يبدو سجل المعلومات الذي تفرضه المادة 28(3) من DORA كأنه تمرين جرد. وهو ليس كذلك. إنه إقرار منظَّم، بصيغة محدّدة، عن كل ترتيب تعاقدي لاستخدام خدمات تقنية المعلومات والاتصالات — ولأن المشرفين يجمعونه مركزيًا، تصير الأخطاء مرئية وقابلة للمقارنة بين المؤسسات وباقية.
وقد بنينا أو أصلحنا حتى الآن سجلات لكيانات تمتد من مؤسسات دفع صغيرة إلى شركات إدارة أصول متوسطة. وتتكرّر المشكلات العشر نفسها.
1. البدء من قائمة المورّدين بدل قاعدة العقود
السجل منظَّم حول الترتيبات التعاقدية، لا حول المورّدين. فمورّد واحد بثلاثة عقود يعني ثلاثة ترتيبات. وعقد يغطّي أربعة كيانات يظهر لدى كل واحد منها. والفرق التي تبدأ من قائمة موردي المشتريات تُنتج سجلًا بالأسماء الصحيحة والبنية الخاطئة، وإعادة هيكلته لاحقًا أغلى من بنائه صحيحًا.
ابدأ من العقود الموقّعة. فالإدارة المالية لديها عادةً قائمة أفضل من تقنية المعلومات.
2. استبعاد الترتيبات داخل المجموعة
الخدمات التي تقدّمها شركة أمّ أو شركة شقيقة هي خدمات تقنية معلومات من طرف ثالث لأغراض السجل. فهي داخل النطاق، وتحتاج توثيقًا تعاقديًا، وهي في الغالب أقل العلاقات توثيقًا في المؤسسة لأنها «داخلية». وقد كان المشرفون صريحين في هذا.
3. تخمين الوظائف المدعومة
يجب ربط كل ترتيب بالوظائف التي يدعمها، وتقييم كل وظيفة من حيث الحرجية. ومعظم المؤسسات لم تكتب يومًا خريطة وظائفها، فتصير القائمة اختراعًا تحت ضغط الوقت ممن يملأ جدول البيانات.
أنجز رسم خريطة الوظائف أولًا، بوصفه تمرينًا تجاريًا مع الأعمال. إنه ورشتان أو ثلاث. ومن دونه تكون تقييمات الحرجية بلا أساس، وترث كل الحقول اللاحقة المشكلة.
4. إعلان كل شيء حرجًا، أو لا شيء
يحدث الأمران، ويُقرآن كلاهما بوصفهما امتناعًا عن التقييم. فإن كانت تسعون بالمئة من ترتيباتك تدعم وظائف حرجة أو مهمة، فأنت لم تقيّم بل تحوّطت. وإن كان لا شيء منها كذلك، فأنت تؤكّد أن مؤسستك قادرة على العمل من دونها جميعًا.
يجب أن يكون التقييم مُعلَّلًا وموثّقًا، والتعليل أهم من النتيجة.
5. إغفال سلسلة الطرف الرابع
بالنسبة للترتيبات التي تدعم وظائف حرجة أو مهمة، عليك تحديد المتعاقدين من الباطن في السلسلة الذين يقدّمون الخدمة فعليًا. وهنا تفشل السجلات غالبًا، لأن المعلومة ليست في عقدك أنت — بل في عقد مورّدك.
ويجب طلبها، والطلب يستغرق وقتًا أطول مما تسمح به المهلة إن بدأت متأخرًا. اطلب مبكرًا، واطلب كتابةً، وضع الإجابة في العقد عند التجديد حتى لا تضطر إلى السؤال مجددًا.
6. معرّفات خاطئة أو مفقودة
معرّفات الكيان القانوني للمؤسسة ولمزوّديها، والمعرّف الأوروبي الموحّد عند الاقتضاء، حقول إلزامية بصيغة محدّدة. ومعرّف LEI المفقود أو المشوَّه يعني فشلًا آليًا في التحقّق، وقد لا يكون موجودًا أصلًا لدى المورّدين الصغار — فيتعيّن على أحدهم استخراجه، وله مهلة وكلفة.
تحقّق من المعرّفات في جولة مستقلة، قبل التفكير في المحتوى.
7. معاملته بوصفه تمرينًا سنويًا
يجب أن يعكس السجل الواقع، ويُقدَّم سنويًا على الأقل مع الإبلاغ عن التغيّرات الجوهرية فور حدوثها. والسجل الذي يُحدَّث مرة في السنة على يد مالك جدول بيانات غيّر منصبه منذئذٍ يصير، خلال أشهر، وثيقة تصف المؤسسة وصفًا خاطئًا أمام مشرفها.
والعلاج إجرائي لا تقني: لا يُوقَّع عقد تقنية معلومات ولا يُجدَّد دون تحديث السجل ضمن المسار نفسه. ضعه في قائمة تحقّق المشتريات.
8. خطط خروج غير موجودة
تفرض المادة 28 استراتيجيات خروج للترتيبات التي تدعم وظائف حرجة أو مهمة. ويسألك السجل عمّا إذا كانت موجودة. والإجابة بنعم بينما «خطة الخروج» فقرة تقول إن العقد قابل للإنهاء بإشعار ثلاثة أشهر هي بيان غير صحيح، ويسهل على المشرف اختباره.
خطة الخروج القابلة للاستخدام تسمّي البديل، وتبيّن كيف تُستخرَج البيانات وبأي صيغة، وتقدّر الوقت والكلفة، وقد جرى اختبارها ولو على الورق. وكتابة واحدة لأكثر ثلاثة مزوّدين تركّزًا لديك عمل أسبوع، وهي البند الأرجح أن يُفحَص.
9. بنود تعاقدية سابقة لـDORA لم تُعالَج قط
تُعدّد المادة 30 الأحكام التي يجب أن ترد في عقود خدمات تقنية المعلومات، مع قائمة أطول للوظائف الحرجة أو المهمة: حقوق الوصول والتفتيش والتدقيق، والخروج ودعم الانتقال، ووصف مستويات الخدمة، والتعهدات بالإبلاغ عن الحوادث، وموقع معالجة البيانات. والعقود الموروثة نادرًا ما تحتوي عليها.
والسجل يكشف ذلك. فأنت تُقرّ، ترتيبًا بترتيب، بوجود تلك البنود من عدمه. خطّط لبرنامج إعادة التفاوض قبل إكمال السجل، لأن السجل هو ما يجعل الفجوة رسمية.
10. إسناد الملكية إلى المكان الخطأ
رأينا السجل مملوكًا للمشتريات، ولتقنية المعلومات، وللشؤون القانونية، ولمدير مشروع متعاقد. وهو يعمل على أفضل وجه حين تملكه الوظيفة التي تجيب أصلًا أمام المشرف — المخاطر أو الامتثال — مع تقنية المعلومات والمشتريات مساهمين، ونائب مُسمّى.
والسبب بسيط: السجل إقرار تنظيمي، وينبغي أن ينتجه من يفهم ما يعنيه التوقيع على إقرار تنظيمي.
كيف تبدو جولة أولى جيدة
لكيان مالي متوسط الحجم، الشكل الصادق للعمل هو:
- أسبوع لوضع خريطة الوظائف ومنهج الحرجية مع الأعمال
- أسبوعان إلى ثلاثة لتجميع قاعدة العقود والمعرّفات
- أسبوعان لتقييمات الحرجية وسلاسل التعاقد من الباطن ومواقع البيانات
- أسبوع للتحقّق والمراجعة الداخلية والاعتماد
- وبالتوازي، تحليل فجوات تعاقدية يتحوّل إلى خطة إعادة تفاوض
ستة إلى ثمانية أسابيع، وسجل يصمد أمام أول سؤال. أما المؤسسات التي تضغطه إلى أسبوعين فتنتج غالبًا ملفًا يجتاز التحقّق الشكلي ويسقط في أول مراجعة موضوعية، وهو ما يكلّف أكثر من إنجازه على مهل.
السجل ليس غاية DORA. لكنه الجزء الذي يقرؤه مشرفك أولًا، فهو الجزء الذي يضبط نبرة كل ما يليه.