صنّف برنامج TPRM لدى شركة بيع بالتجزئة الموردين في أربع فئات مخاطر بناءً على الوصول إلى البيانات وعمق تكامل الأنظمة. وكان موردو الفئة 1 يخضعون لتقييمات شاملة، بينما يخضع موردو الفئة 4 للعناية الواجبة الأساسية. وكان مورّد للوازم المكتبية قد صُنّف في الفئة 3 خلال التأهيل الأولي قبل ثلاث سنوات، إذ كان يورّد القرطاسية ومستلزمات استراحات الموظفين، ولم يكن لديه أي وصول إلى البيانات ولا أي تكامل مع الأنظمة. وكان تصنيف الفئة 3 يخضع لتحديثات دورية بالاستبيانات تؤكد عدم حدوث تغيير في العلاقة. وقبل عامين، استحوذ مورّد اللوازم المكتبية على شركة لتقنيات الخدمات اللوجستية بدأ نشر برمجياتها لإدارة المخزون في عدد من مراكز التوزيع التابعة لشركة التجزئة ضمن برنامج تجريبي. وكانت البرمجيات متكاملة مباشرة مع نظام إدارة المستودعات لدى شركة التجزئة، وتعالج بيانات المخزون في الوقت الفعلي، وتتمتع باتصال شبكي ببيئة التقنيات التشغيلية في مراكز التوزيع، ويديرها عن بُعد الفريق الهندسي للشركة التابعة المستحوذ عليها. وظل التصنيف في الفئة 3 طوال الوقت، مُسندًا إلى علاقة الكيان القانوني مع شركة اللوازم المكتبية، ولم يُعَد تقييمه بناءً على تكامل برمجيات الشركة التابعة الذي غيّر ملف مخاطر العلاقة تغييرًا جوهريًا.
ما حقيقة عدم دقة تصنيف الموردين في فئات؟
تصنيف الموردين في فئات هو عملية تصنيف علاقات الموردين حسب مستوى المخاطر لتطبيق عمق تقييم وكثافة مراقبة ومتطلبات حوكمة متناسبة. والتصنيف الدقيق أساسي لفاعلية TPRM: فالموردون المصنّفون في فئة أدنى من اللازم يخضعون لحوكمة أقل مما تستدعيه مخاطرهم، بينما يستهلك الموردون المصنّفون في فئة أعلى من اللازم موارد تقييم كان يمكن توجيهها بشكل أفضل إلى العلاقات الأعلى مخاطر. وتنشأ حالات عدم دقة التصنيف من ثلاثة مصادر: تصنيف أولي غير صحيح قائم على فهم ناقص للعلاقة، وتقادم الفئة عندما يتغير ملف مخاطر العلاقة دون إطلاق إعادة تقييم، وعدم اتساق النطاق عندما تُسند الفئة إلى كيان قانوني بدلًا من كل علاقة مخاطر مميزة يُنشئها ذلك الكيان.
مشكلة تطور العلاقة هي أشد مصادر عدم دقة التصنيف أثرًا. فعلاقات الموردين تتطور بمرور الوقت: المورّد الذي قدّم خدمة منخفضة المخاطر عند التأهيل ربما أضاف خدمة أعلى مخاطر، أو وسّع نطاق وصوله إلى البيانات، أو أدمج أنظمة إضافية، أو استحوذ على شركة تابعة تُنشئ أنشطتها ملف مخاطر مختلفًا. وقد تؤكد عمليات إعادة التقييم السنوية القائمة على الاستبيانات، والتي تطرح الأسئلة نفسها كل عام، أن وظيفة العلاقة الأصلية لم تتغير دون أن تكتشف عناصر العلاقة الجديدة المضافة. فقد عكست فئة مورّد اللوازم المكتبية علاقة توريد القرطاسية بدقة، لكنها لم تعكس تكامل برمجيات الخدمات اللوجستية الذي نشأ عن عملية الاستحواذ.
مشكلة النطاق بين الكيان والعلاقة خلل محدد في تصميم التصنيف. فبرامج TPRM التي تُسند الفئات إلى الكيانات القانونية بدلًا من كل علاقة مخاطر مميزة مع ذلك الكيان ستُخطئ تصنيف الحالات التي يُنشئ فيها كيان قانوني واحد علاقات مخاطر متعددة: كمجموعة شركات تقدم شركاتها التابعة خدمات مختلفة بملفات مخاطر مختلفة، أو جهة مستحوِذة أدخل استحواذها علاقة جديدة أعلى مخاطر إلى جانب العلاقة الأصلية الأدنى مخاطر. والتصنيف على مستوى الكيان يُسند فئة واحدة إلى ما قد يكون ملفات مخاطر متعددة، مما يؤدي بصورة منهجية إلى تصنيف العلاقات الأعلى مخاطر داخل الكيان في فئة أدنى من اللازم.
- تطور العلاقة دون إعادة تقييم الفئة، إذ تضيف الخدمات أو عمليات التكامل أو الشركات التابعة الجديدة مخاطر دون إطلاق مراجعة للفئة
- تصنيف على مستوى الكيان يُخفي المخاطر على مستوى العلاقة، أي تطبيق فئة واحدة على كيان تربطه علاقات متعددة ذات ملفات مخاطر مختلفة
- عدم اكتشاف الاستبيان السنوي للإضافات إلى العلاقة، إذ تؤكد الأسئلة المعتادة الوظيفة الأصلية دون السؤال عن العناصر الجديدة
- عدم إطلاق الاستحواذ لتقييم علاقة الشركة التابعة، إذ يجلب استحواذ المورّد علاقات مخاطر جديدة لا تُكتشف في إعادة التقييم المعتادة
- فئة تُحدَّد عند التأهيل ويُفترض ثباتها، فلا يُعاد النظر في التصنيف الأولي ما لم يحدث مُحفّز محدد
لماذا يهم هذا
تكتسب حالات عدم دقة تصنيف الموردين أهمية بالنسبة لـTPRM لأن هيكل إدارة المخاطر في البرنامج بأكمله يعتمد على دقة الفئات. فالمورّد المصنّف في فئة أدنى من اللازم يخضع لتقييم ومراقبة وحوكمة أقل مما تستدعيه مخاطره، والفجوة الأمنية هي الفرق بين ما تتطلبه فئة المخاطر الفعلية للمورّد وما توفره الفئة غير الدقيقة. وبالنسبة لمورّد لديه وصول في الوقت الفعلي إلى شبكات التقنيات التشغيلية وأنظمة إدارة المستودعات ومصنّف في الفئة 3 بوصفه مورّدًا منخفض المخاطر، فإن تلك الفجوة هي الفرق بين التقييم الشامل الذي تتطلبه الفئة 1 والاستبيان الدوري الذي تحصل عليه الفئة 3.
تُفاقم مشكلة تراكم المخاطر غير المرئية الخطأَ المتعلق بمورّد واحد ليصبح خطرًا على مستوى المحفظة. ففي محفظة TPRM تضم عشرات أو مئات الموردين، لا تتوزع حالات عدم دقة التصنيف بشكل متساوٍ، بل تميل إلى التراكم في فئات محددة: موردون تطورت علاقاتهم منذ التصنيف الأولي، وموردون لديهم شركات تابعة مستحوذ عليها، وموردون أضاف مالك العلاقة التجارية معهم عناصر تكامل دون إخطار فريق TPRM. ويمثل التصنيف الأدنى من اللازم الإجمالي في هذه الفئات فجوة منهجية في تغطية برنامج TPRM للمخاطر.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو معاملة الردود على الاستبيانات السنوية على أنها إعادة تقييم للفئة. فالاستبيانات السنوية التي تطرح الأسئلة نفسها الواردة في تقييم الفئة الأولي ستؤكد دقة الفئة إذا لم تتغير عناصر العلاقة الأصلية، لكنها ستغفل حالات عدم دقة الفئة الناتجة عن تطور العلاقة إذا لم تسأل الأسئلة تحديدًا عن إضافة خدمات جديدة وعمليات تكامل جديدة وعلاقات جديدة مع شركات تابعة.
- معاملة الاستبيان السنوي على أنه إعادة تقييم للفئة دون السؤال عن الإضافات إلى العلاقة
- التصنيف على مستوى الكيان بدلًا من مستوى العلاقة
- غياب اكتشاف عمليات الاستحواذ في إعادة التقييم السنوية، إذ لا تُحدَّد استحواذات الموردين
- عدم إشراك مالك العلاقة التجارية في عملية مراجعة الفئات، إذ يعتمد فريق TPRM على الاستبيان دون مدخلات مالك العلاقة
- غياب اكتشاف إضافة عمليات التكامل، إذ لا تُطلق عمليات تكامل الأنظمة الجديدة مراجعة للفئة
كيف تبدو الممارسة الجيدة
تُجري برامج تصنيف الموردين الناضجة التصنيف على مستوى العلاقة بدلًا من مستوى الكيان، وتُدرج اكتشاف عمليات الاستحواذ والخدمات الجديدة في إعادة التقييم السنوية، وتُشرك مالكي العلاقات التجارية في مراجعة التصنيف لتحديد الإضافات إلى العلاقة التي قد يكونون على علم بها، وتُطلق إعادة تقييم الفئة عند وقوع أحداث محددة منها استحواذات الموردين ونشر عمليات تكامل جديدة.
- التصنيف على مستوى العلاقة، أي تصنيف كل علاقة مخاطر مميزة بشكل مستقل
- اكتشاف عمليات الاستحواذ في الاستبيان السنوي، بالسؤال تحديدًا عمّا إذا كان المورّد قد استحوذ على شركات تقدم خدمات للعميل
- مدخلات مالكي العلاقات التجارية في إعادة التقييم السنوية، بحيث يؤكدون الخدمات أو عمليات التكامل الإضافية التي أُضيفت
- إعادة التقييم المُطلَقة بالأحداث، إذ يُطلق استحواذ المورّد أو التكامل الجديد أو توسع الخدمات مراجعة للفئة
- مقارنة قائمة جرد عمليات التكامل لدى تقنية المعلومات، أي مقارنة قائمة الموردين المصنّفين بقائمة جرد عمليات التكامل لدى تقنية المعلومات لتحديد عمليات التكامل غير المصنّفة
الأدوات
معلومات الموردين، Interos وDun & Bradstreet
ترصد منصات معلومات الموردين التغييرات المؤسسية لدى الموردين، كعمليات الاستحواذ والشركات التابعة الجديدة وتغييرات الملكية، التي قد تؤثر في ملف مخاطر العلاقة. وبالنسبة لممارسي TPRM، فإن رصد التغييرات المؤسسية لدى الموردين عبر منصات المعلومات يتيح اكتشاف عمليات الاستحواذ التي قد تغفلها الاستبيانات السنوية. وتراقب Interos تحديدًا علاقات سلاسل الإمداد بحثًا عن تغييرات الهيكل المؤسسي التي تؤثر في المخاطر.
منصات TPRM المزوّدة بتخطيط العلاقات، ProcessUnity وPrevalent
تتيح منصات TPRM التي تدعم التتبع على مستوى العلاقة بدلًا من مستوى الكيان تصنيف كل علاقة مخاطر مميزة داخل كيان المورّد، بما يدعم إدراك أن المورّد الذي يمثل مجموعة شركات قد تكون لديه علاقات مخاطر متعددة ومميزة تتطلب فئات مختلفة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت منصة TPRM تدعم التصنيف على مستوى العلاقة يمثل سؤالًا محددًا حول قدرات تصميم البرنامج.
تحديات الحوكمة
يتمثل تحدي الحوكمة في دقة تصنيف الموردين في فجوة المعلومات بين فريق TPRM ومالكي العلاقات التجارية الذين يعلمون بالإضافات إلى العلاقة. فمالكو العلاقات التجارية الذين يضيفون خدمة جديدة من المورّد، أو ينشرون تكاملًا جديدًا، أو يتعاقدون مع شركة تابعة للمورّد، لا يُخطرون عادةً فريق TPRM، فهم يديرون العلاقة التجارية، وTPRM وظيفة امتثال قد لا يتعاملون معها بفاعلية. ويتطلب سد هذه الفجوة إما إشراك مالكي العلاقات التجارية بصورة منهجية في عملية مراجعة الفئات، وإما تطبيق آليات اكتشاف (مقارنة قائمة جرد عمليات التكامل لدى تقنية المعلومات، ورصد معلومات الموردين) تحدد الإضافات إلى العلاقة دون الاعتماد على إخطار مالكي العلاقات التجارية.
- إشراك مالكي العلاقات التجارية في المراجعة السنوية للفئات، بسؤالهم عمّا تغيّر في العلاقة
- مقارنة قائمة فئات الموردين بقائمة جرد عمليات التكامل لدى تقنية المعلومات، لتحديد عمليات التكامل غير المنعكسة في فئات الموردين
- رصد التغييرات المؤسسية لدى الموردين عبر منصات المعلومات
- إضافة أسئلة عن الاستحواذ والخدمات الجديدة إلى الاستبيان السنوي، تسأل تحديدًا عن الإضافات إلى العلاقة
- مراجعة الفئة المُطلَقة بالأحداث، إذ يُطلق نشر تكامل جديد إعادة تقييم الفئة
إذا كنت فريقًا صغيرًا
أجرِ مقارنة واحدة فورًا: استخرج قائمة جميع عمليات تكامل الأنظمة النشطة من فريق تقنية المعلومات أو فريق البنية المؤسسية لديك وقارنها بقائمة فئات الموردين في TPRM. فكل تكامل لا يرد مورّده المصدر في قائمة الفئات يعني أنك وجدت علاقة مورّد غير مصنّفة. وكل تكامل يرد مورّده المصدر في قائمة الفئات بفئة لا تعكس مستوى مخاطر التكامل يعني أنك وجدت علاقة مصنّفة في فئة أدنى من اللازم. وهذه المقارنة، التي تستغرق فترة بعد الظهر، ستكشف مورّد اللوازم المكتبية صاحب التكامل مع نظام المستودعات الذي لم يكشفه الاستبيان السنوي قط.
- استخراج قائمة جرد عمليات التكامل لدى تقنية المعلومات ومقارنتها بقائمة فئات الموردين في TPRM
- تحديد عمليات التكامل التي لا يكون مورّدوها مصنّفين في فئة أو مصنّفين في فئة أدنى من اللازم
- إضافة أسئلة عن الاستحواذ والخدمات الجديدة إلى استبيان إعادة التقييم السنوي
- إشراك مالكي العلاقات التجارية في المراجعة السنوية التالية للفئات
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«إضافة إلى الخدمات الموصوفة في تسجيلكم الأصلي كمورّد، هل بدأتم أنتم أو أي شركة تابعة أو شركة مستحوذ عليها في تقديم أي خدمات أو عمليات تكامل أنظمة إضافية لمؤسستنا، وتحديدًا، هل لدى أي كيان مرتبط بكم وصول إلى أنظمتنا أو بياناتنا غير منعكس في علاقتنا الأصلية معكم كمورّد؟»
ما تتوقعه دليلًا
- وصف كامل لجميع الخدمات وعمليات التكامل التي يقدمها كيان المورّد والشركات التابعة ذات الصلة
- الإفصاح عن أي عمليات استحواذ أثّرت في العلاقة
- تأكيد مقارنة قائمة جرد عمليات التكامل لدى تقنية المعلومات
ينبغي أن يُسأل المورّد الذي يؤكد رده على الاستبيان السنوي عدم حدوث تغيير في الخدمات تحديدًا عمّا إذا كانت أي شركات تابعة مستحوذ عليها قد بدأت في تقديم خدمات أو عمليات تكامل للعميل. فقد أكد الاستبيان الأصلي علاقة اللوازم المكتبية، أما السؤال عن الشركات التابعة فكان سيكشف تكامل برمجيات الخدمات اللوجستية.
كيف تُثبت ذلك
- سجلات مقارنة قائمة جرد عمليات التكامل لدى تقنية المعلومات
- سجلات اكتشاف عمليات الاستحواذ وعلاقات الشركات التابعة
- سجلات مدخلات مالكي العلاقات التجارية في مراجعة الفئات
- وثائق التصنيف على مستوى العلاقة
الخلاصة الرئيسية
أُسندت الفئة إلى الكيان، أما علاقة المخاطر فهي مع برمجيات الشركة التابعة المتكاملة مع نظام إدارة المستودعات في الوقت الفعلي. الكيان مورّد لوازم مكتبية في الفئة 3، والتكامل تقنيات تشغيلية من الفئة 1. والفئة دقيقة بالنسبة لما أُسندت إليه، لكن المخاطر تكمن فيما لم تُسند إليه الفئة. وتتطلب دقة تصنيف الموردين تصنيف العلاقة، أي كل خطر مميز يُنشئه كيان المورّد وشركاته التابعة، لا الوظيفة الأساسية للكيان فحسب. والمقارنة بين قائمة جرد عمليات التكامل لدى تقنية المعلومات وقائمة فئات الموردين في TPRM تستغرق فترة بعد الظهر، وعمليات التكامل المصنّفة في فئة أدنى من اللازم التي تكشفها ظلت خاضعة لحوكمة قاصرة طوال المدة التي وُجدت فيها دون مراجعة للفئة.