وافق مجلس إدارة شركة لتقنيات الرعاية الصحية على إطار لتقبّل مخاطر الموردين ضمن مبادرة أوسع لرفع نضج إدارة المخاطر المؤسسية. وحدد الإطار حدودًا قصوى للتركز: ألا يعالج أي مورد منفرد أكثر من خمسة عشر بالمئة من المعلومات الصحية المحمية، وألا يكون لأي مورد أكثر من خمسة تكاملات مع الأنظمة الداخلية، وأن يحافظ جميع موردي الفئة الأولى على تصنيف أمني لا يقل عن خمسة وسبعين على مقياس من مئة نقطة. وكان الإطار محكم التصميم، يعكس قناعة حقيقية لدى المجلس بشأن التركز المقبول والحدود الدنيا للأمن. وتسلّم فريق TPRM الإطار وبدأ تطبيقه على التعاقد مع الموردين الجدد. ثم راجع محفظة الموردين القائمة وفق الحدود الجديدة. وكانت النتائج: مورد واحد يعالج ثلاثة وخمسين بالمئة من PHI لدى المؤسسة، وهو تركز يبلغ ثلاثة أضعاف ونصف حد التقبّل، وقد تكوّن على مدى خمس سنوات مع توسع قدرات منتجات المورد ونقل مزيد من معالجة البيانات إلى منصته. وكان لمورد ثانٍ أربعة عشر تكاملًا مع الأنظمة الداخلية، أي ما يقارب ثلاثة أضعاف حد التقبّل، بعد أن نما من ثلاثة تكاملات عند التعاقد إلى أربعة عشر من خلال إضافات تدريجية على مدى أربع سنوات. وكان الحد الأدنى للتصنيف الأمني سيستبعد اثنين من موردي الفئة الأولى الحاليين. لقد حُدد مستوى التقبّل. لكن المحفظة لم تكن متوافقة معه. ولم يكن لدى أحد إجابة واضحة عما ينبغي للمؤسسة فعله بشأن الموردين السابقين لإطار التقبّل والمنتهكين لحدوده.
ما عدم اتساق مستوى تقبّل المخاطر حقًا؟
عدم اتساق مستوى تقبّل المخاطر في إدارة الموردين هو الفجوة بين حدود التحمل المحددة رسميًا لدى المؤسسة إزاء المخاطر المرتبطة بالموردين، المعبَّر عنها بحدود التركز والحدود الدنيا للأمن وعتبات حجم البيانات ومعايير عمق التكامل، وبين ملف المخاطر الفعلي لمحفظة الموردين القائمة. فأطر تقبّل المخاطر تحدد ما المؤسسة مستعدة لقبوله. أما عدم اتساق مستوى تقبّل المخاطر فيصف الحالات التي لا تتوافق فيها المحفظة الحالية مع هذه التعريفات، إما لأن المحفظة سابقة للإطار، أو لأن علاقات فردية تطورت متجاوزة حدود التقبّل دون مراجعة رسمية، أو لأن استثناءات مُنحت دون أن تخضع لمراجعة متسقة مع مستوى التقبّل.
تمثل مشكلة وضع إطار التقبّل بعد تشكّل المحفظة أكثر مصادر عدم الاتساق شيوعًا. فأطر تقبّل المخاطر تُطوَّر عادةً ضمن مبادرات إدارة المخاطر المؤسسية التي تأتي بعد أن تكون محفظة الموردين قد تشكلت ونمت على مدى سنوات. ويعكس الإطار تفضيلات المخاطر الحالية لمجلس الإدارة ومستويات تحمّله. أما المحفظة فتعكس سنوات من قرارات الأعمال المتخذة قبل إضفاء الطابع الرسمي على هذه التفضيلات. والنتيجة إطار يصف بشكل صحيح المكان الذي تريد المؤسسة أن تكون فيه، ومحفظة تصف بشكل صحيح المكان الذي توجد فيه المؤسسة حاليًا، والاثنان غير متطابقين.
تزيد مشكلة التطور من حدة مشكلة وضع إطار التقبّل بعد تشكّل المحفظة بالنسبة إلى العلاقات السابقة للإطار. فالمورد الذي كان ضمن حدود التقبّل عند التعاقد معه قد يكون تجاوزها من خلال التوسع التدريجي في العلاقة، كإضافة فئات بيانات واحدة تلو الأخرى، وإضافة تكاملات مع الأنظمة لتيسير العمليات، وزيادة أحجام البيانات مع تعمق العلاقة التجارية. وربما لم يُطلق كل توسع فردي مراجعة رسمية لحدود التقبّل. والنتيجة التراكمية علاقة تتجاوز حدود التقبّل بكثير دون أن يكون أي قرار منفرد قد وافق صراحة على هذا الانحراف.
- محفظة سابقة لإطار تقبّل المخاطر: عدم تقييم العلاقات القائمة وفق الحدود المحددة حديثًا
- التوسع التدريجي متجاوزًا حدود تقبّل المخاطر: إضافات فردية تتراكم حتى تنتهك الحدود دون مراجعة رسمية لمستوى التقبّل
- غياب خارطة طريق لمعالجة انتهاكات حدود التقبّل: إطار محدد دون خطة لجعل المحفظة القائمة متوافقة معه
- عدم قبول استثناءات تقبّل المخاطر رسميًا: عدم مراجعة العلاقات التي تتجاوز حدود التقبّل وقبولها من خلال عملية استثناء محددة
- عدم ربط مراقبة مستوى التقبّل بتغييرات المحفظة: تغييرات العلاقات لا تطلق مراجعة حدود التقبّل
لماذا يهم هذا
يهم عدم اتساق مستوى تقبّل المخاطر في TPRM لأن أطر تقبّل المخاطر التزامات حوكمة، إذ حدد مجلس الإدارة مستوى تركز الموردين والمخاطر الأمنية الذي هو مستعد لقبوله. وعندما لا تعكس المحفظة هذه الالتزامات، فإن مستوى تقبّل المخاطر الذي حدده المجلس لا يُحترم، حتى لو كان موثقًا بشكل صحيح. والفاحص التنظيمي الذي يراجع إطار تقبّل المخاطر ومحفظة الموردين في آن واحد سيكتشف عدم الاتساق، فحد تقبّل يحدده المجلس بخمسة عشر بالمئة ومورد يعالج ثلاثة وخمسين بالمئة يمثلان فجوة في الحوكمة لا يستطيع التوثيق حلها.
البُعد المتعلق باتخاذ القرار لا يقل أهمية. فحدود تقبّل المخاطر موجودة لتوجيه القرارات بشأن متى يكون التركز مرتفعًا أكثر من اللازم، ومتى لا تُستوفى الحدود الدنيا للأمن، ومتى ينبغي تقييد توسع العلاقة. وعندما تتجاوز المحفظة حدود التقبّل دون مراجعة رسمية للاستثناءات، تُتخذ قرارات التوسع الإضافي في سياق مستوى تقبّل متجاوَز أصلًا، فإضافة مزيد من البيانات إلى مورد يعالج أصلًا ثلاثة أضعاف الحد قرار مخاطر مختلف عن إضافتها إلى مورد ضمن الحد.
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في تحديد إطار لتقبّل المخاطر وتطبيقه على العلاقات الجديدة فقط دون مراجعة المحفظة القائمة ودون وضع خطة للمعالجة أو لإدارة الاستثناءات للعلاقات التي تتجاوز الحدود المحددة.
- تطبيق إطار تقبّل المخاطر على العلاقات الجديدة فقط دون مراجعة المحفظة القائمة
- غياب تحليل الفجوات بين المحفظة القائمة ومستوى تقبّل المخاطر
- غياب خارطة طريق لمعالجة انتهاكات حدود التقبّل في العلاقات القائمة
- عدم قبول استثناءات تقبّل المخاطر رسميًا من خلال عملية محددة
- عدم إطلاق تغييرات المحفظة لمراجعة حدود تقبّل المخاطر
كيف تبدو الممارسة الجيدة
تطبق برامج تقبّل المخاطر الناضجة الحدود المحددة على العلاقات الجديدة والقائمة على السواء، فتجري تحليلًا للفجوات على مستوى المحفظة بأكملها عند وضع الإطار، وتضع خرائط طريق للمعالجة أو تقبل رسميًا الاستثناءات لانتهاكات حدود التقبّل، وتراقب تغييرات المحفظة مقارنة بحدود التقبّل على أساس مستمر.
- تحليل الفجوات في المحفظة عند وضع إطار تقبّل المخاطر: تقييم العلاقات القائمة وفق الحدود الجديدة
- خارطة طريق لمعالجة انتهاكات حدود التقبّل: خطة لجعل العلاقات المتجاوزة لحدود التقبّل متوافقة معها
- قبول رسمي للاستثناءات بالنسبة إلى العلاقات التي لا يمكن جعلها ضمن حدود التقبّل في جدول زمني معقول
- مراقبة حدود التقبّل: تغييرات المحفظة تطلق مراجعة الحدود
- مراجعة منتظمة لمستوى التقبّل مقارنة بالمحفظة: مقارنة ربع سنوية أو سنوية للمحفظة بحدود التقبّل
الأدوات
منصات TPRM المزودة بتحليلات التركز: Prevalent وProcessUnity
توفر منصات TPRM التي تدعم تحليل مخاطر التركز، بمقارنة أحجام البيانات وأعماق التكامل وتصنيفات الأمن بحدود التقبّل المحددة، الرؤية على مستوى المحفظة اللازمة لتحليل الفجوات في مستوى التقبّل. وبالنسبة إلى ممارسي TPRM، فإن استخدام تحليلات المنصة لإعداد مقارنة بين مستوى التقبّل والمحفظة يوفر رؤية للفجوات لا توفرها تقييمات العلاقات الفردية.
منصات GRC لإدارة تقبّل المخاطر: Archer وMetricStream
تتيح منصات GRC المزودة بوحدات لإدارة تقبّل المخاطر سير عمل رسميًا لقبول الاستثناءات المتعلقة بانتهاكات حدود التقبّل، فتوفر سجل الحوكمة الذي يوثق متى تتجاوز العلاقات حدود التقبّل والأساس الذي قُبلت عليه. وبالنسبة إلى ممارسي TPRM، فإن استخدام سير عمل رسمي للاستثناءات المتعلقة بانتهاكات حدود التقبّل يوفر توثيق الحوكمة الذي يتوقعه المنظمون والمدققون.
تحديات الحوكمة
يتمثل تحدي الحوكمة في عدم اتساق مستوى تقبّل المخاطر في مشكلة الجدول الزمني للمعالجة. فخفض تركز البيانات في علاقة مع مورد من ثلاثة وخمسين بالمئة إلى خمسة عشر بالمئة يتطلب عملًا تشغيليًا كبيرًا، يشمل تحديد موردين بدلاء ونقل معالجة البيانات وربما إعادة هيكلة العلاقة التجارية، ولا يمكن إنجازه بسرعة دون تعطيل الأعمال. ويكمن حل الحوكمة في خارطة طريق واقعية للمعالجة ذات مراحل محددة، واستثناءات مقبولة رسميًا للعلاقات التي يمتد فيها الجدول الزمني، والتزام بعدم تجاوز حدود التقبّل أكثر أثناء سير المعالجة.
- أجرِ تحليل الفجوات في المحفظة فور تحديد إطار تقبّل المخاطر
- ضع خارطة طريق لمعالجة الانتهاكات بجداول زمنية واقعية
- اقبل استثناءات تقبّل المخاطر رسميًا مع تواريخ مراجعة محددة
- جمّد أي توسع إضافي في العلاقات المنتهكة لحدود التقبّل ريثما تتم المعالجة
- ارفع إلى مجلس الإدارة تقريرًا عن وضع المحفظة مقارنة بمستوى التقبّل مع خارطة طريق للمعالجة
إذا كنت فريقًا صغيرًا
قارن محفظة الموردين الحالية بحدود تقبّل المخاطر لديك في ثلاثة أبعاد: أي الموردين يتجاوزون حدود التركز، وأيهم يتجاوزون حدود عمق التكامل، وأيهم دون الحدود الدنيا لتصنيف الأمن. ولكل انتهاك، وثّق ما إذا كان يخضع لمعالجة فعالة، أو مقبولًا رسميًا بوصفه استثناءً، أو مجهولًا، أي لم يُتخذ بشأنه أي قرار. فتوثيق الانتهاكات دون قرار هو في حد ذاته فجوة في الحوكمة. وكل انتهاك لحدود التقبّل يحتاج إلى أحد التصنيفات الثلاثة: قيد المعالجة، أو استثناء مقبول، أو يتطلب قرارًا من الحوكمة.
- قارن المحفظة بحدود تقبّل المخاطر من حيث التركز والتكامل وتصنيف الأمن
- صنّف كل انتهاك: قيد المعالجة، أو استثناء مقبول، أو يتطلب قرارًا من الحوكمة
- ضع خارطة طريق للمعالجة ذات مراحل محددة للانتهاكات الخاضعة للمعالجة
- اقبل الاستثناءات رسميًا مع تواريخ مراجعة محددة للاستثناءات المقبولة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«في ضوء إطار تقبّل المخاطر الحالي لدينا، يتجاوز تركز معالجة بياناتنا لديكم حاليًا الحد الذي وضعناه. ونحن نعد خارطة طريق للمعالجة. هل يمكنكم تقديم البيانات التي نحتاج إليها لنمذجة ترتيبات معالجة بديلة؟ وتحديدًا، أي مكونات معالجة بياناتنا يمكن نقلها إلى مقدم خدمة منفصل لخفض التركز؟»
ما تتوقعه دليلًا
- تفصيل مكونات معالجة البيانات: ما الذي يُعالَج وأين
- تقييم الجدوى التقنية لتقليص نطاق المعالجة
- الجدول الزمني للانتقال وتقديرات تكلفة خفض التركز
ينبغي إشراك المورد الذي تتجاوز العلاقة معه حد تقبّل المخاطر في مسألة المعالجة، لا بوصف ذلك إجراءً عدائيًا بل تمرينًا تشاركيًا في التخطيط. فمستوى التقبّل يحدد الوجهة. وخارطة طريق المعالجة تحدد المسار.
كيف تُثبت ذلك
الخلاصة الرئيسية
يحدد مستوى تقبّل المخاطر ما ينبغي أن يكون. والمحفظة هي ما هو كائن. والفجوة بين الحد المحدد بخمسة عشر بالمئة والتركز البالغ ثلاثة وخمسين بالمئة لا تُحل بتوثيق مستوى التقبّل، بل بمعالجة الانتهاك أو بقبول الاستثناء رسميًا مع تاريخ مراجعة محدد. وتطبيق إطار التقبّل على العلاقات الجديدة فقط يترك المحفظة القائمة دون حوكمة وفق مستوى التقبّل الذي وُضع لحكمها. إن تحليل الفجوات في المحفظة وخرائط طريق المعالجة والقبول الرسمي للاستثناءات هي آليات الحوكمة التي تجعل إطار تقبّل المخاطر عمليًا لا مجرد طموح. فمستوى التقبّل هو الالتزام. والبرنامج هو الآلية. والمحفظة هي النتيجة.