شهد برنامج TPRM لدى شركة تصنيع عالمية نضجًا كبيرًا على مدى ثلاث سنوات، بتقييمات شاملة وسجل مخاطر محكم التصميم وإيقاع شهري لإعداد التقارير يتضمن عروضًا أمام مجلس الإدارة. وقد اعتُمدت صيغة التقرير الشهري في السنة الثانية للبرنامج وظلت ثابتة: إجمالي الموردين الذين جرى تقييمهم (174)، والنتائج المفتوحة عالية الأولوية (23)، والنتائج قيد المعالجة (47)، ومتوسط درجة المخاطر في المحفظة (61). وكان المجلس يتلقى هذا التقرير كل ربع سنة. وعلى مدى ستة أشهر من التقارير الثابتة، تلقى المجلس ثمانية عشر رقمًا أكدت أن البرنامج يعمل بحجم ثابت. أما ما لم يتلقه المجلس خلال ستة أشهر من التقارير فهو: وضع أي مورد الأمني تدهور أكثر من غيره منذ آخر تقييم له؛ وحجم التعرض المالي الإجمالي إذا تعرض الموردون الثلاثة الأعلى خطورة لخروقات متزامنة؛ وما إذا كان أي من الموردين قد تعرض لحوادث أمنية رصدها نظام التصنيف المستمر للبرنامج؛ وما إذا كانت موارد التقييم لدى فريق TPRM تُخصَّص للعلاقات التي تشهد أكبر نمو في المخاطر؛ وما قرارات المخاطر القابلة للتنفيذ التي يتعين على المجلس اتخاذها. لقد أكد التقرير وجود البرنامج. لكنه لم يُنر المجلس.
ما مشكلة التقارير مقابل الرؤى حقًا؟
التقارير هي نقل مقاييس البرنامج وأنشطته، من أعداد ومتوسطات ومعدلات إنجاز وتحديثات للحالة، تصف ما أنجزه البرنامج. أما الرؤى فهي تحليل هذه المقاييس لإنتاج معلومات قابلة للتنفيذ، أي تحديد الأنماط التي تشير إلى تزايد المخاطر، ومواضع تركز التعرض المالي، والقرارات التي يتعين اتخاذها، وما تعنيه مخرجات البرنامج لوضع المخاطر في المؤسسة. والفرق بين التقارير والرؤى هو الفرق بين برنامج يُنتج مخرجات وبرنامج يُنتج قرارات.
مقاييس الحجم هي النمط الأكثر شيوعًا لإعداد التقارير دون رؤى. فأعداد الموردين الذين جرى تقييمهم، والنتائج المفتوحة، والنتائج التي عولجت تؤكد أن البرنامج يعمل ويُنتج مخرجات. لكنها لا تشير إلى ما إذا كانت هذه المخرجات تعالج أهم المخاطر. فالبرنامج الذي يقيّم مئة وأربعة وسبعين موردًا قد يجد أن جميع الموردين المئة والأربعة والسبعين منخفضو المخاطر، بينما لا يكون الموردون الثلاثة ذوو أعلى تعرض فعلي لبيانات العملاء من بينهم. فعدد الموردين الذين جرى تقييمهم دليل على نشاط البرنامج، لا على تغطية المخاطر.
تمثل مشكلة الرؤى الملائمة للجمهور البُعد الثاني لمسألة التقارير مقابل الرؤى. فالجماهير المختلفة تحتاج إلى رؤى مختلفة من برنامج TPRM نفسه. ففريق TPRM يحتاج إلى مقاييس تشغيلية، مثل معدلات إنجاز التقييمات وأداء SLA في المعالجة وتوزيع النتائج، لإدارة البرنامج يومًا بيوم. ويحتاج CISO إلى رؤى لإدارة المخاطر، مثل التعرضات المتزايدة لدى الموردين، والمواضع التي تحتاج إلى استثمار إضافي، ومدى تغطية البرنامج للمخاطر، لاتخاذ قرارات تخصيص الموارد. ويحتاج مجلس الإدارة إلى رؤى للحوكمة، مثل التعرض المالي الذي تتحمله المؤسسة من خلال العلاقات مع الموردين، وما إذا كان مستوى تقبّل المخاطر محترمًا، والقرارات التي تستدعي اهتمامه أو صلاحيته. والصيغة الشهرية الموحدة للتقرير التي تخدم جمهورًا واحدًا خدمة ضعيفة تخدم الجماهير الأخرى بصورة أسوأ.
- مقاييس الحجم بديلًا عن رؤى المخاطر: أعداد أنشطة تؤكد عمل البرنامج دون أن تكشف أهمية المخاطر
- غياب تحليل الاتجاهات: مقاييس لحظية دون مقارنة اتجاهية
- غياب سياق التعرض المالي: نتائج مخاطر غير مرتبطة بالأثر المالي
- صيغة تقرير واحدة لجماهير متعددة: عرض مقاييس تشغيلية على جمهور معني بالحوكمة على مستوى مجلس الإدارة
- عدم إبراز البنود التي تتطلب قرارًا: تقارير تُعلم دون أن تدفع إلى التصرف
لماذا يهم هذا
تهم مسألة التقارير مقابل الرؤى في TPRM لأن قيمة البرنامج في الحوكمة تتحدد بجودة القرارات التي يتيحها، لا بحجم مخرجاته. فمجلس الإدارة الذي يتلقى مقاييس نشاط ثابتة على مدى ستة أشهر ولا يُطلب منه اتخاذ أي قرار بشأن المخاطر لم يكن يمارس حوكمة مخاطر الموردين، بل كان يتلقى تأكيدات على نشاط البرنامج. وعندما يتعرض المورد الأعلى خطورة لخرق ويسأل المجلس عن التحذير الذي قُدّم والقرارات التي كانت متاحة لمنع الخرق أو التخفيف منه، فإن الإجابة بأن البرنامج أصدر تقارير شهرية ثابتة بأرقام مستقرة لن تفي بالغرض.
يمثل التواصل لدى CISO البُعد العملي. فمسؤولو أمن المعلومات الذين يعرضون مخاطر الموردين على مجالس الإدارة يحتاجون إلى ترجمة مخرجات البرنامج إلى لغة مخاطر يستطيع المجلس التصرف بناءً عليها: نطاقات التعرض المالي، والمقارنة بمستوى تقبّل المخاطر، والقرارات المحددة التي تتطلب صلاحية المجلس أو علمه، ومؤشرات الاتجاه التي تبين ما إذا كان وضع المخاطر يتحسن أم يتدهور. أما CISO الذي يعرض على المجلس مقاييس نشاط البرنامج فإنه ينقل عمليات البرنامج إلى جمهور معني بحوكمة المخاطر، وهو عدم تطابق في الصيغة يحرم المجلس من المعلومات التي يحتاج إليها للحوكمة.
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في تصميم التقارير حول البيانات الأسهل جمعًا بدلًا من القرارات التي يحتاج الجمهور إلى اتخاذها. فعدد الموردين وعدد النتائج ومتوسط الدرجة سهلة الحساب من بيانات البرنامج. أما تحليل الاتجاهات وتقديرات التعرض المالي ومتطلبات القرار فتتطلب استثمارًا تحليليًا إضافيًا نادرًا ما تخصص له دورات إعداد التقارير وقتًا.
- تصميم التقارير حول البيانات المتاحة بدلًا من احتياجات الجمهور من القرارات
- غياب تحليل الاتجاهات: انعدام السياق الاتجاهي
- تقارير مجلس الإدارة التي تستخدم مقاييس تشغيلية بدلًا من رؤى الحوكمة
- غياب سياق التعرض المالي في مخرجات البرنامج
- غياب الدفع نحو القرار في التقارير: الإعلام دون توجيه إلى التصرف
كيف تبدو الممارسة الجيدة
تصمم برامج إعداد التقارير الناضجة في TPRM منتجات تقارير مختلفة لجماهير مختلفة: لوحات معلومات تشغيلية لفريق البرنامج، وموجزات لإدارة المخاطر لـCISO، وتقارير حوكمة لمجلس الإدارة، ويُصمَّم كل منتج حول القرارات التي يتخذها جمهوره لا حول بيانات نشاط البرنامج.
- تقارير خاصة بكل جمهور: تقارير تشغيلية وإدارية وتقارير حوكمة مصممة وفق احتياجات كل جمهور من القرارات
- تحليل الاتجاهات في جميع التقارير: ما إذا كان وضع المخاطر يتحسن أم يتدهور
- سياق التعرض المالي: ربط نتائج المخاطر بنطاقات الأثر المالي
- إبراز البنود التي تتطلب قرارًا: بنود محددة تتطلب إجراءً أو صلاحية
- المقارنة بمستوى تقبّل المخاطر: ما إذا كان وضع مخاطر المحفظة ضمن الحدود المقبولة المحددة
الأدوات
لوحات معلومات TPRM: ProcessUnity وVenminder وOneTrust
توفر منصات TPRM المزودة بقدرات إعداد التقارير والتحليلات طرق عرض متعددة للوحات المعلومات، منها لوحات تشغيلية لإدارة البرنامج وملخصات تنفيذية للتواصل بشأن الحوكمة. وبالنسبة إلى ممارسي TPRM، فإن استخدام تحليلات المنصة لإنتاج مخرجات خاصة بكل جمهور بدلًا من صيغة تقرير واحدة يوفر التمايز في التقارير الذي يتطلبه التواصل القائم على الرؤى.
ذكاء الأعمال: Power BI وTableau
تتيح منصات BI المتصلة ببيانات GRC وTPRM إجراء تحليلات وتصورات مخصصة، مثل تحليل الاتجاهات ونمذجة التعرض المالي وإبراز الاستثناءات، لا تُنتجها تقارير GRC القياسية. وبالنسبة إلى ممارسي TPRM، فإن استخدام أدوات BI فوق بيانات TPRM يوفر العمق التحليلي الذي يستخلص الرؤى من مخرجات البرنامج.
تحديات الحوكمة
يتمثل تحدي الحوكمة في مسألة التقارير مقابل الرؤى في الاستثمار التحليلي المطلوب. فإنتاج الرؤى يتطلب وقتًا لتحليل بيانات البرنامج بحثًا عن الاتجاهات، وتقدير التعرض المالي، وتحديد البنود التي تتطلب قرارًا، وهو وقت نادرًا ما تخصصه دورات إعداد التقارير. ويكمن حل الحوكمة في تصميم منتج رؤى واحد عالي الجودة في كل دورة تقارير بدلًا من إنتاج تقارير نشاط ثابتة متعددة، أي تخصيص الوقت المتاح للعمل التحليلي الذي يحوّل البيانات إلى قرارات.
- صمّم تقارير مجلس الإدارة حول القرارات لا المقاييس: ما الإجراء الذي يتعين على المجلس اتخاذه
- أدرج تحليل الاتجاهات في كل تقرير: اتجاه المخاطر، لا مستواها الحالي فحسب
- أدرج نطاق التعرض المالي للعلاقات الأعلى خطورة مع الموردين
- أبرز البنود التي تتطلب قرارًا بوضوح: ما الذي يتطلب صلاحية مجلس الإدارة أو علمه
- أدرج المقارنة بمستوى تقبّل المخاطر: ما إذا كانت مخاطر المحفظة ضمن الحدود المقبولة
إذا كنت فريقًا صغيرًا
في العرض القادم أمام مجلس الإدارة، استبدل بمقاييس البرنامج الأربعة الثابتة ثلاث رؤى محددة: أي علاقة مع مورد لها أعلى تعرض مالي مقدَّر في حال الخرق وما نطاق هذا التقدير؛ ووضع أي مورد الأمني تدهور أكثر من غيره منذ آخر تقييم له وما الذي يُتخذ حياله؛ وما قرار المخاطر الوحيد الذي يتطلب علم المجلس أو صلاحيته وليس مدرجًا حاليًا في جدول أعماله. وتتطلب هذه الرؤى الثلاث خمس عشرة دقيقة إضافية من العمل التحليلي مقارنة بالمقاييس الأربعة. لكنها تُنتج نقاش الحوكمة الذي لم تكن المقاييس الأربعة تولّده.
- استبدل بمقاييس النشاط ثلاث رؤى محددة في العرض القادم أمام مجلس الإدارة
- أدرج تقديرًا واحدًا للتعرض المالي للمورد الأعلى خطورة
- أدرج مؤشر اتجاه واحدًا: وضع أي مورد يتدهور أكثر من غيره
- أدرج بندًا واحدًا لقرار يتطلب علم مجلس الإدارة أو صلاحيته
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«إلى جانب الإجابات المعتادة عن الاستبيان ودرجة المخاطر، هل يمكنكم تقديم ملخص موجز لكيفية تغير وضعكم الأمني وملف مخاطركم خلال الأشهر الاثني عشر الماضية؟ وتحديدًا، ما المخاطر التي زادت، وما التحسينات التي أُجريت، وما الخطر الكبير الحالي في برنامجكم الأمني الذي سيحدده مجلس إدارة مؤسستكم؟»
ما تتوقعه دليلًا
- تقييم صريح لكيفية تغير ملف مخاطر المورد خلال الأشهر الاثني عشر الماضية
- المخاطر المفتوحة الكبيرة في برنامج الأمن لدى المورد
- التحسينات المنجزة خلال الأشهر الاثني عشر الماضية
- المخاوف الاستشرافية بشأن المخاطر
ينبغي أن يُسأل المورد الذي يُنتج استبيانه درجة ثابتة كل عام عما تغير في ملف مخاطره منذ آخر تقييم. فالدرجة تؤكد الوضع الحالي. أما سرد التغيير فيوفر سياق الاتجاه الذي لا تستطيع الدرجة توفيره.
كيف تُثبت ذلك
- توثيق منتجات التقارير الخاصة بكل جمهور
- تحليل الاتجاهات في تقارير الحوكمة
- تقديرات التعرض المالي في تقارير مجلس الإدارة
- تحديد بنود القرار في اتصالات الحوكمة
الخلاصة الرئيسية
التقارير تثبت أن البرنامج موجود. والرؤى تُنير مجلس الإدارة. فأربعة أرقام ثابتة على مدى ستة أشهر تثبت أن برنامج TPRM يعمل بحجم مستقر. لكنها لا تخبر المجلس ما إذا كانت المخاطر تتزايد أم تتناقص، ولا أين يتركز التعرض المالي، ولا ما القرارات التي يتعين عليه اتخاذها. فالمجلس يمارس الحوكمة بالمعلومات التي يتلقاها. فإذا كانت المعلومات التي يتلقاها تؤكد نشاط البرنامج، فإنه يحكم وجود البرنامج. وإذا كانت تحدد اتجاهات المخاطر والتعرض المالي ومتطلبات القرار، فإنه يحكم المخاطر. صمّم التقرير للقرار الذي يحتاج الجمهور إلى اتخاذه. فالمقاييس تنبثق من القرار. والقرار لا ينبثق من المقاييس.