من يغلق الملاحظة؟

قراءة تطبيقية في الحوكمة · من اكتشاف الخلل إلى إغلاقه

في عام ٢٠١٥، راجع التدقيق الداخلي في شركة إكويفاكس طريقة معالجة الثغرات التقنية.

وخرج بثماني ملاحظات: بعض الإصلاحات تتأخر، ومتابعة اكتمالها غير كافية، ولا مسار واضحًا لتصعيد الثغرات التي تتجاوز موعدها.

وبعد نحو عامين، تعرضت الشركة لاختراق كبير.

استغلت ثغرة أعلن عنها في مارس ٢٠١٧، ولم تعالج خلال المهلة التي حددتها سياسة الشركة.

وهنا يجب التفريق: مراجعة ٢٠١٥ لم تكتشف الثغرة التي استغلت لاحقًا؛ بل كشفت ضعفًا في الطريقة التي يفترض أن تضمن اكتشاف الثغرات وإصلاحها ومتابعتها.

السؤال المهني ليس: من أخطأ في الإصلاح؟ بل: من كان يتابع الخلل المعروف، وماذا يحدث حين لا يعالج؟

١.
حين تكتشف المشكلة ولا تنتهي

وثق تحقيق مجلس النواب الأمريكي أن عددًا من ملاحظات مراجعة ٢٠١٥ ظل دون معالجة كافية قبل اختراق ٢٠١٧، ومنها قصور في حصر الأنظمة، وفي متابعة الإصلاحات، وفي تصعيد الثغرات المتأخرة.

ووجد تحقيق مجلس الشيوخ أن التدقيق الداخلي لم يجر متابعة تدقيقية رسمية لتقرير ٢٠١٥ قبل الاختراق.

وذكرت الشركة أنها اتخذت خطوات لمعالجة بعض المشكلات — فلا نقول إن شيئًا لم يحدث.

لكن إجراءات المعالجة لم تكف لإغلاق عدد من أوجه القصور التي سبق اكتشافها.

اكتشاف المشكلة لا يكفي — وإنجاز الإجراء ليس إغلاق الملاحظة.

٢.
أين تقع المسؤولية؟ وأين تعمل الرقابة؟

لا نضع الأخطاء كلها في سلة واحدة.

نتتبع الملاحظة من مصدرها إلى إغلاقها محطة محطة، ونسأل عند كل وصلة:

ماذا تثبت المادة، وماذا لا تحسمه؟ وأين انقطع الطريق؟

٣.
أين المساءلة؟

المساءلة ليست البحث عن شخص واحد نحمله كل شيء.
نفحص واجب كل مستوى على حدة.

المنفذ يسأل عما كلف به وقدر على إنجازه.

والمشرف يسأل عن متابعته.

والجهة المختصة بالرقابة تسأل عن رصد التعثر وتصعيده ضمن مسؤولياتها.

والتدقيق الداخلي يسأل عن واجبه في التأكيد المستقل، لا عن تنفيذ الإصلاح بدل الإدارة.

وأما الإدارة العليا والجهة المشرفة عليها فتفحص قراراتهما بحسب ما وصل إليهما من معلومات، وما كان لهما من سلطة وقدرة على المعالجة.
ولا نثبت تقصيرًا على أحد لمجرد وجود اسمه في الهيكل.

تقصير مستوى لا يسقط واجب المستوى الآخر — ولا يثبت تقصيره.

٤.
ماذا أفحص لو واجهت هذه المشكلة في منشأة؟

لا أبدأ بكتابة سياسة جديدة.
أبدأ بملف الملاحظات المفتوحة، وأطلب لكل ملاحظة مهمة أربعة:

1. اسم مسؤول المعالجة
2. الموعد
3. ما أنجز فعلًا
4. الدليل على الإغلاق

ثم أفحص: من يتابع الملاحظات المتأخرة؟ ومتى ترفع إلى صاحب سلطة الحسم؟ ومن يتحقق — مستقلًا — من كفاية المعالجة بحسب خطورة الملاحظة؟

وهذه لا تستخرج من تقرير واحد.

مظانها ملف الملاحظات المفتوحة، وقرارات الإسناد، ومصفوفة الصلاحيات، ومحاضر لجنة المراجعة — وهي أول ما يطلب، لا آخر ما يراجع.

فإن كانت المشكلة في عدم إسناد العمل، حددت صاحبه بمهلة.

وإن كانت في قيد على الصلاحية أو الموارد، رفعت القيد أو نقلت الإسناد.

وإن كانت المعالجة قد بدأت ولم تكف، لم أقبل إغلاقها بتقرير إنجاز، بل بمعيار إغلاق موضوع على الملاحظة نفسها — فإن لم يستوف بقيت مفتوحة.

وإن كان الخلل في غياب التحقق المستقل، فتحت متابعة تدقيقية على المفتوح.

وإن تعثرت ولم تحسم، لم أترك الملاحظة مفتوحة بلا موعد ولا مالك ولا قرار.

الخلاصة

ليست القيمة في أن تكتشف المنشأة الخلل مرة واحدة.

القيمة أن تعرف من يعالجه، ومن يتابع تأخره، ومن يتحقق من إغلاقه، ومن يحسم الأمر إذا تعثر.

لا تسأل فقط: هل اكتشفت المشكلة؟ اسأل: أين ذهبت الملاحظة بعد اكتشافها؟