ما هو نموذج GRC Capability Model (الكتاب الأحمر) من OCEG؟

يتكرر في اجتماعات مجالس الإدارة ولجان المراجعة سؤال واحد بصيغ مختلفة: كيف نعرف أن منظومة الحوكمة وإدارة المخاطر والامتثال لدينا تعمل فعلاً، لا على الورق فقط؟ معظم المنظمات تملك سياسات ومصفوفة مخاطر وتقارير امتثال، لكنها تعمل في جزر منفصلة: إدارة المخاطر تقيس شيئاً، والامتثال يراقب شيئاً آخر، والتدقيق الداخلي يكتشف الفجوة بعد وقوعها. نموذج GRC Capability Model المعروف بـالكتاب الأحمر (Red Book) وُضع تحديداً لمعالجة هذا التشتت، عبر وصف القدرات التي يجب أن تتكامل داخل المنظمة بدل وصف الإدارات التي تؤديها.

ما هو الكتاب الأحمر ومن أصدره؟

الكتاب الأحمر هو الاسم الدارج لنموذج قدرات الحوكمة وإدارة المخاطر والامتثال (GRC Capability Model) الصادر عن منظمة OCEG — اختصار Open Compliance and Ethics Group — وهي منظمة غير ربحية تأسست عام 2002 وتضم ممارسين من الحوكمة والتدقيق والامتثال وإدارة المخاطر وتقنية المعلومات. سُمّي بالكتاب الأحمر نسبة إلى لون غلافه، وهي تسمية شائعة بين الممارسين أكثر من اسمه الرسمي.

أهم ما يميّز هذا النموذج أنه ليس معياراً للتصديق (Certification Standard) ولا لائحة تنظيمية، بل نموذج قدرات وصفي مفتوح: يصف ماذا يجب أن تكون المنظمة قادرة على فعله، ويترك لها حرية اختيار كيف تفعله وبأي أدوات وأطر. لهذا يوصف بأنه محايد تجاه الأطر الأخرى، ويمكن تشغيله فوق منظومة قائمة على COSO أو ISO دون أن يلغيها.

النموذج يعرّف الـGRC تعريفاً وظيفياً لا تنظيمياً: مجموعة متكاملة من القدرات التي تمكّن المنظمة من تحقيق أهدافها بموثوقية، ومعالجة عدم اليقين، والتصرف بنزاهة. هذا التعريف مهم لأنه يفصل الـGRC عن كونه ثلاث إدارات، ويجعله قدرة مؤسسية واحدة. وإذا كانت العلاقة بين المكوّنات الثلاثة ما تزال غير واضحة لديك، فمراجعة الفرق بين الحوكمة وإدارة المخاطر والامتثال وأسباب دمجها خطوة منطقية قبل الدخول في تفاصيل النموذج.

الإصدار الأوسع تداولاً بين الممارسين هو الإصدار الثالث (3.0)، وتُصدر OCEG معه أدوات تقييم مصاحبة تساعد على قياس نضج كل قدرة. ولأن الإصدارات وشروط الوصول إلى النسخة الإلكترونية تتغيّر من وقت لآخر، تحقّق من موقع OCEG الرسمي قبل الاعتماد على نسخة قديمة.

الفكرة المركزية: الأداء المبدئي (Principled Performance)

لا يبدأ الكتاب الأحمر من المخاطر ولا من اللوائح، بل من مفهوم يسميه الأداء المبدئي (Principled Performance)، ويعني: تحقيق الأهداف بشكل موثوق مع معالجة عدم اليقين والتصرف بنزاهة. الكلمات الثلاث ليست شعارات؛ كل واحدة منها تُترجم إلى متطلب عملي:

• تحقيق الأهداف بموثوقية: يعني أن منظومة الحوكمة والمخاطر مرتبطة بأهداف العمل، لا بقائمة ضوابط منفصلة عنها.
• معالجة عدم اليقين: يعني التعامل مع الفرصة والتهديد معاً، لا مع التهديد وحده؛ فتفويت فرصة توسّع هو انحراف عن الهدف مثل تحقّق خسارة.
• التصرف بنزاهة: يعني الالتزام بالحدود الإلزامية (الأنظمة واللوائح) والطوعية (القيم والتعهدات) معاً.

الأثر العملي لهذا المدخل أن أي ضابط رقابي أو سياسة لا يمكن تبريرها بجملة «هكذا يطلب النظام» فقط، بل يجب ربطها بهدف تحميه أو فرصة تمكّنها. هذا التحوّل وحده يغيّر شكل النقاش مع الإدارة التنفيذية، لأنه ينقل الـGRC من خانة التكلفة إلى خانة تمكين القرار.

بنية النموذج: أربعة مكوّنات تدور في حلقة مستمرة

يُبنى الكتاب الأحمر على أربعة مكوّنات رئيسية تعمل كدورة متصلة لا كخطوات متتابعة تنتهي: Learn (التعلّم عن السياق) ثم Align (المواءمة مع الأهداف) ثم Perform (التنفيذ) ثم Review (المراجعة والتحسين)، وتحت كل مكوّن مجموعة من الممارسات التفصيلية. الشرح الموسّع لكل مكوّن وممارساته تجده في دليل مكوّنات نموذج GRC الأربعة: Learn وAlign وPerform وReview، وما يلي ملخّص وظيفي سريع:

الخطأ الأكثر شيوعاً هنا هو القفز مباشرة إلى Perform: شراء نظام GRC وكتابة سياسات قبل إنجاز Learn وAlign. النتيجة المعتادة منظومة ضوابط ضخمة لا أحد يعرف أي هدف تحمي، وتكلفة تشغيل مرتفعة بلا أثر ملموس على القرار.

ما الفرق بينه وبين COSO وCOBIT وISO 31000؟

هذا أكثر سؤال يتكرر عند من يبدأ في الـGRC، والإجابة القصيرة: الأطر الأخرى تتخصص في نطاق محدد، بينما يعمل الكتاب الأحمر كطبقة تكامل فوقها. فـCOSO يركّز على الرقابة الداخلية وإدارة مخاطر المؤسسة، وCOBIT على حوكمة تقنية المعلومات، وISO 31000 على مبادئ وعملية إدارة المخاطر، وISO 37301 على أنظمة إدارة الامتثال (وقد حلّ محل ISO 19600 عام 2021). أما الكتاب الأحمر فيصف كيف تتحدث هذه القدرات مع بعضها داخل منظمة واحدة.

عملياً، أغلب المنظمات الكبيرة لا تختار إطاراً واحداً بل تركّب أكثر من واحد، وهنا تظهر قيمة النموذج في منع الازدواجية بين الفرق. لفهم تفاصيل هذا التركيب راجع مقارنة الأطر الرقابية الأشهر COSO وCOBIT وISO 31000 وكيفية تكاملها قبل أن تقرر ما تتبنّاه.

كيف يُطبَّق النموذج في بيئة تنظيمية سعودية؟

القيمة الأكبر للكتاب الأحمر في السوق السعودي أنه يوفّر هيكلاً واحداً تُسقَط عليه متطلبات جهات إشرافية متعددة بدل بناء منظومة مستقلة لكل جهة. المنشأة المدرجة تخضع للائحة حوكمة الشركات الصادرة عن هيئة السوق المالية، والبنوك وشركات التمويل والتأمين تخضع لتعليمات البنك المركزي السعودي، والجهات ذات الأنظمة الحساسة تلتزم بالضوابط الأساسية للأمن السيبراني من الهيئة الوطنية للأمن السيبراني، وجميع من يعالج بيانات شخصية يلتزم بنظام حماية البيانات الشخصية، إضافة إلى متطلبات مكافحة غسل الأموال ومتطلبات هيئة الزكاة والضريبة والجمارك.

بدل معالجة كل متطلب في مسار منفصل، يقترح النموذج مساراً واحداً: تُسجَّل كل هذه الالتزامات ضمن Learn كجزء من السياق الخارجي، ثم تُربط في Align بالأهداف والمخاطر التي تمسّها، ثم تُترجم في Perform إلى ضوابط وسياسات، ثم تُقاس في Review. النتيجة أن الضابط الواحد قد يخدم أكثر من متطلب، وهذا وحده يخفّض ازدواج العمل بشكل ملحوظ في فرق الامتثال الصغيرة.

ومع توسّع الاعتماد على مزوّدي الخدمات والحلول السحابية ضمن مشاريع التحول الرقمي المرتبطة برؤية 2030، صار جزء كبير من المخاطر الفعلية خارج حدود المنظمة. لذلك يجب أن تشمل دورة Learn وPerform الطرف الثالث لا الداخل فقط، وهو ما يفصّله دليل إدارة مخاطر الأطراف الثالثة والموردين. وإذا كانت سلسلة الإمداد نفسها مصدر المخاطر لديك، فالمعرفة التشغيلية بها لا تقل أهمية عن المعرفة الرقابية؛ ومقارنة شهادتي CSCP وCPIM لسلاسل الإمداد تساعد في اختيار المسار المناسب لفريق المشتريات.

للمنظمات التي تبدأ من الصفر، من العملي البدء بنطاق واحد محدود — عملية أو قطاع أعمال واحد — وتشغيل الدورة كاملة عليه قبل التوسّع. برنامج تدريبي منظّم مثل دورة GRCO في الحوكمة والمخاطر والامتثال يفيد هنا في توحيد المصطلحات داخل الفريق قبل بدء التطبيق، لأن نصف تعثّر مشاريع الـGRC سببه اختلاف تعريف «المخاطرة» بين إدارتين.

الأدلة والتوثيق: ما الذي يجعل التطبيق قابلاً للإثبات؟

مكوّن Review هو نقطة الالتقاء بين النموذج ووظيفة التدقيق الداخلي. النموذج يفرّق بين ثلاث طبقات: المراقبة المستمرة التي تؤديها الإدارة التشغيلية، والتأكيد الذي تقدّمه وظائف مستقلة، والتحسين الذي يغلق الحلقة. وأي ادعاء بأن الضابط يعمل يحتاج إلى دليل قابل للفحص، لا إلى إفادة شفهية.

هنا تصبح جودة التوثيق عاملاً حاسماً؛ فملف الأدلة الذي لا يثبت مصدر المعلومة وتاريخها ونطاق الاختبار لا يصلح أساساً لرأي ضمان. إذا كنت في دور تدقيق أو ضمان، فمعايير إعداد أوراق عمل التدقيق التي تصمد أمام المراجعة هي الحد الأدنى المهني المطلوب لتشغيل هذا المكوّن.

القدرة التي لا تترك أثراً موثّقاً لا يمكن قياس نضجها؛ وما لا يُقاس لا يُحسَّن.

الطرف الآخر من المعادلة هو إيصال النتيجة. تقرير مليء بالملاحظات الفنية دون ربطها بالهدف المتأثر ودرجة التعرّض لن يحرّك قراراً في لجنة المراجعة، ولهذا يستحق أسلوب العرض جهداً موازياً لجهد الفحص؛ راجع كيف تكتب تقرير تدقيق تقرأه الإدارة العليا فعلاً عند صياغة مخرجات Review.

القدرات البشرية: الجزء الذي تهمله معظم مشاريع GRC

يضع الكتاب الأحمر التوعية والتدريب والحوافز ضمن مكوّن Perform، لا كنشاط مساند اختياري. السبب منطقي: الضابط الرقابي ينفّذه بشر، ونظام حوافز يكافئ الأرقام قصيرة الأجل سيهزم أي سياسة مكتوبة مهما كانت محكمة. لذلك يطلب النموذج فحص اتساق الحوافز مع السلوك المطلوب، وهي مراجعة نادراً ما تُجرى في الواقع.

ولأن التدريب هنا وسيلة لسدّ فجوة قدرة محددة لا لاستهلاك ميزانية، يجب أن يسبقه تشخيص فعلي؛ ومنهجية تحليل الاحتياجات التدريبية لمعرفة ما يحتاجه فريقك فعلاً تمنع الوقوع في فخ التدريب العام الذي لا يغيّر سلوكاً. يفيد كذلك أن يجري تصميم برامج التوعية بالتعاون مع إدارة الموارد البشرية بوصفها مالكة السياسات السلوكية؛ ومن يعمل في هذا التقاطع يجد في دليل شهادة SHRM لمتخصصي الموارد البشرية في السعودية خلفية مفيدة عن معايير الكفاءة والسلوك المهني.

وهناك مهارة ثالثة يُستهان بها في مشاريع الـGRC: توصيف العمليات وجمع المتطلبات قبل أتمتة أي ضابط. من دونها تتحوّل أنظمة الـGRC إلى صورة رقمية من فوضى ورقية. لهذا يستفيد فريق التطبيق من أدوات تحليل الأعمال، ومسارات شهادات IIBA لتحليل الأعمال ECBA وCCBA وCBAP تقدّم إطاراً منضبطاً لهذا الجانب تحديداً.

شهادة GRCP وعلاقتها المباشرة بالكتاب الأحمر

تمنح OCEG شهادة GRC Professional (GRCP) ويقوم محتواها على الكتاب الأحمر نفسه، أي أن دراسة النموذج هي عملياً تحضير للشهادة. وتقدّم OCEG أيضاً مسار GRC Audit (GRCA) الموجّه لمن يدقّق على منظومات الـGRC بدل من يبنيها. الاختبار يُؤدّى إلكترونياً وأسئلته اختيار من متعدد تقيس الفهم التطبيقي للمكوّنات والممارسات أكثر من الحفظ.

أما الرسوم وشروط العضوية ومدة صلاحية الشهادة ومتطلبات التجديد فتتغيّر دورياً، لذا اعتبر أي رقم تقرأه في مصادر غير رسمية تقديرياً وارجع إلى موقع OCEG للتأكد قبل التسجيل. القاعدة العامة أن كلفة GRCP تقع في نطاق بضع مئات من الدولارات الأمريكية شاملة العضوية والاختبار، وهي أقل من كلفة معظم شهادات التدقيق والمخاطر الدولية.

للتحضير المنظّم، مسار تدريبي يغطي المكوّنات الأربعة مع تطبيقات عملية أفضل من القراءة المنفردة، خصوصاً لمن لا يملك خلفية رقابية سابقة؛ وهذا ما تستهدفه دورة التحضير لشهادة GRC Professional. ومن يتجه أكثر نحو جانب المخاطر المؤسسية قد يجد في دورة CRMO لإدارة المخاطر المؤسسية تكملة عملية لمكوّن Align تحديداً.

تنبيه مهم: الشهادة تثبت فهمك للنموذج، لكنها لا تعني تلقائياً قدرتك على تطبيقه في منظمة قائمة. القيمة الحقيقية تظهر عندما تشغّل الدورة كاملة على نطاق واحد وتخرج بمخرجات موثّقة يمكن عرضها.

خمسة أخطاء شائعة عند تبنّي النموذج

1. البدء بالأداة لا بالقدرة: اختيار منصة GRC قبل تعريف الأهداف والمخاطر يحوّل المشروع إلى مشروع تقني بلا أثر رقابي.
2. نسخ سجل مخاطر جاهز: سجل المخاطر مشتق من أهداف المنظمة وسياقها؛ السجل المستعار يبدو مكتملاً وهو فارغ من المعنى.
3. إهمال الفرص: الاكتفاء بالتهديدات يفرّغ مفهوم عدم اليقين من نصفه ويجعل وظيفة الـGRC دفاعية بالكامل.
4. فصل الحوافز عن السلوك: سياسة نزاهة قوية مع نظام مكافآت يضغط على النتائج قصيرة الأجل معادلة خاسرة سلفاً.
5. غياب مؤشرات النضج: من دون قياس دوري لمستوى كل قدرة، يتحوّل التطبيق إلى مشروع لمرة واحدة ينتهي بانتهاء الاستشاري.

في المحصلة، الكتاب الأحمر ليس وصفة تُطبَّق حرفياً بل مرآة تُظهر أين تقف قدراتك اليوم وأين الفجوة. ابدأ بتقييم صادق لمستوى كل مكوّن من المكوّنات الأربعة، اختر نطاقاً واحداً، وشغّل الدورة كاملة عليه؛ فتحسين قدرة واحدة بشكل ملموس أفضل من خطة شاملة لا تغادر العرض التقديمي.