إرشادات EBA بشأن مخاطر الأطراف الثالثة 2026: ما يجب أن تعرفه المؤسسات المالية الآن عن مزوّدي الخدمات من خارج تقنية المعلومات والاتصالات
24 سبتمبر 2026
ما الذي نشرته EBA في 18 سبتمبر 2026
بالتقرير النهائي EBA/GL/2026/09 «Guidelines on the sound management of third-party risk regarding non-ICT services» تستبدل الهيئة المصرفية الأوروبية إرشاداتها بشأن الإسناد الخارجي الصادرة في 25 فبراير 2019 (EBA/GL/2019/02). ويضم التقرير 98 صفحة — 128 بندًا من نص الإرشادات، إضافة إلى تحليل التكلفة والعائد وبيان الملاحظات على المشاورة EBA/CP/2025/12 التي جرت من 8 يوليو حتى 8 أكتوبر 2025 وتلقت 72 ردًا. والرسالة الجوهرية: ستُدار مخاطر الأطراف الثالثة الناشئة عن الخدمات غير المتعلقة بتقنية المعلومات والاتصالات مستقبلًا وفق المنطق نفسه الذي تُدار به مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات في ظل DORA — بتعريف متسق مع DORA للوظيفة الحرجة أو المهمة، وبسجل على غرار سجل المعلومات في DORA، وبدورة حياة كاملة من التحليل السابق للتعاقد حتى استراتيجية خروج مختبَرة.
من الإسناد الخارجي إلى ترتيب الطرف الثالث: التحول الجوهري في النظام
يكمن الفرق الأهم عن عام 2019 في مصطلح واحد. فترتيب الإسناد الخارجي كان يتعلق بوظيفة كانت المؤسسة ستؤديها بنفسها لولا ذلك. أما ترتيب الطرف الثالث الجديد فيتخلى عن هذا المعيار: إذ يشمل كل اتفاق يدعم فيه مقدم خدمة خارجي وظيفةً بشكل متكرر أو مستمر — ولم يعد الإسناد الخارجي سوى مجموعة فرعية (البند 17). وبذلك تدخل في نطاق التطبيق خدمات لم تُدرج قط في سجل للإسناد الخارجي. وفي الوقت نفسه اتسعت دائرة المخاطَبين: فإلى جانب مؤسسات الائتمان وشركات الاستثمار الخاضعة لـ CRD، تسري الإرشادات على فروع الدول الثالثة، وشركات الاستثمار الخاضعة لـ MiFID II (باستثناء الصغيرة غير المترابطة)، ومؤسسات الدفع والنقود الإلكترونية، ومُصدري الرموز المرجعية للأصول وفق MiCAR، ومقرضي MCD الذين هم مؤسسات مالية، والشركات القابضة المالية المعتمدة (البند 9). وما لا يشمله النطاق تحدده قائمة الاستثناءات في البند 33 — من التدقيق القانوني للحسابات مرورًا بشبكات الدفع وSWIFT وصولًا إلى التنظيف والتموين وخدمات المرافق.
الخط الفاصل مع DORA — والطموح الشامل
تبقى خدمات تقنية المعلومات والاتصالات وفق المادة 3(21) من DORA مستثناة؛ إذ تندرج تحت الفصل V من اللائحة (البند 7). وفي الحالات الهجينة — الخدمات غير المتعلقة بتقنية المعلومات والاتصالات التي تتضمن جزءًا تقنيًا — تقرر المؤسسة المالية بنفسها ما إذا كان الجزء التقني جوهريًا لتقديم الخدمة؛ وعندها تنطبق DORA (البند 32). وتتوقع EBA صراحةً نهجًا شاملًا يغطي العالمين، وتتيح ثلاثة أشكال من الدمج: يجوز دمج دور الرقابة مع دور DORA وفق المادة 5(3) (الحاشية 46)، ويجوز دمج السياسة مع سياسة تقنية المعلومات والاتصالات وفق المادة 28(10) من DORA شرط أن تُبقي أربعة تمييزات واضحة (البند 49)، ويجوز دمج السجل مع سجل المعلومات في DORA في سجل واحد (البند 61). ومن طبّق DORA بجدية يمتلك بذلك الجزء الأكبر من الإطار بالفعل.
السجل: 9 حقول أساسية و8 حقول إضافية ونموذج بيانات واحد
جوهر التزامات التوثيق سجلٌّ لجميع الترتيبات غير المتعلقة بتقنية المعلومات والاتصالات يميّز الوظائف الحرجة أو المهمة عن غيرها (البند 58). ولكل ترتيب تسري تسعة حقول أساسية (البند 61): الرقم المرجعي ونوع العقد، وبيانات المدة، والوحدات المستخدِمة، والارتباط بالمجموعة أو بنظام الحماية المؤسسي (IPS)، ووصف الوظيفة، ودرجة الحرجية مع المبرر، والفئة الداخلية، ومقدم الخدمة مع المعرّف والشركة الأم، وبلد تقديم الخدمة. وللوظائف الحرجة أو المهمة تُضاف ثمانية حقول (البند 62): القانون الواجب التطبيق، وتاريخ آخر عمليات التدقيق، والمتعاقدون من الباطن للأجزاء الجوهرية مع ترتيبهم في السلسلة، وقابلية الاستبدال من «easy» حتى «impossible»، وتقييم إعادة الدمج مع RTO وRPO، ووجود خطة خروج نعم/لا، ومقدمو الخدمة البديلون، والتكاليف السنوية. وعند الطلب تحصل الجهة الرقابية على السجل بصيغة إلكترونية قابلة للمعالجة — وصيغة لائحة DORA التنفيذية (EU) 2024/2956 مقبولة صراحةً (البند 63).
العقد والتعاقد من الباطن وحقوق التدقيق باختصار
يحتاج كل ترتيب إلى عقد مكتوب يتضمن عشرة بنود دنيا (البند 84 a–j)، وتحتاج الوظائف الحرجة أو المهمة إلى ستة بنود إضافية (البند 85 a–f) — منها مستويات خدمة كمية، والتزامات الإبلاغ والتقارير، والتأمين الإلزامي، وخطط الطوارئ المختبَرة، وحقوق الوصول والتدقيق غير المقيدة، واستراتيجية خروج مع مرحلة انتقالية ملزمة. وعند التعاقد من الباطن على أجزاء جوهرية تسري آلية للإخطار والاعتراض: يُبلغ مقدم الخدمة عن العقود الفرعية الجديدة أو المعدلة في الوقت المناسب، وتفحص المؤسسة الآثار ويمكنها الاعتراض خلال المهلة، ويجب أن يسمح العقد بإنهاء العقد الفرعي إذا تصرف مقدم الخدمة رغم ذلك (البنود 90–95). ويجوز استخدام شهادات وتقارير تدقيق الأطراف الثالثة — لكن للوظائف الحرجة لا يجوز أبدًا أن تكون الأساس الوحيد بشكل دائم، وفقط وفق ثمانية شروط، من نطاق التدقيق المناسب حتى الحق التعاقدي في إجراء عمليات تدقيق خاصة (البنود 102–104).
المهل: تاريخ بدء التطبيق مفتوح — لكن العمل يبدأ الآن
لا يزال تاريخ التطبيق في التقرير النهائي عنصرًا نائبًا؛ وسيُحدد مع نشر الترجمات إلى جميع اللغات الرسمية للاتحاد الأوروبي. واعتبارًا من ذلك اليوم تسري الإرشادات على جميع الترتيبات التي تُبرم حديثًا أو تُراجع أو تُعدَّل؛ ويجب تكييف العقود القائمة (البندان 18–19). وللترتيبات المتعلقة بالوظائف الحرجة أو المهمة تسري مهلة انتقالية مدتها سنتان — ومن لم ينتهِ بعدها يُبلغ الجهة الرقابية بالإجراءات المخططة أو باستراتيجية خروج محتملة (البند 20). ويمكن تحديث الترتيبات غير الحرجة عند تجديد العقد (البند 21). وتفحص الجهة الرقابية مخاطر الأطراف الثالثة على الأقل ضمن عملية المراجعة والتقييم الرقابي (SREP) (البند 119)، ويمكنها أن تصل إلى فرض الخروج من ترتيب ما (البند 126). توصيتنا: جرد جميع العقود المتكررة غير المتعلقة بتقنية المعلومات والاتصالات، واختبار من ثلاث مراحل مع توثيق درجة الحرجية، ومطابقة حقول السجل — هذه هي الأيام الـ 90 الأولى، وهي تتطلب جهدًا لا ميزانية.
السياق في منطقة DACH: MaRisk AT 9 يرسم الحدود بالفعل
في ألمانيا تطبّق BaFin إرشادات الإسناد الخارجي لعام 2019 عبر الوحدة AT 9 من MaRisk. والتعديل التاسع لـ MaRisk (التعميم 06/2026 (BA) بتاريخ 30 يونيو 2026) يستثني صراحةً بالفعل خدمات تقنية المعلومات والاتصالات وفق المادة 3 البند 21 من DORA من AT 9 — وهو الخط الفاصل نفسه الذي ترسمه إرشادات EBA. غير أن MaRisk لا تزال تعرف «الحصول الآخر على الخدمات من الغير» الذي لا يُعد إسنادًا خارجيًا، بينما تشمل EBA كل ترتيب متكرر غير متعلق بتقنية المعلومات والاتصالات؛ وهنا تحديدًا تكمن الحاجة إلى التكييف. ولم تُدرج EBA/GL/2026/09 بعد في MaRisk، ولم يصدر وفق بحثنا حتى 23 سبتمبر 2026 أي إعلان من BaFin بشأن التطبيق. وفي النمسا تطبق FMA إرشادات EBA مباشرة؛ أما سويسرا فتقع خارج الإطار الأوروبي وتنظم الإسناد الخارجي عبر تعميمي FINMA رقم 2018/3 و2023/1.
جديد على vamisec.com: صفحة معرفية بثلاث أدوات وورقة بيضاء لمسؤولي أمن المعلومات (CISO)
حللنا التقرير النهائي كاملًا وبنينا منه صفحة معرفية هي أكثر من مجرد ملخص: 14 فصلًا تغطي كل بند ذي صلة، ومستكشف نطاق يقودكم عبر خمسة أسئلة بنعم/لا إلى النظام المناسب، ومنشئ سجل بجميع الحقول الـ 17 للتحديد مع تصدير سطر العناوين بصيغة CSV، ورادار جاهزية يقيس مستوى النضج في خمسة أبعاد ويحدد أكبر الفجوات مع رقم البند. ويمكن طلب الورقة البيضاء المؤلفة من 30 صفحة «مخاطر الأطراف الثالثة لمسؤولي أمن المعلومات» مباشرة من الصفحة — مع بنية التكامل مع DORA، ومكتبة بنود تعاقدية، والسجل كنموذج بيانات، وبرنامج لـ 24 شهرًا يتضمن دليل عمل لـ 90 يومًا. والصفحة متاحة بالألمانية والإنجليزية والفرنسية والإسبانية، ومرتبطة بصفحتنا المعرفية حول DORA.
جميع الروابط
الصفحة المعرفية مع مستكشف النطاق ومنشئ السجل ورادار الجاهزية: https://vamisec.com/de/wissen/grc/eba-third-party-risk-management · اطلبوا الورقة البيضاء «مخاطر الأطراف الثالثة لمسؤولي أمن المعلومات»: https://vamisec.com/de/wissen/grc/eba-third-party-risk-management#whitepaper · الصفحة المعرفية حول DORA: https://vamisec.com/de/wissen/grc/dora · التقرير النهائي لـ EBA EBA/GL/2026/09 (PDF): https://www.eba.europa.eu/sites/default/files/2026-09/dc9ccbb3-79b9-493d-b693-c21adeffbcc9/Final%20report%20on%20GL%20on%20third-party%20risk%20management.pdf · البيان الصحفي لـ EBA بتاريخ 18 سبتمبر 2026: https://www.eba.europa.eu/publications-and-media/press-releases/eba-publishes-its-final-guidelines-management-third-party-risk-delivering-more-proportionate-and
هل لديكم أسئلة حول أمن تقنية المعلومات في مؤسستكم؟
استشارة أولية مجانية →