حدد محلل في TPRM خطرًا كبيرًا أثناء تقييم أحد الموردين: فنظام النسخ الاحتياطي لدى المورد لم يُختبر من حيث الاستعادة منذ أربعة عشر شهرًا، وكان RTO لديه أربع ساعات، بينما أظهر آخر اختبار استعادة ناجح في الاختبار السابق زمن استعادة بلغ ست ساعات. ووثّق المحلل النتيجة في سجل المخاطر بأولوية عالية وأرسل طلب المعالجة المعتاد إلى جهة الاتصال التقنية لدى المورد. وظلت النتيجة في سجل المخاطر ستة أشهر. وعندما تعرض المورد لعطل كبير في مركز البيانات، استغرقت الاستعادة إحدى عشرة ساعة، متجاوزة بكثير SLA التعاقدية. وتبيّن في تحقيق لاحق أن فجوة الاستعادة من النسخ الاحتياطية كانت قد حُددت ووُثّقت وأُرسل طلب بمعالجتها قبل ستة أشهر. ولم يُبلَّغ قط بالنتيجة مالك وحدة الأعمال الذي كان يملك صلاحية تصعيد متطلب SLA أو إنهاء العلاقة. ولم يتلقَّ فريق تقنية المعلومات الذي كان بإمكانه تطبيق ضوابط تعويضية هذا التواصل قط. لقد حُدد الخطر وأُدير داخل برنامج TPRM. لكنه لم يُبلَّغ قط إلى الأشخاص في المؤسسة الذين كان بإمكانهم معالجته.
ما فجوات التواصل بشأن المخاطر حقًا؟
التواصل بشأن المخاطر هو عملية ضمان وصول المخاطر المحددة إلى من يملكون الصلاحية أو الموارد أو المسؤولية التشغيلية للتصرف بشأنها، لا إلى من يتحملون المسؤولية التقنية عن تتبعها فحسب. وفجوات التواصل بشأن المخاطر هي إخفاقات هذه العملية: مخاطر محددة موثقة لكنها لا تُبلَّغ إلى صانعي القرار أو مالكي الأعمال أو الفرق التشغيلية القادرين على الاستجابة لها، ومخاطر تُبلَّغ بصيغ أو عبر قنوات لا تصل إلى جمهورها المقصود بفاعلية، ومخاطر تُبلَّغ ولكن بطرق لا تمكّن المتلقي من فهم أهميتها أو إلحاحها.
الخلط بين التوثيق والتواصل هو الجذر البنيوي لفجوات التواصل بشأن المخاطر. فتوثيق المخاطر يُنشئ سجلًا يثبت أن الخطر حُدد، وهو أثر من آثار الحوكمة يثبت أن برنامج TPRM اكتشف المشكلة. أما التواصل بشأن المخاطر فيضمن وصول النتيجة إلى من يستطيعون التصرف بناءً عليها. وهذان هدفان مختلفان. فالتوثيق يخدم متطلبات البرنامج في حفظ السجلات ومسار التدقيق. والتواصل يخدم متطلبات المؤسسة في اتخاذ القرار وإدارة المخاطر. والبرنامج الذي يُحسّن أداءه في التوثيق قد يُنتج سجل مخاطر شاملًا وحسن التنظيم لم يُسهم قط في أي قرار جوهري اتخذه مالك أعمال أو مسؤول تنفيذي.
تمثل مشكلة تحديد الجمهور التحدي التشغيلي الذي يُنتج فجوات التواصل. فبالنسبة إلى أي نتيجة مخاطر، يشمل الجمهور المعني عدة أنواع مختلفة من أصحاب المصلحة: جهة الاتصال لدى المورد التي يجب أن تعالج فجوة الضوابط الأساسية، ومالك وحدة الأعمال الذي يملك الصلاحية التجارية على العلاقة مع المورد، وفريق تقنية المعلومات أو الفريق التشغيلي الذي قد يستطيع تطبيق ضوابط تعويضية، وCISO أو لجنة المخاطر التي قد تحتاج إلى اتخاذ قرارات قبول المخاطر، وربما الهيئات التنظيمية إذا انطوى الخطر على بيانات أو عمليات منظمة. وكل جمهور يحتاج إلى معلومات مختلفة بمستويات مختلفة من التفصيل التقني. والقيد في سجل المخاطر يستوفي متطلب التوثيق لكنه لا يخدم أيًا من هذه الجماهير مباشرة.
يزيد عدم التطابق بين القناة والجمهور من حدة مشكلة تحديد الجمهور. فنتائج المخاطر المبلَّغة عبر سجل مخاطر TPRM تصل إلى فريق TPRM. لكنها لا تصل إلى مالكي وحدات الأعمال الذين لا يراجعون سجل المخاطر. ونتائج المخاطر المبلَّغة عبر المراسلات التقنية مع المورد تصل إلى جهة الاتصال التقنية لدى المورد. لكنها لا تصل إلى الفرق التشغيلية أو مالكي الأعمال لدى العميل. فقناة التواصل تحدد الجمهور الذي يُبلَغ. وإذا لم تشمل القناة من يحتاجون إلى التصرف، فإن التواصل لم يحقق غرضه مهما كان التوثيق شاملًا.
يمثل بُعد التوقيت الفئة الثالثة من فجوات التواصل. فالتواصل بشأن المخاطر الذي يكون دقيقًا ويصل إلى الجمهور المعني لكنه يأتي متأخرًا بحيث لا يتيح اتخاذ القرار ذي الصلة هو تواصل يُعلم ولا يحكم. والخطر الذي يُحدد قبل تحققه بستة أشهر ويُبلَّغ إلى صانعي القرار في حينه يتيح نافذة قرار مدتها ستة أشهر. أما الخطر نفسه إذا أُبلغ إلى أنظمة التوثيق لا إلى صانعي القرار فلا يتيح أي نافذة قرار على الإطلاق. وتوقيت التواصل بشأن المخاطر لا يقل أهمية عن مضمونه.
- الخلط بين التوثيق والتواصل: قيود سجل المخاطر بوصفها أداة التواصل بدلًا من قناة التواصل
- عدم تحديد الجمهور: إرسال نتائج المخاطر إلى جهات الاتصال التقنية دون أن تصل إلى مالكي الأعمال أو فرق تقنية المعلومات أو المسؤولين التنفيذيين
- عدم التطابق بين القناة والجمهور: قنوات تواصل تصل إلى أنظمة التوثيق لا إلى صانعي القرار
- فجوات التوقيت: إبلاغ المخاطر في وقت متأخر لا يتيح اتخاذ قرارات مستنيرة
- عدم ملاءمة الصيغة: عدم ترجمة قيود سجل المخاطر التقنية إلى صيغ مفيدة للقرار لجماهير الأعمال
لماذا يهم هذا
تهم فجوات التواصل بشأن المخاطر في TPRM لأن قيمة البرنامج للمؤسسة تتحدد بجودة القرارات التي يتيحها، والقرارات تتطلب تواصلًا يصل إلى صانعي القرار بصيغ تدعم التصرف المستنير. وبرنامج TPRM الذي يحدد المخاطر تحديدًا شاملًا ويوثقها توثيقًا دقيقًا لكنه لا يبلّغها إلى من يستطيعون التصرف بشأنها قد أنتج سجل حوكمة دون أن يحقق قيمة الحوكمة.
المراجعة اللاحقة للحادث هي اللحظة التي تصبح فيها فجوات التواصل بشأن المخاطر أوضح ما تكون. فعندما يقع حادث مرتبط بمورد، يسأل التحقيق عما إذا كان الخطر معروفًا قبل الحادث وعما إذا كان الأشخاص المعنيون قد أُبلغوا في الوقت المناسب للتصرف. فالنتيجة التي وُثّقت في سجل المخاطر وأُرسل بشأنها طلب معالجة إلى جهة اتصال تقنية لدى المورد قبل الحادث بستة أشهر كانت معروفة. أما ما إذا كان الأشخاص المعنيون قد أُبلغوا فهو سؤال التواصل. وعبارة «كان مدرجًا في سجل المخاطر» ليست إجابة كافية عن سؤال «هل كان مالك وحدة الأعمال على علم بهذا الخطر قبل وقوع الحادث؟».
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في التعامل مع التوثيق في سجل المخاطر بوصفه تواصلًا بشأن المخاطر. فسجل المخاطر أداة لإدارة البرنامج. أما التواصل بشأن المخاطر فهو عملية ضمان وصول النتائج إلى من يحتاجون إلى معرفتها. وكلاهما ضروري. ولا يغني أحدهما عن الآخر.
- التعامل مع التوثيق في سجل المخاطر بوصفه تواصلًا بشأن المخاطر
- عدم تحديد الجمهور لنتائج المخاطر: من يحتاج إلى المعرفة وبأي مستوى من التفصيل
- عدم تلقي مالكي الأعمال للتواصل بشأن المخاطر: النتائج لا تصل إلا إلى جهات الاتصال التقنية
- غياب التواصل التصعيدي للنتائج ذات الأولوية العالية
- عدم تكييف صيغة التواصل مع الجمهور: عدم ترجمة النتائج التقنية لمالكي الأعمال
كيف تبدو الممارسة الجيدة
تحدد برامج التواصل بشأن المخاطر الناضجة الجمهور لكل نوع من النتائج، وتصمم سير عمل للتواصل يصل إلى كل جمهور عبر القنوات الملائمة، وتترجم النتائج التقنية إلى صيغ ذات صلة بالأعمال للجماهير غير التقنية.
- مصفوفة الجماهير لنتائج المخاطر: من يتلقى ماذا لكل مستوى ونوع من المخاطر
- التواصل مع مالكي الأعمال بشأن النتائج ذات الأولوية العالية: إخطار مباشر للشخص الذي يملك الصلاحية التجارية على العلاقة
- ملخصات تنفيذية للمخاطر: نتائج مترجمة لـCISO والقيادة العليا
- إخطارات فرق تقنية المعلومات والفرق التشغيلية بشأن فرص تطبيق ضوابط تعويضية
- مسارات تصعيد محددة للنتائج التي لا تُعالج ضمن SLA
الأدوات
منصات TPRM المزودة بسير العمل: ProcessUnity وOneTrust
تؤتمت منصات TPRM المزودة بسير عمل للإخطارات إبلاغ نتائج المخاطر إلى جماهير محددة، فتطلق إخطارات إلى مالكي الأعمال وجهات الاتصال في تقنية المعلومات وأصحاب المصلحة التنفيذيين بناءً على مستوى المخاطر ونوع النتيجة. وبالنسبة إلى ممارسي TPRM، فإن استخدام سير عمل الإخطارات في منصة TPRM بدلًا من التواصل اليدوي يوفر تغطية متسقة للجماهير ويُنشئ سجل التواصل الذي تتطلبه مسارات التدقيق.
تقارير المخاطر: Power BI وTableau على بيانات TPRM
تتيح أدوات BI المتصلة ببيانات برنامج TPRM تواصلًا بشأن المخاطر ملائمًا لكل جمهور: لوحات معلومات تنفيذية تعرض اتجاهات مخاطر المحفظة، وطرق عرض لمالكي الأعمال تعرض مخاطر موردين محددين، وطرق عرض للفرق التشغيلية تعرض النتائج القابلة للتنفيذ. وبالنسبة إلى ممارسي TPRM، فإن الاستثمار في صيغ تواصل بشأن المخاطر ملائمة لكل جمهور بدلًا من تصدير بيانات سجل المخاطر يوفر الانتقال من التوثيق إلى دعم القرار.
تحديات الحوكمة
يتمثل تحدي الحوكمة في التواصل بشأن المخاطر في تعقيد الحجم والقنوات. فبرنامج TPRM الكبير يولّد نتائج كثيرة تتطلب التواصل مع جماهير مختلفة كثيرة عبر قنوات مختلفة. ويكمن حل الحوكمة في تصميم تواصل متدرج حسب مستوى المخاطر: تواصل شامل متعدد الجماهير للنتائج ذات الأولوية القصوى، وإخطار معتاد للنتائج متوسطة الأولوية، والاكتفاء بالتوثيق للنتائج الأقل أولوية حيث تفوق كلفة التواصل قيمة القرار.
- حدد مصفوفة الجماهير للتواصل بشأن المخاطر: من يتلقى ماذا لكل مستوى من المخاطر
- احرص على أن يتلقى مالكو الأعمال النتائج ذات الأولوية العالية مباشرة
- صمّم تواصلًا تصعيديًا للنتائج التي لا تُعالج ضمن SLA
- ترجم النتائج التقنية إلى صيغ ذات صلة بالأعمال للجماهير غير التقنية
- أنشئ سجل تواصل: من أُبلغ، ومتى، وبأي مستوى من التفصيل
إذا كنت فريقًا صغيرًا
بالنسبة إلى البنود الخمسة ذات الأولوية القصوى حاليًا في سجل المخاطر لديك، اطرح سؤالًا واحدًا: هل أُبلغ مالك وحدة الأعمال المسؤول عن العلاقة مع المورد مباشرة بكل نتيجة من هذه النتائج، لا من خلال سجل المخاطر الذي قد لا يراجعه، بل من خلال تواصل مباشر يصف الخطر بلغة الأعمال ويطلب علمه أو قراره؟ إذا كانت الإجابة بالنفي عن أي من البنود الخمسة، فهذه الفجوة هي إخفاق التواصل بشأن المخاطر الذي لا يحله التوثيق.
- تأكد من أن مالكي وحدات الأعمال أُخطروا مباشرة بالنتائج ذات الأولوية العالية
- حدد مصفوفة الجماهير لنتائج المخاطر: من يتلقى ماذا
- صمّم سير عمل للتواصل المباشر بشأن النتائج ذات الأولوية العالية
- أنشئ سجل تواصل إلى جانب قيود سجل المخاطر
ما الذي ينبغي اشتراطه
حُددت هذه النتيجة بوصفها ذات أولوية عالية في تقييم المخاطر لدينا. ونحن نُخطر كلًا من جهة الاتصال التقنية لديكم ومالك العلاقة التجارية لديكم. ونطلب تأكيد المعالجة خلال [SLA]، وسنصعّد الأمر إلى الإدارة العليا لدى الطرفين إذا لم يُلتزم بهذا الجدول الزمني.
المورد الذي لا يتلقى التواصل بشأن المخاطر إلا عبر جهة اتصاله التقنية قد تلقى طلب معالجة. أما المورد الذي يتلقى مالك العلاقة التجارية لديه التواصل أيضًا فقد تلقى إشارة حوكمة. ولكل منهما غرض مختلف.
- تسلّم جهة الاتصال التقنية لدى المورد لطلب المعالجة
- تسلّم مالك العلاقة التجارية مع المورد للتواصل بشأن المخاطر
- مسار تصعيد محدد إذا لم يُلتزم بـSLA المعالجة
- سجل تواصل يوثق الجمهور والمضمون
كيف تُثبت ذلك
- مصفوفة الجماهير للتواصل بشأن المخاطر
- سجلات إخطار مالكي الأعمال بالنتائج ذات الأولوية العالية
- سجلات التواصل التصعيدي
- توثيق صيغ التواصل للجماهير المختلفة
الخلاصة الرئيسية
حُدد الخطر. ووُثّق. وأُرسل طلب المعالجة إلى جهة الاتصال التقنية لدى المورد. أما مالك وحدة الأعمال الذي يملك صلاحية التصرف في العلاقة التجارية فلم يُبلَّغ قط. ولم يُخبَر فريق تقنية المعلومات الذي كان بإمكانه تطبيق ضوابط تعويضية. وعندما أخفق المورد بعد ستة أشهر، كان الخطر معروفًا. لكن الأشخاص المعنيين لم يكونوا يعلمون به. توثيق المخاطر هو السجل الذي يثبت أن الخطر اكتُشف. والتواصل بشأن المخاطر هو العملية التي تضمن وصول النتيجة إلى من يستطيعون فعل شيء حيالها. وهذان هدفان مختلفان يتطلبان عمليتين مختلفتين. وكلاهما ضروري.