دليل استمرارية الأعمال وإدارة الأزمات للشركات في السعودية

وجود ملف طوارئ محفوظ في مجلد مشترك لا يعني بالضرورة أن المنشأة قادرة على مواصلة العمل عند التعطل. استمرارية الأعمال تبدأ بسؤالين عمليين: ما العمليات التي يجب أن تبقى عاملة، ومن يملك قرار التصعيد عندما يتعطل نظام أو موقع أو مورد رئيسي؟ هذا الدليل يضع إطارًا إداريًا أوليًا للشركات في السعودية، يساعدها على ترتيب الأولويات قبل تحويلها إلى خطة مناسبة لحجمها وطبيعة نشاطها.

ما الفرق بين استمرارية الأعمال وإدارة الأزمات وإدارة المخاطر؟

تتشابك هذه المصطلحات في الممارسة، لكن الفصل بينها يمنع أن تتحول الخطة إلى قائمة عامة بلا مالك أو أولوية. التفسير التالي إطار إداري مبسط لاتخاذ القرار، وليس تعريفًا قانونيًا موحدًا لكل القطاعات:

إدارة المخاطر تقلل احتمالات الانقطاع ونقاط الفشل؛ لكنها لا تحدد وحدها من يخاطب العميل إذا وقع الانقطاع. إدارة الأزمات تنظم القرار والتواصل في اللحظة الحرجة؛ لكنها لا تكفي وحدها لتشغيل خدمة بديلة. أما استمرارية الأعمال فتربط القرار بالتشغيل: أي خدمة تستأنف أولًا، وما الموارد والبدائل اللازمة لذلك.

التعافي من الكوارث جزء مهم من الصورة، خصوصًا عندما تتوقف منصة أو قاعدة بيانات أو اتصال، لكنه لا يساوي الخطة كلها. فقد يستعاد النظام تقنيًا بينما يبقى الموظف غير مخوّل بالعمل، أو يكون المورد الحرج غير متاح، أو لا تكون الرسالة الموجهة للعملاء قد اعتمدت بعد.

متى تحتاج الشركة إلى خطة استمرارية أعمال؟

لا تحتاج كل منشأة إلى البرنامج نفسه بالعمق نفسه. لكن من المفيد البدء عندما يظهر واحد أو أكثر من المؤشرات التالية:

• تعتمد عملية البيع أو الخدمة أو التحصيل على نظام واحد أو شخص واحد أو موقع واحد.
• يوجد مورد وحيد لمادة أو اتصال أو منصة أو خدمة تشغيلية لا يمكن استبدالها بسرعة.
• تدير المنشأة موقعًا ميدانيًا، أو مستودعًا، أو فرعًا، أو معدات تؤثر سلامتها أو جاهزيتها في التشغيل.
• تتعامل مع بيانات عملاء أو موظفين، أو أن توقف الوصول إليها يعطل خدمة متفقًا عليها.
• ترتبط بعقود أو التزامات خدمة قد تتأثر بالتوقف أو بتأخر التواصل.
• تمر بتوسع سريع: فروع جديدة، موظفون جدد، أنظمة جديدة، أو اعتماد متزايد على أطراف ثالثة.

البداية لا تكون بشراء قالب جاهز أو اختيار معيار قبل فهم الوضع. ابدأ بعملية واحدة حاسمة، مثل استقبال الطلبات أو إصدار الفواتير أو تشغيل الموقع أو تقديم الخدمة الميدانية. إن لم تستطع الإدارة وصف ما يحدث لها عند توقف هذه العملية، ومن يتخذ القرار، فهذه علامة عملية على أن الأولوية هي بناء جاهزية أولية.

ابدأ بتحليل أثر انقطاع الأعمال قبل كتابة الخطة

تحليل أثر انقطاع الأعمال (Business Impact Analysis أو BIA) هو تمرين منظم لفهم نتائج توقف كل عملية، لا مجرد قائمة بالمخاطر المحتملة. الهدف منه أن يحدد الفريق ما يجب استعادته أولًا، وما يعتمد عليه، وما الأثر المتوقع على العميل والتشغيل والعقد والسمعة إذا طال التوقف.

الدليل التنظيمي للبنك المركزي السعودي يربط، بالنسبة للمؤسسات المالية الخاضعة له، تحليل الأثر بتصنيف الأولويات والتبعيات والموارد اللازمة للتعافي. ويمكن للشركات خارج هذا النطاق الاستفادة من المنطق نفسه إداريًا: افصل بين العملية والسبب. لا تبدأ بسؤال «هل قد ينقطع الإنترنت؟» بل بسؤال «أي عملية تتوقف إذا انقطع، وما البديل الواقعي؟».

في جلسة BIA قصيرة، اطلب من مالك كل عملية تحديد الآتي:

• العملية أو الخدمة التي لا يمكن تأجيلها.
• الحد الذي تصبح بعده مدة التوقف مؤثرة في العملاء أو العقد أو التشغيل.
• الأنظمة والأشخاص والمواقع والموردين التي تعتمد عليها العملية.
• الأثر المتدرج للتوقف، لا الافتراض بأن جميع العمليات متساوية.
• الإجراء الأولي لاستعادة التشغيل أو تقديم بديل مقبول مؤقتًا.

نموذج مبسط لتحليل أثر الانقطاع

لا يضع هذا النموذج أوقات تعافٍ أو نسبًا موحدة؛ تلك القيم يجب أن تصدر عن واقع كل منشأة وعقودها ومواردها. وبعد إكماله، اعتمد قائمة قصيرة من العمليات ذات الأولوية بدل محاولة توثيق كل نشاط منذ اليوم الأول.

كيف تبني خطة إدارة الأزمات داخل الشركة؟

خطة إدارة الأزمات ليست دليلًا طويلًا يقرأه الجميع عند وقوع الحدث؛ هي طريقة عملية لتجميع الوقائع وتوزيع الصلاحيات واتخاذ قرارات قابلة للتتبع. يُظهر الدليل التنظيمي للبنك المركزي السعودي للمؤسسات المالية أهمية معايير تأكيد الأزمة، وفريق إدارة الأزمة، وبيانات الاتصال، وخطوات ما أثناء الحدث وبعده، وخطة التواصل. خارج القطاع المالي، يمكن استخدام هذه العناصر كنموذج تصميم لا كمتطلب مفروض.

ابدأ بتحديد متى ينتقل الأمر من «مشكلة تشغيلية» إلى «أزمة»: هل تجاوز الانقطاع قدرة الفريق المعتادة؟ هل تأثر عميل رئيسي أو موقع أو سلامة أفراد؟ هل تتطلب الرسالة قرارًا من الإدارة؟ بعدها ضع مسارًا بسيطًا: من يبلغ، ومن يثبت المعلومة، ومن يقرر التصعيد، ومن يعتمد الرسائل الخارجية.

من يقرر؟ نموذج مبسط لأدوار فريق الأزمة

أضف إلى الخطة قائمة اتصال محدثة، وقالبًا قصيرًا للبلاغ الأول، وسجلًا للقرارات. ويجب أن يوضح كل سيناريو ما الذي يعيد الوضع إلى التشغيل الطبيعي: عودة النظام فقط، أم معالجة الطلبات المتأخرة، أم إبلاغ العملاء وإغلاق التذاكر، أم مراجعة سبب التعطل؟

إذا كانت المشكلة الأساسية تتعلق بالصلاحيات أو الهيكل أو إجراءات العمل، يمكن ربطها بخدمة الاستشارات الإدارية للشركات ضمن نطاق مشروع محدد؛ أما تحديد الخدمة أو المخرج المناسب فيحتاج إلى فهم التحدي الفعلي للمنشأة.

العمليات والبيانات والموردون: ما الذي يجب حمايته أولًا؟

لا تبدأ بما هو ظاهر تقنيًا فقط. رتّب عناصر الحماية بحسب أثرها في استمرار الخدمة:

1. عمليات لا يمكن تأجيلها: مثل استقبال الطلبات أو تشغيل موقع أو خدمة تعاقدية حساسة.
2. بيانات أو أنظمة حرجة: ما تحتاجه الفرق لإتمام العملية، مع تحديد مالك النظام وصلاحيات الوصول.
3. موردون وأطراف ثالثة: مزود اتصال أو منصة أو شركة صيانة أو مورد مواد؛ اسأل عن بديلهم، وبيانات اتصال التصعيد، وقدرتهم التعاقدية والتشغيلية.
4. موقع ومعدات وأنظمة سلامة أساسية: لأن سلامة الموقع أو جاهزيته قد تسبق استعادة أي خدمة تجارية.
5. قنوات التواصل: موظفون، عملاء، موردون، وقناة بديلة إذا أصبحت القناة الأساسية غير متاحة.

النسخة الاحتياطية قد تساعد في استعادة بيانات، لكنها لا تُشغّل الموظفين، ولا تمنح الصلاحيات، ولا ترد على العملاء، ولا تثبت قدرة المورد على التسليم. وبالمثل، وجود مورد بديل على الورق لا يكفي ما لم تتأكد المنشأة من نطاقه، ووقت توافره، وشروطه، وقدرته الفعلية على خدمة حجم الطلب المتوقع.

عندما تتعلق الأولوية بموقع أو تجهيزات سلامة، ينبغي فصل تقييم الجاهزية التشغيلية عن افتراض أن نظامًا واحدًا يناسب كل المباني. تعرض صفحة أنظمة الأمن والسلامة خدمات يتم تحديد نطاقها بحسب طبيعة المنشأة والأنظمة القائمة؛ وهذا مناسب لمراجعة احتياج مادي محدد، لا كبديل لخطة استمرارية الأعمال بأكملها.

الجاهزية الرقمية والأمن السيبراني دون مبالغة في الوعود

قد يبدأ الانقطاع من حادث رقمي، أو فقدان الوصول إلى نظام، أو خلل في التكامل، أو توقف اتصال. لذلك ينبغي أن تسأل الخطة: ما الخدمة التي تتعطل إذا فقدنا هذا النظام؟ من يستطيع الوصول إلى البيانات اللازمة؟ وما البديل التشغيلي المؤقت إذا لم يعد النظام متاحًا؟

تشير الضوابط الأساسية للأمن السيبراني ECC 2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني إلى أهمية حماية الأصول المعلوماتية والتقنية. لكن نطاق الالتزامات لا يُستنتج من اسم الضابط وحده؛ فهو يعتمد على طبيعة الجهة والنشاط والأنظمة والجهة المنظمة ذات العلاقة. لذا لا يعرض هذا المقال الضوابط باعتبارها إلزامًا تلقائيًا لكل شركة، ولا يقدّم وصفة تقنية تمنع الاختراق.

وبالمثل، إذا كانت العمليات تشمل بيانات شخصية للعملاء أو الموظفين، فإن نظام حماية البيانات الشخصية يرتبط بحقوق الأفراد والتزامات جهات التحكم ضمن نطاقه. في خطة الاستمرارية، ترجم ذلك إلى أسئلة تشغيلية: ما البيانات الضرورية للعودة إلى العمل؟ من يملك حق الوصول؟ ما الذي يمكن مشاركته في رسالة أزمة؟ ومتى يلزم إشراك المختص النظامي أو القانوني؟ لا تحسم الإجابة القانونية هذه الأسئلة من دون فحص حالة المنشأة.

قد تحتاج الشركة أيضًا إلى مواءمة الأنظمة أو التكاملات أو أدوات العمل مع العملية الفعلية. صفحة الحلول التقنية والرقمية توضح أن تحديد التقنية والنطاق يبدأ من فهم المشكلة والأنظمة المرتبطة، وهو منطق مفيد عند دراسة مشروع تقني مستقل عن خطة الحوكمة أو الامتثال.

اختبار الخطة والتدريب كيف تعرف أنها قابلة للتنفيذ؟

الوثيقة غير المختبرة افتراض، لا برهان جاهزية. الاختبار لا يعني دائمًا إيقاف العمل أو تنفيذ تمرين ضخم؛ ابدأ بسيناريو واحد واضح وهدف محدود: هل يستطيع فريق الإدارة الوصول إلى قائمة الاتصال؟ هل يعرف مالك العملية متى يطلب التصعيد؟ هل تعمل القناة البديلة؟ وهل يختلف ما يحدث فعليًا عما هو مكتوب؟

يمكن أن تختار واحدًا من الاختبارات التالية بحسب حجم المنشأة:

• تمرين مكتبي: يناقش الفريق سيناريو مكتوبًا ويقرر الخطوات والرسائل.
• محاكاة انقطاع نظام أو مورد: تختبر كيف يستمر جزء محدد من العملية.
• اختبار قناة اتصال بديلة: يتحقق من وصول الرسالة إلى أصحاب المصلحة المعنيين.
• مراجعة ما بعد التمرين: تسجل الفجوات، ومالك المعالجة، وتاريخ المراجعة القادم.

الدليل السعودي للمؤسسات المالية يشدد على توثيق نتائج الاختبارات والدروس المستفادة؛ خذ المبدأ لا الوتيرة الإلزامية. لا توجد دورة اختبار واحدة مناسبة لجميع المنشآت: كرر الاختبار عندما يتغير النظام أو المورد أو الموقع أو الهيكل، وبقدر يتناسب مع أثر العملية.

للمواقع التي يعتمد تشغيلها على الاتصال، قد يكون من المفيد فصل سؤال «هل تغطيتنا مناسبة؟» عن سؤال «ما خطة الاستمرار؟». تعرض حلول الاتصالات دراسة احتياج الموقع والتغطية والمستخدمين قبل تحديد نطاق التجهيز؛ ولا يعني ذلك تلقائيًا وجود مسار احتياطي أو مستوى خدمة ما لم يدخل صراحةً في نطاق المشروع المتفق عليه.

خطة 90 يومًا لبناء جاهزية أولية

هذه الخطة إطار بداية لشركة تريد الانتقال من المعرفة العامة إلى مخرجات يمكن مراجعتها. ليست مدة إلزامية، ولا تعني أن البرنامج اكتمل بعد 90 يومًا؛ فالعمليات المتغيرة تحتاج إلى صيانة ومراجعة مستمرة.

في المرحلة الأولى، اجمع أصحاب العمل والتقنية والمالية والموارد البشرية والموقع عند الحاجة، بدل افتراض أن قسمًا واحدًا يمتلك الصورة كاملة. في المرحلة الثانية، حوّل الاعتماديات إلى قرارات: ماذا نفعل إذا غاب المورد أو تعطلت المنصة؟ وفي المرحلة الثالثة، اختبر قرارًا ورسالة وإجراءً، ثم صحح الخطة بناءً على ما تعلمه الفريق.

أخطاء تجعل خطة الأزمة ملفًا بلا أثر

أكثر الأخطاء شيوعًا هو نسخ نموذج عام ثم توزيع أسماء لا تملك معرفة بالعمليات أو صلاحية اتخاذ القرار. الخطأ الثاني هو اعتبار النسخة الاحتياطية أو رقم المورد البديل خطة كاملة، من دون اختبار القدرة على استخدامها في ظرف حقيقي.

تجنب أيضًا تجاهل الأطراف الثالثة، وعدم تعيين مالك واضح لكل قرار، ووضع أهداف لا تملك المنشأة موظفين أو ميزانية أو صلاحيات لتحقيقها. ومن الأخطاء المهمة أن تظل الخطة ثابتة بينما يتغير النشاط أو الهيكل أو الأنظمة أو المواقع أو الموردون. اجعل كل تغيير جوهري سببًا لإعادة النظر في العملية المتأثرة، لا لإعادة كتابة كل الملفات بالضرورة.

وأخيرًا، لا تخلط بين الاتصال وبين التواصل. وجود رقم واتساب أو بريد عام لا يجيب: من يوافق على الرسالة؟ لمن ترسل أولًا؟ ما المعلومة المؤكدة؟ وما الإجراء التالي؟ كلما كانت الإجابات محددة ومناسبة لحجم المنشأة، زادت قابلية تنفيذ الخطة.

الأسئلة الشائعة عن استمرارية الأعمال وإدارة الأزمات

هل إدارة الأزمات هي نفسها استمرارية الأعمال؟

لا. إدارة الأزمات تنظم قيادة القرار والتحقق من المعلومات والتواصل أثناء حدث كبير، بينما تحدد استمرارية الأعمال كيف تواصل العمليات ذات الأولوية أو تستعيدها. قد تجتمعان في الحادث نفسه، لكن وجود فريق أزمة لا يحدد وحده بديلًا لنظام أو مورد أو موقع متعطل. الأفضل أن ترتبط خطة الأزمة بمالك كل عملية وإجراءات الاستمرار أو الاستعادة الخاصة بها.

هل تحتاج المنشأة الصغيرة إلى خطة استمرارية أعمال؟

قد تحتاج المنشأة الصغيرة إلى نسخة أبسط من الخطة، لا إلى برنامج ثقيل بالضرورة. يزداد الاحتياج عندما تعتمد على شخص أو نظام أو مورد واحد، أو عندما يؤدي التوقف إلى فقدان طلبات أو تعطيل عقد أو عدم القدرة على خدمة العملاء. ابدأ بعمليتين حرجتين، ومالك قرار واضح، وقائمة اتصال وبديل عملي يمكن اختباره، ثم وسّع النطاق عند الحاجة.

ما هو تحليل أثر انقطاع الأعمال؟

تحليل أثر انقطاع الأعمال، أو BIA، هو طريقة لتحديد ما يحدث عند توقف عملية معينة وما الذي يلزم لاستعادتها. يوضح أثر الانقطاع على العميل والتشغيل والعقد والسمعة، ويربط العملية بأنظمتها وأشخاصها ومورديها. لا يهدف إلى عدّ كل المخاطر؛ بل إلى ترتيب الأولويات وتحديد أول إجراء استعادة واقعي. الأوقات والأهداف تحددها كل منشأة وفق واقعها.

من المسؤول عن تفعيل الخطة عند وقوع أزمة؟

تحدد المنشأة مسبقًا قائد الأزمة وبديله ومعايير التصعيد، ولا يفترض أن يكون الاسم نفسه مناسبًا لكل شركة. يحتاج القائد إلى صلاحية إعلان التفعيل وترتيب الأولويات، بينما يقدم مالك العملية والتقنية والتواصل المعلومات اللازمة. الأهم هو توثيق من يقرر، ومن ينفذ، ومن يخاطب الأطراف المعنية، وكيف تنتقل المسؤولية إذا غاب الشخص الأساسي.

هل تكفي النسخ الاحتياطية للبيانات لحماية استمرارية العمل؟

لا. النسخ الاحتياطية عنصر مفيد لاستعادة بعض البيانات أو الأنظمة، لكنها لا تغطي وحدها الموظفين والصلاحيات والموردين والموقع وقنوات التواصل وإجراءات تشغيل الخدمة. لا تثبت فائدتها أيضًا ما لم تعرف المنشأة ما البيانات التي تحتاجها أولًا، ومن يستطيع استعادتها، وكيف سيستمر العمل إلى أن تعود الخدمة. لذلك تُراجع ضمن خطة أوسع للعمليات الحرجة.

هل ISO 22301 إلزامي لكل الشركات في السعودية؟

ISO 22301 إطار دولي لنظام إدارة استمرارية الأعمال، ولا يُعرض هنا كإلزام عام على جميع الشركات في السعودية. قد تطلبه جهة تنظيمية أو عقد أو عميل في سياق محدد، وقد تختار منشأة تطبيق مبادئه لتحسين جاهزيتها، لكن التحقق من أي التزام يكون وفق نشاط المنشأة والجهة ذات العلاقة والنص أو العقد الساري. لا يغني المقال عن مراجعة متخصصة للحالة.

ناقش احتياج منشأتك التشغيلي

قبل التواصل، دوّن نوع منشأتك، والعمليات التي لا تحتمل التوقف، والأنظمة أو الموردين الحرجين، وما إذا كانت جاهزيتك اليوم مجرد إجراءات متفرقة أم خطة تم اختبار جزء منها. هذه المعلومات تجعل النقاش الأول أوضح لتحديد المسار الإداري أو التقني أو المرتبط بالمنشأة بحسب نطاق الخدمة المطلوب.