استمرارية أعمال تشغّلها فعلًا، لا تكتفي باعتمادها.
Venvera برنامج لـ ISO 22301 يضع نظام إدارة استمرارية الأعمال بأكمله في مساحة عمل واحدة: المتطلبات الـ 45 بالبنود مع الأدلة التي يقبلها مدقق الاعتماد، وتحليل أثر الأعمال والاستراتيجية والخطط والتمارين والمراجعات في تقويم واحد مع مسؤولين وتواريخ، وتقييم فجوات يختبر القرارات التقديرية بدلًا من إعادة سرد البنود. لا جدول بيانات لتحليل الأثر، ولا تقويم تمارين في صندوق بريد أحدهم، ولا سلسلة رسائل إلى الموردين في الأسبوع السابق للتدقيق.
ما القدر الذي تستوفيه بالفعل من ISO 22301؟
اختر الإطار الذي تطبقه بالفعل. يُدرج كل مجال ضوابط يظهر في الإطارين مع مرجع المتطلب في كل جانب، لترى الجزء القابل لإعادة الاستخدام من برنامجك الحالي قبل أن تحدد نطاق أي عمل جديد.
يعني كل صف أن المتطلبين يغطيان المجال نفسه، لذا يمكن عادةً لتطبيق واحد ومجموعة أدلة واحدة أن يخدما الاثنين. ولا يعني ذلك أن استيفاء أحدهما يمنح شهادة الآخر: فلكل إطار نطاقه وصياغته وتقييمه الخاص، وبعض المتطلبات ليس لها مقابل على الإطلاق. تعامل مع هذا بوصفه خريطة أولية للتخطيط، ثم تحقّق من كل صف مقابل نص المتطلب.
برنامج ISO 22301 مبني حول المتطلبات الـ 45 بالبنود
تقدّم Venvera معيار ISO 22301:2019 على شكل بنوده الـ 45 المتضمنة للمتطلبات، من 4.1 إلى 10.2، مجمّعة في ثمانية مجالات تتبع حياة نظام BCMS: النطاق والسياق، والقيادة والموارد، وتحليل أثر الأعمال، وتقييم المخاطر والاستراتيجية، والخطط وهيكل الاستجابة، والموردون والاعتماديات، والتمارين والتقييم، والأداء والتدقيق والتحسين. يحمل كل متطلب مسؤولًا وحالة وأدلته الخاصة وإرشادات مؤلفة حول ما يستوفيه وما يرفضه المراجع. يقيّم تقييم فجوات من 43 سؤالًا القرارات التقديرية التي يختبرها مدقق الاعتماد فعلًا، وتهبط الواجبات المتكررة الأربعة عشر لنظام BCMS في تقويم الامتثال، وتغطي عشرة قوالب سياسات المستندات التي يحتاجها النظام، ويقع متطلب خطط استمرارية الأعمال في الجدول المتقاطع إلى جانب متطلبات الاستمرارية في DORA وNIS2 وISO 27001 وثمانية أطر أخرى.
ما هو ISO 22301، ومن يتبنّاه؟
ISO 22301:2019 هو المعيار الدولي القابل للاعتماد لنظام إدارة استمرارية الأعمال: العمليات التي تحدد بها الشركة الأنشطة الأهم، ومدى سرعة استعادتها المطلوبة، وما ستفعله لإبقائها قيد التشغيل أو إعادتها، وكيف تثبت أن ذلك سينجح. وهو ليس التزامًا قانونيًا في حد ذاته. تتبنّاه الشركات لأن التشريعات التي تلزمها تفترض قدرة استمرارية عاملة دون أن تبيّن كيفية بنائها: تطلب المادتان 11 و12 من DORA من الكيانات المالية سياسة شاملة لاستمرارية الأعمال وتحليل أثر أعمال وخطط استمرارية مختبرة ووظيفة لإدارة الأزمات وتدقيقًا داخليًا لخطط التعافي؛ وتطلب المادة 21(2)(ج) من NIS2 استمرارية الأعمال والنسخ الاحتياطي والتعافي من الكوارث وإدارة الأزمات وتشير إلى المعايير الدولية مقياسًا؛ وتفترض أربعة ضوابط من الملحق A في ISO 27001 تحليل أثر أعمال واستمرارية مختبرة لتقنية المعلومات لا يحددها نظام إدارة أمن المعلومات؛ ويطلب CPS 230 الصادر عن APRA مستويات تحمّل وتمرينًا سنويًا هما تحليل أثر الأعمال وبرنامج التمارين وفق ISO بأسماء أخرى. نظام BCMS المعتمد هو الطريقة المعترف بها لإظهار وجود القدرة لجهة رقابية أو شبكة دفع أو عميل.
المتطلبات الـ 45 كلها، مُستشهد بها برقم البند.
كل بند مرقّم يتضمن متطلبًا في ISO 22301:2019، من فهم المؤسسة وسياقها في 4.1 إلى التحسين المستمر في 10.2، مُشار إليه برقم البند لأن هذه هي الطريقة التي يستشهد بها مدقق الاعتماد والمدقق الداخلي والمشرف وفق DORA الذي يقرأ ملف BCMS. يحمل كل منها إرشادات مؤلفة حول الأدلة التي يطلبها المراجع، وبالقدر نفسه من الأهمية، حول ما يُرفض: تحليل سياق منسوخ من قالب، ونطاق محدد وفق الهيكل التنظيمي، وتحليل أثر أعمال أكمله فريق الاستمرارية دون مالكي الأنشطة، ونسخة احتياطية لم تُستعاد قط.
- المتطلبات الـ 45 كلها مجمّعة في ثمانية مجالات لنظام BCMS
- مُستشهد بها برقم البند، لا بمعرّف ضابط مُخترع
- إرشادات أدلة مؤلفة لكل منها، بما في ذلك ما يخفق
- مسؤول وحالة وأدلة خاصة لكل متطلب
- ملاحظات تناسب للشركة الصغيرة وللمجموعة
الحساب الذي يتحقق منه مدقق الاعتماد أولًا.
ينتج البند 8.2.2 ثلاث قيم زمنية وقيمة طاقة واحدة لكل نشاط ذي أولوية: الحد الأقصى المقبول لفترة التعطل، وهدف وقت التعافي داخله، وهدف نقطة التعافي للبيانات، والحد الأدنى المقبول من الطاقة أثناء التعافي. تجعلها قاعدتان قابلة للتدقيق: يجب أن يقع RTO داخل MTPD بهامش، ولا يجوز لأي نظام أو مورد أو موقع داعم أن يكون له هدف تعافٍ أطول من RTO الأنشطة التي تعتمد عليه. تحليل أثر يخرق إحدى القاعدتين يجعل الخطط خيالًا مهما أُحسنت كتابتها. يطرح تقييم الفجوات هذه الأسئلة بالذات، وتسرد إرشادات البند 8.2.2 السجلات التي تثبت الإجابات.
- MTPD وRTO وRPO والحد الأدنى من الطاقة لكل نشاط
- قاعدتا الاتساق كسؤالين صريحين
- مصادقة مالكي الأعمال مُثبتة بالأدلة لا مفترضة
- الاعتماديات على الموردين وخدمات المجموعة مسجّلة
- مطابقة مع جرد الوظائف الحرجة وفق DORA
خطط يستطيع نائب اتباعها، وتمارين يمكن لأحد أن يخفق فيها.
يطلب البند 8.4 هيكل استجابة بعتبات تفعيل ونواب يملكون الصلاحيات ذاتها التي يملكها الأصيلون، وخططًا بالعناصر التي يعددها المعيار، وإجراءات إنذار واتصال تعمل عندما يتعطل نطاق الشركة، وعودة مخططة إلى الوضع الطبيعي مع تسوية كل ما سُجّل عبر الحلول البديلة. ويطلب البند 8.5 برنامج تمارين يتحقق من الاستراتيجية كلها عبر الزمن، مع تقرير رسمي بعد كل تمرين وإغلاق الإجراءات. تتتبع Venvera كل واحد منها كمتطلب بأدلته الخاصة، وتحمل برنامج التمارين واختبار تعافي تقنية المعلومات ومراجعة الخطط كواجبات في التقويم، لكي تخلّف السنة بين تدقيقين سجلًا.
- عتبات التفعيل والنواب كمتطلبات مستقلة
- محتوى الخطط مُدقَّق مقابل عناصر البند 8.4.4
- العودة إلى الوضع الطبيعي والتسوية بموجب البند 8.4.5
- برنامج التمارين واختبار تعافي تقنية المعلومات ومراجعة الخطط في التقويم
- تقارير ما بعد التمارين وإغلاق الإجراءات مُثبتة بالأدلة
الاعتماديات التي لا تستطيع حدود النطاق إخفاءها.
يطلب البند 8.1 التحكم في العمليات المسندة خارجيًا وسلسلة التوريد، ولا يسمح البند 4.3 للشركة بأن تستبعد من النطاق وظيفة يعتمد عليها نشاط ذو أولوية. وبالنسبة لشركة دفع يعني ذلك المعالج ومكتب تخصيص البطاقات والمنطقة السحابية ومركز بيانات المجموعة: يحتاج كل منها إلى عقد يحمل التزامات استمرارية متسقة مع RTO النشاط، وتأكيد حديث بأن المورد قادر على الوفاء، ومكان في برنامج التمارين. تجعل أسئلة الموردين في تقييم الفجوات وإرشادات البندين 8.1 و8.3.4 هذه المجموعة مرئية، وهناك بالتحديد كانت الشهادة ستعني أقل مما يظن العملاء.
- اعتماديات الموردين مستمدة من تحليل أثر الأعمال لا من سجل الإسناد الخارجي
- بنود تعاقدية متسقة مع RTO النشاط
- أدلة تأكيد مؤرخة، لا وعود
- التركّز لدى مزوّد أو منطقة كسؤال مقيَّم
- خدمات المجموعة تعامَل بالصرامة ذاتها كالموردين الخارجيين
أربعة عشر واجبًا متكررًا، لكل منها تاريخ ومسؤول.
يقول المعيار "على فترات مخططة" في كل موضع ولا يحدد تاريخًا، فعلى كل شركة أن تقرر دورتها بنفسها ثم تلتزم بها. تحمل Venvera الواجبات الأربعة عشر التي تتوقع جهة الاعتماد رؤيتها في تقويم الامتثال مع مسؤولين وتواريخ ومهل تحضير وتذكيرات: مراجعة تحليل أثر الأعمال وإعادة اعتماده، وتقييم المخاطر، ومراجعة الاستراتيجية، وبرنامج التمارين، واختبار تعافي تقنية المعلومات، ومراجعة الخطط وبيانات الاتصال، ومراجعة المتطلبات القانونية، وتأكيد استمرارية الموردين، والتوعية والتدريب حسب الأدوار، وتقرير الأداء ربع السنوي، والتدقيق الداخلي، ومراجعة الإدارة، ومراجعة السياسة والأهداف، وتأكيد السياق والنطاق. يستشهد كل منها بالبند الذي يخدمه.
- ثلاثة عشر واجبًا سنويًا وتقرير ربع سنوي واحد
- يستشهد كل منها بالبند الذي يخدمه
- مسؤولون حسب دور المسؤولية، من قائد استمرارية الأعمال إلى الرئيس التنفيذي
- مهل تحضير وتذكيرات قبل كل تاريخ استحقاق
- إكمال واجب ينقله إلى الدورة التالية
يُربط حيث يكون الدليل هو ذاته، ولا يُربط في أي موضع آخر.
نادرًا ما تشغّل شركة ISO 22301 وحده، لكن الجدول المتقاطع لا يربط متطلبًا بإطار آخر إلا حيث يرتبط الواجب ذاته بالدليل ذاته، وثلاثة متطلبات فقط تستوفي ذلك. تقع خطط استمرارية الأعمال في البند 8.4.4 ضمن مجموعة استمرارية الأعمال إلى جانب متطلبات الاستمرارية في DORA وNIS2 وISO 27001 وSOC 2 وNIST CSF 2.0 وNIST SP 800-53 وHIPAA وGDPR وNDPA وECC السعودي وUAE IA. وتُربط الكفاءة في أدوار الاستمرارية بموجب البند 7.2 بـ CP-3 في NIST SP 800-53، ويُربط برنامج التمارين بموجب البند 8.5 بـ CP-4. أما السياسة وتحليل أثر الأعمال وحلول النسخ الاحتياطي والتكرار وهيكل الاستجابة والاتصال والتعافي والتقييم والتدقيق الداخلي فليست مربوطة: فتحليل أثر الأعمال ليس تقييمًا لمخاطر تقنية المعلومات، والتمارين ليست برنامج الاختبار وفق DORA، وتدقيق نظام إدارة أمن المعلومات ليس دليلًا على تدقيق نظام BCMS. ومع ذلك يظل العمل نفسه يخدم DORA لدى الكيان المالي: فتحليل أثر الأعمال والخطط واختبارات الاستمرارية السنوية والتدقيق الداخلي التي ينتجها نظام BCMS هي ما تطلبه المادتان 11 و12. متطلب الخطط مربوط في الجدول المتقاطع؛ أما روابط DORA الأخرى فتنشئها الشركة بنفسها، بإرفاق الأدلة ذاتها بتلك المتطلبات.
- ثلاثة متطلبات من ISO 22301 في الجدول المتقاطع: 7.2 و8.4.4 و8.5
- خطط البند 8.4.4 إلى جانب متطلبات الاستمرارية في أحد عشر إطارًا
- البند 7.2 مربوط بـ CP-3 في NIST SP 800-53، والبند 8.5 بـ CP-4
- ربط فقط حيث يكون الدليل هو ذاته، وليس أبدًا لواجب سياسة عام
- برنامج الاختبار وفق DORA غير مساوٍ عمدًا للتمارين
جدول البيانات أو Venvera.
ISO 22301، بإجابات.
أدلة استمرارية الأعمال والمرونة
- اختبار المرونة التشغيلية وفق DORA: البرنامج السنويما هو اختبار DORA وما ليس كذلك: لماذا برنامج المادة 24 هو اختبار أمني، والاختبار السنوي في المادة 11(6) هو ما يقدّمه برنامج تمارينك.
- مهل الإبلاغ عن الحوادث حسب التشريعمهل الإخطار التي قد يطلقها التعطل بموجب DORA وGDPR وNIS2 وشبكات الدفع، والتي يجب أن تحملها خطة اتصال الأزمات لديك.
- كيفية إجراء تقييم مخاطر الأطراف الثالثةتقييم الموردين الذين تعتمد عليهم أنشطتك ذات الأولوية فعلًا، وهو الموضع الذي يقصّر فيه نطاق BCMS عادةً.
- كيفية جمع أدلة التدقيقما يُحتسب دليلًا يمكن التحقق منه في تدقيق اعتماد، وطريقة الجمع الكامنة وراءه.
اعرف أين تقف أدلة استمرارية الأعمال لديك فعليًا.
ابدأ بتقرير فجوات مجاني للإطار الذي يعيقك: 10 دقائق، ولا حاجة إلى بريد إلكتروني للبدء.
✓ مع كل خطة مدفوعة: جاهزية للتدقيق خلال 90 يومًا أو استرداد أموالك*
10 دقائق · لا يلزم بريد إلكتروني للبدء · دون بطاقة ائتمانية · يبقى ملكًا لك