GRC كخدمة (GRC as a Service): الامتثال كنموذج تشغيل

تقليديًا يُبنى نظام إدارة أمن المعلومات (ISMS) كمشروع ينتهي تنظيميًا بالحصول على الشهادة – مع أن العمل الفعلي يبدأ بعد ذلك. إذ يشترط معيار ISO/IEC 27001:2022 صراحةً الحفاظ على نظام الإدارة وتحسينه باستمرار؛ وتسري الشهادة ضمن دورة مدتها ثلاث سنوات مع عمليات تدقيق رقابية سنوية على الأقل (ISO/IEC ⁦17021-1⁩). كما صُمّمت NIS2 بوصفها التزامًا دائمًا: يجب تنفيذ إجراءات إدارة المخاطر ومراقبتها والتحقق من فعاليتها – وهو أمر ملزم في ألمانيا منذ دخول قانون تنفيذ NIS-2 حيز التنفيذ في ديسمبر 2025. ويعني Managed GRC عدم التعاقد على هذه المهام المتكررة بشكل متقطع، بل تشغيلها كخدمة مستمرة بنطاق خدمة ودورية وتقارير محددة.

يتمثل الجوهر في تشغيل نظام إدارة أمن المعلومات (ISMS): التحكم في الوثائق، ومتابعة الإجراءات، والتحضير لمراجعة الإدارة، وصيانة أدلة الإثبات. ويُضاف إلى ذلك الإدارة المستمرة للمخاطر (سجل المخاطر، وإعادة التقييم الدورية، وخطط معالجة المخاطر)، وبرنامج تدقيق داخلي وفق الفصل 9.2 من ISO/IEC 27001، فضلًا عن المؤشرات والتقارير المرفوعة إلى الإدارة العليا. وكثيرًا ما يتولى مزوّد الخدمة أيضًا تشغيل منصة GRC بما في ذلك صيانة البيانات وتحديثات الأطر؛ كما تُقدَّم تكميليًا أدوار المفوَّضين الخارجيين (مثل مسؤول أمن المعلومات أو مسؤول حماية البيانات) ومرافقة عمليات التدقيق. ويتفاوت التصميم الفعلي تفاوتًا كبيرًا – لذا ينبغي تنظيم نطاق الخدمة والدورية والتزامات المشاركة الواقعة على العميل تعاقديًا بدقة.

وفقًا لدراسة Bitkom حول سوق العمل في تقنية المعلومات، كانت نحو 109,000 وظيفة في تقنية المعلومات شاغرة في ألمانيا عام 2025؛ وتشكو 85 بالمئة من الشركات المشمولة بالاستطلاع من نقص في متخصصي تقنية المعلومات، فيما تتوقع 79 بالمئة تفاقمًا إضافيًا. وبالنسبة للشركات الصغيرة والمتوسطة، غالبًا ما يكون تخصيص دور GRC بدوام كامل غير مجدٍ اقتصاديًا وغير ممكن الشغل في السوق – لا سيما أن المعرفة المطلوبة تشمل عدة مجالات تخصصية، من تفسير المعايير والتنظيمات إلى ممارسة التدقيق والكفاءة في الأدوات. وتجمع الخدمة المُدارة هذه الكفاءات في قدرة مشتركة، وتوفر ترتيبات للإنابة وخبرة من دورات تدقيق كثيرة، وتقلّص الجهد الداخلي إلى دور تنسيقي محدد. غير أن القرارات واعتماد الموارد ومشاركة الإدارات المتخصصة تبقى داخلية – فلا يعمل أي نموذج دون قدرة ذاتية على الإطلاق.

الاستشارة التقليدية محدودة زمنيًا وتقدّم توصيات ومفاهيم ووثائق – بينما يبقى التنفيذ والصيانة على عاتق العميل. أما في النموذج المُدار، فيتولى مزوّد الخدمة المسؤولية عن النتائج لعمليات تشغيل محددة: تُجرى عمليات التدقيق، وتكون تقييمات المخاطر محدّثة، وتُسلَّم التقارير. وثمة حدّان جوهريان: أولًا، المسؤولية الإجمالية غير قابلة للتفويض – إذ يجب على هيئات الإدارة بموجب المادة 20 من توجيه NIS2 «اعتماد» إجراءات إدارة المخاطر و«الإشراف على تنفيذها»، ويمكن تحميلها المسؤولية عن المخالفات؛ كما تصدر شهادة ISO 27001 باسم المؤسسة لا باسم مزوّد الخدمة. ثانيًا، يشترط ISO/IEC 27001 عمليات تدقيق داخلي موضوعية ومحايدة – فإذا كان مزوّد الخدمة نفسه يشغّل نظام ISMS، يلزم لذلك فصل على مستوى الأفراد أو التنظيم.

إن واجب القياس راسخ معياريًا: إذ يشترط ISO/IEC 27001 في الفصل 9.1 مراقبة الأداء الأمني وفعالية نظام ISMS وتقييمهما، وتطلب NIS2 في المادة 21 الفقرة 2 البند (f) سياسات وإجراءات لتقييم فعالية إجراءات إدارة المخاطر. ومن مؤشرات التشغيل المجرّبة مثلًا: درجة تنفيذ الإجراءات الواردة في خطة معالجة المخاطر، والإجراءات ونتائج التدقيق المتأخرة مع مدة معالجتها، وعمر تقييمات المخاطر، وحداثة الوثائق الخاضعة للتحكم، ونسب التدريب والتوعية، وأزمنة الاكتشاف والمعالجة في الحوادث الأمنية. وتوفر ISO/IEC 27004:2016 (لا تتوفر مراجعتها حاليًا إلا كمسودة) وNIST SP ⁦800-55⁩ (2024) ضوابط منهجية. والحاسم هو الانتقاء لا الكثرة: عدد قليل من المؤشرات ذات الصلة باتخاذ القرار، بمصدر بيانات وقيمة مستهدفة وجهة متلقية للتقارير محددة.

يمكن التمييز إجمالًا بين ثلاث فئات: منصات GRC المتكاملة التي تربط عدة تخصصات مثل المخاطر والامتثال والتدقيق الداخلي وإدارة السياسات في نموذج بيانات واحد؛ وأدوات ISMS المتخصصة ذات كتالوجات الأطر الجاهزة ومتابعة الإجراءات؛ وحلول أتمتة الامتثال التي تجمع أدلة الإثبات آليًا عبر واجهات مع أنظمة السحابة والهوية ونقاط النهاية. وإلى جانب ذلك لا تزال الحلول الذاتية المعتمدة على تطبيقات Office منتشرة، لكنها تصطدم بحدود في إدارة الإصدارات وإمكانية التتبع والاستخدام متعدد المستخدمين. وفي النموذج المُدار يندرج تشغيل الأداة ضمن نطاق الخدمة – مثل تحديثات الكتالوج عند صدور إصدارات جديدة من المعايير، وربط عدة أطر ببعضها، والصيانة المستمرة للبيانات. غير أن الأداة لا تحل محل نموذج تشغيل: فدون عمليات ومسؤولين محددين، لا تفعل سوى عرض الجمود بشكل أوضح؛ كما ينبغي ضمان قابلية تصدير البيانات تعاقديًا لتغيير المزوّد لاحقًا.