حوكمة تقنية المعلومات — ويسمّيها السوق أيضًا «حاكمية تقنية المعلومات» و«الحكم المؤسسي للتقنية»، وهي أسماء لشيء واحد — هي الجواب عن ثلاثة أسئلة لا يجيب عنها أي نظام تقني بنفسه: من يملك القرار التقني؟ وعلى أي أساس يُتخذ؟ ومن يُحاسَب على نتيجته؟ المؤسسة التي تشتري الأنظمة قبل أن تجيب عن هذه الأسئلة تشتريها مرتين. ونحن نبني إطار الحاكمية ليعمل فعليًا — لجان تجتمع وقرارات تمر بمسار معلوم ومؤشرات يفهمها المجلس — لا وثيقة أنيقة تُعرض في التدقيق ثم تعود إلى الرف، فذلك الفرق بين إطار الحاكمية والتمثيل بها.
ننطلق من قاعدة واحدة في استشاراتنا كلها: القرار أولًا ثم الحل. في الحاكمية معناها أن نجرد قراراتكم التقنية الحقيقية قبل أن نمس أي مرجعية أو نموذج، وأن يكون إطار COBIT وضوابط الهيئة الوطنية للأمن السيبراني أدوات تُقاس عليها فجوتكم، لا قوالب تُنسخ عليكم.
إدارة مخاطر تقنية المعلومات لا تبدأ من الأدوات بل من وضوح المسؤولية. العلامات التالية هي التي نراها قبل مشاريع الحاكمية الناجحة.
قرارات تقنية كبيرة تُتخذ خارج أي لجنة، ولا يستطيع أحد بعدها أن يقول من وافق وعلى أي أساس. المجلس يطلب صورة للمخاطر التقنية فيصله تقرير تقني لا يقرأه. جهة إشراف أو مدقق خارجي طلب إثبات إطار حاكمية ولا يوجد ما يُقدَّم سوى هيكل تنظيمي. صلاحيات الوصول تراكمت عبر السنين ولا يملك أحد خريطتها. أو أن مشاريع التقنية تتعثر لا لضعف التنفيذ بل لأن أحدًا لا يملك سلطة الحسم بين أولويات متزاحمة.
المنشأة الصغيرة ذات القرار التقني الواحد والمالك الواضح لا تحتاج إطار حاكمية كاملًا، بل انضباط عمليات بسيطًا — وسنقول ذلك في الاجتماع الأول بدل أن نبيعكم لجانًا لن تجتمع. وإن كان الدافع الوحيد وثيقةً تُعرض على جهة ما ثم تُنسى، فهذا عمل نعتذر عنه صراحةً: الإطار الذي يُبنى ليُعرض لا ليُشغَّل يفشل في أول اختبار حقيقي، وفشله يُحسب علينا وعليكم.
خمس مراحل، والفارق الجوهري في أولاها: نبدأ من قراراتكم لا من نموذج جاهز.
نجرد القرارات التقنية التي تُتخذ عندكم فعلًا — الشراء، والأولويات، والصلاحيات، والاستثناءات — ونرسم من يتخذها اليوم حقيقةً، لا من يفترض الهيكل أنه يتخذها. الفجوة بين الخريطتين هي المادة الخام لكل ما بعدها، وهي وحدها تكشف عادةً نصف المشكلة.
نقيس الواقع المجرود على مرجعية معلنة: إطار COBIT لتنظيم القرار والمساءلة، وضوابط الهيئة الوطنية للأمن السيبراني بوصفها المتطلب الوطني الذي يخضع له قطاعكم، وما يخص جهات الإشراف القطاعية إن وُجدت. الناتج تقرير فجوة مرتب بالمخاطر لا بعدد البنود — لأن عشرين ملاحظة شكلية لا تساوي ملاحظة واحدة في صلاحيات الوصول.
إطار بحجم مؤسستكم لا بحجم المرجع: أي اللجان تلزمكم فعلًا، وأي السياسات تحتاج كتابةً وأيها يكفي فيه تعديل ممارسة قائمة، وما الذي يؤجَّل بلا خطر. التوصية تصل مكتوبة بمقايضاتها، ومعها دائمًا خيار الحد الأدنى الذي لا يبيعه أحد.
تفعيل لا توثيق: لجان بصلاحيات حقيقية وجداول اجتماع تُحترم، وسياسات مربوطة بأدواتكم القائمة — إدارة الهوية، والتذاكر، وإدارة المشاريع — لا ملفات منفصلة عنها، ومؤشرات للمجلس بلغة العمل لا بلغة التقنية. الإطار الذي لا يغيّر طريقة اتخاذ قرار واحد في شهره الأول لم يُفعَّل بعد.
دورة مراجعة معلنة: هل تجتمع اللجان فعلًا؟ وهل تُحترم المسارات أم بدأ الالتفاف عليها؟ وماذا يتغير في الإطار حين يتغير التنظيم أو تتغير المؤسسة؟ نسلّم الملكية لفريقكم ونبقى بقدر ما تحتاجون — الحاكمية التي تعتمد على مستشار مقيم ليست حاكمية بل تبعية.
خريطة القرارات والأدوار: من يقرر ومن يُستشار ومن يُبلَّغ، لكل نوع قرار تقني. مصفوفة الصلاحيات ومسار مراجعتها. تقرير الفجوة أمام ضوابط الهيئة الوطنية للأمن السيبراني ومرجعية COBIT، مرتبًا بالمخاطر. السياسات والإجراءات التي يحتاجها حجمكم فعلًا، مكتوبة لتُنفَّذ لا لتُعرض. لوحة مؤشرات للمجلس والإدارة العليا بلغة العمل. ثم خطة معالجة مرتبة بالأثر، يستطيع فريقكم تشغيلها بعدنا.
لا ننشر مدة قياسية، لأن الجواب الصادق يعتمد على وقائع بيئتكم. ما يحرّك المدة: نطاق الضوابط التي يخضع لها قطاعكم، وعدد الكيانات والإدارات المشمولة، وحال التوثيق القائم — الفجوة تُقاس أسرع بكثير مما تُبنى، والبناء يتوقف على تفرّغ الملاك الداخليين الذين لا يملك المستشار بديلًا عنهم. الخطة التي لم تسأل عن هذه الثلاثة قالبٌ جاهز، فعاملوا تواريخها على هذا الأساس.
ثلاثة أشكال: تقييم فجوة محدود النطاق ينتهي بتقرير وخطة تستطيعون تنفيذها معنا أو مع غيركم؛ أو بناء الإطار على مراحل مربوطة بمخرجات مسمّاة؛ أو عقد مراجعة دورية لما بعد التفعيل. ولا ننشر أسعارًا في صفحة عامة: كلفة الحاكمية الصادقة تُبنى من نطاق الضوابط وعدد الكيانات وحال التوثيق، والرقم المكتوب دون ذلك تخمين يتحول في ذهن قارئه إلى التزام. والبند الذي ننبّه إليه دائمًا: أكبر كلفة في الحاكمية ليست أتعاب المستشار بل وقت ملاككم الداخليين، ولا تصدقوا خطة لا تحسبه.
المنشآت الخاضعة لإشراف رقابي تحتاج إطارًا يُعرض ويصمد أمام السؤال. والجهات الحكومية وشبه الحكومية التي تُقاس على الضوابط الوطنية. والشركات التي تتقدم لعقود تشترط إثبات حاكمية تقنية. والمجموعات التي كبرت أسرع من ضبطها، فصار قرار تقني في شركة تابعة يفاجئ المركز. والمؤسسات العائلية في مرحلة انتقال الجيل، حيث تتحول أعراف غير مكتوبة إلى نزاع إن لم تُكتب. وإن لم يكن شكلكم في هذه القائمة فالمحادثة الأولى ستحدد إن كنا الشريك المناسب — وسنخبركم إن لم نكن.
مكان هذا القسم الطبيعي أسماء ونتائج، ولن تجدوها هنا: لا ننشر اسم عميل ولا نتيجة منسوبة إليه قبل أن يراجع صاحبها الصيغة ويجيزها بالحرف. الاختبار الأنفع لكم في أول اجتماع: اطلبوا وصف مشروع حاكمية يشبه بيئتكم في القطاع وشكل الكيانات، واسألوا أين قاوم التنظيمُ الإطارَ وكيف عولجت المقاومة — فكل مشروع حاكمية حقيقي قوبل بمقاومة، ومن يدّعي غير ذلك يصف وثيقة لا تفعيلًا.
القسم الثالث يشرح لماذا لا ننشر مدة قياسية وما الذي يحرّكها. الجواب العملي: تقييم الفجوة محدود النطاق ينتهي بخطة زمنية مبنية على واقعكم أنتم، وهي الوحيدة الجديرة بالتصديق.
الحاكمية أصلًا ليست رخصة تُشترى، وبنود كلفتها الحقيقية أربعة: عمل التقييم والبناء، ووقت ملاككم الداخليين في اللجان والمراجعات — وهو أكبر البنود وأكثرها إغفالًا في العروض، وأدوات إن لزمت لإدارة السياسات أو الصلاحيات واقرأوا ما الذي يقيس سعرها، ثم كلفة التشغيل السنوية للمراجعة والتحديث حين يتغير التنظيم. قارنوا العروض على هذه البنود الأربعة مجتمعة، ونبني هذه الرؤية مع كل عميل من أرقامه هو ولا ننشر رقمًا يخص غيره.
الحاكمية هنا ليست الخاضع للسؤال بل أداتُه: الإطار الذي نبنيه يُقاس منذ تصميمه على ضوابط الهيئة الوطنية للأمن السيبراني وما يخص قطاعكم من متطلبات، ومنها مواضع البيانات واستضافتها. لكن التنبيه الواجب قوله: الالتزام يتعلق بالتشغيل لا بالوثيقة. إطار موقَّع من الإدارة ولجان لا تجتمع ليس التزامًا قائمًا، والجهة الرقابية تسأل عن الأثر لا عن الملف — ولذلك نبني الإطار ليعمل، ونقيس نجاحه بقرارات مرّت في مساره لا بصفحات وثائقه.
اسألوا هذا أي مستشار وتوقّعوا جوابًا محددًا. عندنا تخرج المقارنة مكتوبة في تقرير التقييم: أي مرجعية اعتُمدت أساسًا ولماذا، وأي بدائلها استُبعد وبأي دليل، وأين خالفنا المرجع عمدًا لأن حجمكم لا يحتمله. ومن البدائل التي نطرحها بجدية: ألا تبنوا إطارًا كاملًا الآن، وأن يُكتفى بمسار قرار واحد منضبط للمشتريات التقنية — فهو في المؤسسات الأصغر يحقق معظم الأثر بجزء يسير من الكلفة.
نعم، وهذا شرط نجاح لا رفاهية: الإطار يُبنى فوق أدواتكم القائمة — إدارة الهوية والصلاحيات، ونظام التذاكر، وإدارة المشاريع — ويستعملها قنواتٍ لتنفيذ السياسات بدل أن يضيف طبقة موازية يتجاهلها الجميع. الأداة الجديدة لا تدخل التوصية إلا حيث لا تملكون ما يؤدي وظيفتها، ومكتوبةً بأسبابها.
عنوان هذا القسم يَعِد بأرقام ولا يحتوي عليها، فحقّه أن يشرح نفسه. لا ننشر أعداد عملاء ولا مشاريع ولا أُطر منفَّذة: الرقم في صفحة ويب لا يستطيع قارئه التحقق منه ويستحيل تمييزه عن رقم مختلق، فيكون بلا قيمة في الموضع الذي يدّعي فيه أنه دليل. الأنفع أن تعرفوا أي الأرقام تطلبون منا ومن منافسينا في أول اجتماع: كم إطار حاكمية بناه الأشخاص المسمّون في مشروعكم، وفي أي قطاعات؟ وكم من تلك الأطر ما زالت لجانه تجتمع بعد سنة — لا كم وثيقة سُلّمت؟ وهل يصلونكم بعميل يشبهكم لتسألوه بأنفسكم؟
القطاعات التي يتكرر فيها هذا العمل عندنا هي الأشد خضوعًا للمساءلة: قطاع البنوك والخدمات المالية حيث الحاكمية شرط إشرافي لا خيار، والقطاع الحكومي وشبه الحكومي المقيس على الضوابط الوطنية، والمجموعات متعددة الكيانات التي تحتاج قرارها التقني موحّد المسار عبر شركاتها، والمنشآت المتقدمة لعقود تشترط إثبات حاكمية. الوصف هنا للشكل لا للأسماء — الأسماء لا تُنشر إلا بإجازة أصحابها.
الأعمال المجازة من أصحابها تُعرض في صفحة قصص النجاح على هذا الموقع حين تكتمل إجازتها، لا في نص تسويقي داخل صفحة خدمة. «جهة حكومية كبرى» بلا اسم صياغة لا تثبت شيئًا ولا يستطيع القارئ تمييزها عن قصة مؤلفة، ولذلك لا نستعملها. البديل الذي نعرضه: مكالمة مرجعية مع عميل سابق يشبه بيئتكم، تطلبونها في الاجتماع الأول ونرحب بأن نوضع في اختبارها.
لا اقتباس في هذه الصفحة، وغيابه مقصود: لا ننشر رأيًا لعميل قبل أن يراجع صاحبه الصيغة المنسوبة إليه ويجيزها بالحرف. الشهادة التي يكتبها فريق تسويق وتُنسب إلى «رئيس لجنة تقنية في جهة كبرى» ليست دليلًا، ولا يستطيع القارئ تمييزها عن الحقيقية — وهذا بالضبط ما يجعل الحقيقية جديرة بالحماية. المكالمة المرجعية في القسم السابق هي بديلنا المعلن عن هذا القسم كله.
علاقاتنا مع مزوّدي التقنية وشهادات استشاريينا تُنشر في صفحة الشركاء على هذا الموقع وتبقى هناك، لأن مستويات الشراكات تتغير والصفحة التي تؤكد وضعًا لم تعد تقف خلفه أسوأ من التي لا تؤكده أصلًا. عامِلوا تلك الصفحة بوصفها الجواب الحالي، واسألونا مباشرةً عن أهلية الأشخاص المسمّين في مشروعكم تحديدًا — ففي الحاكمية يعمل عندكم أشخاص لا شعارات، وأهليتهم هي السؤال الصحيح.
إن كان سؤالكم أوسع من الضبط — إلى أين تتجه التقنية عندكم أصلًا — فابدأوا من صفحة الاستراتيجية التقنية، فالحاكمية تضبط الطريق والاستراتيجية تختاره، والمؤسسة تحتاجهما معًا بهذا الترتيب. وقارئ الأمن السيبراني يجد عملنا في تقييم الفجوات الأمنية ومعالجتها معروضًا في صفحة استشارات الأمن السيبراني على هذا الموقع.
الخطوة الصحيحة التالية: احجزوا مراجعة حاكمية لبيئتكم — جرد لقراراتكم التقنية كما تُتخذ فعلًا، وقياس للفجوة أمام الضوابط التي يخضع لها قطاعكم، وخطة معالجة مرتبة بالمخاطر تستطيعون تنفيذها معنا أو مع غيرنا. تواصلوا معنا عبر صفحة التواصل على الموقع واذكروا قطاعكم وعدد كياناتكم، فذلك يكفي لنقول لكم في الرد الأول إن كنا الشريك المناسب — أو نسمّي لكم بديلًا أصدق.