توزيع أدوار الحوكمة والمساءلة

توزيع أدوار الحوكمة والمساءلة

— من ينفذ ومن يقرر؟

في اجتماع إطلاق خدمة جديدة، يقول مدير التقنية إن فريق الأمن «مسؤول عن كل شيء أمني»، بينما يفترض فريق الأمن أن مالك الخدمة سيتخذ القرار إذا بقي خطر. يمر الاجتماع بلا اعتراض، ثم يتعطل مزود خارجي وتكتشف المؤسسة أن أحدًا لم يحدد صلاحية الاستمرار في الخدمة أثناء الانقطاع. هذا ليس نقصًا في أسماء الموظفين؛ إنه نقص في حقوق القرار. الحوكمة تحدد من يقترح، ومن يمول، ومن ينفذ، ومن يراجع، ومن يقبل أثرًا متبقيًا على العمل.

ميّز بين ثلاثة أنواع من المسؤولية. مالك الخطر مسؤول عن أثر سيناريو على هدف العمل وله دور في تقرير الاستجابة وقبول المتبقي ضمن التفويض. مالك الضابط مسؤول عن تشغيل وسيلة المعالجة وقياس أدائها، مثل ضبط وصول أو اختبار نسخ احتياطية. وظيفة الأمن تصمم السياسة والمنهج، تسدي المشورة، وترفع صورة الخطر والامتثال للإدارة. قد تتداخل الوظائف في مؤسسة صغيرة، لكن الجمع بين الأسماء لا يلغي الحاجة إلى تفويض واضح أو مراجعة مستقلة مناسبة. الموظف الذي يعالج تنبيهًا قد يتخذ إجراء احتواء عاجل وفق خطة الاستجابة؛ هذا لا يجعله صاحب قبول خطر استراتيجي دائم.

لنحل مثالًا. خدمة دفع تعتمد على مزود تحقق هوية. يسجل فريق الأمن أن تعطل المزود يمنع بعض العملاء من إكمال الشراء، ويقترح قناة بديلة. يشغّل فريق المنصة التكامل ويختبر زمن التحول. يحدد مالك خدمة الدفع أثر الانقطاع وحد قبوله، ثم يصعد القرار إذا تجاوز حد التفويض أو أثر في التزامات المؤسسة. تراجع وظيفة رقابة أو تدقيق، بحسب هيكل المؤسسة، أن الدليل والحدود متسقان؛ لكنها لا تصبح مالك الخطر لمجرد أنها راجعت. الناتج الجيد سجل قرار يحمل اسم الدور، لا اسم شخص فقط، وحد الصلاحية، والموعد، والتغيير الذي يستدعي إعادة القرار.

اختبر المصفوفة بسؤال مضاد: إذا تغيّر أثر الانقطاع من بضعة طلبات إلى توقف الإيرادات طوال يوم، هل تبقى سلطة القبول في المستوى نفسه؟ غالبًا لا، إذا كانت حدود التصعيد تربط السلطة بحجم الأثر. لا تختر عتبة عددية عامة لبرنامجك؛ المؤسسة تحددها. وإذا ظهرت فجوة بين حدود الفريق والالتزام التعاقدي، فلا يقبل مدير الأمن الغموض بصمت: يرفع التعارض إلى الجهة المخولة ويصف أثر التأخير وخيارات السيطرة المؤقتة.

التمييز بين الاستشارة والقرار مهم كذلك في السؤال الامتحاني. قد يكون أفضل عمل لمدير الأمن صياغة خيارين وتقديم دليل إلى لجنة أو مالك عملية، حتى إن بدا الضغط لاختيار أداة سريعًا. ابحث في الحالة عن كلمات مثل «أولًا» و«الأكثر ملاءمة» و«صاحب الصلاحية»، ثم اربط الإجابة بهدف العمل وحدود التفويض. لا تستخدم قاعدة «دائمًا المجلس» أو «دائمًا مدير الأمن»؛ كِلاهما يتجاهل بنية القرار في الحالة.

يمكن اختبار جودة التفويض قبل الأزمة بتجربة قرار مصغرة. اعرض على مالك الخدمة سجل اختبار يفيد أن الاستعادة استغرقت ثلاث ساعات بدل الحد المقبول ساعتين. اسأله هل يملك قبول الفارق لمدة أسبوع، وأي خدمة تتأثر، وما الإجراء المؤقت. إذا أجاب بأن فريق النسخ هو صاحب القرار لأنه أجرى الاختبار، اشرح أن الفريق يثبت الأداء لكنه لا يملك وحده أثر توقف العملاء. وإذا أحال المسألة إلى المجلس دون معرفة حد التصعيد، اطلب وثيقة السلطة: قد يكون القرار ضمن لجنة تشغيل مفوضة. الناتج ليس اسم منصب محفوظًا؛ هو سلسلة دليل ومالك وأثر وحد، يستطيع الفريق استخدامها حين يتغير الأشخاص.

عند تعدد الخدمات، تجنب حلًا واحدًا لمالك خطر مشترك غامض. قد يشغل فريق المنصة هوية موحدة لخدمة دفع وخدمة تقارير داخلية، لكن أثر انقطاع الهوية يختلف بينهما. يملك فريق المنصة ضابط الهوية نفسه ويقدم اختبارًا مشتركًا، بينما يقيّم كل مالك عملية أثر التوقف على خدمته. إن قرر إصلاحًا لا يمكن تنفيذه إلا مرة واحدة، تعرض المفاضلة إلى السلطة التي تجمع مصالح الخدمتين. هذا يمنع أن تقبل خدمة منخفضة الأثر نيابة عن خدمة حرجة، أو أن يتكرر الإنفاق على ضابط واحد دون رؤية الاعتماد المشترك.