دليل ISO 27001 وISO 31000 وISO 26000: أمن المعلومات والمخاطر والمسؤولية المجتمعية

تختلف احتياجات المنشآت بين حماية معلومات العملاء، وإدارة مخاطر المشروعات، وإثبات التزامها بالعاملين والمجتمع. وقد تُطرح هذه الموضوعات في تأهيل الموردين أو المنافسات أو تجهيز ملف التصنيف. يجمع هذا الدليل أهم ما تحتاج إلى معرفته عن ISO 27001 وISO 31000 وISO 26000، ويوضح الغرض من كل معيار ونوع المستند الذي يمكن تقديمه، حتى لا تختلط شهادة نظام الإدارة بالسياسة أو بتقرير التقييم.

الصورة: Sven Mieke / Unsplash

الفرق بين المعايير الثلاثة باختصار

ISO/IEC 27001: متطلبات لنظام إدارة أمن المعلومات، ويمكن للمنشآت الخضوع لتدقيق والحصول على شهادة وفقه.
ISO 31000: إرشادات لإدارة المخاطر، وليست معيارًا لمنح شهادة مطابقة للمنشآت؛ تبرز قيمتها في السياسة والإجراءات وسجلات التطبيق.
ISO 26000: إرشادات للمسؤولية المجتمعية، وليست معيار شهادة نظام إدارة. يجب تحديد طبيعة أي تقييم أو برنامج مستقل وعدم الخلط بينه وبين شهادة ISO.

أولًا: ISO 27001 لأمن المعلومات وأهميتها

ISO/IEC 27001:2022 معيار يحدد متطلبات نظام إدارة أمن المعلومات. يهتم بحماية سرية المعلومات وسلامتها وتوافرها، ويدمج الأشخاص والإجراءات والتقنية ضمن إدارة المخاطر. ويشمل المعلومات الورقية والرقمية، بحسب نطاق النظام. يمكن للمنشأة تطبيقه ثم الخضوع لتدقيق لدى جهة منح مستقلة؛ منظمة ISO نفسها لا تمنح شهادات المنشآت. المرجع: ISO/IEC 27001.

فكر في ثلاثة مواقف عملية: موظف سابق ما زال يستطيع دخول النظام، أو ملف عميل أُرسل إلى شخص غير مخول، أو توقف خدمة دون نسخة احتياطية قابلة للاستعادة. هذه أمثلة توضح لماذا يجب أن تكون المسؤوليات والضوابط معروفة قبل وقوع الحادث.

تحديد صلاحيات الوصول ومراجعتها عند تغيير الأدوار أو مغادرة الموظفين.
تنظيم التعامل مع الحوادث والإبلاغ عنها وتوثيق معالجتها.
توعية العاملين بطريقة مشاركة الملفات وحماية بيانات العمل.
مراجعة ترتيبات الموردين والنسخ الاحتياطي والاستعادة وفق الاحتياج.

التطبيق الجيد يساعد على إدارة هذه المسائل؛ لكنه لا يعني استحالة الاختراق أو تعطل الأنظمة.

متى تُطلب شهادة ISO 27001؟

قد يطلبها عميل ضمن تأهيل الموردين، أو تظهر في كراسة منافسة، أو تُدرج في عقد لتشغيل أنظمة أو التعامل مع معلومات حساسة. ويمكن أن تكون ذات صلة بشركات البرمجيات والاستضافة والخدمات المدارة ومراكز البيانات والجهات التي تعالج معلومات لصالح عملائها.

هذه أمثلة على حالات الاستخدام، وليست قائمة باشتراطات حكومية عامة. قبل التقديم، اطلب نص الشرط وحدد هل المطلوب شهادة للمنشأة أم لنطاق خدمة محدد، وهل توجد متطلبات تخص جهة المنح أو الاعتماد أو تاريخ الصلاحية. لا يكفي تطابق رقم المعيار إذا كان النطاق خارج النشاط المطلوب.

كيف تتحقق من الشهادة قبل استخدامها؟

راجع الاسم القانوني للمنشأة، ورقم الشهادة، والمعيار والإصدار، والنطاق والمواقع، وتواريخ الإصدار والانتهاء. تحقق أيضًا من حالة الشهادة لدى جهة المنح، ومن الاعتماد إذا كان مطلوبًا في العقد. احتفظ بنسخة من نص متطلبات العميل حتى تقارنها بالشهادة قبل رفعها.

للاطلاع على الفروق بين المعايير، اقرأ دليل شهادات ISO للمنشآت. وللسجلات المتاحة عبر موقعنا، استخدم صفحة التحقق من الشهادات مع مراعاة نطاق البيانات المعروضة فيها.

ثانيًا: ISO 31000 وسياسة إدارة المخاطر

ISO 31000:2018 يقدم مبادئ وإطارًا وعملية لإدارة المخاطر، ويمكن الاسترشاد به في منشآت مختلفة. وتوضح ISO أنه معيار إرشادي غير مخصص لمنح شهادات مطابقة للمنشآت. لذلك يجب التمييز بين تطبيق الإرشادات، وشهادة تدريب لشخص، وتقرير تقييم صادر ضمن برنامج مستقل. لا تُعرض هذه المستندات باعتبارها شهادة ISO 31000 معتمدة لنظام إدارة. المرجع: ISO 31000.

يمكن للمنشأة أن تبدأ بمراجعة القرارات التي تتكرر في مشروعاتها: اختيار المورد، تسعير الأعمال، إدارة التدفقات النقدية، وإسناد أعمال التخصصات. الهدف العملي هو معرفة ما قد يعطل التنفيذ ومن سيتصرف قبل أن تتفاقم المشكلة.

رصد الاعتماد على مورد أو مقاول باطن واحد.
مقارنة مواعيد التحصيل والدفعات بالالتزامات المتوقعة.
تحديد أثر تغير الأسعار أو تأخر الاعتمادات.
ربط متابعة المخاطر بمدير المشروع والإدارة المالية والمشتريات.

هذه أمثلة لتطبيق منهجي، ولا تعني أن جميع المخاطر يمكن إلغاؤها.

ماذا تتضمن سياسة إدارة المخاطر؟

السياسة تحدد توجه المنشأة وحدود المسؤولية وآلية الاعتماد والمتابعة. أما الإجراءات فتوضح كيفية العمل، وسجل المخاطر يوثق الحالات وقرارات المعالجة. ولإعداد سياسة عملية، يمكن تنظيمها حول:

الغرض والنطاق والمشروعات والإدارات المشمولة.
الأدوار والصلاحيات ومسؤولية قبول المخاطر والتصعيد.
منهجية تقدير الاحتمال والأثر وتحديد الأولويات.
خيارات المعالجة والموارد والمسؤول عن التنفيذ.
المتابعة والتقارير ودورية المراجعة وتحديث السياسة.

هذه قائمة إعداد مقترحة، وليست نموذجًا رسميًا صادرًا عن منصة التصنيف.

ما العلاقة بملف التصنيف؟

الفائدة في تجهيز ملف التصنيف هي تنظيم ما يثبت نضج الممارسة الإدارية عندما تتناول متطلبات التقييم إدارة المخاطر أو السياسات ذات الصلة. لا يصح اعتبار ورقة تحمل رقم ISO 31000 بديلًا عن اشتراطات التصنيف الفنية والمالية، ولا دليلًا منفردًا على استحقاق درجة محددة.

قبل تجهيز المرفقات، راجع مسار الطلب والنشاط والبند المطلوب في النسخة السارية من متطلبات التقييم. هل يطلب سياسة معتمدة، أم سجل مخاطر، أم أدلة تطبيق، أم تقريرًا من جهة محددة؟ لم نثبت في هذا الدليل وجود اشتراط عام موحد لشهادة ISO 31000 في كل طلب تصنيف. راجع خدمات التصنيف في بلدي ونص الطلب الفعلي.

مثال تطبيقي: من السياسة إلى سجل المخاطر

مثال توضيحي: تعتمد المنشأة موردًا واحدًا لمادة ذات مدة توريد طويلة. يُسجل الخطر، ويُحدد أثر التأخير على البرنامج، ثم تُختار إجراءات مثل تأهيل مورد بديل أو تقديم موعد الشراء، مع تعيين مسؤول وموعد للمتابعة. بعد التنفيذ تُراجع النتيجة بدل إغلاق البند لمجرد توقيع السياسة.

قد يشمل ملف الأدلة سجلًا محدثًا، ومحاضر مراجعة، وقرارات معالجة، ومستندات توضح ما نُفذ فعليًا. اقرأ أيضًا دليل تصنيف المقاولين وخدمات الحوكمة والتطوير الإداري لتحديد نطاق التجهيز المناسب.

ثالثًا: المسؤولية المجتمعية وISO 26000

تتناول المسؤولية المجتمعية آثار قرارات المنشأة وأنشطتها على المجتمع والبيئة وأصحاب المصلحة. وتقدم ISO 26000 إرشادات تساعد المؤسسات على تحويل هذا التوجه إلى ممارسة. وتشمل موضوعاتها الحوكمة وحقوق الإنسان وممارسات العمل والبيئة والممارسات التشغيلية العادلة وقضايا المستهلك والمشاركة المجتمعية. المرجع: ISO والمسؤولية الاجتماعية.

توضح ISO أن ISO 26000:2010 معيار إرشادي، وليس معيار نظام إدارة قابلًا لمنح شهادة مطابقة. لذلك لا يصح تقديم مستند باعتباره «شهادة ISO 26000 معتمدة» بالمعنى المستخدم مع معايير قابلة للشهادة مثل ISO 9001 أو ISO/IEC 27001.

قد توجد برامج تقييم أو جوائز أو تقارير تحقق مستقلة تتناول المسؤولية المجتمعية. عند عرض أي منها يجب تسمية البرنامج والجهة المصدرة والنطاق بدقة، وعدم الإيحاء بأن تقريره شهادة مطابقة من ISO. تفاصيل معيار ISO 26000.

متى يُطلب مستند للمسؤولية المجتمعية؟

قد يتضمن تأهيل عميل أو استبيان مورد أو منافسة بندًا متعلقًا بالمسؤولية المجتمعية. يجب الرجوع إلى النص: هل المطلوب سياسة، أو خطة مبادرات، أو تقرير نتائج، أو تقييم وفق برنامج مسمى؟ لا نفترض أن شهادة عامة مقبولة لدى جميع الجهات، أو أنها تمنح نقاطًا محددة في كل ملف تصنيف.

قبل دفع رسوم أي برنامج، تحقق من جهة الإصدار ومنهجيته وطريقة التحقق من المستند، واسأل الجهة الطالبة عن قبول هذا النوع من الأدلة. لا تستخدم شعارات اعتماد أو أسماء جهات بما يتجاوز تفويضها الفعلي.

كيف تجهز أدلة واضحة؟

جهز سياسة معتمدة داخليًا، وخطة تنفيذ، وسجلات أو تقارير للأنشطة المنفذة، ونتائج قابلة للقياس بحسب المبادرة. مثال توضيحي: إذا كان الهدف تطوير مهارات الموظفين، وضح التدريب المنفذ والحضور وطريقة متابعة الاستفادة، بدل الاكتفاء بصورة شهادة تحمل اسم المنشأة.

لربط البرنامج بالحوكمة والأدوار، راجع خدمات الحوكمة والتطوير الإداري، وللمقارنة بين نوعي المعايير اقرأ دليل شهادات ISO.

ما المستندات التي تجهزها قبل التقديم؟

أمن المعلومات: نص متطلبات العميل، ونطاق الخدمة والمواقع والأنظمة، والسياسات والسجلات المرتبطة، والشهادة إذا طُلبت.
إدارة المخاطر: سياسة معتمدة داخليًا، ومنهجية تقييم، وسجل مخاطر وخطط معالجة ومحاضر متابعة بحسب البند المطلوب.
المسؤولية المجتمعية: سياسة وخطة مبادرات وأدلة تنفيذ ونتائج، وأي تقرير تقييم محدد تقبله الجهة الطالبة.

ابدأ بنص المتطلب، ثم حدد دليل الاستيفاء المناسب؛ لا تبدأ بشراء مستند ثم تبحث عن طريقة لاستخدامه. احتفظ باسم الجهة الطالبة ونسخة المتطلبات وتاريخ مراجعتها مع الملف.

أسئلة شائعة

هل ISO 27001 مطلوبة لكل شركة؟

ليست شرطًا عامًا لمجرد تأسيس منشأة. يُحدد الاحتياج وفق النشاط والمخاطر ونصوص متطلبات العميل أو الجهة المختصة.

هل ISO 31000 تضمن رفع درجة التصنيف؟

لا. لا نَعِد بدرجة أو نقاط محددة دون الرجوع إلى معايير التقييم السارية وملف المنشأة الكامل.

ما أول سؤال عند طلب شهادة مسؤولية مجتمعية؟

اسأل عن اسم البرنامج أو المعيار ونوع المستند والجهة المقبولة والغرض من التقديم، ثم جهز الأدلة المطابقة.

حدد المستند المناسب لاحتياج منشأتك

أرسل متطلبات الجهة الطالبة أو بند التقييم لنراجع معك النطاق والوثائق المناسبة. تواصل مع إجراء التمكين.

⁦+966 56 778 6597⁩

⁦info@ejraatamkeen.sa⁩