الحوكمة وثقافة الأمن واستمرارية الأعمال والمشروع النهائي

1سياسة الأمن وإدارة المخاطر

تحدد السياسة، التي يعتمدها مجلس الإدارة، الإطار الذي تطبّقه جميع البلدان والإدارات:

• المبادئ (واجب الرعاية، القبول، حق الانسحاب، المساواة في المعاملة، عدم الدفع لأطراف النزاع)؛
• الرغبة في المخاطرة والعتبات حسب الفئة؛
• الأدوار والمسؤوليات، من الإدارة العليا إلى جهات التنسيق؛
• المتطلبات الدنيا: تقييم المخاطر، الخطة الأمنية، التدريب، الإبلاغ عن الحوادث، إدارة الأزمات؛
• الموقف من المسائل الحساسة (المرافقات المسلحة، الحراس المسلحون، الفديات، التواصل في حالة الاختطاف)؛
• المتابعة: التقارير، عمليات التدقيق، المراجعات.

تجعل المعايير الدنيا حسب مستوى الخطر السياسةَ قابلة للتطبيق. مثال: في كل بلد مصنَّف عالي الخطورة، مستشار أمني متفرغ، وخطة تُراجَع كل 6 أشهر، وتدريب متقدم لجميع الموظفين المعرّضين للخطر، وتمرين أزمة سنوي، واتصالات ساتلية في كل قاعدة.

2دور مجلس الإدارة والإدارة العليا

لا يدير مجلس الإدارة الأمن يوميًا، لكنه يتحمل المسؤولية النهائية عنه:

• يعتمد السياسة والرغبة في المخاطرة؛
• يتلقى تقريرًا منتظمًا (سنويًا على الأقل، وفصليًا للمخاطر الكبرى)؛
• يُبلَّغ دون تأخير بالحوادث الخطيرة والأزمات؛
• يتحقق من كفاية الموارد ومن متابعة نتائج عمليات التدقيق.

وتقدّم الإدارة العليا الحساب بلوحة متابعة بسيطة: الحوادث حسب الفئة والخطورة، المعدل لكل 100 موظف، البلدان التي تتجاوز العتبة، الامتثال للمعايير الدنيا (خطط محدَّثة، تدريبات، تمارين)، التوصيات المتأخرة، النضج.

مثال على القراءة. 12 بلدًا؛ لدى 10 منها خطة أمنية محدَّثة (83 %)؛ وأجرى 7 منها تمرين أزمة خلال السنة (58 %)؛ ولدى 3 بلدان مخاطر متبقية تتجاوز الرغبة في المخاطرة. يطلب مجلس الإدارة بشأن هذه البلدان الثلاثة قرارًا صريحًا: تدابير إضافية، أو تقليص الأنشطة، أو قبول معلَّل ومؤقت للتجاوز.

3تدقيق الأمن

تتحقق عمليات التدقيق الأمني (الداخلية، أو من قبل النظراء، أو الخارجية) من أن المنظومة موجودة وتعمل:

• الوثائق: تقييم المخاطر، الخطة، الإجراءات، قوائم جهات الاتصال، سجل الحوادث؛
• الممارسات: نداءات المراقبة الفعلية، سجلات التحركات، سجلات الزوار، اختبارات الراديو؛
• المعارف: مقابلات مع الموظفين (هل يعرفون الخطة، والمستوى الأمني، والإجراء الواجب اتباعه في حال وقوع حادث؟)؛
• المعدات: حالة المركبات، الاتصالات، حقائب الإسعاف، مخزونات الاحتماء في المكان؛
• الإنصاف: تدابير فعلية للموظفين الوطنيين والشركاء.

مثال على عيّنة. يستجوب المدقق 30 موظفًا: يعرف 27 منهم المستوى الأمني الحالي (90 %)، ويعرف 18 ما يجب فعله إذا لم يردّ زميل على نداء مراقبة (60 %)، وشارك 9 في تمرين خلال السنة (30 %). الإجراءات المكتوبة موجودة، لكن استيعابها ضعيف: يصبح التدريب والتمارين أولوية.

4ثقافة الأمن

تفشل أفضل الإجراءات صياغةً دون ثقافة أمن: مجموعة من السلوكيات المشتركة يُنظر فيها إلى الأمن بوصفه وسيلة لإنجاز العمل، لا عائقًا.

علاماتها:

• يجري الإبلاغ عن الحوادث والحوادث الوشيكة، وتُناقش الأخطاء دون خوف؛
• يطبّق المسؤولون القواعد التي يفرضونها؛
• يستطيع كل شخص أن يقول «لا» أو «توقّف» دون أن يُسخر منه أو يُعاقَب؛
• يشارك الموظفون الوطنيون في التحليلات والقرارات؛
• يُناقش الأمن في اجتماعات البرامج، لا بين المتخصصين فقط؛
• يُعترف بجودة البرامج والسلوك الشخصي بوصفهما تدبيرين أمنيين.

تظهر الثقافة في ما يحدث عندما يريد مسؤول مستعجل الالتفاف على قاعدة. فإذا لم يجرؤ أحد على قول شيء، فثقافة الأمن ضعيفة.

5استمرارية الأعمال

تُعدّ خطة استمرارية الأعمال المنظمةَ للحفاظ على وظائفها الأساسية رغم اضطراب كبير: فقدان مكتب، انقطاع مطوّل للإنترنت، هجوم سيبراني، جائحة، إجلاء، رحيل مفاجئ لأشخاص رئيسيين.

المراحل:

• تحديد الوظائف الحرجة: دفع الرواتب، ومستحقات الموردين، والتحويلات للمستفيدين، وإمداد المراكز الصحية، والاتصالات مع الفرق، وتقارير المانحين المستحقة.
• تحديد مهلة قصوى للانقطاع لكلٍّ منها: مثلًا 24 ساعة لاتصالات الطوارئ، و7 أيام للرواتب، و30 يومًا لتقارير المانحين.
• إعداد الحلول البديلة: مكتب بديل، الوصول عن بُعد، النسخ الاحتياطية، تفويضات التوقيع، موردون احتياطيون، مخزونات.
• تعيين بدلاء للوظائف الرئيسية وتوثيق صلاحيات الوصول الأساسية (دون مشاركة كلمات المرور بشكل مكشوف).
• اختبار الخطة مرة واحدة على الأقل في السنة.

مثال. نظام الرواتب مستضاف على خادم في مكتب العاصمة. المهلة القصوى المقبولة: 7 أيام. فإذا تعذّر الوصول إلى المكتب، تستغرق الاستعادة من النسخة الاحتياطية خارج الموقع 3 أيام، وهو ما يحترم المهلة، شرط أن تكون النسخة الاحتياطية حديثة ومختبَرة: لكن آخرها يعود إلى 5 أسابيع. الإجراء: نسخ احتياطي يومي آلي، واختبار فصلي للاستعادة.

6المشروع النهائي: إطار لإدارة المخاطر في بلد ما

يتمثل المشروع النهائي للميني MBA في الأمن وإدارة المخاطر في صياغة إطار لإدارة المخاطر من 6 إلى 10 صفحات، لبلد أو منطقة حقيقيين (ببيانات عامة فقط، دون أي معلومات سرية خاصة بمنظمة ما أبدًا) أو افتراضيين لكن واقعيين:

• 1. تحليل السياق: الأطراف الفاعلة، الديناميات، السيناريوهات، المؤشرات.
• 2. تقييم المخاطر: التهديدات، مواطن الضعف حسب السمات الشخصية، المصفوفة، المخاطر الأصلية والمتبقية، المقارنة بالعتبة.
• 3. الاستراتيجية: مزيج القبول والحماية والردع، واستراتيجية الوصول والتفاوض.
• 4. ملخص الخطة الأمنية: المستويات، الإجراءات الرئيسية، الاتصالات، خطط الطوارئ (الإجلاء الطبي، الاحتماء في المكان، النقل المؤقت، الاختطاف).
• 5. الأفراد: واجب الرعاية المنصف، الصحة، الرفاه، الصون الداخلي، التأمين.
• 6. مخاطر المنظمة: مقتطف من السجل (الائتمانية، الامتثال، الحماية من الاستغلال والانتهاك الجنسيين، الرقمية، السمعة).
• 7. الشركاء والميزانية والحوكمة: تقاسم المخاطر، ميزانية الأمن، لوحة المتابعة، استمرارية الأعمال.

معايير التقييم: جودة التحليل، الاتساق بين المخاطر والتدابير، الواقعية والتناسب، الإنصاف بين فئات الموظفين والشركاء، احترام المبادئ الإنسانية، الوضوح. ويشكّل المشروع جزءًا من امتحان الشهر الثالث.