مناقصة GRC لدى ICANN توحّد السجلات لا سلطة المخاطر

الخلاصة

• طلب العروض الذي نشرته ICANN في 5 أغسطس يطلب خدمة SaaS متكاملة للسياسات، ومخاطر المؤسسة والأطراف الثالثة، والتدقيق الداخلي، والامتثال، ولوحات العرض، وجمع الأدلة آلياً. تنتهي مهلة العروض في 11 سبتمبر، ولا تثبت السجلات اختيار مزود أو عقداً أو تنفيذاً.
• ينبغي للسجل المركزي أن يميز بين مالك الخطر، ومشغل الضابط، وجامع الدليل، والمختبر، ومسؤول المعالجة، وجهة الإشراف. ويمكن لسجل متنقل يطابق السلطة بالدليل أن يحفظ الدور والأساس والمصدر والاعتراض والتصحيح وراء كل حالة.

يمكن للوحة أن تعرض أن بنداً «أُغلق». لكنها لا تملك بذاتها سلطة إغلاق المسألة.

تظهر هذه الحدود في مناقصة ICANN لمنصة Governance, Risk, and Compliance. تصف وثائق 5 أغسطس خدمة مستضافة ومتاحة عالمياً تجمع إدارة السياسات، وسجلات المخاطر، وتقييم الأطراف الثالثة، والتدقيق الداخلي، وخرائط الامتثال، والتقارير، وجمع المستندات آلياً. وتقول ICANN إن أنشطتها الحالية موزعة على وظائف متعددة، وتعتمد إلى حد كبير على العمل اليدوي ومستودعات منفصلة، بما يحد من الكفاءة والرؤية المشتركة والاتساق ويزيد مخاطر إدارة الوثائق والنسخ.

للسجل المشترك منفعة واضحة. لا يعود الضابط الواحد بثلاثة أسماء في ثلاث جداول. ولا ينفصل اكتشاف التدقيق عن مسؤول المعالجة عندما ينتقل بين الإدارات. ولا تعتمد موافقة السياسة على النسخة التي صادف المستخدم فتحها. وتستطيع الفرق الموزعة استعمال المعرّفات نفسها.

غير أن التجميع يخلق إغراءً آخر: أن تصبح الحالة الأكثر ظهوراً بديلاً عن القرار نفسه. فكلمات «مقبول» و«فعال» و«تمت معالجته» و«ضمن الشهية» ليست قيماً كتابية. إنها استنتاجات تتخذها جهة مختصة لنطاق وفترة محددين، استناداً إلى دليل قد يكون ناقصاً أو محل اعتراض. يحفظ النظام ذلك الفعل، لكنه لا يكتسب التفويض لممارسته.

ما زالت هذه منافسة وليست نتيجة

النطاق العام واسع. تشمل دورة السياسات الإنشاء والمراجعة والموافقة والنشر وأتمتة المسار. وتتوافق إدارة المخاطر مع COSO وISO 31000، مع سجلات مركزية تستخدمها فرق لامركزية. وتشمل مخاطر الأطراف الثالثة التقييم والمراقبة والتوثيق. ويغطي التدقيق الداخلي التخطيط والتنفيذ والنتائج وتتبع المعالجة والتقارير. وتربط وظائف الامتثال بين ISO/IEC 27001 وSOC 2 وSOC 3 ومتطلبات الخصوصية. وقد تراقب التكاملات الضوابط باستمرار وتجمع الأدلة حيث يكون ذلك مناسباً.

تشمل المتطلبات العليا خدمة SaaS عالمية مستضافة بالكامل، وبيئة معتمدة وفق ISO 27001، وتوافراً عالياً، وصلاحيات حسب الدور، ومسارات تدقيق، وواجهات API، وتنفيذاً ودعماً وتدريباً. وتشمل معايير الاختيار الوظائف، والأتمتة، والتقارير، وسهولة الاستخدام، والدعم، والمتانة المالية، والسعر، والمراجع، وتخفيف تضارب المصالح.

هذه شروط اختيار لا إنجازات. يجب تسليم المقترحات قبل الساعة 23:59 بتوقيت UTC في 11 سبتمبر. ومن المتوقع التقييم بين 14 سبتمبر و13 نوفمبر، ثم العناية الواجبة والتعاقد وأي ترسية ابتداء من 16 نوفمبر. ويجوز لـICANN تعديل الجدول أو رفض العروض أو سحب المناقصة أو عدم الترسية. ولا تسمي المواد التي جرى فحصها فائزاً أو منصة عاملة.

كما أن الملخص المنشور ليس كامل طلب العروض. توجد مواد داعمة أخرى داخل SciQuest/Jaggaer. لذلك من المشروع التحقق من قابلية النقل، والمساعدة عند الخروج، وملكية البيانات، والاحتفاظ، ومعالجة الحوادث، وسلسلة مصدر الأدلة. لكن عدم ظهورها في الملخص لا يثبت غيابها عن المواد المقيدة أو مقترحات الموردين أو العقد المقبل.

تدخل الأداة إلى خريطة سلطة موجودة

تقول النظرة العامة لإطار المخاطر لدى ICANN، الصادرة في أكتوبر 2022، إن President and CEO يملك جميع مخاطر المنظمة ويفوض الملكية الوظيفية إلى المسؤول التنفيذي المختص. وتقوم وظيفة Risk Management بتيسير الإطار ولا تملك المخاطر. وتبقى المسؤولية لدى الوظيفة الأقرب إلى النشاط المنشئ للخطر. وتراجع لجنة الإدارة التقارير وخطط العمل، بينما يشرف مجلس الإدارة وRisk Committee على الإطار ونوع المخاطر المقبولة ومستواها.

تصف الوثيقة عام 2022 ولا تثبت بقاء كل تفصيل كما هو. لكن الميثاق الحالي لـBoard Risk Committee، المعتمد في 20 يوليو 2026، يؤكد السطوح الرئيسية الراهنة: الإشراف على تحديد المخاطر وتقييمها وترتيبها ومعالجتها، وعلى الشهية وحدود التحمل. وفي التدقيق الداخلي يوافق على النطاق والخطط والميزانية، ويراجع استقلال مقدمي الخدمة، ويتلقى النتائج وتقارير حالة الإجراءات التصحيحية التي تتولاها الإدارة.

وسجل محضر فبراير 2025 الفصل بوضوح في ذلك الوقت: كانت اللجنة تشرف على تخطيط التدقيق وتنفيذه ونتائجه، فيما بقيت الإدارة مسؤولة عن المعالجة.

لا يجوز ضغط هذه الأدوار في حساب «مستخدم» عام. إدارة المسار ليست ملكية للخطر. اختبار الضابط ليس تشغيله. الإشراف على التصحيح ليس تنفيذه. وإغلاق المهمة لا يلغي الحكم الأصلي للتدقيق. ينبغي للرؤية المركزية أن تجعل الفروق قابلة للفحص.

الدليل الآلي يحتاج إلى دعوى يثبتها

يمكن للجمع الآلي أن يتفوق على لقطات الشاشة والملفات المنسوخة يدوياً. فالربط مع أنظمة الهوية والتذاكر والبنية السحابية يحفظ الوقت والمصدر والتغطية والتكرار بدرجة أفضل.

مع ذلك، كل دليل دليل على شيء محدد. قد تدعم قائمة الحسابات المعطلة اختبار إزالة الوصول، لكنها لا تثبت أن كل الامتيازات الباقية حصلت على موافقة سليمة. وقد تُظهر قيمة إعداد وجود آلية من دون أن تشمل الاستثناءات. وتثبت التذكرة المغلقة حدوث نشاط، لا فعالية المعالجة. وقد تعرض لوحة محدثة افتراضاً قديماً عن الخطر.

لذلك يلزم تسجيل الادعاء، والمجتمع الذي يغطيه، والفترة، والمصدر، والاستعلام أو التحويل، والاستثناءات، ومن راجع الدليل وبأي سلطة. يزيد الجمع المستمر التواتر، لكنه لا يصنع الصلة أو الحكم.

مطابقة كل حالة بسلطتها ودليلها

الحماية المناسبة ليست سجلاً عاماً للمخاطر الحساسة. إنها وصلة محمية بين الحالة والفعل الذي منحها الصلاحية.

يحتاج كل خطر أو ضابط أو استثناء أو نتيجة تدقيق أو معالجة جوهرية إلى معرّف ثابت، ووظيفة مسؤولة، ودور. ويفصل السجل بين الملكية والتقييم والموافقة والقبول والاختبار والاعتراض والإشراف والمعالجة. كما يشير إلى السياسة أو بيان شهية المخاطر أو خطة التدقيق أو القرار الذي أنشأ تلك السلطة.

وتحفظ البطاقة نفسها الادعاء ونطاقه وفترته، ثم مصدر الدليل: النظام الأصلي، أو الجامع أو الاستعلام، والتحويل، والوقت، والنسخة، والتغطية، والمراجع. ولا تختفي الاستثناءات أو الأدلة المناقضة. ويسجل كل تغيير من تصرف، وبأي دور، ومتى، ولماذا، وما الاعتراض أو التصحيح الذي تلاه.

وتدخل صلاحيات المورد المميزة، وتغييرات الإعداد، وتحويلات الأدلة في المسار أيضاً. وعند الخروج، يجب أن يحفظ التصدير المعرّفات والعلاقات والقرارات والتصحيحات في صيغة يفهمها نظام آخر ومراجع مستقل. مجموعة ملفات PDF بلا روابط ليست قابلية للنقل.

هذه المطابقة بين السلطة والدليل اقتراح من Daniel Kade وليست متطلباً أعلنته ICANN. وظيفتها أن تبقي المنصة قوية في الحفظ والمسار والبحث، وضعيفة عمداً أمام ابتلاع سلطة الجهات التي تخدمها.

علنية الخريطة لا علنية المخاطر

لا تتطلب المساءلة نشر سجل المخاطر أو الثغرات أو أوراق التدقيق أو الأدلة الخام أو تفاصيل الأطراف الثالثة أو البيانات الشخصية أو الرأي القانوني أو المعالجة الحساسة. ويمكن للطبقة العامة أن تظهر خريطة سلطة معتمدة، وفصل الوظائف، واستقلال التدقيق، واختبار المصدر والتصحيح، ومراجعة الصلاحيات المميزة، وتجربة خروج فعلية.

ويمكن إبلاغ جهة الإشراف المختصة بتأخر المعالجة على مستوى مجمّع. الضمان العام المطلوب أضيق: ألا تستبدل حالة البرنامج قراراً مسؤولاً بصمت.

يكون التجميع مفيداً حين يصل الحقائق. ويصبح خطراً حين يدمج أدواراً فصلتها الحوكمة عمداً. الاختبار الدائم هو: بعد التنفيذ أو الخروج، هل يظل ممكناً معرفة من كان مخولاً، وماذا قرر، وبأي دليل، ومن كان يملك الاعتراض أو التصحيح؟ إذا بقيت الإجابات خارج اللوحة، فالمنصة تخدم الحوكمة. وإذا لم تعش إلا في حالتها الحالية، يكون حافظ السجل قد بدأ يكتب الدستور.

المصادر

1. ICANN — إعلان طلب عروض حل GRC، 5 أغسطس 2026
2. ICANN — نظرة عامة على مشروع طلب عروض حل Governance, Risk, and Compliance
3. ICANN — نظرة عامة على إطار إدارة مخاطر المنظمة، أكتوبر 2022
4. ICANN — ميثاق Board Risk Committee المعتمد في 20 يوليو 2026
5. ICANN — قرار مجلس الإدارة باعتماد ميثاق Risk Committee المنقح، 20 يوليو 2026
6. ICANN — محضر Board Risk Committee، 10 فبراير 2025