مراجعة أتمتة العمليات الآلية: إدارة مخاطر الأتمتة في الجهات بالمملكة العربية السعودية

تتوسع الجهات الحكومية والمنشآت الخاصة في المملكة العربية السعودية في استخدام الأتمتة لتنفيذ الأعمال المتكررة، وتسريع إنجاز المعاملات، وتقليل الأخطاء اليدوية، ورفع كفاءة الخدمات. ويواكب هذا التوسع مستهدفات التحول الرقمي ورؤية المملكة، إلا أن الاعتماد المتزايد على الأنظمة المؤتمتة يفرض مسؤوليات رقابية جديدة. فالأتمتة لا تلغي المخاطر، بل تنقلها من مستوى التنفيذ البشري المباشر إلى مستوى التصميم والبرمجة والصلاحيات والبيانات والاستمرارية. لذلك تحتاج الجهة إلى مراجعة منهجية تتأكد من أن الحلول المؤتمتة تنفذ الأعمال الصحيحة، وفق ضوابط معتمدة، وبنتائج قابلة للتحقق والتتبع.

تبدأ عملية التدقيق الداخلي بفهم الغرض من كل إجراء مؤتمت، والجهة المالكة له، والبيانات التي يعتمد عليها، والقرارات التي ينفذها، والأنظمة التي يتصل بها. ولا يكتفي المراجع بملاحظة سرعة الإنجاز أو انخفاض التكلفة، بل يختبر سلامة التصميم، ووضوح المسؤوليات، ودقة المخرجات، وقدرة الجهة على اكتشاف الانحرافات ومعالجتها. كما يربط نطاق المراجعة بمستوى الأثر المحتمل على المستفيدين، والالتزامات النظامية، والموارد المالية، وسمعة الجهة، واستمرارية الخدمات الحيوية.

حوكمة الأتمتة وتحديد المسؤوليات

تؤسس الحوكمة الفاعلة نقطة الانطلاق لإدارة مخاطر الأتمتة. وتحتاج الجهة إلى سياسة معتمدة تحدد ضوابط اختيار العمليات المناسبة للأتمتة، وآليات الموافقة على التطوير والتعديل، ومتطلبات الاختبار، وحدود الصلاحيات، ومسؤوليات المتابعة. كما تعين مالكًا لكل عملية مؤتمتة، وتحدد مسؤولية فرق التقنية والأعمال والمخاطر والالتزام والأمن السيبراني. ويمنع هذا التحديد تضارب الأدوار، ويضمن وجود جهة تحاسب على جودة التصميم ودقة التنفيذ واستمرارية التشغيل.

ينبغي أن تنشئ الجهة سجلًا مركزيًا لجميع العمليات المؤتمتة، يتضمن وصف كل عملية، والأنظمة المرتبطة بها، ومستوى حساسيتها، ونوع البيانات المستخدمة، وتاريخ آخر تعديل، ونتائج الاختبارات، وخطط الاستجابة للأعطال. ويساعد هذا السجل الإدارة والمراجعين على تكوين صورة شاملة عن حجم الاعتماد على الأتمتة، وتحديد العمليات الحرجة، وترتيب أولويات المراجعة وفق مستوى المخاطر. كما يمنع ظهور حلول غير معتمدة تعمل خارج الإطار الرقابي للجهة.

تقييم المخاطر قبل التنفيذ وبعده

تراجع الجهة مخاطر العملية قبل أتمتتها، لأن الأتمتة قد تسرع تنفيذ الخطأ إذا بُنيت على إجراء ضعيف أو قاعدة قرار غير دقيقة. ويشمل التقييم فحص ملاءمة العملية، واستقرار خطواتها، ووضوح الاستثناءات، وجودة البيانات، وحجم المعاملات، وحساسية المخرجات. كما يقيس أثر الخطأ المحتمل على الحقوق المالية، والخدمات المقدمة، والبيانات الشخصية، والالتزامات النظامية. وبناءً على ذلك تحدد الجهة مستوى الموافقات المطلوبة، وعمق الاختبارات، وشدة المتابعة بعد التشغيل.

لا يتوقف التقييم عند مرحلة الإطلاق، بل تتابع الجهة المخاطر طوال دورة حياة العملية المؤتمتة. فقد تتغير الأنظمة المرتبطة، أو تتبدل قواعد العمل، أو تظهر استثناءات جديدة، أو تتراجع جودة البيانات. لذلك تراجع الجهة سجل المخاطر دوريًا، وتربط كل خطر بضابط واضح، ومؤشر قياس، ومالك مسؤول، وتاريخ معالجة. كما تعيد التقييم عند كل تعديل جوهري، أو تعطل متكرر، أو تغير نظامي، أو توسع في نطاق الاستخدام.

ضوابط الصلاحيات والفصل بين المهام

تحتاج العمليات المؤتمتة إلى صلاحيات محددة بدقة، لأن الحساب المؤتمت قد ينفذ عددًا كبيرًا من المعاملات خلال وقت قصير. وتمنح الجهة أقل قدر من الصلاحيات اللازمة، وتمنع استخدام الحسابات المشتركة، وتفصل بين صلاحيات التطوير والتشغيل والمراقبة. كما تراجع صلاحيات الحسابات المؤتمتة دوريًا، وتعطل الحسابات غير المستخدمة، وتوثق أسباب منح الصلاحيات الحساسة. ويقلل هذا النهج احتمال إساءة الاستخدام أو تنفيذ معاملات غير مصرح بها.

عند الحاجة إلى دعم متخصص، يمكن للجهة تقييم خبرات شركات استشارية في المملكة العربية السعودية وفق معايير واضحة تشمل فهم الأنظمة المحلية، والقدرة على نقل المعرفة، واستقلالية التقييم، وسرية البيانات، وجودة منهجيات الاختبار. ولا تنقل الجهة مسؤوليتها الرقابية إلى الطرف الخارجي، بل تحدد نطاق العمل، ومخرجاته، وحقوق الوصول، وآليات المتابعة، ومتطلبات الإبلاغ عن الثغرات. كما تتحقق من عدم وجود تعارض مصالح يؤثر في موضوعية المراجعة.

اختبار التصميم ودقة التنفيذ

يفحص المراجع منطق العملية المؤتمتة خطوة بخطوة، ويتأكد من أن قواعد القرار تعكس السياسات والإجراءات المعتمدة. كما يختبر الحالات العادية والاستثنائية، والحدود القصوى والدنيا، والبيانات الناقصة، والمعاملات المكررة، وحالات توقف الأنظمة المرتبطة. ويقارن النتائج المتوقعة بالنتائج الفعلية، ويتحقق من أن النظام يرفض المدخلات غير الصحيحة، ويسجل سبب الرفض، ويرسل التنبيهات إلى المسؤولين في الوقت المناسب.

تتطلب دقة التنفيذ عينات مناسبة تغطي فترات مختلفة وأنواعًا متنوعة من المعاملات. ويعيد المراجع تنفيذ بعض العمليات يدويًا للتحقق من صحة النتائج، ويطابق المخرجات مع السجلات المصدرية، ويفحص الاستثناءات والتعديلات اليدوية. كما يحلل الأنماط غير المعتادة، مثل الارتفاع المفاجئ في عدد المعاملات، أو تكرار الأخطاء، أو تنفيذ العمليات خارج الأوقات المعتادة. ويساعد هذا التحليل على كشف مشكلات لا تظهر من خلال الفحص التقليدي المحدود.

إدارة التغيير وحماية بيئة التشغيل

تفرض الجهة ضوابط صارمة على أي تعديل يطرأ على العملية المؤتمتة. فتطلب توثيق سبب التعديل، ومراجعته من مالك العملية، واختباره في بيئة منفصلة، واعتماده قبل نقله إلى التشغيل. كما تحتفظ بسجل للإصدارات يوضح ما تغير، ومن نفذ التغيير، ومن وافق عليه، ومتى بدأ تطبيقه. وتمنع التعديلات المباشرة في بيئة التشغيل، لأنها قد تؤدي إلى أخطاء غير مكتشفة أو تغييرات غير مصرح بها.

تحمي الجهة بيئة التشغيل من خلال التحكم في الوصول، ومراقبة الأنشطة، وتشفير البيانات الحساسة، وتحديث الأنظمة، وفحص نقاط الاتصال بين التطبيقات. كما تراقب الحسابات المؤتمتة وتتحقق من عدم استخدامها خارج الغرض المحدد. وتنسق فرق الأتمتة مع فرق الأمن السيبراني لتقييم الثغرات، واختبار الاستجابة للحوادث، ومعالجة التنبيهات. ويضمن هذا التنسيق ألا تتحول الأتمتة إلى مسار خفي للوصول إلى الأنظمة أو البيانات.

جودة البيانات وسلامة السجلات

تعتمد نتائج الأتمتة على جودة البيانات المدخلة، ولذلك تضع الجهة قواعد للتحقق من الاكتمال والدقة والاتساق والتوقيت. كما تحدد مصادر البيانات المعتمدة، وتمنع إدخال البيانات من قنوات غير موثوقة، وتراقب التغييرات التي تطرأ على بنية البيانات. وعندما تكتشف الجهة خللًا، توقف المعالجة عند الحاجة، وتمنع انتشار الخطأ إلى أنظمة أخرى، وتوثق المعاملات المتأثرة وخطوات التصحيح.

توفر السجلات الرقمية دليلًا أساسيًا للمراجعة والمساءلة. لذا تحتفظ الجهة بسجلات توضح وقت تنفيذ كل إجراء، والحساب المستخدم، والمدخلات، والقرارات، والمخرجات، والاستثناءات، والتدخلات اليدوية. وتحمي هذه السجلات من التعديل أو الحذف غير المصرح به، وتحدد مدة الاحتفاظ بها وفق المتطلبات النظامية والتشغيلية. كما تتيح للمراجعين الوصول المنضبط إليها لإعادة بناء مسار المعاملة والتحقق من سلامته.

الالتزام بالمتطلبات التنظيمية وحماية الخصوصية

تربط الجهة ضوابط الأتمتة بالمتطلبات التنظيمية المعمول بها في المملكة، ولا تفصل التطوير التقني عن واجبات الالتزام المؤسسي. فتحدد الأساس النظامي لمعالجة البيانات، وتتحقق من اقتصار جمع المعلومات على القدر اللازم، وتضبط أغراض استخدامها ومشاركتها والاحتفاظ بها. كما تراجع أثر القرارات المؤتمتة على حقوق الأفراد، وتوفر مسارًا واضحًا للاعتراض أو التصحيح عندما تؤثر المخرجات في خدمة أو استحقاق أو معاملة مالية.

تراجع الجهة مواقع حفظ البيانات ومسارات انتقالها بين الأنظمة، وتحدد الأطراف التي تستطيع الاطلاع عليها، وتراقب عمليات النسخ والتنزيل والمشاركة. كما تضمن أن العقود المبرمة مع مقدمي الخدمات تتضمن التزامات واضحة لحماية السرية، والإبلاغ عن الحوادث، وإعادة البيانات أو إتلافها عند انتهاء العلاقة التعاقدية. وتختبر الجهة تطبيق هذه الالتزامات فعليًا، ولا تعتمد على النصوص التعاقدية وحدها لتأكيد سلامة المعالجة.

الاستمرارية وإدارة الأعطال

تخطط الجهة لاستمرار الأعمال عند توقف الإجراء المؤتمت أو تعطل أحد الأنظمة المرتبطة به. وتحدد البدائل اليدوية، ومسؤوليات التصعيد، وأولويات الاستعادة، والحد الأقصى المقبول للتوقف. كما تختبر خطط الاستمرارية بصورة دورية، وتتحقق من جاهزية الموظفين لتنفيذ البدائل دون تعطيل مصالح المستفيدين. ويجب أن تمنع الخطة تكرار المعاملات أو فقدانها عند العودة إلى التشغيل الطبيعي.

تتعامل الجهة مع الأعطال باعتبارها مصدرًا للتعلم والتحسين، لا مجرد مشكلة تقنية عابرة. فتسجل كل حادثة، وتحلل السبب الجذري، وتقيس أثرها، وتحدد الإجراءات التصحيحية، وتتابع تنفيذها حتى الإغلاق. كما تراجع التنبيهات الكاذبة والأخطاء المتكررة والاستثناءات المتزايدة، لأنها قد تشير إلى ضعف في التصميم أو تغير في بيئة العمل. ويعزز هذا النهج قدرة الجهة على منع تكرار الأعطال ورفع موثوقية الخدمات.

المتابعة المستمرة ورفع التقارير

تعتمد الإدارة مؤشرات رقابية تقيس أداء العمليات المؤتمتة، مثل نسبة النجاح، وعدد الاستثناءات، وحجم التدخل اليدوي، وزمن المعالجة، ومعدل الأعطال، وعدد التغييرات غير المخطط لها. وتربط الجهة هذه المؤشرات بحدود إنذار واضحة، وتكلف المسؤولين بتحليل الانحرافات واتخاذ الإجراءات المناسبة. ولا تكتفي بمؤشرات الكفاءة، بل تتابع أيضًا مؤشرات الالتزام والجودة والأمن ورضا المستفيدين.

ترفع فرق المراجعة تقارير واضحة إلى الإدارة واللجان المختصة، وتعرض مستوى المخاطر، ونقاط الضعف، وأثرها المحتمل، وأولويات المعالجة، والجهات المسؤولة، والمواعيد المستهدفة. وتستخدم لغة عملية تساعد متخذي القرار على فهم المخاطر دون مبالغة أو غموض. كما تتابع تنفيذ التوصيات، وتتحقق من فاعلية الإجراءات بعد تطبيقها، وتعيد الاختبار عند الحاجة لضمان معالجة السبب الحقيقي بدل الاكتفاء بحلول مؤقتة.

بناء ثقافة رقابية داعمة للأتمتة

تنجح مراجعة الأتمتة عندما تدعمها ثقافة مؤسسية تجمع بين الابتكار والانضباط. وتدرب الجهة فرق الأعمال والتقنية والمخاطر على فهم مسؤولياتهم، والإبلاغ عن الأخطاء، وتوثيق التغييرات، وحماية البيانات. كما تشجع الموظفين على مناقشة المخاطر مبكرًا قبل إطلاق الحلول، وتمنع التعامل مع الرقابة باعتبارها عائقًا للتطوير. وبهذا الأسلوب ترفع الجهة سرعة الإنجاز من دون التضحية بالموثوقية أو المساءلة أو حقوق المستفيدين.

اقرأ أيضًا: 

• ما الذي يمكن توقعه من مهمة استشارات المراجعة الداخلية في المملكة العربية السعودية؟
• ما تكلفة خدمات استشارات المراجعة الداخلية في المملكة العربية السعودية؟