قوائم الأفضل
سجل المخاطر هو المستند الذي يقرؤه مجلس الإدارة وتطلبه الجهة التنظيمية. وفي الخليج غالبًا ما يكون أيضًا المستند الذي يجب أن يوجد بالعربية بينما يعمل من يغذّونه بالإنجليزية. هذا المزيج هو ما يجعل برنامج إدارة المخاطر بالعربية متطلبًا أصعب مما يبدو للوهلة الأولى، ويستحق التحديد الدقيق لما تحتاجه قبل أن تضع أي منصة في القائمة المختصرة.
لماذا لا تكفي الواجهة المترجمة في إدارة المخاطر
بيانات المخاطر يكتبها أشخاص ولا تولّدها الأنظمة. فاختبار الضابط ينتج ملف سجل لا يحتاج ترجمة، أما وصف الخطر ففقرة كتبها إنسان، ومن كتبها اختار لغة. وعمليًا ينتهي الأمر بوظيفة المخاطر الخليجية إلى أوصاف مخاطر بالعربية من قطاعات الأعمال، وأوصاف بالإنجليزية من تقنية المعلومات ومزودي الخدمات، ومجلس إدارة يريد سجلًا واحدًا.
يترتب على ذلك ثلاثة أمور، وهي ما ينبغي اختباره:
يجب أن يحتفظ السجل باللغتين معًا. إذا خزّنت المنصة حقل وصف واحدًا وكانت لغة الواجهة تحدد ما تراه، فإن التبديل إلى العربية يُخفي المدخلات الإنجليزية بدلًا من ترجمتها. المطلوب سجل يحمل فيه كل مدخل لغته الخاصة ويظهر الجميع في قائمة واحدة.
يجب أن يعمل الترتيب والتصفية على النص العربي. ترتيب العربية يختلف عن الحروف اللاتينية، والتصفية المبنية على مقارنة نصية بسيطة تضع المدخلات العربية بترتيب يبدو عشوائيًا للقارئ العربي. اكتب كلمة عربية في مربع البحث أثناء العرض التوضيحي وانظر ماذا يعود.
يجب أن تُعنون مقاييس التقييم باللغتين على نحو متسق. مقياس الاحتمالية من خمس درجات لا يفيد إلا إذا قصد الجميع الشيء نفسه بالدرجة الثالثة. وحين تُترجم العناوين العربية والإنجليزية بشكل مستقل فإنها تنحرف، فيصل مُقيّمان يقيّمان الخطر نفسه إلى نتيجتين مختلفتين لسبب لا علاقة له بالخطر.
ما الذي تتوقع الجهة التنظيمية رؤيته
تنص الأطر الإقليمية صراحةً على أن إدارة المخاطر عملية موثقة وقابلة للتكرار لا جدول بيانات يتولاه شخص ما. فإطار ساما للأمن السيبراني يتطلب منهجية محددة لإدارة المخاطر مع معايير، كما تتطلب الضوابط الأساسية للأمن السيبراني السعودية ومعيار ضمان المعلومات الإماراتي تقييم المخاطر ومعالجتها ومراجعتها دوريًا مع توثيق النتائج.
عمليًا يعني ذلك أن المُقيّم سيطلب أربعة أشياء، وكلها مستندات لا شاشات: المنهجية بمعاييرها، والسجل نفسه، وخطة المعالجة بمُلّاكها وتواريخها، ودليل على مراجعة التقييم بعد أي تغيير جوهري. فإذا استطاعت منصتك إنتاج هذه الأربعة بالعربية، فقد أُجيب عن سؤال اللغة. وإذا أنتجتها بالإنجليزية فقط، فستترجمها يدويًا قبل كل تقييم.
ربط المخاطر بالضوابط، وهنا يذهب الوقت
الجزء الذي يستهلك أكبر وقت في عمل المخاطر ليس كتابة المخاطر، بل الحفاظ على الرابط بين الخطر والضوابط التي تعالجه والأدلة على أن تلك الضوابط تعمل. وحين يُدار ذلك في جداول البيانات ينكسر الرابط بصمت: يُلغى ضابط، ويظل الخطر يشير إليه، ولا ينتبه أحد حتى موعد التقييم.
عند تقييم أي منصة، اطلب أن ترى خطرًا بضوابطه المعالِجة مرفقة، ثم اسأل ماذا يحدث للخطر عندما يُعلَّم أحد تلك الضوابط بأنه مخفق. فإذا كان الجواب أن شيئًا لا يحدث، فسينحرف السجل عن الواقع بسرعة تغيّر بيئتك التقنية.
أين تقف Venvera
تعمل Venvera بالعربية بتخطيط من اليمين إلى اليسار، وتحتفظ بمدخلات المخاطر باللغة التي كُتبت بها، فيبقى السجل ثنائي اللغة في قائمة واحدة. وترتبط المخاطر بالضوابط التي تعالجها، والضابط الذي يتوقف عن استيفاء متطلب الدليل يظهر من الخطر بدلًا من اكتشافه عند التقييم. ويأتي إطار ساما والضوابط الأساسية السعودية ومعيار ضمان المعلومات الإماراتي كمجموعات ضوابط مُصانة، فيتصل عمل المخاطر بالإطار الذي تُقيَّم وفقه فعليًا.
أما الحدود بصراحة: مقاييس التقييم قابلة للتهيئة لكن الحفاظ على اتساق عناوينها بين اللغتين مسؤوليتك، ونمذجة المخاطر الكمية خارج النطاق. فهذه أداة سجل ومعالجة لا أداة نمذجة رأس مال.
