بعد القراءة، ستتمكن من اختيار عدد قليل من المؤشرات التي تكشف إخفاق ضابط، والتصرف بناءً على ما تكشفه.
التعريف
تقع بين الضابط والتدقيق. فالضابط يعمل يومياً، والمراقبة تتحقق من أنه نُفّذ، والتدقيق يقيّم الكل باستقلالية.
يطلب البند 9.1 من ISO/IEC 27001 تحديد ما يُراقب ويُقاس، وكيف، ومتى، ومن يقوم به، ومن يحلل النتائج. ويجعل إطار COSO أنشطة المراقبة أحد مكوناته الخمسة.
لماذا يهم
قد يكون الضابط الذي عمل يوم التدقيق قد توقف في الأسبوع التالي، ودون مراقبة لا يعلم أحد بذلك حتى يتعطل شيء ما.
كما توزع عمل إثبات الامتثال على مدار السنة، فيبقى قدر أقل بكثير لإعادة بنائه قبل التدقيق.
كيف يعمل
اختر ما ستتحقق منه، بدءاً بالضوابط والالتزامات التي يكلف إخفاقها أكثر. وأعطِ كلاً منها مؤشراً وهدفاً وتواتراً ومسؤولاً.
اجمع النتائج، آلياً حيثما أمكن، وسجّل كل استثناء مع سببه.
اعرض الاتجاه على الإدارة. وحوّل الإخفاقات المتكررة إلى إجراءات تصحيحية، وعدّل الخطة حين تتغير الالتزامات.
حالة تطبيقية
المؤشر: الموظفون المغادرون الذين أُزيلت صلاحيات وصولهم خلال يوم عمل واحد. الهدف 100%، ويتحقق منه قسما الموارد البشرية وتقنية المعلومات شهرياً.
في مارس، تستوفيه 11 حالة من 12. والاستثناء متعاقد لم يكن مدرجاً في قائمة الموارد البشرية، فيُضاف المتعاقدون إلى القائمة، مع مسؤول وموعد.
ممارسات جيدة
- اجعل المؤشرات قليلة، وكل منها مرتبط بالتزام حقيقي.
- فضّل بيانات الأنظمة على تصريحات الأشخاص.
- حدد الهدف قبل أن تنظر إلى النتائج.
- اطلب من حين لآخر من شخص غير منفّذ الضابط أن ينظر في الأرقام.
أخطاء شائعة
- جمع أرقام لا يقرؤها أحد، عادة لأن أي قرار لا يتوقف عليها.
- قياس النشاط، مثل عدد جلسات التدريب المنعقدة، بدلاً من النتيجة المطلوبة.
- إصلاح كل استثناء دون السؤال عن سبب حدوثه، فيعود الإخفاق نفسه في الشهر التالي.
أسئلة
- ما الفرق بين مراقبة الامتثال والتدقيق؟
- المراقبة مستمرة ويقوم بها المسؤولون عن العملية. أما التدقيق فدوري ومستقل ويتبع برنامجاً محدداً.
- كم مرة ينبغي التحقق من الضوابط؟
- بما يتناسب مع الخطر ومع عدد مرات تنفيذ الضابط. فالضوابط اليومية يمكن فحص عينات منها شهرياً، والسنوية تُفحص عند حدوثها.
- ما المراقبة المستمرة للضوابط؟
- الجمع الآلي لنتائج الضوابط من أنظمة مثل منصات الهوية أو السحابة، مما يقلل أخذ العينات يدوياً.
- من يتلقى نتائج المراقبة؟
- مسؤول الضابط أولاً، ثم مسؤول الامتثال. وتتلقى الإدارة لمحة موجزة.
- ما مؤشرات الامتثال الأفضل أداءً؟
- تلك المرتبطة بمتطلب، مع هدف ومسؤول واضح، مثل المراجعات المتأخرة أو المدة اللازمة لإزالة صلاحيات الوصول.