مقدمة
تحظى المتطلبات الرئيسية في DORA (الإبلاغ عن الحوادث، واختبار المرونة، وإدارة مخاطر تكنولوجيا المعلومات والاتصالات) بمعظم الاهتمام. أما سجل المعلومات فيحظى باهتمام أقل بكثير، وهو بعيدًا عن الأضواء من أصعب المتطلبات استيفاءً على نحو جيد. إذ يجب على كل كيان مالي يقع ضمن النطاق أن يحتفظ بسجل كامل ومنظم ومحدَّث باستمرار لجميع مزودي خدمات تكنولوجيا المعلومات والاتصالات من الأطراف الثالثة، مع ربط كل مزود بالوظائف المحددة التي يدعمها، ومدى أهمية هذه الوظائف، والشروط التعاقدية التي تحكم العلاقة. وكثيرًا ما تكتشف المؤسسات التي تعتبر نفسها ممتثلة لـ DORA لأنها اجتازت اختبارات المرونة، عند التدقيق عن كثب، أن سجل المعلومات لديها غير مكتمل أو قديم أو غير متسق مع واقع علاقاتها الفعلية مع الموردين.
لماذا يُعد السجل أصعب مما يبدو
يجب أن يعكس الواقع، لا سجل قسم المشتريات عن الواقع
تحتفظ معظم المؤسسات المالية بالفعل بشكل من أشكال جرد الموردين من خلال أنظمة المشتريات أو إدارة الموردين. لكن سجل المعلومات يتطلب أكثر من ذلك: ربطًا منظمًا بين كل مزود من الأطراف الثالثة ووظيفة الأعمال المحددة التي يدعمها، بما في ذلك سلاسل التعاقد من الباطن التي يعتمد فيها مورد حيوي بدوره على متعاقدين فرعيين آخرين. وعادةً ما تسجل بيانات المشتريات العلاقة التجارية (من وقّع العقد وكم يكلف)، لا سلسلة الاعتماد التشغيلي التي يتطلبها DORA، ما يعني أن السجل كثيرًا ما يجب بناؤه كمُخرَج جديد بدلًا من إعادة توظيف نظام قائم.
يجب أن يبقى محدَّثًا، لا أن يكون دقيقًا عند التقديم فحسب
تتوقع الجهات التنظيمية أن يُدار سجل المعلومات كوثيقة حية تُحدَّث مع تغيّر العلاقات مع الموردين، لا أن يُجدَّد مرة واحدة قبل طلب رقابي. فالسجل الذي كان دقيقًا عند آخر تقديم له، لكنه لم يواكب تجديدات العقود اللاحقة أو تغييرات التعاقد من الباطن أو الموردين الحيويين الذين جرى ضمّهم حديثًا، لن يرضي مفتشًا يبحث عن دليل على الصيانة المستمرة، حتى لو كان التقديم الأصلي مكتملًا من الناحية الفنية.
كيف يبدو القصور فعليًا على أرض الواقع
- ربط الوظائف الحيوية الذي لم يُحدَّث منذ آخر تجديد لعقد أحد الموردين بنطاق موسَّع
- سلاسل التعاقد من الباطن المعروفة بشكل غير رسمي داخل فريق إدارة الموردين، لكنها لم تُسجَّل قط في السجل نفسه
- وحدات أعمال متعددة تحتفظ بسجلات موردين منفصلة وغير متسقة بدلًا من سجل واحد معتمد
- تصنيفات الأهمية الحرجة التي وُضعت مرة واحدة خلال التطبيق الأولي لـ DORA ولم يُعَد تقييمها قط مع تغيّر أنماط الاستخدام
تحويل السجل إلى دليل، لا إلى جدول بيانات
تتعامل المؤسسات الأفضل أداءً في هذا المجال مع سجل المعلومات بوصفه سجلًا متزامنًا باستمرار أكثر من كونه وثيقة، سجلًا يُحدَّث تلقائيًا مع تغيّر العقود وتطور العلاقات مع الموردين، مع سجل تاريخي قابل للتحقق يبيّن متى أُضيف كل إدخال أو عُدِّل. ويحوّل هذا النهج السجل من مُخرَج امتثال يُجمَّع قبل الفحص إلى مصدر حي للحقيقة يمكن تقديمه عند الطلب، مع ما يثبت أنه محدَّث.
إن سجل المعلومات الذي لا يصمد إلا ما دام أحد لا يسأل عن مدى حداثته ليس امتثالًا، بل لقطة تنتظر أن تتقادم. اطّلع على كيفية إبقاء ROOTKey أدلة مخاطر الأطراف الثالثة محدَّثة وقابلة للتحقق باستمرار.