Summary

  • فحص GAO ثمانية عشر برنامجاً كبيراً لتقنية معلومات الأعمال في DOD، خُطط لإنفاق 10.3 مليارات دولار عليها خلال السنوات المالية 2024–2026. أفادت سبعة برامج بأن موظفيها لم يتلقوا، أو لم يعلموا بتوافر، تدريب خلال العامين السابقين للتعرف إلى الاحتيال أو العبث في أنظمة التقنية والإبلاغ عنه.
  • أفاد أحد عشر برنامجاً بتلقي التدريب أو العلم به. وقالت عشرة إنها تقيّم مخاطر الاحتيال لديها، وخمسة إنها لا تفعل، وثلاثة إنها لا تعرف. تفرض الوزارة توعية عامة بالاحتيال، لكن مسؤوليها قالوا إن التدريب الخاص باكتشافه داخل أنظمة التقنية ليس مطلوباً حالياً.
  • أوصى GAO بأن يعمل كبير مسؤولي المعلومات (Chief Information Officer، CIO) مع مكتب Comptroller، الذي عيّنته DOD منذ يوليو 2020 لإدارة مخاطر الاحتيال على مستوى الوزارة. معيار التنفيذ ملف لدى كل برنامج يربط خطره الفعلي بمحتوى التدريب والموظفين ومسار البلاغ.

شهادة واحدة لا تصف ثمانية عشر نظاماً

تبدو الدورة العامة فعالة في تقرير مركزي: عدد الملتحقين واضح، وتاريخ الإكمال معروف، ويمكن لصاحب المكتب أن يضع علامة أمام البند. يختلف المشهد عند تشغيل نظام للمدفوعات أو للعاملين أو للتعاقد. قد يرى الموظف تغييراً غير مألوف في صلاحية أو مسار اعتماد. عليه أن يميز ما يحتاج إلى تحقق، وأن يعرف من يملك سلطة المتابعة. هذا لا يأتي من تعريف مجرّد للاحتيال؛ بل من أمثلة تخرج من عمل البرنامج نفسه.

قدّم تقرير GAO المنشور في 28 سبتمبر 2026 قياساً لهذا الفاصل. اختار المكتب ثمانية عشر برنامجاً من استثمارات الأعمال التقنية الكبرى التي أبلغت بها DOD، ثم سأل مكاتبها عن الممارسات. قال مسؤولو سبعة برامج إن الموظفين لم يتلقوا، أو لم يعرفوا، تدريباً في العامين الماضيين للتعرف إلى علامات الاحتيال أو العبث في الأنظمة وإبلاغها. أفادت البرامج الأحد عشر الأخرى بتلقي التدريب أو العلم به. يعود وضع الإجابات إلى أبريل 2026.

تسند هذه الأنظمة العمل اليومي في الصحة وشؤون الموظفين والمال واللوجستيات والعقود. وقدّر مكتب CIO في DOD إنفاقاً مخططاً قدره 10.3 مليارات دولار على البرامج الثمانية عشر عبر السنوات المالية الثلاث 2024 إلى 2026؛ وذهب نصف المبلغ المخطط إلى أربعة برامج. هذه ليست كلفة حادثة واحدة، بل حجم العمل الذي يتطلب ضبطاً يمكن اختباره عند البرنامج نفسه. من الممكن أن ينجح سجل التدريب المركزي في حساب الحضور بينما يظل مشغّل نظام كبير يبحث عن مثال يخص سير عمله.

المسؤولية موزعة، والفجوة في التسليم

أوضحت DOD لـGAO أن Office of the Under Secretary of Defense (Comptroller) هي الجهة المعينة منذ يوليو 2020 للإشراف على مخاطر الاحتيال في الوزارة. وذكرت التدريب العام الإلزامي ومتطلبات الإدارة المالية التي أدخلتها في إرشادات التصديق السنوية لأنظمة الأعمال. هذه أدوات مؤسسية قائمة. يدير CIO جانب الاستثمارات التقنية الكبرى، وتعرف الفرق المحلية تفاصيل البيانات والموافقات والمستخدمين.

لكن مسؤولي DOD قالوا أيضاً إن الوزارة لا تشترط حالياً تدريباً محدداً للتعرف إلى علامات الاحتيال في أنظمة التقنية والإبلاغ عنها. بين التوعية العامة وتطبيقها في نظام بعينه توجد عملية تسليم تحتاج إلى صاحب واضح. يختار أحدهم الأمثلة المناسبة، ويحدد أدوار الموظفين، ويحدّث التدريب حين يتغير النظام، ويضمن وصول البلاغ إلى من يستطيع اتخاذ قرار. إذا لم تصل هذه الخطوات إلى البرنامج، فوجود السياسة في المكتب الأعلى لا يجعلها مهارة في المكتب الأدنى.

أظهر سؤال آخر في الاستبيان حجم الفراغ الإداري. قالت عشرة برامج إنها تقيّم مخاطر الاحتيال التي تواجهها، وقالت خمسة إنها لا تقيّمها، ولم تعرف ثلاثة إن كانت تجري تقييماً. عدم المعرفة هنا واقعة حوكمة: كيف تُبنى أمثلة التدريب على تقييم لا يستطيع المسؤول عن البرنامج الإشارة إليه؟ يطلب إطار GAO أن يفهم الموظف مخاطر وظيفته، وأن يميز ضوابط الاحتيال من الضوابط المالية المعتادة، وأن يتلقى توجيهاً مستمراً. المسألة ممارسة مرتبطة بعمل النظام.

توصية جديدة تحمل عنوان مكتبين

أصدر GAO توصية جديدة واحدة في هذا التقييم السنوي. يوجّه وزير الدفاع CIO، بالتعاون مع Comptroller، إلى ترسيخ ممارسة مضادة للاحتيال في برامج تقنية الأعمال الكبرى عبر تدريب يرفع الوعي، ويشرح المخاطر في المجالات الوظيفية ذات الصلة، ويعرّف الموظفين إلى أنشطة تقييمها. أعاد التقرير أيضاً التذكير بست توصيات سابقة لم تُنجز بعد في مسارات أخرى. ولكل مسار دليل تقدم يخصه.

وافقت DOD جزئياً على التوصية. أشارت إلى أن Comptroller مكلف بالفعل بالملف وإلى ما ورد في دليل التصديق على أنظمة الأعمال. تمسّك GAO بالتنسيق بين المكتبين كي يتلقى العاملون في البرامج تدريباً ذا صلة ويعرفوا بإمكان الوصول إليه. رأى أحد الطرفين اسماً في مخطط السلطة؛ وطلب الآخر أثراً في طريقة العمل. إدارة الخطر لا تكتمل بتسمية صاحب السياسة إذا بقيت البرامج عاجزة عن وصف الدرس الذي وصل إليها.

في التقرير نفسه نتائج أخرى تخص التنفيذ: ثمانية من عشرة برامج تطور البرمجيات بنشاط لم تثبت استخدام المقاييس والأدوات الرشيقة المطلوبة؛ وستة من ثمانية عشر لم تعد خطة لتنفيذ zero trust قبل موعد DOD في 2027؛ وثلاثة لم يكن لديها تصور معتمد للأمن السيبراني. لكل رقم شروطه وسياقه. الجامع بينها هو الحاجة إلى سجل خاص بالبرنامج يثبت كيف صارت القاعدة العامة جزءاً من تشغيله.

الدليل الناقص محدد: تقييم مخاطر الاحتيال لكل برنامج، وما تعلمته الأدوار المعنية، ومتى وصل إليها الدرس، ومن يستلم إشارة الشك. متابعة لاحقة من DOD أو GAO تُظهر هذه السلسلة في البرامج الثمانية عشر ستغيّر الحكم. في الوضع الذي سجله التدقيق، بقيت سبع إجابات علامة على أن التدريب العام لم يصل بصيغة نافعة إلى كل نظام كبير.

المصادر