Integrated Risk Management

مكتبة ضوابط لا يملكها أحد.

تفشل تنفيذات IRM بهدوء. تُطلَق الأداة وتُحمَّل الضوابط والمخاطر، ثم لا يتغير شيء — لأن مكتبة الضوابط استُوردت من وثيقة إطار عمل بدل أن تُربط بطريقة عمل المؤسسة فعليًا، ولا يملك أي شخص مسمّى أيًّا منها. بعد ربعين يصبح سجل المخاطر قديمًا، وتظل الأدلة تُجمع بالبريد الإلكتروني قبل كل تدقيق، وتصير المنصة مكانًا تُولَّد فيه التقارير لا مكانًا تُدار فيه المخاطر.

قرارات ستواجهها

ما المصدر المرجعي لمجموعة ضوابطك؟

إطار عمل أو مجموعة سياسات داخلية أو متطلبات جهة تنظيمية — وإن كان أكثر من واحد، فأيّها يُقدَّم عند التعارض. وبلا حسم ذلك تصبح مكتبة الضوابط مجموعة شاملة لا يستطيع أحد الإقرار بها.

ما الأدلة التي يمكن جمعها آليًا؟

الضوابط التي تأتي أدلتها من بيانات المنصة — مراجعات الوصول وموافقات التغيير وحالة التحديثات الأمنية — تستحق الأتمتة أولًا، لأنها تتوقف عن كونها عملًا يدويًا إلى الأبد. أما الضوابط التي تتطلب إقرارًا بشريًا فتبقى يدوية، والتظاهر بغير ذلك يخلق ضمانًا زائفًا.

من يملك المخاطرة، وماذا يحدث حين يغادر؟

الملكية دون خلافة هي ما يجعل السجل قديمًا. هذا قرار حوكمة تستطيع المنصة فرضه لكنها لا تستطيع اتخاذه.