التدقيق و الشهادات

يعرّف ISO 19011 التدقيق بأنه عملية منهجية ومستقلة وموثقة تُقيَّم فيها أدلة التدقيق بموضوعية مقابل معايير التدقيق؛ وقد صدر الدليل في طبعته الرابعة في مايو 2026 (ISO 19011:2026، وهو مراجعة تقنية لإصدار 2018، تتضمن من بين أمور أخرى إرشادات موسّعة لعمليات التدقيق عن بُعد). ويُميَّز بين ثلاث حالات: عمليات تدقيق الطرف الأول (التدقيق الداخلي) تجريها المؤسسة بنفسها أو نيابةً عنها، مثلًا لإثبات الالتزام بالمعيار أو للتحضير للحصول على شهادة. وتُجرى عمليات تدقيق الطرف الثاني من قبل أطراف معنية مثل العملاء – عادةً كتدقيق للمورّدين في إطار إدارة مخاطر الأطراف الثالثة. أما عمليات تدقيق الطرف الثالث فتجريها جهات مستقلة، ولا سيما جهات منح الشهادات والسلطات؛ ولا يسري ISO 19011 على عمليات تدقيق الاعتماد هذه، بل ISO/IEC 17021-1.

يُجرى تدقيق الاعتماد الأولي وفق ISO/IEC ⁦17021-1⁩ على مرحلتين: تفحص المرحلة 1 الجاهزية للاعتماد – الوثائق ونطاق التطبيق وظروف الموقع، وما إذا كانت عمليات التدقيق الداخلي ومراجعة الإدارة قد خُطط لها ونُفذت بالفعل. ثم تقيّم المرحلة 2 ميدانيًا تنفيذ نظام الإدارة وفعاليته، بما في ذلك الضوابط الواردة في بيان قابلية التطبيق (SoA). ومع قرار منح الشهادة الإيجابي تبدأ دورة الاعتماد الممتدة ثلاث سنوات: تُجرى عمليات التدقيق الرقابي مرة واحدة على الأقل في كل سنة تقويمية – باستثناء السنوات التي يُجرى فيها تدقيق إعادة الاعتماد، على أن يكون أولها في موعد أقصاه اثنا عشر شهرًا بعد قرار منح الشهادة – وتفحص مجالات مختارة بالعيّنة؛ وفي السنة الثالثة يقيّم تدقيق إعادة الاعتماد النظام بأكمله مجددًا قبل انتهاء صلاحية الشهادة. وتخضع تغييرات المعايير لقواعد انتقالية خاصة بها – فقد انتهت مهلة الانتقال إلى ISO/IEC 27001:2022 وفق IAF MD 26 في 31 أكتوبر 2025، وأصبحت الشهادات الأقدم الصادرة وفق إصدار 2013 غير سارية منذ ذلك الحين.

لكي تكون للشهادة قيمة إثباتية، يجب أن تخضع جهة منح الشهادة المُصدِرة لها نفسها للرقابة. وفي ألمانيا تتولى ذلك DAkkS بوصفها جهة الاعتماد الوطنية الوحيدة استنادًا إلى اللائحة (EG) رقم 765/2008 وقانون جهة الاعتماد (AkkStelleG)؛ وهي نفسها تعمل وفق ISO/IEC 17011. وتُعتمد جهات منح شهادات أنظمة الإدارة وفق ISO/IEC ⁦17021-1⁩؛ وبالنسبة لشهادات ISMS تسري إضافةً إلى ذلك متطلبات ISO/IEC ⁦27006-1⁩:2024 – ومنها ما يتعلق بكفاءة المدققين والحد الأدنى لجهد التدقيق – التي انتهت فترتها الانتقالية لجهات منح الشهادات في 31 مارس 2026. وبالنسبة للعملاء يعني ذلك: ينبغي أن يكون رمز الاعتماد ظاهرًا على الشهادة – فالشهادة غير المعتمدة ذات قوة إثباتية أدنى بكثير.

يشترط ISO/IEC 27001:2022 في الفصل 9.2 عمليات تدقيق داخلي على فترات مخطط لها: ينبغي أن تُظهر ما إذا كان نظام ISMS يستوفي متطلبات المؤسسة الخاصة ومتطلبات المعيار، وما إذا كان مطبقًا ومحافظًا عليه بفعالية (9.2.1). ويطلب الفصل 9.2.2 لذلك برنامج تدقيق يتضمن التواتر والأساليب والمسؤوليات ومسارات الإبلاغ، ويراعي أهمية العمليات المعنية ونتائج عمليات التدقيق السابقة. ولا يفرض المعيار تواترًا ثابتًا؛ ويجب اختيار المدققين بحيث تبقى الموضوعية والحياد مصونين – لذا يمكن أيضًا أن تُجرى عمليات التدقيق الداخلي من قبل أطراف خارجية نيابةً عن المؤسسة. ويجب إبلاغ النتائج إلى المستوى الإداري المعني والاحتفاظ بها كمعلومات موثقة؛ ويفحص المدققون الخارجيون هذه العملية تحديدًا في المرحلة 1 ومن جديد في كل تدقيق رقابي.

يبدأ التحضير المتين بنطاق تطبيق محدد بوضوح وبتحليل للفجوات مقابل متطلبات المعيار وكتالوج الإجراءات. ويلي ذلك تنفيذ الإجراءات المفتوحة وبناء أدلة إثبات قابلة للتدقيق: تقييم المخاطر وخطة معالجة المخاطر، وبيان قابلية التطبيق، وسجلات التشغيل، مثلًا حول مراجعات الصلاحيات والتدريبات والحوادث الأمنية. وينبغي قبل المرحلة 2 إتمام دورة تدقيق داخلي كاملة واحدة على الأقل ومراجعة إدارة واحدة، لأن المدقق يقيّم هذه الجاهزية تحديدًا منذ المرحلة 1؛ ويمكن تصنيف «مجالات القلق» (Areas of Concern) المحددة هناك كحالات عدم مطابقة في المرحلة 2. وقد ثبتت جدوى إنتاج أدلة الإثبات حيث يجري العمل – فالوثائق المجمّعة لاحقًا قبيل التدقيق تلفت الانتباه عادةً في المرحلة 2.

يصنّف مدققو الاعتماد النتائج كعدم مطابقة جسيم – عندما تكون قدرة نظام الإدارة على تحقيق النتائج المقصودة موضع شك – أو كعدم مطابقة طفيف؛ وإلى جانب ذلك توجد ملاحظات وفرص للتحسين. ومن مجالات النتائج المتكررة في عمليات تدقيق ISMS: الفجوات بين العمليات الموثقة والممارسة الفعلية، وتقييم المخاطر دون صلة واضحة ببيان قابلية التطبيق، وعمليات التدقيق الداخلي التي لا تغطي نطاق التطبيق بأكمله، ومراجعات الإدارة غير المكتملة، والإجراءات التصحيحية غير المتابعة. ويجب إغلاق حالات عدم المطابقة الجسيمة بشكل مثبت قبل قرار منح الشهادة؛ وإذا لم تتمكن جهة منح الشهادة من التحقق من التصحيحات خلال ستة أشهر من انتهاء المرحلة 2، يشترط ISO/IEC ⁦17021-1⁩ إجراء تدقيق المرحلة 2 من جديد. والحاسم هو التعامل المنهجي: تحليل الأسباب الجذرية، والإجراء التصحيحي، والتحقق من الفعالية بدلًا من معالجة الأعراض بشكل متقطع.