‏مخاطر الامتثال

لا يوجد خطر امتثال إلا بالنسبة إلى التزام، والالتزامات تصل المؤسسة من ثلاث جهات. وتسري القوانين بحسب الولاية القضائية والقطاع، سواء قرأتها المؤسسة أم لم تقرأها. أما السياسات الداخلية فتحدد، بعد نشرها، ما يُعد مخالفة، وعليها تُبنى التدقيقات والنزاعات. وخطر الامتثال هو الفجوة بين ما تطلبه هذه المصادر وما تفعله المؤسسة فعلًا. المسؤوليات المتعلقة بالخصوصية مثال شائع، تغطيه برامج حماية البيانات.

يتبع التقييم منهجية أي فرع من إدارة المخاطر: يُحدَّد كل التزام، ويُسند إلى مسؤول، ويُقيَّم على محورين. المحور الأول هو احتمال الإخلال بالالتزام، ويُقدَّر من نضج الضوابط وتعقيد الالتزام والحوادث السابقة وملاحظات التدقيق. والمحور الثاني هو الأثر، أي الحدود القصوى للغرامات، وخسارة العقود، والتغييرات التشغيلية المفروضة، والإضرار بالسمعة، وفي بعض الأنظمة المسؤولية الشخصية للمديرين.

يضع المقياسان الخطر على خريطة حرارية ويحددان الأولويات: تُعالَج الفجوات عالية الاحتمال والأثر أولًا، بينما تُراقب الفجوات منخفضة التقييم. ويُجرى التقييم عادة مرتين، الخطر الكامن قبل الضوابط والخطر المتبقي بعدها، ما يُظهر حجم الحماية التي توفرها الضوابط القائمة فعلًا. وتُحفظ النتائج في سجل المخاطر، وهو عرض موحد للالتزامات والتقييمات والمسؤولين والمواعيد النهائية. السجل أداة العمل في إدارة الامتثال، إذ يبقى كل بند مرتبطًا بمسؤوله.

نادرًا ما تكون تكلفة إخفاق الامتثال رقمًا واحدًا، فمكوناتها تعزز بعضها بعضًا:

• عقوبات تنظيمية: غرامات تتدرج في بعض الأنظمة مع حجم الإيرادات، وأوامر تصحيح وتفتيش
• المسؤولية التعاقدية والمدنية: بنود الغرامة، ومطالبات التعويض، وفسخ العقود، والاستبعاد من المناقصات
• اضطراب تشغيلي: تراخيص معلّقة، وإطلاقات متوقفة، وتغييرات إجرائية وفق جدول الجهة التنظيمية
• الإضرار بالسمعة: فقدان ثقة العملاء والشركاء، وهو غالبًا ما يبقى بعد العقوبة الرسمية
• المسؤولية الشخصية: في عدد متزايد من الأنظمة يتحمل المديرون الإخفاقات شخصيًا

ليس كل خطر امتثال يبرر إنفاقًا بلا حدود، لذلك تحدد المؤسسات مسبقًا مقدار المخاطرة التي تقبل تحملها. ويفصل بيان الشهية للمخاطرة، الذي يعتمده مجلس الإدارة عادة، بين مجالات عدم التسامح المطلق، حيث أي مخالفة غير مقبولة، والمجالات التي يكون فيها مستوى مقيس من الخطر محتملًا، لأن الإزالة الكاملة ستكلف أكثر من الإخفاق نفسه. وتُراجع الشهية عند دخول أسواق جديدة، أو تملك بيانات خاضعة للتنظيم، أو عند تشديد القانون.

يجب أن يكون قبول خطر امتثال يتجاوز الشهية قرارًا صريحًا: موثقًا، وموقَّعًا من مسؤول محدد، ومحدَّد المدة، ومصحوبًا بالمراقبة. فالصمت عن هذا الأمر إخفاق في الحوكمة في حد ذاته.

بعد التقييم، يُوجَّه كل خطر امتثال جوهري وفق إحدى استراتيجيات المعالجة الكلاسيكية الأربع، وكثيرًا ما تُجمع بينها لالتزامات مختلفة. وقبول الخطر لا يعني عدم الفعل، فهو موثق وله مسؤول ومبرر ومراجعة دورية. أما النقل فينقل المال لا الالتزام القانوني، إذ تظل الجهة التنظيمية تتعامل مع المؤسسة.

• التخفيف: خفض الاحتمال أو الأثر بضوابط تنتج دليلًا على الوفاء بالالتزام
• النقل: تحويل جزء من الأثر المالي إلى طرف ثالث عبر التأمين أو التعويض
• التجنّب: إزالة الخطر بوقف النشاط المنشئ له، كسوق أو خط منتجات
• القبول: الاحتفاظ بالخطر رسميًا عندما تكلف معالجته أكثر من الخسارة المتوقعة

في Anexet DLP لكل فئة خطر مستوى افتراضي، وتبدأ فئة Law violation بالمستوى High. ثم تختار كل قاعدة أمان فئتها ومستواها الخاص.

1 / 2

• 
• 

يُدار خطر الامتثال دوريًا. فجرد الالتزامات يُحدَّث مع تغير القوانين والعقود، وتُربط الضوابط بالالتزامات التي تخدمها، وتُعاد قراءة المخاطر المتبقية. وتُجمع أدلة تشغيل الضوابط باستمرار، لأن التدقيق يعد الضابط بلا دليل ضابطًا غائبًا.

والمؤسسات التي تتعامل مع الامتثال كتمرين لمرة واحدة تكتشف الفجوة عادة أثناء حادث، حين تكون تكلفة الإخفاق قد تحددت بالفعل. ويقيم قسم كبير من خطر الامتثال في السلوك اليومي للموظفين، كالبريد المرسل إلى عنوان خاطئ، والملفات المنقولة عبر حسابات سحابية شخصية، والأجهزة التي تغادر المكتب دون إشراف. لذلك تُعد تدريبات التوعية، والسياسات الواضحة، والرؤية الفعلية لتدفق البيانات عناصر أساسية في برنامج الامتثال، إلى جانب تتبع التنظيمات نفسها. ويُغطّى خطر الأفراد من داخل المؤسسة بـإدارة المخاطر الداخلية.

للمزيد من القراءة: استخدام نظام Anexet Ultimate DLP للامتثال لـ GDPR.