لماذا يتنامى الطلب على وظائف GRC في السوق السعودي؟

خلال السنوات الأخيرة تحوّل الامتثال في المملكة من مهمة تُنجَز على عجل قبل زيارة الجهة الرقابية إلى وظيفة دائمة لها ميزانية وهيكل وتقارير ترفع إلى مجلس الإدارة. هذا التحول هو ما يفسّر تكرار مسمّيات مثل أخصائي حوكمة ومخاطر وامتثال (GRC) في إعلانات التوظيف السعودية، وارتفاع عدد المنشآت التي تبحث عن كوادر وطنية قادرة على بناء هذه الوظيفة من الصفر. في ما يلي تفكيك عملي لأسباب الطلب، وأين توجد الوظائف فعلاً، وما الذي يحتاجه من يريد دخول هذا المسار.

ما الذي تعنيه GRC ولماذا أصبحت وظيفة قائمة بذاتها؟

GRC اختصار لثلاث ممارسات مترابطة: الحوكمة (Governance) أي كيف تُتخذ القرارات ومن يُساءل عنها، وإدارة المخاطر (Risk Management) أي كيف تُحدَّد التهديدات وتُقاس وتُعالَج، والامتثال (Compliance) أي كيف تثبت المنشأة التزامها بالأنظمة واللوائح المنطبقة عليها. تقليدياً كانت هذه الممارسات موزعة على جهات متباعدة: الحوكمة عند أمانة المجلس، والمخاطر عند الإدارة المالية، والامتثال عند الشؤون القانونية، وأمن المعلومات في إدارة منفصلة تماماً.

المشكلة أن هذا التوزيع ينتج ازدواجاً مكلفاً: الإدارة التشغيلية نفسها تُسأل عن الضوابط ذاتها ثلاث مرات، من ثلاث جهات، وبثلاث لغات مختلفة. من هنا جاء منطق الدمج الذي تقوم عليه أطر مثل نموذج القدرة على GRC (GRC Capability Model) الصادر عن منظمة OCEG، والذي ينظّم العمل في أربع مراحل متكررة: الفهم، والتصميم، والتنفيذ، والمراجعة. الوظيفة التي تُشغّل هذا المنطق يومياً هي ما نسميه اليوم وظيفة GRC.

المحرك الأول: كثافة الأنظمة واللوائح في المملكة

السبب الأوضح لتنامي الطلب هو أن عدد الجهات الرقابية التي تصدر متطلبات إلزامية، وعدد المتطلبات نفسها، ارتفع بوتيرة لم يعتدها السوق. الشركة المدرجة اليوم تتعامل مع لائحة حوكمة الشركات الصادرة عن هيئة السوق المالية، ومتطلبات الإفصاح الدوري، ولجان المجلس الإلزامية؛ وهي تفاصيل فصّلناها في مقال حوكمة الشركات في السعودية ولائحة هيئة السوق المالية، ويصعب على أي منشأة تنفيذها بجهد بدوام جزئي.

أضف إلى ذلك طبقات تنظيمية أخرى تنطبق على قطاعات واسعة، من أبرزها:

• ضوابط الأمن السيبراني الأساسية (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني، وما يتفرع عنها من متطلبات للأنظمة الحسّاسة والخدمات السحابية.
• نظام حماية البيانات الشخصية ولائحته التنفيذية، الذي فرض على الجهات توثيق أنشطة المعالجة وتحديد الأساس النظامي لجمع البيانات والاستجابة لطلبات أصحابها.
• متطلبات البنك المركزي السعودي للجهات الخاضعة لإشرافه في إدارة المخاطر والأمن السيبراني واستمرارية الأعمال.
• نظام مكافحة غسل الأموال وتمويل الإرهاب، وما يستوجبه من إجراءات العناية الواجبة والإبلاغ عن العمليات المشبوهة.
• متطلبات هيئة الزكاة والضريبة والجمارك، وعلى رأسها مراحل الفوترة الإلكترونية وربط أنظمة المنشآت.

كل متطلب من هذه المتطلبات لا ينتهي عند التطبيق مرة واحدة، بل يولّد التزاماً مستمراً بالتوثيق وجمع الأدلة والمراجعة الدورية وإثبات الأثر. وهذا بالضبط ما يحوّل الامتثال من مشروع مؤقت إلى وظيفة دائمة.

المحرك الثاني: رؤية 2030 وتوسّع القطاعات المنظّمة

برامج رؤية 2030 وسّعت قاعدة المنشآت التي تحتاج بنية حوكمة ناضجة: خصخصة خدمات كانت حكومية، وإطلاق شركات كبرى مملوكة لصناديق سيادية، وتشجيع الشركات العالمية على نقل مقارّها الإقليمية إلى الرياض، وتوسّع قطاعات جديدة نسبياً مثل السياحة والترفيه والتقنية المالية. كل كيان من هذه الكيانات يحتاج منذ يومه الأول سجل مخاطر ومصفوفة صلاحيات وسياسات معتمدة وقناة إبلاغ عن المخالفات.

وهناك ضغط موازٍ من جهة المستثمرين والشركاء. المستثمر الأجنبي أو المقرض الدولي يسأل عن إطار إدارة المخاطر ومدى استقلالية المراجعة الداخلية قبل أن يسأل عن الأرقام أحياناً، ويطلب أدلة على تطبيق معايير معترف بها دولياً مثل ISO 31000 لإدارة المخاطر أو ISO 37301 لأنظمة إدارة الامتثال. المنشآت التي لا تملك من يتحدث هذه اللغة تخسر فرصاً تجارية قبل أن تخسر نقاطاً رقابية.

المحرك الثالث: امتثال الموارد البشرية وملف التوطين

جزء كبير من مخاطر الامتثال في المنشآت السعودية ليس مالياً ولا سيبرانياً، بل عمّالياً. عقود العمل، وساعات الدوام والعمل الإضافي، وإنهاء الخدمة ومستحقاتها، وحماية الأجور، والسلامة المهنية، كلها بنود تخضع للتفتيش وللغرامات، وقد فصّلنا أهمها في نظام العمل السعودي وما يجب أن يعرفه مختص الموارد البشرية.

يضاف إلى ذلك ملف التوطين. الحفاظ على نطاق المنشأة يؤثر مباشرة في قدرتها على إصدار التأشيرات ونقل الخدمات والتعامل مع المنصات الحكومية، وإدارته تحتاج متابعة شهرية وبيانات دقيقة لا اجتهاداً موسمياً، وهو ما شرحناه في دليل السعودة ونطاقات وإدارة الامتثال لنسب التوطين. والمفارقة المفيدة لمن يقرأ هذا المقال أن التوطين نفسه محرّك إضافي للطلب: كثير من أدوار الحوكمة والمخاطر والامتثال تُستهدف بها الكوادر السعودية أولاً، لأنها أدوار مقرّية دائمة ومرتبطة بالعلاقة المباشرة مع الجهات الرقابية.

أين توجد وظائف GRC فعلاً؟ خريطة الأدوار

مصطلح GRC مظلة تضم أدواراً تختلف في المهام والخلفية المطلوبة، والخلط بينها سبب شائع لتقديم المرشحين على وظائف لا تناسبهم. الجدول التالي يوضح أكثر الأدوار تكراراً في إعلانات التوظيف السعودية:

لاحظ أن جزءاً من أعمال التوثيق وتحليل المخاطر أصبح قابلاً للتنفيذ بنظام هجين أو عن بُعد، بينما تبقى الأدوار ذات الصلة المباشرة بالجهة الرقابية مقرّية في الغالب؛ ومن يبحث عن هذه المرونة يجد نقطة بداية في دليل الوظائف عن بُعد في الخليج.

المهارات التي تُرجّح كفة المرشح

مهارات المحتوى

الإلمام بالأطر المرجعية هو الحد الأدنى: COSO ERM وISO 31000 في المخاطر، وISO 37301 في الامتثال، وISO 27001 وCOBIT في الجانب التقني. لكن الفارق العملي يصنعه من يجيد تحويل بند نظامي مكتوب بلغة قانونية إلى ضابط محدد قابل للاختبار، ثم إلى دليل محفوظ يمكن عرضه على مراجع خارجي بعد سنة كاملة دون ارتباك.

مهارات الأدوات والبيانات

معظم الفرق تنتقل تدريجياً من جداول البيانات إلى منصات GRC متخصصة، ويصبح المطلوب فهم كيفية ربط الضوابط بالمخاطر وبالأنظمة، وبناء لوحات متابعة بمؤشرات مخاطر رئيسية. مهارة تحليل البيانات هنا ليست رفاهية، لأن مراقبة الامتثال تتحول من فحص عيّنات دورية إلى مراقبة مستمرة قائمة على استخراج البيانات من الأنظمة التشغيلية مباشرة.

المهارات السلوكية

وظيفة GRC تطلب من الآخرين تغيير طريقة عملهم دون سلطة إدارية مباشرة عليهم، ولذلك يفشل فيها من يجيد كتابة السياسات ولا يجيد إقناع أصحاب العمليات. اعتماد منهج منظّم لإدارة التغيير يفيد كثيراً عند إطلاق برنامج امتثال جديد، وتجد المقارنة العملية بين المنهجين في اختيار نموذج إدارة التغيير المناسب بين ADKAR وKotter. كما أن جانباً كبيراً من قيمة هذه الوظيفة يظهر في اجتماع لجنة المراجعة أو مجلس الإدارة، وهو موقف يحتاج مهارة عرض مختلفة تماماً تناولناها في الحضور القيادي أمام الإدارة العليا.

الشهادات المهنية التي تفتح الباب

الشهادة لا تعوّض الخبرة، لكنها في سوق مزدحم بالمتقدمين تعمل كأداة فرز أولي، وكثير من الإعلانات السعودية تذكرها ضمن المتطلبات المفضّلة. أكثرها حضوراً في هذا المجال:

إذا كان هدفك بناء الأساس المفاهيمي أولاً، فابدأ من الدليل الكامل لشهادة GRCP ثم برنامج التحضير في دورة GRCP المعتمدة، لأن نموذج OCEG يمنحك لغة مشتركة تصلح مع أي إطار آخر تعمل به لاحقاً. ولأن برامج الامتثال تُنفَّذ في الواقع كمشاريع لها نطاق وجدول وأصحاب مصلحة وميزانية، يجد كثير من المتخصصين قيمة عملية مباشرة في دورة PMP لإدارة المشاريع. أما القادم من الموارد البشرية فقد يكون مساره الأسرع تعميق الجانب الاستراتيجي عبر دورة SHRM-SCP ثم التخصص في امتثال نظام العمل والتوطين.

وعلى مستوى المنشأة، يمكن تخفيف كلفة تأهيل فريق الحوكمة والامتثال عبر برامج الدعم التدريبي الحكومية؛ راجع دعم هدف للتدريب والاستفادة من صندوق تنمية الموارد البشرية قبل اعتماد ميزانية التطوير للسنة القادمة، مع التحقق من شروط الأهلية السارية وقت التقديم.

كيف تنتقل إلى GRC من مسارك الحالي؟

الغالبية العظمى ممن يعملون اليوم في GRC لم يبدأوا فيه، وهذه أكثر مسارات الانتقال واقعية:

1. من المراجعة الداخلية أو الخارجية: أقصر طريق، لأن مهارة اختبار الضوابط وجمع الأدلة تنتقل كما هي.
2. من الموارد البشرية: مدخل طبيعي عبر امتثال نظام العمل والتوطين وسياسات السلوك المهني والتحقيقات الداخلية.
3. من تقنية المعلومات: مدخل عبر ضوابط الأمن السيبراني وحماية البيانات، وهو الأسرع نمواً في السوق حالياً.
4. من القانون: قوة واضحة في تفسير النصوص، مع حاجة لبناء مهارة القياس الكمي للمخاطر.
5. من العمليات والجودة: خبرة توثيق الإجراءات وتحسينها تُترجم مباشرة إلى تصميم ضوابط عملية قابلة للتطبيق.

الانتقال في منتصف المسار المهني أو بعده ممكن تماماً، بشرط أن يُبنى على خبرة قطاعية قائمة بدل البدء من الصفر في مجال جديد كلياً، وهو ما ناقشناه في خطة واقعية لتغيير المسار المهني بعد الأربعين.

أما في مرحلة التقديم، فاعلم أن مقابلات GRC تدور حول أمثلة محددة أكثر من التعريفات: ضابط صمّمته، مخالفة اكتشفتها، جهة رفضت التعاون وكيف تعاملت معها. جهّز هذه الأمثلة مسبقاً بصيغة موقف وإجراء ونتيجة، مستعيناً بـأسئلة مقابلة العمل وإجاباتها النموذجية.

الأجور وواقع السوق: ما الذي يمكن توقعه؟

الأرقام في هذا المجال شديدة التباين بين القطاع المالي وبقية القطاعات، وبين الرياض والمدن الأخرى، وبين الشركات المدرجة والمنشآت المتوسطة. وكتقريب عام فقط، تبدأ الأدوار المبتدئة في الامتثال والمخاطر من نطاق يقارب عشرة آلاف ريال شهرياً، وترتفع أدوار الخبرة المتوسطة إلى ما بين خمسة عشر وخمسة وعشرين ألف ريال، بينما تتجاوز مواقع رئيس الامتثال أو رئيس المخاطر ذلك بفارق واسع في المنشآت الكبيرة والقطاع المصرفي.

هذه النطاقات تقديرية وتتغير باستمرار. تحقّق دائماً من إعلانات التوظيف الفعلية ومسوح الأجور الحديثة قبل بناء أي قرار مهني عليها، ولا تعتمد على أرقام منشورة في مقالات دون مصدر رسمي.

الأهم من الرقم نفسه هو اتجاهه: كل موجة تنظيمية جديدة تخلق طلباً على من يفهمها مبكراً ويستطيع ترجمتها إلى خطة عمل. والميزة التنافسية اليوم لمن يجمع بين فهم الإطار الدولي وإتقان تفاصيل التطبيق المحلي، لا لمن يحفظ أحدهما ويجهل الآخر.

خلاصة عملية: حدّد أولاً المسار الأقرب إلى خبرتك الحالية بدل محاولة دخول المجال من أوسع أبوابه، ثم اختر إطاراً مرجعياً واحداً تتقنه إتقاناً حقيقياً بدل معرفة سطحية بخمسة أطر، وابنِ ملفاً يوثّق ضوابط صمّمتها أو اختبرتها فعلاً. سوق GRC السعودي يكافئ من يملك أثراً ملموساً أكثر مما يكافئ من يجمع الشهادات.