إدارة مخاطر المنظمة والأمن

1إدارة مخاطر المنظمة

يعرّف معيار ISO 31000 الخطر بأنه أثر عدم اليقين على الأهداف. تواجه المنظمة الإنسانية مخاطر متعددة الطبيعة: أمنية، وائتمانية (احتيال، فساد، تحويل)، وقانونية ومتعلقة بالامتثال (عقوبات، قانون العمل، حماية البيانات)، وتشغيلية (الوصول، انقطاع الإمداد)، ومتعلقة بالسمعة، وأخلاقية (اعتداءات، المساس بالمبادئ)، ومالية (الصرف، السيولة، الاعتماد على المانحين).

يصف سجل المخاطر كل خطر (السبب، الحدث، النتيجة)، واحتماله وأثره (غالبًا على سلّم من 1 إلى 5)، والتدابير القائمة، والخطر المتبقي، والمسؤول، وتاريخ المراجعة. ويُحسب مستوى الخطر غالبًا بضرب الاحتمال في الأثر: خطر احتماله 4 وأثره 5 يحصل على 20 من 25، أي فوق عتبة تصعيد محددة مثلًا عند 15.

تبيّن الرغبة في المخاطرة، التي يعتمدها مجلس الإدارة، ما المخاطر التي تقبلها المنظمة لأداء رسالتها. قد تقبل منظمة طبية خطرًا أمنيًا مرتفعًا لتقديم العلاج في منطقة نزاع، لكنها لا تقبل أي خطر للتساهل مع الاستغلال الجنسي. ومن دون رغبة في المخاطرة محددة رسميًا، يتوقف كل قرار على شخصية المدير الموجود في المنصب.

نقل المخاطر إلى الشركاء المحليين انحراف نددت به دراسات عديدة: تبقى المنظمة الدولية في مأمن بينما يتحمّل شريكها الخطر دون وسائل. أما تقاسم المخاطر فيعني تمويل أمن الشركاء، وتبادل المعلومات، والاتفاق معًا على ما هو مقبول.

2تحليل المخاطر الأمنية

تتبع إدارة المخاطر الأمنية دورة: تحليل السياق (الفاعلون، ديناميات النزاع، الجريمة، صورة المنظمة)، تحديد التهديدات (الاختطاف، الهجوم المسلح، السطو على الطرق، العبوات الناسفة، العنف الجنسي، الاحتجاز التعسفي، الاضطرابات المدنية، الكوارث الطبيعية، الأمراض)، تحليل مواطن الضعف والقدرات، ثم تقييم الخطر واختيار التدابير.

تلخّص معادلة تعليمية هذا المنطق: الخطر = التهديد × الضعف / القدرات. نادرًا ما نتحكم في التهديد؛ بل نعمل على الضعف (التعرّض، الصورة، الروتين المتوقّع) وعلى القدرات (التدريب، الاتصالات، الإجراءات، شبكة العلاقات).

تُحدَّد عتبة الخطر المقبول بالموازنة بين الخطر المتبقي وأهمية البرنامج الحرجة: كلما أنقذ النشاط أرواحًا أكثر، أمكن قبول خطر أعلى مع تدابير معزّزة. ويضفي إطار الأهمية الحرجة للبرامج في منظومة الأمم المتحدة (Programme Criticality) ونهج المنتدى الأمني المشترك بين الوكالات (GISF) طابعًا رسميًا على هذا المنطق.

يجب مقاطعة مصادر المعلومات: شبكة الاتصالات المحلية، منتديات الأمن الخاصة بالمنظمات غير الحكومية ومنظمات الاستشارات الأمنية، وكالات الأمم المتحدة، وسائل الإعلام المحلية، البيانات العامة عن النزاعات (مثل برنامج أوبسالا لبيانات النزاعات UCDP). ولا يُعاد نشر المعلومات الحساسة الواردة من الشركاء أو الغير دون موافقتهم.

3الاستراتيجيات: القبول والحماية والردع

يميّز مثلث الأمن بين ثلاث استراتيجيات متكاملة:

• القبول: تقليص التهديد أو إزالته بالحصول على موافقة الفاعلين (المجتمعات، السلطات، الجماعات المسلحة) بفضل الجودة والحياد المُدرَك والشفافية والحوار. هي الاستراتيجية المفضّلة لدى المنظمات غير الحكومية، لكنها تُبنى بمرور الوقت وقد تنهار سريعًا إذا رأى أحد الفاعلين أن المنظمة منحازة.
• الحماية: تقليل الضعف عبر تدابير مادية وإجرائية (جدران، حراس، مركبات مناسبة، إجراءات التنقل، الاحتماء في المكان، تقليل الظهور).
• الردع: مواجهة التهديد بتهديد مضاد (مرافقة مسلحة، انسحاب مشروط، ضغط سياسي). المرافقة المسلحة هي مبدئيًا الملاذ الأخير، وتنظّمها توجيهات اللجنة الدائمة المشتركة بين الوكالات بشأن استخدام المرافقة المسلحة، لأنها قد تمسّ بالحياد المُدرَك وتخلق مخاطر جديدة.

تتضمن الخطة الأمنية القُطرية: تحليل المخاطر، المستويات الأمنية ومؤشرات الانتقال من مستوى إلى آخر، إجراءات التشغيل الموحّدة (التنقلات، الاتصالات، إدارة النقد، الزوار)، خطط الطوارئ (الاحتماء، النقل، الإجلاء) والهيكل التنظيمي للأزمات. ويجب أن تكون معروفة ومفهومة ومُختبرة بالتمارين، وإلا فلا فائدة منها.

مؤشرات التفعيل: حدّدوا مسبقًا الأحداث التي تنقلكم من مستوى إلى آخر (مثل حادثين مسلحين على بعد أقل من 20 كم من القاعدة خلال أسبوع). من دون مؤشرات، يأتي قرار النقل غالبًا بعد فوات الأوان.

4إدارة الحوادث الحرجة

الحادث الحرج (اختطاف، وفاة، اعتداء خطير، هجوم على مكتب، اختفاء) يتجاوز قدرات الإدارة العادية. ويديره فريق لإدارة الأزمات في المقر أو على المستوى الإقليمي، منفصل عن الفريق الميداني، بأدوار محدّدة مسبقًا: مسؤول الأزمة، التواصل مع الأسرة، الإعلام، الأمن، الشؤون القانونية والتأمين، الموارد البشرية، الدعم النفسي.

مبادئ الساعات الأولى: تأمين الأشخاص الذين لا يزالون معرّضين للخطر، التحقق من الوقائع، تفعيل خلية الأزمة، مسك سجل زمني لجميع القرارات والمعلومات، ضبط التواصل (لا تصريحات علنية ولا منشورات على وسائل التواصل الاجتماعي من الموظفين، ومتحدّث رسمي واحد)، إبلاغ الأسرة قبل أي جمهور آخر، والتنسيق مع السلطات والمنظمات الأخرى.

في حالة الاختطاف، تستعين المنظمات بالمتخصصين وبتأميناتها؛ وتختلف السياسات بشأن دفع الفدية، التي تحظرها عدة دول أو لا تشجّعها بشدة، وتخالف أنظمة العقوبات في بعض الحالات. ويجب أن تكون سياسة المنظمة واضحة قبل الحادث، لا مرتجلة أثناءه.

بعد الحادث: دعم نفسي للأشخاص المتضررين وللفريق، مراجعة للدروس المستفادة دون البحث عن كبش فداء، تحديث تحليل المخاطر، ومراجعة الوجود في المنطقة عند الاقتضاء.

5استمرارية الأنشطة والسمعة

تُعدّ استمرارية الأنشطة المنظمة لمواصلة وظائفها الأساسية رغم أي اضطراب: فقدان مكتب، انقطاع الاتصالات أو المصارف، وباء، هجوم إلكتروني، تعليق التسجيل. وتحدّد الخطة الوظائف الحرجة (الرواتب، المدفوعات للمستفيدين، الإمدادات الحيوية، التواصل مع المانحين)، والمدة القصوى المقبولة لتوقفها، والحلول البديلة (نسخ احتياطية خارج الموقع، حسابات مصرفية بديلة، تفويضات توقيع، إدارة عن بُعد).

تتطلب الإدارة عن بُعد (برامج تديرها فرق وطنية أو شركاء حين يتعذر على موظفي الإدارة الوصول إلى المنطقة) عناية خاصة: نقل فعلي لوسائل الأمن، أنظمة متابعة عبر طرف ثالث، مكالمات تحقق مع المستفيدين، والحرص على عدم نقل الخطر دون نقل الوسائل.

ينشأ خطر السمعة غالبًا من المخاطر الأخرى: فضيحة اعتداءات أو احتيال مُخفى أو حادث سيئ الإدارة تكلّف أكثر بكثير من خسائرها المباشرة. وأفضل حماية هي الشفافية: إبلاغ المانحين، والجمهور عند الاقتضاء، بشكل وقائعي وسريع، مع إظهار التدابير المتخذة.

أصبح الأمن السيبراني وحماية البيانات من المخاطر الكبرى: المصادقة الثنائية، النسخ الاحتياطية، التحديثات، التدريب على مكافحة التصيّد، وتشفير البيانات الحساسة للمستفيدين.