ما المتطلبات الأساسية للحصول على شهادة ISO 22301؟
شهادة الأيزو 22301 لاستمرارية الأعمال في السعودية!
ماذا لو استيقظت إدارتك غدًا على حدث عطّل أحد أهم أنظمة الشركة؟ أو توقف مورد حرج، أو أصبح أحد المواقع غير قادر على العمل، أو تعطلت خدمة يعتمد عليها العملاء بشكل كامل؟
في تلك اللحظة لن يكون السؤال: «هل لدينا خطة للطوارئ؟» بل سيكون أكثر قسوة: كم من الوقت نستطيع الصمود قبل أن يتحول التعطل إلى خسارة حقيقية؟
هنا تحديدًا تبدأ قيمة شهادة الأيزو 22301.
فالفكرة ليست أن تتوقع المنشأة كل أزمة محتملة، وإنما أن تبني نظام إدارة استمرارية الأعمال يجعلها أكثر قدرة على فهم عملياتها الحرجة، وتحليل تأثير الانقطاع، وتحديد الأولويات، والاستعداد للاستجابة والتعافي ضمن أهداف زمنية مدروسة.
لكن انتبه...
استمرارية الأعمال لا تبدأ عند وقوع الأزمة.
إنها تبدأ قبل الأزمة بوقت طويل.
تبدأ عندما تعرف ما العمليات التي لا تستطيع منشأتك تحمل توقفها، وما الموارد التي تعتمد عليها، وما السيناريوهات التي قد تعطلها، وكيف ستستمر الخدمات ذات الأولوية عندما لا تسير الظروف كما خُطط لها.
ومن هنا تتحول خطة استمرارية الأعمال BCM السعودية من ملف محفوظ للاستخدام «عند الضرورة» إلى منظومة يجب أن تكون مفهومة، قابلة للتنفيذ، ومختبرة بصورة دورية. فالخطة التي لم تُختبر قد تبدو ممتازة على الورق، لكنها لا تكشف قوتها الحقيقية إلا عندما يوضع الفريق أمام سيناريو تعطّل واقعي.
وهذا هو الفارق الذي يجعل شهادة الأيزو 22301 أكثر من مجرد اسم يُضاف إلى الملف المؤسسي؛ فهي ترتبط ببناء نظام إدارة استمرارية الأعمال بطريقة منظمة تساعد المنشأة على الانتقال من سؤال «ماذا سنفعل لو حدثت أزمة؟» إلى سؤال أكثر احترافية:
«كيف سنحافظ على الأنشطة ذات الأولوية، وبأي موارد، وخلال أي إطار زمني مستهدف؟»
سيناريوهات استمرارية الأعمال: كيف تجعل منشأتك جاهزة عندما يتوقف كل شيء فجأة؟
ماذا يحدث إذا تعطّل النظام الرئيسي في التاسعة صباحًا، وتوقف المورد الحرج بعد ساعة، ثم أصبح أحد المواقع التشغيلية غير متاح في اليوم نفسه؟ هل تبدأ الإدارة في البحث عن حلول بعد وقوع الأزمة، أم تكون الإجابات جاهزة قبل أن يبدأ أول إنذار؟
هنا يظهر المعنى الحقيقي لـ شهادة الأيزو 22301. فاستمرارية الأعمال لا تعني امتلاك ملف بعنوان «خطة الطوارئ»، وإنما بناء قدرة مؤسسية تعرف مسبقًا ما العمليات التي لا يمكن السماح بتوقفها طويلًا، وما الموارد التي تعتمد عليها، وما البدائل التي يمكن تشغيلها، وما الزمن المستهدف لاستعادة النشاط.
ومن خلال نظام إدارة استمرارية الأعمال تتحول المنشأة من عقلية «سنرى ماذا نفعل وقت الأزمة» إلى عقلية «نعرف ماذا سنفعل، ومن سيفعله، ومتى يجب أن يحدث».
هنا تصبح خطة استمرارية الأعمال BCM السعودية سيناريوهات قابلة للتنفيذ والاختبار، لا وثيقة جميلة تنتظر أزمة حتى نكتشف إن كانت تعمل أم لا.
فالاستمرارية الحقيقية لا تبدأ عندما ينطفئ النظام.
تبدأ عندما تسأل قبل انطفائه: ماذا سنفعل في الدقيقة التالية؟
أولًا: لا تبدأ بالأزمة... ابدأ بالعملية التي لا تستطيع خسارتها
أكبر خطأ في بناء سيناريوهات الاستمرارية هو محاولة وضع خطة لكل كارثة يمكن تخيلها. البداية الأكثر ذكاءً هي تحديد الأنشطة والعمليات ذات الأولوية التي يجب الحفاظ عليها أو استعادتها ضمن أطر زمنية مناسبة.
وهذه نقطة محورية داخل نظام إدارة استمرارية الأعمال؛ لأن المنشأة تحتاج إلى معرفة ما الذي يسبب توقفه أثرًا جوهريًا على العملاء أو العمليات أو الالتزامات أو السمعة.
فقد تكون العملية الحرجة لدى بنك مرتبطة بخدمة مالية، بينما تكون لدى مصنع مرتبطة بخط إنتاج، ولدى شركة تقنية مرتبطة بمنصة رقمية.
لذلك، قبل بناء خطة استمرارية الأعمال BCM السعودية، اسأل:
- ما العمليات التي يؤدي توقفها إلى أكبر أثر؟
- ما الخدمات التي لا يمكن للعملاء الانتظار طويلًا لاستعادتها؟
- ما العمليات التي تعتمد عليها بقية الإدارات؟
- ما الموارد البشرية والتقنية اللازمة لكل عملية؟
- ما الموردون والأطراف الخارجية الحرجة؟
- ما المواقع التي لا يمكن تشغيل النشاط دونها؟
- ما الحد الذي يصبح بعده الانقطاع غير مقبول؟
- ما البدائل المتاحة إذا فقدنا موردًا أو نظامًا أو موقعًا؟
بهذه الخريطة تبدأ شهادة الأيزو 22301 من واقع المنشأة، لا من قوالب جاهزة.
ثانيًا: تحليل أثر الأعمال... حوّل كلمة «مهم» إلى أولوية قابلة للقياس
كل إدارة تعتقد أن عملياتها مهمة، لكن أثناء الأزمة لا تستطيع المنشأة التعامل مع جميع العمليات بالأولوية نفسها.
هنا يأتي تحليل أثر الأعمال ليحدد كيف تتصاعد آثار الانقطاع مع مرور الوقت، وما الأنشطة ذات الأولوية، وما الموارد المطلوبة لاستعادتها.
الفكرة ليست أن تقول إدارة المبيعات: «نحتاج النظام بسرعة»، بينما تقول العمليات: «نحن أكثر أهمية». المطلوب هو اتخاذ قرارات مبنية على تحليل منظم.
داخل نظام إدارة استمرارية الأعمال، يساعد تحليل الأثر على فهم التبعات المحتملة للانقطاع وتحديد أولويات التعافي. ومن هنا يمكن بناء خطة استمرارية الأعمال BCM السعودية على ترتيب منطقي للعمليات بدل الاعتماد على الصوت الأعلى أثناء الأزمة.
لا تسأل فقط: ما العملية المهمة؟
اسأل: ماذا يحدث بعد ساعة من توقفها؟ وبعد يوم؟ وبعد عدة أيام؟
الإجابة هي التي تكشف الأولوية الحقيقية.
ثالثًا: ضع ساعة على كل عملية حرجة
الاستمرارية دون زمن تتحول إلى أمنيات.
لذلك، يجب أن تتعامل المنشأة مع التعافي باعتباره سباقًا ضد أثر الانقطاع، وتحدد أهدافًا زمنية تتوافق مع نتائج التحليل واستراتيجيات الاستمرارية.
فكر في كل عملية حرجة بهذه الطريقة:
- متى يبدأ تأثير توقفها في التصاعد؟
- ما المدة التي يمكن تحمل الانقطاع خلالها؟
- متى نحتاج إلى استعادة النشاط؟
- ما الحد الأدنى المقبول للخدمة أثناء التعافي؟
- ما الموارد المطلوبة للوصول إلى هذا المستوى؟
- ما الأنظمة التي يجب استعادتها أولًا؟
- هل تعتمد العملية على استعادة عملية أخرى قبلها؟
- من يمتلك صلاحية إعلان الانتقال إلى ترتيبات الاستمرارية؟
هكذا تصبح شهادة الأيزو 22301 مرتبطة بأهداف قابلة للتخطيط والاختبار، ويصبح نظام إدارة استمرارية الأعمال قادرًا على ترتيب التعافي بدل محاولة إعادة كل شيء دفعة واحدة.
رابعًا: سيناريو تعطل الأنظمة... عندما تصبح الشاشة السوداء اختبارًا للمؤسسة
تخيل أن النظام الأساسي توقف الآن.
لا وصول للموظفين. لا تنفيذ لبعض العمليات. العملاء ينتظرون. وقسم التقنية يحاول معرفة السبب.
ماذا تفعل بقية المؤسسة؟
هنا يجب أن تحدد خطة استمرارية الأعمال BCM السعودية كيف ستستمر الأنشطة ذات الأولوية عندما يصبح النظام الأساسي غير متاح.
قد تتضمن الاستراتيجية، بحسب طبيعة المنشأة:
- تحديد الأنظمة الأكثر ارتباطًا بالعمليات الحرجة.
- ترتيب أولويات استعادة الأنظمة.
- تحديد إجراءات عمل بديلة عند إمكانية ذلك.
- توضيح آلية التصعيد وإدارة الاتصال.
- تحديد فرق الاستجابة والتعافي.
- حماية المعلومات أثناء استخدام البدائل.
- تحديد آلية التواصل مع الأطراف المتأثرة.
- اختبار ترتيبات التعافي بصورة دورية.
- توثيق نتائج الاختبار ومعالجة نقاط الضعف.
الهدف من نظام إدارة استمرارية الأعمال ليس منع كل عطل تقني، وإنما منع العطل من التحول تلقائيًا إلى توقف غير مُدار للأعمال.
خامسًا: سيناريو المورد الحرج... ماذا لو اختفى الطرف الذي بنيت خطتك عليه؟
بعض الشركات تملك أنظمة ممتازة وفرقًا قوية، لكنها تعتمد على مورد واحد لتقديم مادة أو خدمة لا تستطيع الاستمرار بدونها.
وهنا يصبح المورد «نقطة فشل» تستحق سيناريو مستقلًا.
في رحلة شهادة الأيزو 22301، يجب ألا تقتصر النظرة على ما يحدث داخل جدران المنشأة؛ فالاعتماد على أطراف خارجية قد يكون جزءًا أساسيًا من قدرة الشركة على الاستمرار.
لذلك، اسأل:
- من الموردون الذين يؤدي توقفهم إلى تعطيل عملية ذات أولوية؟
- هل توجد بدائل مؤهلة؟
- كم يستغرق الانتقال إلى مورد بديل؟
- هل لدينا مخزون أو قدرة احتياطية مناسبة؟
- هل عقود الموردين تتناول متطلبات الاستمرارية عند الحاجة؟
- هل المورد نفسه يمتلك ترتيبات للتعامل مع الانقطاع؟
- ما الإجراء إذا توقف المورد أيامًا وليس ساعات؟
- من يملك قرار تفعيل البديل؟
بهذه الأسئلة تصبح خطة استمرارية الأعمال BCM السعودية ممتدة عبر سلسلة التوريد بدل توقفها عند حدود المنشأة.
سادسًا: سيناريو فقدان الموقع... ماذا لو كان المبنى موجودًا لكنك لا تستطيع استخدامه؟
ليس ضروريًا أن يتعرض الموقع للتدمير حتى يصبح غير متاح. قد تمنع ظروف مختلفة الوصول إليه أو التشغيل منه لفترة معينة.
السؤال هنا ليس: أين سينتقل الموظفون؟
بل: كيف ستستمر العمليات ذات الأولوية إذا فقدنا الموقع الأساسي؟
قد يتطلب السيناريو دراسة:
- المواقع البديلة الممكن استخدامها.
- إمكان العمل عن بُعد للوظائف المناسبة.
- المعدات التي لا يمكن نقلها بسهولة.
- الحد الأدنى من العاملين المطلوبين.
- وسائل الاتصال البديلة.
- الوصول إلى البيانات والأنظمة من الموقع البديل.
- الخدمات والمرافق التي يعتمد عليها التشغيل.
- ترتيبات الانتقال والعودة إلى الوضع الطبيعي.
قوة نظام إدارة استمرارية الأعمال تظهر عندما لا يكون الموقع البديل مجرد عنوان مكتوب، بل خيارًا تم التفكير في قدرته الفعلية على دعم العمليات الحرجة.
سابعًا: ابنِ السيناريو على خمس إجابات لا على خمسين صفحة
يمكن تصميم كل سيناريو داخل خطة استمرارية الأعمال BCM السعودية حول خمسة أسئلة قوية:
ماذا تعطّل؟
حدد النظام أو المورد أو الموقع أو المورد البشري المتأثر.
ماذا سيتأثر؟
اربط التعطل بالعمليات والخدمات ذات الأولوية.
متى يصبح الوضع حرجًا؟
استخدم نتائج تحليل أثر الأعمال وأهداف التعافي.
كيف سنستمر؟
حدد الاستراتيجية والبدائل والموارد.
من يقود الاستجابة؟
حدد المسؤوليات والصلاحيات وآلية التصعيد.
هذه البساطة تجعل السيناريو قابلًا للاستخدام أثناء الضغط، وهو ما يخدم الهدف الحقيقي من شهادة الأيزو 22301: بناء قدرة عملية على الاستمرارية وليس زيادة حجم الوثائق.
ثامنًا: لا تقل «لدينا خطة» قبل أن تضعها تحت الضغط
الخطة التي لم تُختبر تحمل افتراضات كثيرة.
قد تكتشف أثناء التمرين أن رقم الاتصال قديم، أو أن المسؤول البديل لا يعرف دوره، أو أن النظام الاحتياطي يحتاج إلى صلاحية لا يمتلكها الفريق، أو أن الموقع البديل لا يستوعب العدد المطلوب.
وهنا تصبح الاختبارات والتمارين عنصرًا جوهريًا في نضج نظام إدارة استمرارية الأعمال.
يمكن للمنشأة تصميم تمارين متدرجة:
- مناقشة مكتبية لسيناريو أزمة.
- محاكاة تعطل نظام حرج.
- اختبار إجراءات الاتصال والتصعيد.
- اختبار العمل من موقع بديل.
- اختبار فقدان مورد رئيسي.
- تجربة تشغيل بعض الإجراءات البديلة.
- قياس الزمن الفعلي للاستجابة والتعافي.
- تسجيل الدروس وتحويلها إلى تحسينات.
لا تبحث في الاختبار عن إثبات أن خطة استمرارية الأعمال BCM السعودية ممتازة.
ابحث عن المكان الذي ستفشل فيه قبل أن تكتشفه الأزمة الحقيقية.
تاسعًا: أنشئ «غرفة قيادة» تعرف من يتخذ القرار
في الأزمات، قد تكون المشكلة أقل خطورة من الارتباك الإداري الذي يليها.
من يعلن حالة الانقطاع؟ من يقرر تفعيل خطة الاستمرارية؟ من يتواصل مع العملاء؟ من يدير العمليات؟ ومن يملك قرار العودة إلى الوضع الطبيعي؟
ضمن شهادة الأيزو 22301، تصبح الأدوار والمسؤوليات والاتصال جزءًا مهمًا من قدرة المنشأة على الاستجابة.
لذلك يجب أن يوضح نظام إدارة استمرارية الأعمال:
- هيكل إدارة الاستجابة.
- أصحاب الصلاحيات.
- البدلاء عند غياب المسؤولين الأساسيين.
- قنوات الاتصال.
- قوائم الاتصال المحدثة.
- آليات التصعيد.
- الرسائل الموجهة للأطراف المعنية حسب الحاجة.
- معايير الانتقال بين الاستجابة والتعافي والعودة.
فالخطة لا تتحرك بنفسها.
الأشخاص هم الذين يحولونها من صفحات إلى قرارات.
عاشرًا: اجعل كل أزمة محتملة فرصة لبناء منشأة يصعب إيقافها
لا تعني شهادة الأيزو 22301 أن منشأتك لن تواجه تعطلًا، ولا أن كل أزمة يمكن توقع تفاصيلها مسبقًا. القيمة الحقيقية تكمن في بناء نظام إدارة استمرارية الأعمال يجعل المؤسسة تعرف ما الذي يجب حمايته أولًا، وكيف تحدد أولويات التعافي، وما البدائل التي يمكن تشغيلها عندما يتوقف الوضع الطبيعي.
ابدأ بالعمليات الحرجة.
حلل أثر توقفها.
حدد أهداف التعافي.
ارسم الاعتماد على الأنظمة والموردين والمواقع.
ابنِ السيناريوهات.
حدد المسؤوليات.
ثم اختبر خطة استمرارية الأعمال BCM السعودية مرارًا حتى تكشف نقاط ضعفها قبل أن تكشفها الأزمة.
فالمؤسسة الأكثر استعدادًا ليست التي تمتلك أطول خطة طوارئ، وإنما التي تستطيع الإجابة بسرعة عندما يحدث الانقطاع:
ما الذي يجب أن يستمر الآن؟ من المسؤول؟ ما البديل؟ وكم لدينا من الوقت؟
عندما تصبح هذه الإجابات جزءًا حيًا من نظام إدارة استمرارية الأعمال، تتحول شهادة الأيزو 22301 من هدف للحصول على شهادة إلى فلسفة تشغيلية أكثر نضجًا، وتتحول خطة استمرارية الأعمال BCM السعودية من وثيقة تنتظر الأزمة إلى قدرة مؤسسية تعمل قبلها وأثناءها وبعدها.
لأن الأزمة قد تأتي دون موعد... لكن جاهزيتك لها لا ينبغي أن تكون مفاجأة.
من ضوابط ساما إلى غرفة التعافي: كيف تحوّل الأيزو 22301 استمرارية الأعمال إلى أدلة قابلة للتدقيق؟
ماذا لو تعطلت خدمة مالية حرجة صباحًا، ثم طلبت الإدارة بعد انتهاء الأزمة دليلًا على أن خطة التعافي كانت مختبرة قبل الحادث؟ هنا لن تكون عبارة «لدينا خطة استمرارية أعمال» كافية.
المطلوب هو نظام يستطيع إثبات كيف حُددت العمليات الحرجة، ومن اتخذ القرار، وما الزمن المستهدف للتعافي، ومتى اختُبرت الخطة، وما النتائج التي ظهرت، وكيف أُغلقت الفجوات.
وهنا تبدأ القيمة العملية لـ شهادة الأيزو 22301 داخل المؤسسات المالية السعودية. فالمعيار لا ينبغي النظر إليه باعتباره بديلًا عن متطلبات البنك المركزي السعودي المطبقة على المنشأة، وإنما إطارًا يمكن من خلاله تنظيم نظام إدارة استمرارية الأعمال وتحويل الالتزامات ذات الصلة إلى سياسات ومسؤوليات وتحليلات وخطط وتمارين وسجلات قابلة للإثبات.
الهدف إذن ليس إنشاء ملفين: ملف للأيزو وملف آخر للمتطلبات القطاعية.
الهدف الأذكى هو بناء منظومة واحدة تعرف كيف تُثبت نفسها.
وعندما تُبنى خطة استمرارية الأعمال BCM السعودية بهذه العقلية، لا يصبح السؤال «هل لدينا خطة؟»، بل «هل نستطيع إثبات أنها مناسبة، محدثة، مختبرة، وأن نتائج اختبارها تحولت إلى تحسينات؟»
أولًا: لا تبدأ بالمستندات... ابدأ بمصفوفة مواءمة
أحد أكثر الأخطاء تكلفة هو بناء نظام إدارة استمرارية الأعمال بمعزل عن المتطلبات التنظيمية التي تنطبق على المؤسسة، ثم اكتشاف لاحقًا أن فرق الامتثال والمخاطر والاستمرارية تعمل على أدلة متشابهة في مسارات منفصلة.
الأفضل أن تبدأ بمصفوفة مواءمة تربط بين متطلبات شهادة الأيزو 22301 والمتطلبات ذات الصلة الصادرة عن البنك المركزي السعودي وفق نوع المؤسسة واللوائح المطبقة عليها.
يمكن أن تتضمن المصفوفة:
- المتطلب التنظيمي المحدد.
- البند المقابل أو الداعم داخل نظام استمرارية الأعمال.
- السياسة أو الإجراء الذي يغطي المتطلب.
- مالك الضابط داخل المؤسسة.
- الدليل المطلوب لإثبات التطبيق.
- دورية المراجعة أو الاختبار.
- حالة التطبيق الحالية.
- الفجوة الموجودة إن وجدت.
- موعد المعالجة والمسؤول عنها.
بهذه الطريقة تتحول خطة استمرارية الأعمال BCM السعودية من مجموعة وثائق إلى خريطة امتثال وتشغيل يمكن تتبعها.
ثانيًا: اجعل تحليل أثر الأعمال هو «محرك القرار»
لا تستطيع المؤسسة المالية حماية كل شيء بالأولوية نفسها. ولذلك يجب أن يجيب تحليل أثر الأعمال عن السؤال الأصعب: ما الخدمات والعمليات التي يصبح توقفها غير مقبول أولًا؟
داخل نظام إدارة استمرارية الأعمال، يساعد تحليل أثر الأعمال على تحديد الأنشطة ذات الأولوية، وفهم آثار توقفها بمرور الوقت، وتحديد احتياجات التعافي والموارد اللازمة.
وهنا تظهر قوة المواءمة مع البيئة المالية.
فبدل إنشاء تحليل عام لكل الإدارات، يجب أن تعكس الدراسة طبيعة الخدمات الحرجة، واعتمادها على الأنظمة والموظفين والمواقع والموردين والأطراف الخارجية.
ثم تتحول نتائج التحليل إلى أساس لبناء خطة استمرارية الأعمال BCM السعودية.
فلا ينبغي أن تكون أزمنة التعافي أرقامًا اختارها فريق التقنية وحده، ولا أن تكون الأولويات نتيجة رأي إداري؛ بل قرارات مدعومة بتحليل أثر الأعمال ومتطلبات المؤسسة التنظيمية والتشغيلية.
ثالثًا: حوّل كل عملية حرجة إلى «بطاقة تعافٍ»
لكل خدمة أو عملية ذات أولوية، أنشئ بطاقة واضحة تحتوي على:
- اسم العملية أو الخدمة الحرجة.
- مالك العملية.
- أثر التوقف المحتمل.
- الزمن المستهدف لاستعادة النشاط وفق التحليل.
- الحد الأدنى المقبول للخدمة أثناء التعافي.
- الأنظمة التقنية التي تعتمد عليها العملية.
- الموظفين والمهارات الحرجة.
- الموقع أو المواقع اللازمة.
- الموردين والأطراف الخارجية المؤثرة.
- البدائل المتاحة عند الانقطاع.
- مسؤول تفعيل خطة التعافي.
- الأدلة التي تثبت اختبار السيناريو.
هذه البطاقة تجعل شهادة الأيزو 22301 مرتبطة بالواقع التشغيلي بدل بقائها في مستوى السياسات العليا فقط.
رابعًا: زمن التعافي ليس رقمًا للعرض... بل وعد يجب اختباره
من السهل كتابة أن خدمة معينة ستعود خلال ساعتين. الأصعب هو إثبات أن المؤسسة تستطيع فعل ذلك فعلًا.
وهنا يأتي أحد أهم أدوار نظام إدارة استمرارية الأعمال: تحويل أهداف التعافي من توقعات إلى قدرات يتم اختبارها وقياسها.
إذا حددت خطة استمرارية الأعمال BCM السعودية زمنًا مستهدفًا للتعافي، فيجب أن تكون هناك إجابات واضحة:
هل جُرّب هذا الزمن؟
متى كان آخر اختبار؟
هل تحقق الهدف؟
إذا لم يتحقق، لماذا؟
ما الإجراء التصحيحي؟
هل أُعيد الاختبار بعد المعالجة؟
هذه الأسئلة هي التي تحول الخطة إلى دليل.
فالتدقيق لا يحتاج إلى جملة تقول «نستطيع التعافي بسرعة»؛ يحتاج إلى سجل يثبت ماذا اختبرتم، وماذا حدث، وماذا أصلحتم.
خامسًا: ابنِ مكتبة سيناريوهات تناسب القطاع المالي
لا يكفي اختبار سيناريو واحد كل مرة. يجب أن تعكس السيناريوهات مصادر الانقطاع ذات الصلة بالمؤسسة وطبيعة خدماتها.
يمكن أن تشمل مكتبة الاختبارات، بحسب المخاطر والمتطلبات المطبقة:
- تعطل نظام تقني حرج.
- عدم توافر مركز أو موقع تشغيل رئيسي.
- فقدان الاتصال أو بعض الخدمات التقنية الأساسية.
- تعطل مورد أو طرف خارجي حرج.
- نقص مفاجئ في الموارد البشرية اللازمة لخدمة ذات أولوية.
- تعطل قناة رئيسية لتقديم الخدمة.
- حادث يؤثر في الوصول إلى المعلومات أو الأنظمة.
- تزامن أكثر من حالة انقطاع في الوقت نفسه.
- فشل وسيلة التعافي الأساسية والحاجة إلى البديل الثاني.
قوة شهادة الأيزو 22301 هنا لا تأتي من عدد السيناريوهات، بل من ارتباطها بتحليل المخاطر وأثر الأعمال وقدرة المؤسسة على التعلم منها.
سادسًا: الاختبار الذي ينتهي بـ«نجحنا» فقط اختبار ناقص
تخيل أن المؤسسة نفذت تمرينًا لمدة ثلاث ساعات، ثم انتهى التقرير بجملة: «تم الاختبار بنجاح».
أين الأرقام؟ أين الانحرافات؟ أين نقاط الضعف؟
داخل نظام إدارة استمرارية الأعمال الناضج، يجب أن يتحول كل تمرين إلى مصدر بيانات.
سجل:
- وقت بدء الحدث.
- وقت اكتشافه وتصعيده.
- وقت تفعيل ترتيبات الاستمرارية.
- وقت استعادة الخدمة ذات الأولوية.
- الزمن المستهدف مقارنة بالزمن الفعلي.
- القرارات الرئيسية التي اتُخذت.
- المشكلات التي ظهرت.
- الاتصالات التي نجحت أو تعطلت.
- الموارد التي لم تكن متاحة.
- الإجراءات التصحيحية المطلوبة.
- المسؤول عن كل إجراء.
- موعد الإغلاق وإثبات التنفيذ.
هنا تصبح خطة استمرارية الأعمال BCM السعودية قابلة للتدقيق فعلًا؛ لأن المؤسسة تمتلك سلسلة أدلة من السيناريو إلى النتيجة ثم إلى التحسين.
سابعًا: اختبر المورد كما تختبر النظام الداخلي
قد يكون نظامك جاهزًا للتعافي، لكن ماذا لو كان المورد الذي تعتمد عليه غير جاهز؟
في المؤسسات المالية، يمكن أن يكون الاعتماد على أطراف خارجية جزءًا حاسمًا من تقديم الخدمة. ولذلك يجب أن يدخل الموردون الحرجون ضمن رؤية الاستمرارية بحسب مستوى الاعتماد والمخاطر.
ضمن رحلة شهادة الأيزو 22301، يمكن للمنشأة أن تسأل:
- ما الموردون الذين يؤدي تعطلهم إلى توقف خدمة حرجة؟
- هل توجد بدائل واقعية؟
- كم يحتاج الانتقال إلى البديل؟
- هل متطلبات الاستمرارية واضحة في العلاقة التعاقدية عند الحاجة؟
- هل حصلنا على أدلة مناسبة حول جاهزية المورد؟
- هل اختبرنا سيناريو فقدانه؟
- هل ظهرت فجوات أثناء الاختبار؟
- من يتخذ قرار تفعيل المورد البديل؟
بهذا تصبح سلسلة التوريد جزءًا حيًا من نظام إدارة استمرارية الأعمال.
ثامنًا: أنشئ «خزنة أدلة» قبل أن يطلبها المدقق
المنظومة القوية لا تبدأ جمع الأدلة قبل التدقيق بأسبوع.
أنشئ مستودعًا منظمًا يحتوي على الأدلة المرتبطة بكل عنصر من عناصر خطة استمرارية الأعمال BCM السعودية، مثل:
- نتائج تحليل أثر الأعمال.
- تقييمات المخاطر ذات الصلة بالاستمرارية.
- استراتيجيات وحلول الاستمرارية.
- خطط الاستجابة والتعافي.
- سجلات الاختبارات والتمارين.
- تقارير نتائج الاختبارات.
- حالات عدم المطابقة والإجراءات التصحيحية.
- محاضر المراجعات ذات الصلة.
- سجلات التدريب والتوعية.
- تحديثات بيانات الاتصال.
- أدلة مراجعة الموردين الحرجين.
- سجلات التغييرات التي أثرت في خطط الاستمرارية.
بهذا تصبح شهادة الأيزو 22301 نتيجة لنظام يستطيع إثبات نفسه في أي وقت، لا مشروعًا موسميًا للاستعداد للتدقيق.
تاسعًا: اربط كل اختبار بإجراء تصحيحي ثم أغلق الدائرة
الاختبار ليس نهاية المسار.
لنفترض أن المؤسسة خططت لاستعادة خدمة خلال ساعتين، لكن الاختبار أثبت أنها احتاجت أربع ساعات. إذا تم حفظ التقرير فقط، لم تستفد المؤسسة من أهم ما كشفه التمرين.
المطلوب داخل نظام إدارة استمرارية الأعمال هو تحويل الفجوة إلى إجراء:
الفجوة ← تحليل السبب ← الإجراء التصحيحي ← المسؤول ← الموعد ← التنفيذ ← التحقق من الفعالية ← إعادة الاختبار.
هذه الدائرة تجعل خطة استمرارية الأعمال BCM السعودية تتحسن بعد كل تمرين.
وبمرور الوقت، لا يصبح لديك ملف أكبر فقط؛ بل قدرة تعافٍ أكثر نضجًا.
عاشرًا: لا تجعل الأيزو بديلًا عن متطلبات ساما
وهذه نقطة يجب أن تكون واضحة تمامًا.
شهادة الأيزو 22301 لا ينبغي تقديمها باعتبارها بديلًا تلقائيًا عن متطلبات البنك المركزي السعودي، ولا يعني الحصول عليها أن المؤسسة استوفت جميع الالتزامات التنظيمية التي تنطبق عليها.
المتطلبات تختلف وفق نوع المؤسسة المالية والنشاط والإطار التنظيمي المطبق، ولذلك يجب تحديد المتطلبات ذات الصلة ومراجعتها بصورة مستقلة، ثم استخدام نظام إدارة استمرارية الأعمال لدعم تنظيم التطبيق والأدلة حيث توجد مواءمة.
وهنا تكمن الفكرة الذكية:
لا تبنِ نظامًا للحصول على الشهادة ونظامًا آخر للامتثال.
ابنِ منظومة مؤسسية واحدة تستطيع معرفة المتطلب، وربطه بالضابط، وتحديد المسؤول، وإظهار الدليل، واختبار الفعالية.
الاسئلة الشائعة
- ما هي شهادة الأيزو 22301 وما فائدتها للمنشآت؟
شهادة الأيزو 22301 ترتبط بمعيار نظام إدارة استمرارية الأعمال الذي يساعد المنشأة على الاستعداد للاضطرابات والاستجابة لها والتعافي منها والحفاظ على الخدمات ذات الأولوية. - هل شهادة الأيزو 22301 مخصصة للبنوك فقط؟
لا، يمكن تطبيق نظام إدارة استمرارية الأعمال في مختلف أنواع وأحجام المنشآت، وليس في القطاع المالي فقط. - هل تكفي خطة طوارئ للحصول على شهادة الأيزو 22301؟
لا، فالمطلوب يتجاوز وجود خطة منفردة إلى تطبيق وإدارة ومراجعة وتحسين نظام إدارة استمرارية الأعمال بصورة منهجية. - ماذا يجب أن تتضمن خطة استمرارية الأعمال BCM السعودية؟
تُبنى خطة استمرارية الأعمال BCM السعودية وفق طبيعة المنشأة، مع تحديد الأولويات والموارد واستراتيجيات الاستجابة والتعافي واختبار الترتيبات بصورة مناسبة. - هل شهادة الأيزو 22301 تغني عن متطلبات الجهات التنظيمية السعودية؟
لا، شهادة الأيزو 22301 لا تُعد بديلًا تلقائيًا عن المتطلبات التنظيمية أو القطاعية؛ ويجب على المنشأة تحديد المتطلبات المطبقة على نشاطها والالتزام بها بصورة مستقلة.
في ختام مقالتنا، عندما تأتي الأزمة بلا موعد... اجعل منشأتك هي الطرف المستعد
لا تُقاس قوة المنشأة فقط بما تحققه في الأيام الطبيعية، بل بما تستطيع الحفاظ عليه عندما يتغيّر كل شيء فجأة. هنا تحديدًا تظهر القيمة الحقيقية لـ شهادة الأيزو 22301؛ فهي لا تتعلق بمجرد الاستعداد لسيناريو مخيف قد يحدث يومًا ما، بل ببناء مؤسسة تعرف ما عملياتها الحرجة، وما الذي يجب أن يستمر، وكيف تتصرف عندما يصبح الوقت نفسه جزءًا من الأزمة.
تخيّل الفرق...
منشأة تتعطل أنظمتها فتبدأ بالسؤال: ماذا نفعل الآن؟
ومنشأة أخرى تفتح خطة استمرارية الأعمال BCM السعودية، وتعرف فورًا: من يقود الاستجابة؟ ما الخدمة التي يجب استعادتها أولًا؟ ما البديل؟ وما الزمن المستهدف للعودة؟
هنا لا نتحدث عن خطة فقط... بل عن ثقة مؤسسية تحت الضغط.
ومن خلال بناء نظام إدارة استمرارية الأعمال بصورة مدروسة، تستطيع المنشأة الانتقال من ردود الأفعال المرتجلة إلى سيناريوهات واستراتيجيات ومسؤوليات واختبارات واضحة. وهكذا تصبح شهادة الأيزو 22301 انعكاسًا لنظام حيّ داخل المؤسسة، وليس مجرد شهادة تُعلّق على الجدار.
والأجمل أن خطة استمرارية الأعمال BCM السعودية لا ينبغي أن تنتظر الأزمة حتى تختبر قوتها؛ بل يجب أن تُراجع وتُختبر وتتحسن باستمرار، حتى يعرف فريقك أدواره قبل أن تبدأ لحظة الارتباك، وتكون البدائل معروفة قبل أن يتوقف المورد أو النظام أو الموقع.
الأزمة قد تفاجئك... لكن طريقة استجابتك لا يجب أن تكون مفاجأة.
وهنا يأتي دورنا في TUV.
إذا كانت منشأتك تستهدف شهادة الأيزو 22301 وتريد فهم رحلة التدقيق ومتطلبات نظام إدارة استمرارية الأعمال بصورة أوضح، فلا تنتظر حتى يصبح الانقطاع الحقيقي هو أول اختبار لجاهزيتك.
تواصل معنا في TUV وابدأ رحلة الشهادة بخطوة أكثر وعيًا، وافهم كيف تستعد منشأتك للتدقيق على نظام يجعل الاستمرارية جزءًا من طريقة إدارتها للأعمال، لا مجرد رد فعل عند الطوارئ.
فالسؤال لم يعد:
«ماذا لو حدثت أزمة؟»
السؤال الأقوى هو:
«إذا حدثت غدًا... هل تستطيع منشأتنا الاستمرار؟»
إذا لم تكن الإجابة واضحة بما يكفي، فقد حان الوقت لتبدأ.
تواصل مع TUV، واجعل شهادة الأيزو 22301 بداية لبناء نظام إدارة استمرارية الأعمال أكثر نضجًا، ولتطوير خطة استمرارية الأعمال BCM السعودية تستطيع منشأتك الاعتماد عليها عندما تصبح كل دقيقة مهمة.
لأن النجاح الحقيقي ليس أن تعمل منشأتك بكفاءة عندما يكون كل شيء على ما يرام... بل أن تعرف كيف تستمر عندما لا يكون أي شيء على ما يرام