إدارة الامتثال والمخاطر: كيف يعملان ضمن نظام واحد؟

تظهر الفجوة عندما يحتفظ فريق الامتثال بسجل للالتزامات والمخالفات، بينما يحتفظ فريق المخاطر بسجل آخر للأحداث والتقييمات والضوابط. قد يُسجل الموضوع نفسه بصيغتين ودرجتين مختلفتين، أو يظهر خطر مرتفع في أحد السجلين ولا يصل إلى الآخر، أو يطلب الفريقان الدليل نفسه من الإدارة التشغيلية من دون تنسيق.

النتيجة ليست ازدواج ملفات فقط؛ فقد تتوزع الملكية، وتتعارض الأولويات، ويصعب على الإدارة معرفة التعرض الحقيقي أو قرار المعالجة المطلوب. تربط إدارة الامتثال والمخاطر بين الالتزام ومصدر الخطر والضابط والمؤشر والإجراء، مع الحفاظ على اختصاص كل وظيفة. وتبقى هذه العلاقة جزءًا من الإطار الأشمل لـإدارة الامتثال المؤسسي، لا بديلًا عنه.

لا تكفي مصفوفة مشتركة إذا ظلت البيانات والتصعيد والقرارات منفصلة. عندما تتفق المؤسسة على لغة المخاطر والملكية والدليل وحدود الرفع، يصبح الامتثال الحيّ صورة محدثة للتعرض والضوابط بدل تقريرين يشرح كل منهما جزءًا من المشكلة.

ابدأ ربط الامتثال بالمخاطر والضوابط مع goiso، واتصل على الرقم 00962792240054 وحدد نطاق العمل والسجلات المستخدمة وأبرز مواضع التكرار أو ضياع الملكية، أو تواصل معنا عبر واتساب وأرسل نموذجًا منزوع البيانات الحساسة من سجل امتثال أو مخاطر؛ لنرتب معك العلاقة بين الالتزامات والتقييمات والملاك والمهام والأدلة، مع بقاء التفسير القانوني والقرارات المتخصصة لدى أصحاب الصلاحية.

ما الفرق بين إدارة الامتثال وإدارة المخاطر؟

إدارة المخاطر تساعد المؤسسة على فهم عدم اليقين الذي قد يؤثر في أهدافها، ثم تحليل المخاطر وتقييمها ومعالجتها ومراقبتها والتواصل بشأنها. أما إدارة الامتثال فتركز على الالتزامات التي يجب أو تختار المؤسسة الوفاء بها، ومخاطر عدم الالتزام، والضوابط والأدلة والثقافة والسلوك المرتبط بها.

الجانب	إدارة الامتثال	إدارة المخاطر
نقطة البداية	قانون أو لائحة أو ترخيص أو عقد أو سياسة ملزمة	هدف وحدث محتمل ومصدر عدم يقين
السؤال الأساسي	ماذا ينطبق وكيف نثبت الوفاء؟	ما الذي قد يؤثر في الهدف وكيف نعالجه؟
الناتج الرئيس	التزام وضابط ودليل وتقييم حالة	وصف خطر وتقييم ومعالجة ومؤشر
حدود القرار	لا يجوز قبول مخالفة صريحة باعتبارها مخاطرة عادية	يمكن قبول بعض المخاطر ضمن الصلاحيات والمعايير
الخبرة المطلوبة	قانونية وتنظيمية وأخلاقية وتشغيلية	تحليلية وتشغيلية ومالية واستراتيجية بحسب الخطر

الفصل بين الوظيفتين لا يعني عزلهما. كل التزام يمكن أن ينتج خطر عدم امتثال، وكل خطر امتثال يحتاج فهم النص والانطباق قبل تقييمه. ويُستخدم تعبير ادارة الامتثال والمخاطر لوصف هذا التنسيق، لا لإلغاء الفروق المهنية أو جمع الوظائف شكليًا تحت مسمى واحد.

لماذا لا تكفي إضافة مخاطر الامتثال إلى سجل المخاطر؟

قد يضيف الفريق بندًا مثل «خطر مخالفة القوانين» بدرجة مرتفعة، لكنه يظل واسعًا إلى حد لا يسمح بالعمل. أي قانون؟ أي كيان؟ ما السيناريو؟ من قد يتضرر؟ ما الضابط؟ وكيف نعرف أن الحكم تغير أو أن الضابط فشل؟

يجب أن يحتفظ سجل الالتزامات بالتفاصيل القانونية والتنظيمية والانطباق والمصدر والإصدار، بينما يحتفظ سجل المخاطر بالسيناريو والأسباب والآثار والتقييم والمعالجة. يربط النظام بين السجلين بمعرفات واضحة بدل نسخ النص كاملًا في كل مكان.

تتناول صفحة متطلبات الامتثال حصر الالتزامات وتحويلها إلى أعمال، بينما يركز هذا الدليل على بناء العلاقة بين مخرجاتها وسجل المخاطر المؤسسي.

النموذج المترابط من الالتزام إلى القرار

يمكن بناء العلاقة عبر سبع حلقات:

الحلقة	ما الذي تسجله المؤسسة؟	مثال للسؤال
الالتزام	المصدر والحكم والنطاق وتاريخ النفاذ	ما المطلوب ومن ينطبق عليه؟
السيناريو	الحدث أو السلوك الذي يؤدي إلى عدم الالتزام	كيف يمكن أن نفشل؟
الأسباب	عوامل العملية أو البيانات أو الأشخاص أو الطرف الثالث	لماذا قد يحدث؟
الآثار	قانونية ومالية وتشغيلية وبشرية وسمعة	ما النتيجة المحتملة؟
الضوابط	ما يمنع الحدث أو يكشفه أو يصححه	ما الذي يخفض التعرض؟
التقييم	التعرض قبل الضوابط وبعدها ومعيار الأولوية	هل الباقي مقبول؟
المعالجة	إجراء ومالك وموعد ودليل وفحص فاعلية	ماذا سنغير ومتى؟

بهذا المسار يستطيع المدير الانتقال من خطر ظاهر في التقرير إلى الالتزام الذي أنشأه، ثم إلى الضابط والدليل والإجراء المتأخر. ويستطيع مسؤول الامتثال رؤية المخاطر التي تتشارك ضابطًا واحدًا أو تتأثر بتغيير واحد.

خطوات دمج الامتثال والمخاطر

1. اتفق على لغة مشتركة

حدد تعريفات الخطر والسبب والحدث والأثر والضابط والإجراء والمالك. ميّز بين «عدم الامتثال» بوصفه حدثًا أو حالة، وبين السبب الذي أدى إليه، وبين أثره. فإذا كتب فريق «ضعف التدريب» كخطر وكتب آخر «مخالفة متطلبات السلامة»، يصعب المقارنة لأن أحدهما سبب والآخر نتيجة.

أنشئ دليل تصنيف يحدد أنواع الالتزامات والمخاطر والآثار والضوابط، مع أمثلة وحدود. لا تجبر جميع المخاطر على وصف قانوني، ولا تختصر التزامًا محددًا في فئة عامة تفقد دقته.

2. وحّد الهيكل ولا تدمج السجلات قسرًا

يمكن أن يبقى لكل وظيفة سجلها المتخصص، بشرط وجود معرفات وعلاقات وتقارير مشتركة. استخدم معرّفًا للالتزام وآخر للخطر والضابط، واربطها بدل إنشاء صف طويل يحاول حمل كل التفاصيل.

يفيد هذا الفصل عندما يتغير نص الالتزام من دون تغير سيناريو الخطر، أو عندما يخدم ضابط واحد عدة مخاطر، أو عندما يرتبط خطر واحد بعدة قوانين وعقود. المهم أن تكون العلاقة قابلة للتتبع، لا أن تكون البيانات في ملف واحد.

3. صغ سيناريو خطر يمكن تقييمه

اكتب السيناريو على صورة: قد يحدث حدث محدد بسبب عوامل محددة، فيؤثر في أهداف أو أطراف محددة. مثال: «قد تُباع خدمة في سوق جديد قبل إكمال الموافقات التنظيمية بسبب غياب نقطة تحقق في مسار الإطلاق، مما قد يؤدي إلى إيقاف النشاط وإعادة العمل وإضرار العملاء».

هذه الصياغة أفضل من «مخاطر تنظيمية»؛ لأنها تكشف نقطة التحكم والمالك والآثار. ولا تحول السجل إلى رأي قانوني؛ اربط السيناريو بالتفسير المعتمد ومصدره.

4. حدد معايير التقييم

اتفق على مقاييس الاحتمال والأثر ومستويات الأولوية، وحدد كيف تعالج الأبعاد غير المالية مثل سلامة الأشخاص وحقوق العملاء وتعطل الترخيص والسمعة. يجب أن يعرف المقيم ما الفرق بين الدرجات، وما البيانات التي تسند التقدير، ومتى يحتاج الأمر إلى رأي مختص.

لا تجعل الغرامة الحد الأعلى تلقائيًا. قد يكون الأثر التشغيلي أو البشري أو فقدان الترخيص أكبر، وقد تكون بعض الالتزامات غير قابلة للتعامل معها بمنطق «نقبل المخاطرة وندفع التكلفة».

5. ميّز بين الخطر الكامن والمتبقي

الخطر الكامن هو التعرض قبل مراعاة فاعلية الضوابط، أما المتبقي فهو ما يبقى بعد تطبيقها. لا تخفض الدرجة لأن السياسة موجودة؛ افحص تصميم الضابط وتنفيذه ونتائجه وحداثة دليله.

إذا كان الضابط لم يُختبر أو كان الدليل ناقصًا، سجل عدم اليقين بدل منحه فاعلية مفترضة. وتشرح صفحة تقييم الامتثال طريقة قياس الحالة والفجوات، بينما يبقى تقدير الخطر جزءًا من قرار مؤسسي أوسع.

6. اربط الضوابط بدل تكرارها

قد يخدم التحقق من المورد أو فصل الصلاحيات أو مراجعة العقد أكثر من التزام وخطر. أنشئ سجل ضوابط يحدد الهدف والمالك والتواتر ومعيار النجاح والدليل، ثم اربطه بالعناصر التي يعالجها.

عند فشل الضابط، تظهر جميع المخاطر والالتزامات المتأثرة. وعند تغييره، يمكن تحديد الوثائق والتدريب والأنظمة التي تحتاج إلى تحديث. هذا أفضل من نسخ وصف الضابط في عدة سجلات ثم اختلاف حالته بينها.

7. عيّن مالكًا للخطر ومالكًا للضابط

قد يكون مدير العملية مالكًا للخطر، بينما يملك مدير آخر ضابطًا مشتركًا. مسؤول الامتثال يقدم المنهج والرأي والمراقبة والتصعيد، وإدارة المخاطر تحافظ على إطار التقييم والتجميع، لكن التشغيل يبقى مسؤولية الإدارة التي تتخذ القرار.

حدد من يوافق على التقييم، ومن يقبل الخطر المتبقي ضمن الحدود، ومن يصعد الاستثناء. لا تقبل وظيفة الامتثال مخالفة نيابة عن الإدارة، ولا تُستخدم موافقة المخاطر لتجاوز التزام واجب.

8. وحّد المعالجة والمتابعة

إذا نتجت عن تقييم الامتثال أو المخاطر فجوة واحدة، افتح إجراءً واحدًا بمعرف مشترك بدل مهمتين متوازيتين. عيّن المالك والموعد والموارد والدليل ومعيار الإغلاق، ثم اربطه بالخطر والالتزام والضابط.

تساعد لوحة المهام في goiso على متابعة الإجراءات والمواعيد، لكن يجب ألا تُغلق المهمة لمجرد رفع ملف. افحص هل تغير الضابط وهل انخفض التعرض وهل مُنع التكرار.

حدود قبول مخاطر عدم الامتثال

تعتمد إدارة المخاطر عادة على شهية المخاطر وحدود التحمل والصلاحيات. لكن هذه الأدوات لا تحول الالتزام القانوني إلى خيار. يجب التمييز بين:

• قبول التعرض المتبقي: عندما يكون الالتزام متحققًا وتبقى إمكانية خطأ أو حدث رغم الضوابط.
• منح استثناء داخلي: انحراف مؤقت عن سياسة داخلية ضمن صلاحية وشروط وموعد معالجة.
• تأجيل إجراء تحسين: قرار بإدارة الأولوية والموارد مع بقاء الحد الأدنى الواجب محققًا.
• قبول مخالفة واجبة: لا يُعتمد كخيار إداري عادي؛ يحتاج معالجة وتصعيدًا ورأيًا قانونيًا والإبلاغ عندما يلزم.

يجب أن تسجل المؤسسة أساس القرار، ومن اعتمده، ومدته، وشروطه، وما يراقب خلال الفترة. لا تستخدم عبارة «مقبول» لتغطية نقص معلومات أو غياب مالك.

المؤشرات التي تجمع الوظيفتين

يحتاج التقرير المشترك إلى مؤشرات تقود قرارًا، مثل:

• عدد مخاطر الامتثال العالية بلا ضابط مختبر أو مالك واضح.
• الالتزامات الحرجة التي تغيرت ولم يكتمل تقييم أثرها.
• الضوابط المشتركة التي فشلت وعدد المخاطر المتأثرة بها.
• الإجراءات المتأخرة حسب الخطر والمدة والموقع.
• الفرق بين التقييم الكامن والمتبقي ومدى اعتماده على ضابط واحد.
• القضايا المتكررة بعد إغلاق الإجراء.
• المواقع أو العمليات التي لم تحدث تقييماتها في الموعد.
• الاستثناءات المفتوحة وحدودها وتاريخ انتهائها.

تساعد لوحة المؤشرات في goiso على عرض المؤشرات، لكن جودة التقرير تبدأ من تعريف موحد ومصدر بيانات ومالك للتحقق. لا تجمع أرقامًا متشابهة لها معان مختلفة، ولا تعرض متوسطًا يخفي فرعًا عالي الخطورة.

التقارير والتصعيد من دون ازدواج

حدد تقريرًا تشغيليًا للفريق، وتقريرًا إداريًا للقيادة، ومسارًا فوريًا للقضية الحرجة. يمكن أن يحتوي تقرير القيادة على:

1. تغيرات الالتزامات والمخاطر منذ الدورة السابقة.
2. أعلى المخاطر المتبقية ومبرراتها.
3. الضوابط الحرجة التي فشلت أو لم تُختبر.
4. المخالفات والقضايا والبلاغات ذات الأثر الجوهري.
5. الإجراءات المتأخرة والقرارات والموارد المطلوبة.
6. الاستثناءات وحدودها وتواريخ انتهائها.

تجنب أن يقدم فريق الامتثال تقريرًا عن عدد الالتزامات، ثم يقدم فريق المخاطر تقريرًا آخر عن الدرجات من دون ربط. ابدأ بالقرار الذي تحتاجه القيادة، ثم اعرض المسار من التعرض إلى الضابط والإجراء.

توزيع الأدوار

الدور	المسؤولية في النموذج المترابط
الإدارة العليا	تحديد الاتجاه والحدود والموارد واعتماد القرارات الجوهرية
وظيفة الامتثال	تفسير المنهج التنظيمي، والمشورة، والمراقبة والتحدي والتصعيد
إدارة المخاطر	إطار التقييم والتجميع والمقارنة والتقرير المؤسسي
الشؤون القانونية	الرأي القانوني وتفسير النصوص والقضايا القانونية
مالك العملية	تحديد السيناريو وتنفيذ الضوابط والمعالجة وحفظ الدليل
التدقيق الداخلي	تقييم مستقل نسبيًا للحوكمة والتصميم والفاعلية

في المؤسسة الصغيرة قد يجمع شخص أكثر من دور. عندها يجب توثيق تعارض المصالح واستخدام موافقة إضافية أو مراجعة مستقلة للقضايا الحساسة.

العلاقة مع ISO 31000 وISO 37301

تصف صفحة ISO 31000 الرسمية إدارة المخاطر كعملية تشمل التعرف والتحليل والتقييم والمعالجة والمراقبة والتواصل ودمجها في الحوكمة والقرار. ما يزال ISO 31000:2018 الإصدار المنشور، لكنه مصنف حاليًا «سيُراجع» ويوجد إصدار بديل قيد التطوير؛ لذلك يجب فحص الحالة الرسمية قبل استخدام رقم الإصدار في سياسة أو عقد.

أما ISO 37301:2021 فيتناول نظام إدارة الامتثال، وقد أكدت ISO استمراره في 2026. يمكن للمؤسسة مواءمة لغة المخاطر والحوكمة والمراجعة بين الإطارين، من دون افتراض أنهما يلغيان متطلبات الدولة أو القطاع أو العقود.

إذا اختارت المؤسسة أي مسار شهادة لمعيار قابل لذلك، يصدر قرار المنح عن جهة منح مستقلة معتمدة؛ goiso لا تصدر شهادات ISO ولا تبيعها، بل تساعد على تنظيم الامتثال والجاهزية التشغيلية والأدلة.

أخطاء تعطل الدمج

• إنشاء سجل موحد ضخم يصعب تحديثه بدل ربط سجلات متخصصة.
• استخدام «مخاطر قانونية» وصفًا عامًا من دون سيناريو أو مصدر أو عملية.
• اختلاف مقاييس الأثر والاحتمال بين الفرق من دون خريطة تحويل.
• اعتبار السياسة ضابطًا فعالًا من دون اختبار التنفيذ والنتيجة.
• تكرار الضابط والإجراء في عدة ملفات بحالات وملاك مختلفين.
• منح فريق الامتثال ملكية مخاطر العمليات كلها.
• استخدام قبول المخاطر لتغطية مخالفة أو غياب معلومات.
• رفع تقريرين منفصلين للقيادة لا يوضحان القرار المطلوب.
• إغلاق الإجراء من دون إعادة تقييم الخطر وفحص فاعلية المعالجة.

أسئلة شائعة

هل يجب دمج فريقي الامتثال والمخاطر إداريًا؟

لا. يمكن أن يبقيا وظيفتين مستقلتين مع منهج وعلاقات بيانات وتقارير مشتركة. القرار يعتمد على حجم المؤسسة وتعقيدها واستقلال الأدوار، وليس على الرغبة في وضع اسم واحد على الهيكل.

هل نحتاج سجلًا واحدًا فقط؟

ليس بالضرورة. الأفضل أن يكون هناك مصدر واضح لكل نوع من البيانات وروابط ثابتة بين الالتزام والخطر والضابط والإجراء. الدمج القسري قد ينتج سجلًا لا يخدم أي وظيفة جيدًا.

من يقيّم خطر عدم الامتثال؟

يشارك مالك العملية بوصفه الأعرف بالتشغيل، ووظيفة الامتثال بخبرتها في الالتزام والانطباق، وإدارة المخاطر بالمنهج والتجميع. وقد يلزم رأي قانوني أو فني قبل اعتماد التقييم.

هل يمكن قبول خطر عدم الامتثال؟

يمكن قبول تعرض متبقٍ وفق الصلاحيات عندما يكون الالتزام متحققًا والضوابط مناسبة. أما قرار مخالفة واجب صريح فلا يعامل كقبول مخاطر اعتيادي، بل يحتاج معالجة وتصعيدًا ورأيًا مختصًا وأي إبلاغ مطلوب.

ما أول خطوة إذا كانت السجلات منفصلة؟

اختر خمسة إلى عشرة مخاطر امتثال عالية، واربط كل واحد بمصدر الالتزام والعملية والضوابط والملاك والإجراءات الحالية. ستكشف العينة اختلاف اللغة والتقييم والملكية قبل تنفيذ تغيير واسع في الأنظمة.

اربط التعرض بالضابط والقرار قبل أن تضيع الملكية

عندما يعمل سجل الامتثال وسجل المخاطر كل منهما بمعزل، تتكرر الطلبات وتختلف الدرجات ولا يظهر أثر فشل الضابط على بقية الالتزامات. ابدأ بعينة عالية الأولوية، ووحّد اللغة والمعرفات والملاك والتصعيد، واربط الإجراء بالخطر والدليل وفحص الفاعلية. هكذا يحول الامتثال الحيّ التقرير من رقم منفصل إلى مسار يبين أين يوجد التعرض وما القرار المطلوب الآن.

نظّم العلاقة بين الامتثال والمخاطر في مسار واحد مع goiso، واتصل على الرقم 00962792240054 واذكر السجلات المستخدمة وأبرز موضع يتكرر فيه العمل أو تضيع فيه المسؤولية، أو تواصل معنا عبر واتساب وأرسل مثالًا منزوع البيانات الحساسة من خطر أو التزام أو ضابط؛ لنساعدك على ربط التقييمات والملاك والمهام والأدلة والتصعيد، مع بقاء الآراء القانونية والقرارات المهنية لدى المختصين.