أنظمة الإدارة المتكاملة (IMS)

Harmonized Structure (HS) هي القالب المُلزِم لمعايير أنظمة الإدارة الصادرة عن ISO. وهي محددة في Annex SL من ISO/IEC Directives, Part 1 (Consolidated ISO Supplement)، واعتُمدت في عام 2012، وتحمل منذ إصدار 2021 اسم «Harmonized Structure» بدلًا من «High-Level Structure». وتفرض على جميع معايير أنظمة الإدارة البنود العشرة ذاتها – والمتطلبات واردة في البنود من 4 إلى 10: سياق المؤسسة، والقيادة، والتخطيط، والدعم، والتشغيل، وتقييم الأداء، والتحسين – مع نص أساسي متطابق ومصطلحات وتعريفات مشتركة. وبذلك يكون تحليل السياق والسياسة والمخاطر والفرص والمعلومات الموثقة والتدقيق الداخلي ومراجعة الإدارة مبنية هيكليًا بالطريقة نفسها في كل معيار – وهذا التداخل تحديدًا هو ما يجعل التكامل ممكنًا تقنيًا.

تتبع المعايير الخمسة جميعها Harmonized Structure، لكنها تختلف في الجزء التخصصي. يتضمن ISO/IEC 27001:2022 (أمن المعلومات، بما في ذلك Amendment 1:2024 بشأن مراعاة تغيّر المناخ في البندين 4.1 و4.2) ضوابط الملحق A. ويُعدّ ISO/IEC 27701:2025 (نظام إدارة حماية البيانات، PIMS) منذ الإصدار الثاني معيار نظام إدارة مستقلًا – فلم تعد شهادة ISO 27001 القائمة شرطًا مسبقًا، لكن التكامل مع نظام ISMS يبقى الحالة المعتادة. وISO/IEC 42001:2023 هو أول معيار قابل للاعتماد لأنظمة إدارة الذكاء الاصطناعي. ولا يزال ISO 9001:2015 (الجودة) ساريًا؛ والإصدار اللاحق متاح كمسودة نهائية (FDIS، التصويت النهائي حتى يوليو 2026)، ويُتوقع النشر في نحو سبتمبر 2026. ويبقى ISO 22301:2019 (استمرارية الأعمال، بما في ذلك Amendment 1:2024) ساريًا؛ وإصدار ثالث لا يزال في مرحلة Committee Draft فقط.

متطلبات المعلومات الموثقة (بند HS 7.5) متطابقة عمليًا في المعايير الخمسة جميعها – لذا يمكن تغطية الإعداد والتمييز والمراجعة والاعتماد وإدارة الإصدارات وحماية الوصول عبر عملية ضبط واحدة. وقد أثبت التسلسل الهرمي الثلاثي للوثائق جدواه: سياسة متكاملة في المستوى الأعلى، وإجراءات مشتركة عابرة (إدارة المخاطر، وبرنامج التدقيق، والتعامل مع الانحرافات، والتدريب) في الوسط، وتعليمات عمل وأدلة إثبات خاصة بكل معيار في الأسفل. وتُبقي مصفوفة المطابقة، التي تربط كل وثيقة ببنود وضوابط كل معيار، البنية واضحة للمدققين الداخليين والخارجيين – دون الحاجة إلى صيانة المحتوى مرات متعددة.

داخليًا يكفي برنامج تدقيق متكامل وفق البند 9.2 يغطي عدة معايير في تدقيق واحد؛ وتوفر ISO 19011:2026 الإرشادات المنهجية (الإصدار الرابع، مايو 2026، يحل محل إصدار 2018 ويوسّع من بين أمور أخرى الإرشادات الخاصة بالتدقيق عن بُعد والتدقيق الهجين). أما لتدقيقات الاعتماد فينظم IAF MD 11:2023 تطبيق ISO/IEC ⁦17021-1⁩ على أنظمة الإدارة المتكاملة، بما في ذلك حساب وقت التدقيق: فكلما ارتفعت درجة التكامل – مثل مراجعة إدارة مشتركة ووثائق متكاملة وعمليات شاملة –، جاز تقليص إجمالي وقت التدقيق بدرجة أكبر مقارنةً بعمليات التدقيق المنفصلة. ويُشترط وجود خطة تدقيق موحّدة وفريق تدقيق يغطي جميع التخصصات المعنية بكفاءة.

ينشأ مكسب الكفاءة حيث تُنفَّذ العمليات المشتركة مرة واحدة فقط وتُحتسب لعدة معايير: تحليل السياق وأصحاب المصلحة، ومنهجية المخاطر، والتدريب والتوعية، وإدارة المورّدين، ومراجعة الإدارة، والإجراءات التصحيحية. يضاف إلى ذلك عدد أقل من أيام التدقيق وتصريحات متسقة أمام العملاء والجهات الرقابية. ومن المزالق المعتادة: المساواة المتسرعة بين مفاهيم مخاطر مختلفة (أمن المعلومات مقابل الجودة مقابل تقييم أثر الذكاء الاصطناعي)؛ وعدم تطابق نطاقات تطبيق الأنظمة الفرعية؛ ووجود التكامل على الورق فقط بينما تواصل الإدارات المتخصصة العمل بشكل منفصل؛ وبقاء المسؤوليات بين CISO ومسؤولي حماية البيانات والجودة غير واضحة؛ ودورات اعتماد غير متزامنة تحول دون عمليات التدقيق المشتركة ما لم تُزامَن عن قصد.

نادرًا ما ينجح التكامل كتحول شامل دفعة واحدة – إذ يصف دليل ISO «The Integrated Use of Management System Standards» (IUMSS) نهجًا تدريجيًا. وفي الممارسة يثبت مسار ثلاثي المراحل جدواه: أولًا تُوائَم الأنظمة المنفصلة عبر مصطلحات مشتركة ومصفوفة مطابقة وضبط مشترك للوثائق. ثم تُدمج العمليات المشتركة – إدارة المخاطر وبرنامج التدقيق الداخلي ومراجعة الإدارة. وفي النهاية يقوم نظام متكامل بسياسة واحدة ومجموعة مؤشرات واحدة وتدقيقات اعتماد مشتركة بدورات متزامنة. وغالبًا ما يكون النظام الأكثر نضجًا القائم نقطة الانطلاق المناسبة – وكثيرًا ما يكون ISMS أو QMS؛ ثم يمكن إضافة موضوعات جديدة مثل ISO/IEC 42001 أو ISO/IEC 27701 كامتداد بدلًا من بنية موازية.