8 مبادئ (Principles)
التوجه نحو القيمة، والتكامل، والنهج المنظّم، والتكيّف مع السياق، وإشراك أصحاب المصلحة، والديناميكية، وأفضل المعلومات المتاحة، والعوامل البشرية والثقافية – والغاية هي خلق القيمة وحمايتها.
GRC · إدارة المخاطر
ISO 31000 المخاطر كتخصص قيادي
ISO 31000:2018 هو الدليل الدولي لإدارة المخاطر على مستوى المؤسسة (Enterprise Risk Management). ونحن نُرسّخ المخاطر السيبرانية ضمن الإطار الشامل للمخاطر في مؤسستكم – بشكل قابل للتدقيق وقريب من القرار وفعّال.
2018الإصدار الحالي (الطبعة الثانية، مؤكَّد في 2023)
Guidanceدليل إرشادي، وليس معيار متطلبات
غير قابل للاعتمادلا يوجد اعتماد – إطار وعملية
مظلة ERMأساس لـ ISO/IEC 27005، وذو صلة بـ NIS2 وDORA
لماذا يُعدّ ISO 31000 المظلة فوق مخاطركم السيبرانية
يقدّم ISO 31000:2018 مبادئ وإرشادات (Principles and Guidelines) لإدارة المخاطر بجميع أنواعها – عبر القطاعات وأنواع المخاطر، من المخاطر الاستراتيجية والتشغيلية إلى المخاطر السيبرانية ومخاطر الامتثال. والمعيار ليس عن قصد معيار متطلبات، ولذلك فهو غير قابل للاعتماد؛ إذ يصف كيف تُصمَّم إدارة المخاطر وتُقاد وتُحسَّن باستمرار.
بالنسبة لمسؤولي الأمن، يسد ISO 31000 الفجوة بين التحليل التقني للمخاطر والتوجيه المؤسسي. ويبني ISO/IEC 27005 منهجيًا على هذا الإطار الشامل، كما تشترط المتطلبات التنظيمية في NIS2 وDORA صراحةً نهجًا قائمًا على المخاطر. ومن يطبّق ISO 31000 بإتقان يتحدث لغة الإدارة العليا ولغة الجهة الرقابية في آن واحد.
المكوّنات الأساسية للمعيار
يقوم ISO 31000 على ثلاث ركائز: المبادئ والإطار والعملية.
الإطار (Framework)
القيادة والالتزام (Leadership & Commitment) في المركز، تحيط بهما دورة التكامل والتصميم (Design) والتنفيذ (Implementation) والتقييم (Evaluation) والتحسين (Improvement).
السياق والتواصل
السياق الخارجي والداخلي ومعايير المخاطر إلى جانب التواصل والتشاور المستمرين (Communication & Consultation) تشكّل أساس كل قرار متعلق بالمخاطر.
تقييم المخاطر (Risk Assessment)
تحديد المخاطر وتحليلها وتقديرها (Identification, Analysis, Evaluation) – الجوهر المنهجي الذي يبني عليه ISO/IEC 27005 في مجال أمن المعلومات.
معالجة المخاطر (Risk Treatment)
اختيار وتنفيذ إجراءات للتحكم في المخاطر – التجنب أو التقليل أو المشاركة أو القبول – بما في ذلك تقييم المخاطر المتبقية (Residual Risk).
المراقبة ورفع التقارير
تضمن المراقبة والمراجعة المستمرتان (Monitoring & Review) إلى جانب التسجيل ورفع التقارير (Recording & Reporting) إمكانية التتبع والتحسين.
الجسر نحو التزاماتكم
ISO 31000 هو القاسم المشترك الذي يربط المخاطر السيبرانية بالمتطلبات التنظيمية.
NIS2 وDORA
يشترط كلاهما نهجًا قائمًا على المخاطر وإدارة للمخاطر على مستوى القيادة. ويوفّر ISO 31000 هيكل الحوكمة الذي تستوفون به التزامات المساءلة الخاصة بالإدارة العليا بشكل قابل للإثبات.
ISO/IEC 27005 وISO 27001
يُفصّل ISO/IEC 27005 معيار ISO 31000 لمخاطر أمن المعلومات ويغذّي نظام ISMS وفق ISO/IEC 27001. وهكذا يتحول الإطار الشامل إلى عملية أمنية قابلة للتدقيق.
CRA ومخاطر المنتجات
يشترط قانون المرونة السيبرانية (Cyber Resilience Act) تقييمات للمخاطر على امتداد دورة حياة المنتج. ويوفّر ISO 31000 منهجية موحّدة لتقييم مخاطر المنتج وسلسلة التوريد والمؤسسة بشكل متسق.
إدارة المخاطر المؤسسية (Enterprise Risk Management)
يدمج ISO 31000 المخاطر السيبرانية في سجل المخاطر على مستوى المؤسسة وفي التوجيه الاستراتيجي – وهو الشرط المسبق لقرارات متينة في مجلس الإدارة.
هكذا نعمل معكم
من صورة مستوى النضج إلى إطار مخاطر مُطبَّق فعليًا في أربع خطوات.
01
1 · السياق ومستوى النضج
نرصد السياق الداخلي والخارجي وعمليات إدارة المخاطر ومعايير المخاطر القائمة، ونحدد مستوى نضجكم مقابل مبادئ ISO 31000.
02
2 · تصميم الإطار
نحدد الحوكمة والأدوار وشهية المخاطر (Risk Appetite) والمعايير، ونُرسّخ القيادة والالتزام على مستوى الإدارة.
03
3 · تنفيذ العملية
نُفعّل تقييم المخاطر ومعالجتها تشغيليًا، ونربطهما بـ ISO/IEC 27005 وبالتزاماتكم التنظيمية، ونبني سجل المخاطر.
04
4 · المراقبة والتحسين
نُرسي المراقبة ومسارات رفع التقارير إلى الإدارة العليا ودورة تحسين مستمر – جاهزة لعمليات التدقيق والرقابة.
المصادر والصفحات ذات الصلة
المصدر الأساسي للمعيار والموضوعات المناسبة من محفظة GRC لدينا.
الأسئلة الشائعة حول ISO 31000
أكثر ما يسأل عنه مسؤولو الأمن والمخاطر.
هل يمكن الحصول على شهادة وفق ISO 31000؟
لا. ISO 31000 دليل إرشادي (Guidance) وليس معيار متطلبات. ولا يوجد اعتماد معتمَد للمؤسسة مقابل ISO 31000. أما القابل للاعتماد فهو نظام إدارة أمن المعلومات لديكم وفق ISO/IEC 27001، والذي يمكن أن يبني منهجيًا على ISO 31000.
ما الفرق بين ISO 31000 وISO/IEC 27005؟
ISO 31000 هو الإطار الشامل لإدارة المخاطر بجميع أنواعها. ويُفصّل ISO/IEC 27005 هذه المنهجية خصيصًا لمخاطر أمن المعلومات ويربطها بنظام ISMS وفق ISO/IEC 27001.
هل يساعد ISO 31000 في NIS2 وDORA؟
نعم. يشترط الإطاران التنظيميان نهجًا قائمًا على المخاطر ومسؤولية على مستوى القيادة. ويوفّر ISO 31000 هيكل الحوكمة وعملية متسقة لإدارة المخاطر تستوفون بها هذه المتطلبات بشكل قابل للإثبات.
ما الإصدار الحالي؟
ISO 31000:2018 هو الإصدار الثاني الحالي؛ وقد راجعته ISO وأكدته ويظل ساريًا. ويجري التحضير لمراجعة في اللجان المتخصصة، لكنها لم تُنشر بعد كإصدار جديد.
ما المؤسسات التي يناسبها ISO 31000؟
كل مؤسسة، بغض النظر عن حجمها أو قطاعها أو مجالها. وتُكيَّف الإرشادات وفق السياق وملف المخاطر، ويمكن تطبيقها على المخاطر الاستراتيجية والتشغيلية والمالية وكذلك على المخاطر السيبرانية.
اجعلوا المخاطر أساسًا لاتخاذ القرار
نُرسّخ ISO 31000 كإطار حيّ – من الإدارة العليا حتى التحليل التقني للمخاطر.