ما هي إدارة الامتثال؟

التعريف

الالتزام هو كل ما يجب على الشركة اتباعه أو اختارت اتباعه: قانون، أو بند في عقد، أو معيار، أو تعهد داخلي. ويحدد معيار ISO 37301 متطلبات نظام إدارة امتثال مبني حولها.

ولأن النصوص تتغير والنشاط يتغير معها، لا يبلغ العمل خط نهاية أبداً. إنه يجري في دورة.

لماذا يهم

حين تُخلّ شركة بالتزام ما، نادراً ما يكون السبب رفض الامتثال. والأغلب أن أحداً لم يكن يعرف أنه من شأنه. وقد يكون الثمن غرامة أو عقداً مفقوداً أو صفقة متوقفة.

وهناك مكسب عملي أيضاً. فمراجعة واحدة لصلاحيات الوصول قد تستجيب لستة نصوص مختلفة، ولا يكشف ذلك إلا نظرة مشتركة إلى الالتزامات.

كيف يعمل

أدرج ما ينطبق واذكر السبب، مع النص والمادة والنشاط المعني. ثم عيّن مسؤولاً لكل التزام.

اربط كل التزام بالضوابط والسياسات والسجلات التي تفي به. عندها تصبح الفجوات ظاهرة، ويمكنك التخطيط لتصحيحها، بدءاً بتلك التي قد توقف صفقة أو تؤدي إلى عقوبة.

وأخيراً، حدد إيقاعاً: المراقبة، ورفع التقارير إلى الإدارة، وتكليف شخص بمتابعة النصوص الجديدة وتغيرات النشاط.

حالة تطبيقية

تُدرج شركة برمجيات دفع يعمل فيها 80 شخصاً 46 التزاماً: اللائحة العامة لحماية البيانات، ومتطلبات DORA التي ينقلها إليها عملاؤها من المصارف، وبنوداً تعاقدية. ويتبين أن مراجعتها الفصلية لصلاحيات الوصول تستجيب لستة منها، فتصبح ضابطاً واحداً بمسؤول واحد وسجل واحد.

يكشف أول تحليل للفجوات تسع فجوات. وتُغلق أولاً الفجوتان المرتبطتان بعقد أحد العملاء.

ممارسات جيدة

• احتفظ بسجل واحد للالتزامات، يبيّن مصدر كل التزام ومسؤوله.
• احفظ الأدلة فور إنتاجها. فإعادة تجميعها في الشهر السابق للتدقيق تكلّف أكثر بكثير.
• قدّم للإدارة نظرة قصيرة ومنتظمة على الفجوات المفتوحة والإجراءات المتأخرة.
• كلّف شخصاً بمتابعة تغيّر النصوص، كي يكون للمهمة صاحب.

أخطاء شائعة

• الاستعداد للتدقيق السنوي فقط، ما يترك أحد عشر شهراً من الانحراف.
• إسناد الامتثال كله إلى شخص لا يملك أي عملية. فينتهي به الأمر إلى ملاحقة الآخرين دون أي صلاحية للقرار.
• اعتبار السياسة دليلاً. فالوثيقة الموقعة تُظهر نية، والمدقق سيطلب رؤية الممارسة.
• إغفال العقود. فبنود العملاء كثيراً ما تتجاوز القانون، وقد يكون فريق المبيعات الوحيد الذي قرأها.

أسئلة

ما الفرق بين الامتثال والحوكمة؟

الحوكمة هي الطريقة التي تدير بها الشركة نفسها وتتخذ قراراتها. والامتثال هو الجزء الذي يضمن وفاءها بالتزاماتها.

هل إدارة الامتثال هي نفسها الحصول على شهادة؟

لا. الشهادة تغطي معياراً واحداً ونطاقاً واحداً. أما إدارة الامتثال فتغطي كل الالتزامات، وكثير منها لا شهادة له أصلاً.

من المسؤول عن الامتثال في الشركة؟

تبقى الإدارة مسؤولة. وينسّق مسؤول الامتثال، ويفي كل مالك عملية بالالتزامات في نطاقه.

هل معيار ISO 37301 قابل للشهادة؟

نعم. إنه يتضمن متطلبات، وتدقق جهات منح الشهادات على أساسها.

من أين تبدأ الشركة الصغيرة؟

من قائمة التزاماتها ومسؤوليها، بدءاً بما قد يوقف صفقة أو يؤدي إلى عقوبة.