اعرف جاهزيتك في مارس، لا في الأسبوع الذي يسبق التقييم
إدارة الامتثال بوصفه مشروعًا سنويًا تنتج فترة سنوية من المعالجة العاجلة. ويحوّل هذا الحل المعايير إلى دورة تشغيلية: ضوابط لها مسؤولون، وأدلة تُوثَّق عند إنشائها، وجاهزية ظاهرة باستمرار.
تربط X-Shift المعايير والضوابط المنطبقة، وتسندها إلى الإدارات والمسؤولين القادرين على استيفائها، وتحدد الأدلة التي يتطلبها كل ضابط، وتضمّن دورة التقديم والمراجعة والتحقق في منصة. والنتيجة منشأة تستطيع الإفصاح عن موقف جاهزيتها في أي وقت، ووظيفة امتثال تكرّس وقتها لسدّ الفجوات بدلًا من ملاحقة المرفقات.
المنصة هي X.Qiyas، وهي من تطوير X-Shift وفق الأطر الوطنية التي تُستخدم لها. وحين تُعدَّل مجموعة ضوابط، تُنمذَج بوصفها إصدارًا جديدًا مع الاحتفاظ بأدلة الدورة السابقة كاملة. ولا اعتماد على مورّد دولي لإضافة إطار سعودي إلى خارطة طريق عالمية.
الميزات الرئيسية
الميزات الرئيسية
01
المعايير والضوابط
تُهيكل المعايير المنطبقة في مجالات وضوابط ومعايير فرعية، مع الاحتفاظ بسجل الإصدارات.
و5 قدرات أخرى أدناه
الامتثال والنضج الرقميتوضيحي
02
نموذج المسؤولية
تُسند الضوابط إلى إدارات وأفراد بأسمائهم، فتكون المساءلة صريحة لا مفترضة.
و5 قدرات أخرى أدناه
الامتثال والنضج الرقميتوضيحي
03
دورات الامتثال
تُحدَّد فترات التقييم بنطاقها وجدولها الزمني ومشاركيها ونوافذ التقديم.
و5 قدرات أخرى أدناه
الامتثال والنضج الرقميتوضيحي
04
إدارة الأدلة
تُوثَّق الأدلة على الضابط الذي تستوفيه، مع الاحتفاظ بنوعها وتاريخها ومُعِدّها وإصدارها.
و5 قدرات أخرى أدناه
الامتثال والنضج الرقميتوضيحي
مسار التحقق
يُوجَّه التقديم والمراجعة وإعادة العمل والاعتماد آليًا، مع التذكيرات والتصعيد.
قياس الجاهزية
يُجرى التقييم وفق نموذج المعيار نفسه، ويُعرض حسب الضابط والمجال والإدارة والجهة.
تُرفق الأدلة بضابطها عند إنجاز العمل، مع الاحتفاظ بمُعِدّها وتاريخها وإصدارها.
02
يستطيع فريق الامتثال معرفة الضوابط التي لها أدلة وتلك التي ليست لها، قبل فتح النافذة بأشهر.
03
يُجمَّع التقديم مما تم التحقق منه بالفعل، لا من عملية إعادة بناء.
السيناريو
تُفتح نافذة تقييم، فيرسل فريق الامتثال البريد المعتاد لطلب الأدلة من ستين مسؤول ضابط. ونصف ما يُعاد أُعدّ قبل تسعة أشهر، ولا يستطيع أحد الآن تحديد إصدار السياسة الذي كان ساريًا آنذاك.
هذه منصة X.Qiyas تحافظ على نموذج الضوابط وسلسلة أدلتها. ولا تجعل ضابطًا غير مستوفى ممتثلًا، والضابط الذي لا مسؤول له سيظهر فجوةً، وهذا هو المقصود.
التحدي
المعيار معروف. أما الجاهزية فلا.
هذا اختبار لمعرفة ما إذا كانت المشكلة في الفهم أم في التشغيل. فنادرًا ما تخفق المنشآت في التقييم لأن المتطلب لم يُفهم؛ بل تخفق لأن أحدًا لم يستطع تحديد مقدار ما استُوفي منه خلال الأشهر الفاصلة.
الدورة
دورة تتكرر، لا مشروع ينتهي
01
المعايير
تُنمذَج الأنظمة والأطر والسياسات الداخلية سجلات منظمة ومُدارة الإصدارات، توفر مصدرًا موثوقًا واحدًا لكل ضابط.
02
الإسناد
يُربط كل ضابط بمسؤول بالاسم وإدارة، مع مواعيد استحقاق ومسارات تصعيد تُحدَّد قبل فتح الدورة.
03
التنفيذ
تُنفَّذ الضوابط عملًا يوميًا، مع تحديد الأدلة التي يتطلبها كل منها مسبقًا بدلًا من طلبها بأثر رجعي.
04
الأدلة
تُرفق المستندات ولقطات الشاشة والموافقات بالضابط الذي تستوفيه عند إعدادها.
05
التحقق
يراجع مديرو الامتثال التقديمات، ويطلبون إعادة العمل عند الحاجة، ويسجّلون الاعتماد على الضابط.
06
الجاهزية
تقييم مستمر حسب المجال والإدارة والجهة، ظاهر في أي تاريخ بدلًا من إعادة بنائه في الأسبوع الذي يسبق التقييم.
07
التحسين
تُسدّ الفجوات عملًا متتبَّعًا له مسؤولون ومواعيد، وتوجّه ملاحظات الدورة السابقة أولويات الدورة التالية مباشرة.
النتائج
ما الذي يتغير في المنشأة
ما الذي يغيّره هذا الحل
التغيير الأهم أن الحديث عن الامتثال ينتقل من موعد التقديم إلى العام التشغيلي كله.
01
جاهزية يمكن الإفصاح عنها في أي مرحلة من الدورة
02
أدلة تُجمع نتاجًا للعمل لا مهمة منفصلة
03
مساءلة ظاهرة حسب الإدارة وحسب كل ضابط
04
سجلات تدقيق مكتملة لأنها سُجّلت، لا لأنها أُعيد بناؤها
05
فجوات متكررة تُحدَّد وتُسدّ بدلًا من تكرارها
06
تقارير تنفيذية تدعم قرارات الاستثمار
الأطر
أكثر من معيار، في آن واحد
نادرًا ما تنبع صعوبة الإفصاح عن الجاهزية من إطار واحد. بل تنبع عادةً من عدة أطر، تقيّمها جهات مختلفة في دورات مختلفة، مقابل أدلة متداخلة إلى حد كبير.
01
ربط لا تكرار
الضوابط التي ترد في أكثر من إطار تُثبَت مرة واحدة وتستوفي كلًّا منها، بدلًا من أن تعالجها ثلاثة فرق كلٌّ على حدة.
الامتثال والنضج الرقميتوضيحي
02
الأطر الوطنية
يُحفظ مؤشر قياس التحول الرقمي الصادر عن هيئة الحكومة الرقمية إلى جانب متطلبات مرجعية البنية المؤسسية الوطنية (NORA) وضوابط الأمن السيبراني من الهيئة الوطنية للأمن السيبراني ضمن هيكل واحد.
الامتثال والنضج الرقميتوضيحي
03
المعايير الدولية
تُحفظ التزامات شهادات ISO ونماذج النضج CMMI إلى جانب الأطر الوطنية، للجهات الخاضعة لكليهما.
الامتثال والنضج الرقميتوضيحي
04
ضوابطكم الخاصة
تُدار السياسات الداخلية التي تتجاوز المتطلبات الإلزامية وفق قواعد المسؤولية والأدلة والتحقق نفسها المطبقة على بقية الضوابط.
الامتثال والنضج الرقميتوضيحي
حالات الاستخدام
حيث تُقدَّر الجاهزية حاليًا
كل موقف يصف منشأة تفهم المتطلب ولا تستطيع تحديد مقدار ما استُوفي منه اليوم.
01
وزارة متعددة الجهات تُفصح عن موقف واحد باستخدام X.Qiyas
الموقف
وزارة لها اثنتا عشرة جهة تابعة مطالبة بالإفصاح عن موقف جاهزية واحد مقابل إطار وطني، وكل جهة تحفظ أدلتها في مجلداتها الخاصة.
ما يحدث
ربط الضابط
تعيين المسؤول
توثيق الأدلة
التحقق والتقييم
النتيجة
يحافظ X.Qiyas على نموذج ضوابط واحد عبر الجهات، فتصبح جاهزية المجموعة تجميعًا لا عملية مطابقة.
هذه تطبيقات توضيحية وليست برامج لعملاء. ويعتمد ما ينطبق منها على عدد الأطر التي تعملون وفقها، ومدى رسوخ مسؤولية الضوابط لديكم.
لماذا نبني هذا
لماذا تمتلك X-Shift منصة الامتثال
مبنية وفق الأطر المستخدمة محليًا
تتغير أطر الحكومة الرقمية الوطنية والأطر القطاعية وفق جداولها الخاصة وباللغة العربية. ويُنمذجها X.Qiyas مجموعات ضوابط أصيلة بدلًا من ربطها بتصنيف منتج مخاطر عام، وهو ما سيُفقدها الهيكل الذي يتوقعه المقيّم.
أدلة تصمد أمام تغيّر الإصدار
تُعدَّل مجموعات الضوابط بين الدورات، وتتعامل معظم الأدوات مع ذلك بالبدء من جديد. ولأن X-Shift تمتلك نموذج البيانات، يُسجَّل التعديل إصدارًا جديدًا، مع بقاء أدلة الدورة السابقة وسجل التحقق منها مرفقة بما استوفته.
تقارير بصيغة المقيّم نفسه
يجب الإفصاح عن الجاهزية بالطريقة التي يقيّم بها المعيار، لا كما يمليه قالب لوحة معلومات. وامتلاك نموذج التقييم يمكّن المخرجات من مطابقة صيغة التقديم بدلًا من إعادة تقطيعها يدويًا في كل دورة.
قبل أن تبدأ التقييم
ما ينبغي تحديده أولًا
في الغالب لا. فأدوات الحوكمة والمخاطر والامتثال المؤسسية تدير سجلات المخاطر والتدقيق بفاعلية، وكثيرًا ما تكون راسخة بالفعل. والفجوة التي تتركها عادةً هي تشغيل إطار وطني محدد (هيكل ضوابطه، وتوقعاته للأدلة، وطريقة تقييمه) دون تخصيص كبير. وحين تغطي أداتكم ذلك بشكل كافٍ، يكون العمل في تصميم النموذج لا في منصة جديدة.
العمل الاستشاري هو المكوّن الأكبر. فربط الضوابط بالإدارات، وتحديد الأدلة التي تستوفي كلًّا منها، وحسم المسؤولية، هي المواضع التي تنجح فيها برامج الامتثال أو تخفق. والمنصة تجعل ذلك النموذج قابلًا للتشغيل؛ لكنها لا تنتجه، وشراؤها دون عمل التصميم ينتج قائمة فجوات منظمة.
نعم، وهذا هو الحال في معظم عمليات النشر الحكومية. والمقايضة هي المعتادة: تتبع التحديثات جدول التغييرات لديكم لا لدى X-Shift، فتصل تعديلات الأطر إلى النشر داخل المنشأة متأخرة عن النشر المستضاف. وينبغي التخطيط لنافذة التعديل ضمن دورتكم التشغيلية.
هذا قلق معقول، وهو السبب الأكثر شيوعًا لتعثر الإطلاق. ويجب أن تكون المشاركة جزءًا من طريقة قياس أداء الإدارة لا مهمة إضافية، وهذا قرار حوكمة لا قرار تهيئة. وإذا لم يستطع الراعي فرضه، فسيقصر أداء البرنامج أيًّا كانت المنصة المختارة.
الأسئلة الشائعة
ما يسأل عنه المشترون قبل الالتزام
يعتمد ذلك على عدد الأطر المشمولة، ومدى استقرار مسؤولية الضوابط لديكم. فإطار واحد بمسؤول محدد لكل مجال يمكن نمذجته وتشغيله خلال دورة واحدة؛ أما عدة أطر عبر مجموعة جهات فبرنامج على مراحل. والنمذجة، لا البرمجيات، هي ما يحدد الوتيرة.
الأطر المنطبقة، وراعيًا رفيع المستوى بما يكفي لإسناد الضوابط عبر الإدارات، والاطلاع على طريقة إعداد الأدلة حاليًا. وتوقعوا ظهور خلافات المسؤولية مبكرًا - فالمنصة تُظهر الضوابط غير المُسندة، وهذا مفيد ومزعج في الأسبوع نفسه.
يرتبط الترخيص بالجهات ومسؤولي الضوابط المشمولين بالنطاق، مع عرض سعر منفصل للعمل الاستشاري والتنفيذ. وتُسعَّر المجموعات متعددة الجهات بشكل مختلف عن المنشأة الواحدة، لذا ينبغي أن يبدأ نقاش النطاق بقائمة الجهات.
نعم، وتحتاج معظم المنشآت إلى ذلك، لأن الضوابط تتداخل بين الأطر. وربط دليل واحد بالضوابط التي يستوفيها في عدة معايير هو عادةً مصدر توفير الجهد. وينبغي تصميم هذا الربط عن قصد لا افتراضه.
التالي
إلى أين بعد ذلك
نمذج مجالًا واحدًا وراجع موقف الجاهزية
اختر مجال ضوابط واحدًا، ونمذجه بمسؤوليه ومتطلبات أدلته، وراجع موقف الجاهزية الناتج مما هو متوفر لديكم اليوم.
مناسب حين يكون إطار ما ساريًا دون رؤية مستمرة لموقفكم مقابله.
تؤسس استشارات الامتثال لمعايير هيئة الحكومة الرقمية ربط الضوابط ونموذج المسؤولية ومعيار الأدلة، وهذا ما يحدد ما إذا كانت المنصة ستسجّل تقدمًا أم ارتباكًا.
تحتاج معظم المنشآت إلى المسار الاستشاري أولًا؛ فالمنصة المطبقة على مجموعة ضوابط بلا مسؤولين تنتج نسخة أكثر ترتيبًا من المشكلة نفسها، وستوضح X-Shift ذلك حين يكون الأمر كذلك.