اختيار محفظة ضوابط لا قائمة مشتريات

عندما يصل إلى المدير طلب تمويل لأربعة ضوابط، لا تكفي عبارة «كلها مهمة». الميزانية والقدرة التنفيذية محدودتان، وبعض الضوابط يحمي المسار نفسه؛ جمع فائدتيهما كما لو كانتا مستقلتين يضاعف الوعد. قرار المحفظة يسأل: أي تدخل يغير نتيجة سيناريو محدد، وبكم وفق افتراض معلن، وما الاعتماد الذي يجب تنفيذه قبله، وما المخاطرة المتبقية إذا توقفنا عند سقف المال أو الوقت؟ لا يعني اختيار محفظة قابلة للتبرير أن بقية المخاطر مقبولة إلى الأبد.

ابدأ بخط أساس لكل سيناريو لا بدرجة عامة. في قرار تخطيطي يمكن تقدير **الخسارة السنوية المتوقعة** بضرب تكرار مقدّر في أثر مقدّر، لكن الناتج ليس حقيقة مرصودة إن كان أحد المدخلين رأيًا. فليُعرض بوصفه نموذجًا ذا نطاق وحساسية، ولا ينقل إلى لوحة المجلس بلا افتراضاته. كذلك قد تختلف خسارة يوم تعطل عن كلفة إصلاح نظام، وقد يتزامنان؛ عرّف ما دخل في الأثر كي لا تعده مرتين. إذا كانت البيانات لا تسمح بتقدير مالي، استخدم قيود خدمة ومفاضلة وصفية موثقة بدل رقم مزيف.

حدد **الفائدة الحدية** للتدخل داخل المحفظة، أي مقدار التحسن بعد الضوابط التي سبق اختيارها، لا مقدار التحسن إذا اشتريته وحده. لو أغلق توثيق قوي معظم مسار سرقة هوية المشرف، فلن يكون تحكم وصول ثانٍ بنفس الفاعلية التي أظهرها منفردًا. وفي المقابل قد يعتمد النسخ الاحتياطي المنعزل على تمرين استعادة قبل احتساب أثره؛ وسيط تخزين لم يُختبر قد يخزن نسخة لا يمكن إقلاعها. هذه علاقة شرطية، لا تداخل. ارسم الفرق بين «يعزز» و«يشترط» بوضوح قبل حل الميزانية.

## اختبر هشاشة الأفضلية

تحسن A+C+D في النموذج 450 ألفًا مقابل 410 لبديل B+C+D؛ الفارق 40 ألفًا. إذا كانت كلفة تشغيل A السنوية غير محسوبة وتزيد 45 ألفًا، فقد تتغير المفاضلة المالية. وإذا كان تقييم A يعتمد على وصول جميع المشرفين إلى طريقة توثيق جديدة، بينما 30% منهم يستخدمون مسار طوارئ قديمًا، فقد تكون فائدة 160 ألفًا المنفردة مبالغًا فيها. لا يلزم أن نخترع «احتمال فشل» لإظهار الحساسية: احسب نقطة التحول. إذا كان متبقي S1 بعد A أكثر من 180 بدل 140، فلا يعود A أفضل من B في هذا الجانب، مع بقاء اعتبارات التنفيذ الأخرى.

لا تختزل القرار في مجموع سنوي واحد. قد يكون S1 أقل في المتوسط وأشد في أسوأ حالة على حقوق العملاء أو الثقة، وقد تحمل S2 حد توقف غير مقبول حتى لو بدت قيمته المالية معتدلة. ارجع إلى حدود الدرس الأول: هل يتجاوز أي بديل حدًا اعتمده أصحاب الصلاحية؟ إن كان كذلك، فالمحفظة ذات مجموع خسارة أقل قد لا تُقبل. اذكر الأثر المتبقي لكل سيناريو على حدة، لا «تحسن 450» فقط. واعرض نطاق عدم اليقين في تقديرات الخسارة والإنجاز قبل توصية المجلس.

## من القرار إلى اختبار النتيجة

اعتماد A+C+D لا يغلق الملف. ضع معيار تحقق لكل تدخل: تجربة دخول بحساب مشرف مسموح وآخر بهجوم تصيد محاكى آمن للتحقق من مقاومة التوثيق؛ فحص أن مسؤول الإنتاج لا يستطيع حذف النسخة المنعزلة بنفس هويته؛ واستعادة نسخة إلى بيئة نظيفة مع قياس الزمن وسلامة البيانات. يجب تجنب تجربة تضر خدمة حية. إن فشل اختبار الاستعادة، ارجع في التقرير إلى تقدير متبقٍ لـS2 لا يفترض نجاح C. وأعد ترتيب التنفيذ: يبدأ D بتحديد معيار الاختبار وقدرة الاستعادة، ثم يضبط C ويعاد الاختبار، ويمكن نشر A بالتوازي إن لم يسحب الفريق نفسه من أعمال الاستجابة الحرجة.

سجل القرار يذكر البدائل المستبعدة، والافتراض الذي جعل A أفضل من B، وشرط C→D، وصاحب قبول المخاطرة المتبقية وموعد مراجعتها. بعد ربع سنة افحص أن التغطية الفعلية للمشرفين والنسخ المختبرة تطابق ما بُنيت عليه المنفعة. إن لم يحدث، لا «تنقل» الوفر النظري إلى تقرير الأداء. قياس الإجراء يسبق نسبة تخفيض الخطر المعلنة.

## تمرين تطبيقي وحل

تدير مؤسسة افتراضية خدمة حجز نقل. لديها ميزانية 90 ألفًا وسيناريو انقطاع يقدر أثره التخطيطي بـ300 ألف، وسيناريو إساءة استعمال صلاحية يقدر بـ160 ألفًا. الخيارات: مراقبة قاعدة البيانات E بكلفة 30 ألفًا تخفض سوء الاستعمال إلى 110 آلاف؛ مراجعة الصلاحيات F بكلفة 40 ألفًا تخفضه وحدها إلى 80 ألفًا، لكن بعد E لا تخفضه إلا إلى 70 ألفًا؛ نسخة منعزلة G بكلفة 50 ألفًا تخفض الانقطاع إلى 120 ألفًا بعد نجاح اختبار استعادة H بكلفة 10 آلاف؛ H وحده يخفّض الانقطاع إلى 260 ألفًا. اختر محفظة مبدئية واذكر سبب استبعاد بديل مغرٍ واختبارًا قد يغير القرار.

حل معقول هو E+G+H بكلفة 90 ألفًا: المتبقي 110+120=230 ألفًا وفق الافتراضات. لكن F+G غير مقبول على أنه يخفض الانقطاع إلى 120، لأنه يستهلك 90 ألفًا ولا يموّل H؛ فائدة G مشروطة. ويمكن اختيار F+H بكلفة 50 ألفًا، فيبقى 80+260=340، أو E+F+H بكلفة 80 ألفًا، فيبقى 70+260=330. إذا أمكن إنجاز اختبار H ضمن قدرة ممولة أخرى بحق، تغير مجموعة الخيارات، لكن لا تفترضها مجانًا. تحقق من أن رقم 110 بعد E يستند إلى أداء مراقبة قابل للاستجابة، ومن أن G تُستعاد فعليًا. لو كشف اختبار H أن الاستعادة تفشل، يعاد تقييم 120 ولا يبقى القرار صالحًا بالأرقام السابقة.