به؟" إذا كانت الإجابة الصادقة "قبل أكثر من عام" أو "أحطنا علما"، فالإشراف قائم على الورق فقط.
- "لو وصلت الجهة الرقابية غدا، فماذا ستجد؟" ينبغي أن تأتي الإجابة من الخطين الثاني والثالث، لا من الفريق الخاضع للتفتيش نفسه.
وما يعود إلى المجلس لا يقل أهمية عما يسأل عنه. شكل تقرير المرونة الجاهز لقاعة المجلس ومقاييسه، صفحة واحدة تعرض حدود التحمل مقابل نتائج الاختبار والملاحظات وأعمارها، نتناوله في صفحة مستقلة عن تقارير المرونة التشغيلية لمجالس الإدارة (بالإنجليزية، ومعها قالب التقرير). ولمن يريد من أعضاء المجالس والتنفيذيين البنية الكاملة لحوكمة المرونة، من الشهية إلى المساءلة إلى الضمان، فإن الوحدة الأولى من برنامج ERGP مكرسة لحوكمة المرونة ودور مجلس الإدارة فيها.
صورة حية واحدة للمرونة لمجلس الإدارة ولجنة التدقيق، مؤشر واحد وتكلفة يوم التوقف وأهداف التعافي مقابل الواقع، تتغذى بأرقامكم أنتم.
اكتشفوا اللوحة ←أسئلة شائعة
ما دور مجلس الإدارة في مرونة الأعمال؟
أن يملك الأسئلة التي لا يستطيع أحد غيره الإجابة عنها: أي الخدمات يجب أن تستمر مهما حدث، وما مقدار الانقطاع المقبول لكل منها، وما شهية المخاطر التي تعمل الإدارة التنفيذية ضمنها، وهل الضمانات المقدمة من الإدارة موثوقة. المجلس لا يكتب الخطط ولا يجري الاختبارات، بل يضع الحدود ويصنّف الخدمات ويتحدى الأدلة.
كيف يصنّف مجلس الإدارة الخدمات والقرارات؟
الخدمات على ثلاث درجات بحسب ضرر انقطاعها، والقرارات بحسب من يتخذها؛ ويُراجع التصنيف سنوياً وبعد أي تغيير جوهري.
هل المرونة مسؤولية المجلس أم الإدارة التنفيذية؟
كلاهما، مع خط فاصل واضح. الإدارة تبني القدرة وتشغّلها؛ والمجلس يحدد الشهية ويعتمد تصنيف الخدمات الحرجة ويحاسب الإدارة على الأدلة. الجهات الرقابية في الإمارات وبريطانيا والاتحاد الأوروبي تكتب هذا التقسيم في قواعدها اليوم، وأعضاء المجلس مساءلون شخصياً عن جانبهم منه.