التقنيات والشركاء
تقنيات ننفّذها ضمن هذه الخدمة
01
ما إطار حوكمة تقنية المعلومات؟
يحدد إطار حوكمة تقنية المعلومات لدى البنك المركزي السعودي (SAMA) التوقعات المتعلقة بحوكمة التقنية في الجهات الواقعة ضمن نطاقه. ويربط الإشراف والتوجه الاستراتيجي بإدارة المخاطر وتشغيل الخدمات وضبط تغييرات الأنظمة. وهو ليس قائمة تقنية فقط؛ إذ تشمل عناصره مسؤوليات القيادة وحقوق القرار ومتابعة المخاطر والسياسات والأدلة التشغيلية.
يتكون الإطار الرسمي من أربعة مجالات: حوكمة تقنية المعلومات والقيادة؛ وإدارة مخاطر تقنية المعلومات؛ وإدارة عمليات تقنية المعلومات؛ وإدارة تغيير الأنظمة. ويضم كل مجال أهدافاً ومتطلبات رقابية في المنشور الرسمي. ينبغي أن يحافظ التقييم على هذه المجالات ويستخدم النص الحالي. ويمكن ربط الأدلة بمعايير أخرى لتنظيمها، لكن ذلك لا يحل محل تقييم متطلبات SAMA نفسها.
يوضح نموذج الحوكمة الفعال من يقر الاستراتيجية التقنية ويمتلك المخاطر ويقبل الاستثناءات ويعتمد التغييرات ويراقب أداء الخدمة. كما يربط القرارات بالخدمات والاعتماديات المهمة. ويجب التحقق من انطباق الإطار والتزامات الكيان وأي توجيه إشرافي خاص به.
02
من يحتاج إلى تقييم الإطار؟
ينبغي للجهات الواقعة ضمن النطاق إشراك الراعي التنفيذي وقيادة التقنية والأمن السيبراني والمخاطر والالتزام والمشتريات وملاك الخدمات والتدقيق الداخلي عند الحاجة. لكل جهة نوع مختلف من الأدلة. وتتطلب المنصات المشتركة والموردون الخارجيون توضيح مسؤولية الجهة المنظمة عن الرقابة ومسؤولية المورد عن تقديم الخدمة.
يفيد تقييم الحوكمة قبل التحول التقني أو بعد تغيير مهم أو حين تتوزع المسؤوليات والأدلة. ولا ينبغي افتراض أن مخاطر التقنية تقع على إدارة التقنية وحدها؛ فالإدارة العليا وملاك الأعمال والهيئات الحاكمة لهم أدوار في نموذج التشغيل الفعال.
03
كيف تتم المراجعة؟
نؤكد أولاً الكيان والنسخة ونحدد الحدود وأصحاب المصلحة والخدمات والموردين المهمين. قد تشمل خطة الأدلة مواثيق الحوكمة والاستراتيجية ومنهجية المخاطر ومحاضر اللجان وسجلات الخدمات والهندسة والسياسات ومؤشرات التشغيل وسجلات الحوادث والتغيير ومتابعة الموردين ونتائج التدقيق.
تختبر المقابلات والعينات ترابط المجالات الأربعة. تراجع الحوكمة والقيادة التوجه والمساءلة والإشراف. وتراجع إدارة المخاطر تحديد المخاطر وتقييمها ومعالجتها ومتابعتها. أما إدارة العمليات فتتناول الخدمة والوصول والاستمرارية والحوادث والموردين ضمن النطاق. وتتبع إدارة تغيير الأنظمة التخطيط والاختبار والاعتماد والإطلاق والمراجعة اللاحقة. ويعتمد الاختبار الدقيق على النص المنشور والنطاق المتفق عليه.
تميز النتائج بين قصور التصميم وعدم اتساق التنفيذ وضعف الأدلة وأسئلة الانطباق المفتوحة. يتحقق الملاك من الوقائع قبل ترتيب المخاطر. ثم ترتب خارطة العمل التحسينات الأساسية في الحوكمة والمخاطر والتشغيل، وتحدد الاعتماديات وأدلة الإغلاق. وإذا طُلب دعم التنفيذ، توثق مسؤوليات التصميم والتسليم بصورة منفصلة.
يتحقق الاختبار اللاحق من عمل تغييرات مختارة كما هو مقصود، لكنه لا يمنح الجهة شهادة. ينبغي للإدارة الاحتفاظ بسجل قرارات واعتماد المخاطر ومتابعة مستمرة. ويدمج الإطار المستدام مع عمليات المخاطر وإدارة الخدمات الحالية بدلاً من إنشاء أعمال ورقية موازية.
04
المخرجات المعتادة
يمكن أن تشمل الأعمال المصممة حسب الحاجة:
- تحديد الانطباق والنطاق وخطة الأدلة المرتبطة بالنسخة الحالية من الإطار.
- مصفوفة تقييم للمجالات الأربعة توضح الأدلة والملاحظات والقيود.
- سجل فجوات حسب الأولوية وخارطة معالجة بمسؤولين واعتماديات.
- إحاطة تنفيذية ونتائج تفصيلية ودعم اختياري للتصميم أو إعادة الاختبار.
05
الجدول التقديري
قد تستغرق مراجعة جهة واحدة أسابيع، وقد تطول مع تعدد الكيانات أو البيئات الخارجية أو تشتت السجلات أو عمق العينات التشغيلية. يعتمد الجدول على الوصول للمسؤولين وجاهزية الأدلة ودورات الموافقات. وهو تقديري ويحدد بعد النطاق؛ فلا يضمن الجدول أو التقرير قبولاً إشرافياً.
خطط وفق مواعيد اللجان ونوافذ التغيير وطلبات أدلة الموردين. يساعد الاتفاق المبكر على صاحب القرار ومسار التصعيد في تقليل التأخير. وإذا ظهرت مسألة حرجة، أبلغ بها فوراً عبر الحوكمة المتفق عليها بدلاً من الانتظار حتى العرض النهائي.
06
المصدر الرسمي
ينشر البنك المركزي السعودي إطار حوكمة تقنية المعلومات عبر https://rulebook.sama.gov.sa/en/information-technology-governance-framework . راجع النص الحالي وبنيته ونطاقه وأي توجيه خاص بالجهة قبل تحديد معايير التقييم.
إجابات عملية
الأسئلة الشائعة
ما المجالات الرسمية الأربعة لإطار ITGF؟
يحدد الإطار المنشور حوكمة تقنية المعلومات والقيادة، وإدارة مخاطر تقنية المعلومات، وإدارة عمليات تقنية المعلومات، وإدارة تغيير الأنظمة. استخدم نص القواعد الرسمي الحالي للأهداف والمتطلبات التفصيلية. وينبغي أن يعرض التقييم كل مجال بوضوح ويشرح الأدلة المشتركة أو المسؤوليات المتداخلة في نطاق الجهة.
هل يخص الإطار إدارة التقنية فقط؟
لا. تنفذ فرق التقنية كثيراً من الضوابط، لكن الحوكمة تشمل القيادة والمخاطر والالتزام والمشتريات وملاك الخدمات. يوضح التقييم الفعال حقوق القرار والمسؤولية بين هذه الأدوار. ويجب التحقق من الواجبات الدقيقة في الإطار الحالي والمتطلبات الإشرافية المنطبقة على المؤسسة مع توثيق مسؤوليات الأطراف الخارجية.
هل يمكن استخدام أدلة ISO 27001؟
يمكن استخدام الدليل لأكثر من متطلب إذا كان مناسباً وحديثاً وكافياً للغرض المحدد. تساعد المطابقة في تقليل تكرار جمع الأدلة، لكن شهادة ISO أو الربط بضوابطها لا يثبت تلقائياً الالتزام بإطار ITGF. احتفظ بالتتبع إلى متطلب SAMA وسجل حدود الدليل.
هل يتضمن التقييم اختباراً تقنياً؟
ليس تلقائياً. يمكن مراجعة السجلات التشغيلية وعينات الإعدادات إذا اتفق على ذلك، لكن اختبار الاختراق أو الإجراءات المؤثرة تحتاج نطاقاً وموافقات وضمانات منفصلة. يشمل ITGF الحوكمة والعمليات إلى جانب التقنية؛ لذلك لا تكفي الاختبارات التقنية وحدها لإثبات الالتزام أو فاعلية الحوكمة.
كيف نرتب أولويات المعالجة؟
رتبها وفق منهجية المخاطر المعتمدة في المؤسسة، مع مراعاة التعرض والخدمات المهمة والتوقعات التنظيمية والاعتماديات وفاعلية الضوابط. وثق المسؤولين ونقاط الإنجاز وأدلة الإغلاق. وتقرر الإدارة قبول المخاطر والتمويل؛ أما ترتيب الاستشاري فيدعم القرار ولا يحل محله، ويُراجع عند تغير المخاطر.