مخطط تقييم مخاطر الموردين (شجرة قرار)

ما هي مخطط تقييم مخاطر الموردين (شجرة قرار)؟

معظم وثائق مخاطر الأطراف الخارجية تصف تسلسلاً: طلب، ثم مراجعة، ثم عقد، ثم قيد في السجل. أما هذه الوثيقة فتصف حُكماً. المخطط أدناه شجرة قرار لا خريطة عملية متعددة الوظائف. إنه يجيب على سؤال واحد: بالنظر إلى ما نعرفه عن هذا المورّد، في أي فئة يقع، وكم من العناية الواجبة يستحق، ومن يملك حق البتّ في ذلك، وينتهي كل مسار فيه بنتيجة مُسمّاة بدل العودة إلى مجرى ناجح مشترك.

هذا التمييز مهم لأن الوثيقتين تُخفقان بطريقتين مختلفتين. خريطة العملية تُخفق حين يكون التسليم غير موثّق فيبقى الملف بلا صاحب. أما شجرة القرار فتُخفق حين تكون الاختبارات غير مكتوبة، فيصنّف المورّد نفسه عالي المخاطر لدى مقيّم ومنخفضها لدى آخر، ويتحوّل السجل إلى سجل بمن أجرى التقييم لا بما هو عليه المورّد. وإذا كنت تحتاج المسار الكامل بدلاً من ذلك (نموذج الطلب، ومراجعات الشؤون القانونية والمالية، وتوقيع العقد، والتحقق من البيانات البنكية، والقيد في سجل الموردين المعتمدين) فاستخدم قالب عملية تسجيل الموردين، الذي يغطي المساحة نفسها كعملية بمسارات. أما قالب عملية اعتماد الموردين فيغطي السؤال المجاور: ما الذي اعتُمد المورّد لتوريده.

تضم الشجرة تسعة قرارات موزّعة على أربعة مسارات لحقوق القرار. الأمن والامتثال يجيبان عن أسئلة البيانات والوصول والدولة والأدلة، والمشتريات والمالية تجيبان عن الاعتمادية والإنفاق، ولجنة مخاطر الأطراف الخارجية تمسك بالبوابة الأخيرة وبنتيجة المورّد الحرج. وتخرج منها خمس نهايات: الاعتماد بمخاطر منخفضة باستبيان مختصر، أو الاعتماد بمخاطر متوسطة بعد حزمة العناية الواجبة القياسية، أو الاعتماد بمخاطر عالية بعد مراجعة معمّقة وتدقيق، أو الاعتماد كمورّد حرج مع خطة استمرارية وخروج متفق عليها، أو رفض المورّد. وتوضع ملاحظات المعايير على الاختبارات المحورية الأربعة، لأن شجرة قرار بحدود غير موثّقة ليست سوى رأي مرسوم بأسهم.

ما الذي يغطيه هذا المخطط

في هذا القالب

• أربعة مسارات لحقوق القرار (مالك النشاط، والأمن والامتثال، والمشتريات والمالية، ولجنة مخاطر الأطراف الخارجية) عبر خمس مراحل: الاستلام، والبيانات والوصول، والإنفاق والاعتمادية، والدولة والأدلة، ثم الفئة والنتيجة
• التفرّع الافتتاحي عند «هل يعالج بيانات شخصية أو منظّمة؟»: نعم تذهب إلى «هل قُبلت شروط معالجة البيانات؟» حيث ينتهي الرفض عند «رفض المورّد»، بينما تذهب الإجابة بلا إلى «هل يصل إلى أنظمتك أو مواقعك أو ملكيتك الفكرية؟» الذي يسأل عمّا إذا كان المورّد يبلغ أنظمتك أو مواقعك أو ملكيتك الفكرية حتى دون انتقال أي بيانات
• ذراع التعرّض المنخفض التي تجيب عنها المشتريات والمالية: «مصدر وحيد أو يصعب استبداله؟» يوجّه نعم إلى خطة استمرارية وخروج ثم إلى نتيجة المورّد الحرج، بينما تذهب لا إلى «هل الإنفاق فوق الحد المادي؟» حيث يُشغّل ما فوق الحد حزمة العناية الواجبة القياسية، ويُكتفى لما دون الحد باستبيان المورّد المختصر
• الذراع الحسّاسة التي يجيب عنها الأمن والامتثال: «هل الدولة أو القطاع عالي المخاطر؟» يوجّه المخاطر العالية إلى «هل توجد نتائج عقوبات أو أخبار سلبية؟»، فوجود نتائج يرفض المورّد، والنتيجة السليمة تمضي إلى المراجعة المعمّقة، بينما يوجّه المسار الاعتيادي إلى «هل توجد شهادات سارية؟» حيث تنزل الحالة الحاصلة على شهادة إلى الحزمة القياسية، وتتصاعد الحالة بلا شهادة إلى مراجعة معمّقة وتدقيق
• بوابة أخيرة، «هل اجتازت المراجعة المعمّقة؟»، توجّه الاجتياز إلى الاعتماد بمخاطر عالية مع ضوابط، وعدم الاجتياز إلى نهاية الرفض نفسها، فتكون المراجعة المعمّقة اختباراً حقيقياً لا إجراءً شكلياً
• خمس نهايات متمايزة (الاعتماد بمخاطر منخفضة، والاعتماد بمخاطر متوسطة، والاعتماد بمخاطر عالية، والاعتماد كمورّد حرج، ورفض المورّد) إضافةً إلى ملاحظات المعايير على اختبارات البيانات والاعتمادية والإنفاق والشهادات

متى تستخدم هذا القالب

• يصنّف شخصان المورّد نفسه بشكل مختلف، وتحتاج إلى اختبارات مكتوبة بدل جدال يتكرّر كل مرة
• تضبط عمق العناية الواجبة بحسب التعرّض بدل إرسال استبيان من أربعين صفحة إلى كل مورّد
• طلب منك استبيان أمني من عميل أو تمرين جاهزية لـ ISO 27001 أو SOC 2 بيان كيفية تصنيفك للأطراف الخارجية وما الذي تستدعيه كل فئة
• تحتاج إلى الاتفاق على حقوق القرار: أي الأسئلة يجيب عنها الأمن، وأيها تجيب عنه المشتريات والمالية، وأين يجب إشراك لجنة المخاطر
• لديك أصلاً عملية تسجيل أو اعتماد موردين، وخطوة تصنيف المخاطر داخلها مجرّد صندوق واحد بلا تفسير

كيف تعمل

1. افتح القالب وأعد تسمية مسارات حقوق القرار

   استبدل مالك النشاط، والأمن والامتثال، والمشتريات والمالية، ولجنة مخاطر الأطراف الخارجية، بالأدوار التي تجيب فعلاً عن هذه الأسئلة لديك. واقصر المسارات على من يملك حق القرار بدل رسم كل إدارة، وإلا عادت الشجرة خريطة عملية.

2. اكتب حدّ الإنفاق المادي على العقدة

   اختر رقماً واحداً بعملتك، واتفق عليه مع المالية، وضعه في الملاحظة على «هل الإنفاق فوق الحد المادي؟». وطبّقه على الإنفاق السنوي الملتزم به لا على أول طلبية، وبيّن ما يحدث حين يتجاوزه مورّد قائم في منتصف المدة.

3. عرّف ما الذي يجعل دولة أو قطاعاً عالي المخاطر

   سمِّ المصادر التي تعتمدها بدل ترك الأمر للاجتهاد: مؤشرات الفساد والعقوبات، وقائمة الدول المقيّدة لديك، والقطاعات الخاضعة لتنظيم خاص. وافعل الشيء نفسه لفحص العقوبات والأخبار السلبية، بتسمية القوائم التي تُفحص ومن ينفّذ البحث.

4. بيّن الشهادات المقبولة وحدودها

   اسرد الأدلة التي تتيح للمورّد سلوك مسار «حاصل على شهادة»: شهادة ISO 27001 سارية يغطي نطاقها الخدمة التي تشتريها، أو تقرير SOC 2 Type II حديث، أو شهادة قطاعية من جهة معتمدة. وانصّ صراحةً على أن الشهادة المنتهية أو المحدّدة النطاق بكيان آخر لا تُحتسب.

5. املأ ما تتطلبه كل فئة فعلياً

   نهايات الاعتماد الأربع لا تفيد ما لم تكن الحزم خلفها موجودة. دوّن ما يسأل عنه الاستبيان المختصر، وما تحتويه حزمة العناية الواجبة القياسية، وما تعنيه المراجعة المعمّقة والتدقيق عملياً، وكيف تبدو خطة الاستمرارية والخروج المقبولة لمورّد حرج.

6. اضبط محفّزات إعادة التقييم ثم عمّمه للاعتماد

   اربط بكل فئة فترة مراجعة، وأضف محفّزات حدثية تعيد المورّد عبر الشجرة: تغيّر ملكية، أو إشعار اختراق، أو تدفّق بيانات جديد، أو تجاوز حد الإنفاق. وشارك المخطط مع الأمن والمشتريات والمالية، واحصل على اعتمادهم، وأبقِه تحت ضبط الإصدارات حتى لا يفترق المخطط عن السياسة المكتوبة.

الأسئلة الشائعة

ما الفرق بين تقييم مخاطر المورّد وعملية تسجيل الموردين؟

كلٌّ منهما يجيب على سؤال مختلف. التسجيل خريطة عملية: يبيّن ماذا يحدث بعد ذلك ومن ينفّذه، من الطلب الأولي مروراً بمراجعة الشؤون القانونية والمالية وتوقيع العقد والتحقق من البيانات البنكية وحتى القيد في سجل الموردين المعتمدين. أما تقييم مخاطر المورّد فشجرة قرار: يبيّن أي خيار تختار ومن يملك اختياره، إذ يأخذ وقائع المورّد ويعيد فئة مخاطر مع عمق العناية الواجبة الذي تستدعيه تلك الفئة. وفي معظم المؤسسات يكون التقييم عقدة واحدة داخل مسار التسجيل. وتوثيقهما منفصلين يبقي مخطط التسجيل مقروءاً ويجبر معايير التصنيف على أن تُكتب بدل أن تختبئ في صندوق مكتوب عليه «تقييم المخاطر».

ما المعايير التي ينبغي أن يستخدمها تقييم مخاطر المورّد؟

ستة اختبارات تغطي معظم الحالات وهي المستخدمة في هذه الشجرة: هل يعالج المورّد بيانات شخصية أو منظّمة، وهل يحصل على وصول إلى الأنظمة أو المواقع أو الملكية الفكرية، وما الإنفاق السنوي مقابل حد مادي، وهل هو مصدر وحيد أو يصعب استبداله، وهل الدولة أو القطاع يحمل مخاطر مرتفعة، وهل لديه شهادات سارية ضمن النطاق. أبقِ القائمة قصيرة بما يكفي ليجيب عنها المقيّم من سجل الاستلام، واكتب كل حد بجوار سؤاله. فالمعايير التي تعيش في مستند سياسة منفصل تُستدعى من الذاكرة تقريباً، وهذا تحديداً ما يجعل مقيّمَين يصلان إلى فئتين مختلفتين من الوقائع نفسها.

كم فئة مخاطر للموردين ينبغي أن يكون لدينا؟

ثلاث فئات مع تصنيف «حرج» منفصل يفي بحاجة معظم المؤسسات، وهو الهيكل المعتمد هنا: منخفض، ومتوسط، وعالٍ، ثم حرج للموردين الذين يصعب استبدالهم. والإكثار من الفئات ينتج جدالاً حول التصنيف لا قرارات أفضل. ويستحق «الحرج» أن يبقى متمايزاً عن «العالي» لأنه محكوم بالاعتمادية لا بالتعرّض: مورّد قليل البيانات وقليل الإنفاق وبلا بديل مؤهل يحتاج خطة استمرارية وخروج، لا استبياناً أمنياً أطول. والفئة ينبغي أن تحكم أمرين: الأدلة المطلوبة قبل الاعتماد، ووتيرة إعادة التقييم بعده.

هل يمكن أن تحلّ الشهادة محل العناية الواجبة المعمّقة؟

جزئياً، وبشرط التحقق منها بشكل سليم. شهادة ISO 27001 سارية أو تقرير SOC 2 Type II حديث دليل مستقل على أن بيئة الضوابط قد قُيّمت، وفي هذه الشجرة ينزل مسار «حاصل على شهادة» بالمورّد من المراجعة المعمّقة إلى الحزمة القياسية. وثلاثة فحوص تحسم ما إذا كانت تُحتسب: أن يغطي بيان النطاق الخدمة التي تشتريها فعلاً، وأن تكون جهة المنح معتمدة، وأن يكون التاريخ سارياً. ولتقرير SOC 2 Type II أيضاً نافذة تدقيق ومجموعة استثناءات، فاقرأ الاستثناءات لا صفحة الغلاف. والشهادة لا تغني أبداً عن اتفاقية معالجة بيانات حين تكون هناك بيانات شخصية.

من ينبغي أن يملك قرار تقييم مخاطر المورّد؟

قسّمه بحسب السؤال بدل تسليم التقييم كله لفريق واحد. فالأمن والامتثال هما الأقدر على الإجابة عن أسئلة البيانات والوصول والدولة والشهادات لأنهما يملكان الأدلة، والمشتريات والمالية تجيبان عن الإنفاق وقابلية الاستبدال. والفئة الناتجة ينبغي أن تكون حساباً من تلك الإجابات لا مفاوضة. واحصر لجنة المخاطر في الموضعين اللذين يقع فيهما الحكم فعلاً: قبول مورّد بمخاطر عالية بعد مراجعة معمّقة، واعتماد خطة الاستمرارية التي تجعل المورّد الحرج مقبولاً. ومن أجرى المراجعة ينبغي ألّا يكون هو من يقبل المخاطر المتبقية.