GRCP أم GRCA؟ الفرق بين شهادتي OCEG وأيهما تبدأ بها

تُصدر منظمة OCEG (Open Compliance and Ethics Group) شهادتين متقاربتين في الاسم ومختلفتين في الوظيفة: GRCP (GRC Professional) لمن يبني منظومة الحوكمة وإدارة المخاطر والامتثال ويشغّلها، وGRCA (GRC Auditor) لمن يقيّم هذه المنظومة ويحكم على نضجها. الالتباس بينهما شائع لأن المرجع الفكري واحد، لكن زاوية النظر مختلفة تماماً، والاختيار الخاطئ يعني أشهراً من التحضير في مسار لا يخدم دورك الحالي ولا الدور الذي تستهدفه.

ما الذي تقيسه كل شهادة فعلياً؟

OCEG منظمة دولية غير ربحية تعمل على توحيد ممارسات الحوكمة والمخاطر والامتثال تحت مظلة واحدة بدل تفرّقها بين إدارات لا تتحدث اللغة نفسها، وهي صاحبة مفهوم الأداء المبدئي (Principled Performance): أن تحقق المنظمة أهدافها، وتعالج عدم اليقين، وتتصرف بنزاهة، في منظومة واحدة لا في ثلاثة مسارات متوازية. مرجعها الأساسي هو نموذج القدرة على الحوكمة والمخاطر والامتثال (GRC Capability Model) المعروف بالكتاب الأحمر (Red Book)، وهو إطار مفتوح ينظّم العمل في أربعة مكوّنات مترابطة: LEARN لفهم السياق والثقافة وأصحاب المصلحة، وALIGN لمواءمة الأهداف والاستراتيجية ومستوى تحمّل المخاطر، وPERFORM لتنفيذ السياسات والضوابط والاستجابة للأحداث، وREVIEW لمراقبة الأداء ومراجعته وتحسينه.

شهادة GRCP تقيس استيعابك لهذا النموذج وقدرتك على ترجمته إلى ترتيبات عملية داخل منظمة قائمة: من يملك القرار، وكيف تُصاغ السياسة، وأين تُوضع الضوابط، وكيف تُقاس فاعليتها. من أراد تفصيلاً موسّعاً لهذا المسار وحده فليراجع الدليل الكامل لشهادة GRCP قبل قراءة بقية هذه المقارنة، فما يلي يفترض إلماماً أساسياً بمكوّنات النموذج.

أما GRCA فتنقلك من موقع المصمّم إلى موقع المقيّم. مرجعها دليل تقييم GRC (GRC Assessment Guide) المعروف بالكتاب العنابي (Burgundy Book)، وهو امتداد تطبيقي للكتاب الأحمر: كيف تخطط لتقييم قدرة الحوكمة، وما الأدلة التي تجمعها لكل عنصر، وكيف تحكم على مستوى النضج بمعيار متسق لا بانطباع شخصي، وكيف تصوغ نتيجة التقييم بحيث تكون قابلة للتنفيذ لا مجرد ملاحظة في تقرير.

الفرق الجوهري: من يبني المنظومة ومن يحكم عليها

أوضح طريقة للتفريق بين الشهادتين هي السؤال المحوري الذي تجيب عنه كل واحدة. GRCP تجيب عن سؤال: كيف ينبغي أن تُدار الحوكمة والمخاطر والامتثال في هذه المنظمة؟ وGRCA تجيب عن سؤال مختلف: ما مستوى ما هو قائم فعلاً، وبأي دليل؟ الأول سؤال تصميم وتشغيل، والثاني سؤال قياس وحكم.

هذا الفرق ليس نظرياً. بناء منظومة GRC يعني تغيير طريقة عمل إدارات قائمة منذ سنوات، وهو ما يفشل غالباً لأسباب سلوكية لا تقنية؛ لذلك يستفيد حامل GRCP كثيراً من إتقان نماذج إدارة التغيير المؤسسي لتقليل مقاومة الموظفين لأي ترتيب حوكمة جديد. أما المقيّم فمعركته مختلفة: إقناع الإدارة بأن الحكم على النضج مبني على أدلة قابلة للتحقق.

ماذا تدرس في كل مسار؟

محتوى GRCP

يدور محتوى GRCP حول المكوّنات الأربعة للنموذج وما تحتها من عناصر وممارسات: تحليل السياق الخارجي والداخلي، وخريطة أصحاب المصلحة، وصياغة الأهداف ومواءمتها مع مستوى تحمّل المخاطر، وتصميم الضوابط الوقائية والكاشفة والتصحيحية، وإدارة السياسات ودورة حياتها، والتوعية والتدريب، وقنوات الإبلاغ والتحقيق، ثم مؤشرات القياس والمراجعة والتحسين المستمر. القيمة الحقيقية للمنهج أنه يعطي لغة موحّدة تُستخدم بين إدارة المخاطر وأمن المعلومات والمراجعة الداخلية والشؤون القانونية.

محتوى GRCA

يبني منهج GRCA على المحتوى السابق ويضيف إليه منهجية التقييم: تحديد نطاق التقييم وأهدافه، واختيار العناصر التي ستُفحص، وأنواع الأدلة ومصادرها، وأساليب المقابلات وفحص المستندات والاختبار، ومقياس مستويات النضج وكيفية تطبيقه بلا تحيّز، وأخيراً بناء التقرير وترتيب التوصيات بحسب الأثر. من يعمل في التدقيق الداخلي سيجد تشابهاً واضحاً في المنطق مع منهجيات المراجعة المعتادة، لكن الموضوع هنا ضيق ومحدد: قدرة الحوكمة نفسها لا العمليات التشغيلية.

من يناسبه كل مسار؟

القاعدة العملية: إذا كان مسمّاك الوظيفي يجعلك مسؤولاً عن نتيجة، فأنت أقرب إلى GRCP؛ وإذا كان يجعلك مسؤولاً عن رأي مستقل في نتيجة غيرك، فأنت أقرب إلى GRCA. مسؤول الامتثال في بنك، ومدير المخاطر في شركة مقاولات، ومسؤول حوكمة البيانات في جهة حكومية، ومدير أمن المعلومات الذي يبني برنامج الالتزام بالضوابط الوطنية، كلهم في الفئة الأولى. المدقق الداخلي، والمراجع المستقل، ومستشار التقييم لدى بيوت الاستشارات، في الفئة الثانية.

هناك فئة ثالثة كثيرة العدد في السوق السعودي: القادمون من أدوار تحليل وتنظيم لا تحمل صفة حوكمة صريحة. محلل الأعمال الذي يوثّق العمليات، ومدير المشروع الذي يدير المخاطر ضمن نطاق مشروعه، كلاهما يملك نصف المهارة المطلوبة أصلاً؛ وقراءة الفرق بين محلل الأعمال ومدير المشروع تساعد على تحديد أي جزء من خبرتك ينقل إلى مجال الحوكمة مباشرة وأيّه يحتاج بناءً جديداً. لهذه الفئة، GRCP هي المدخل المنطقي بلا تردد.

أيهما تبدأ به؟

المسار المعتاد يبدأ بـ GRCP ثم ينتقل إلى GRCA لمن يعمل في التقييم فعلاً. السبب بنيوي: دليل التقييم مشتق من نموذج القدرة، ومن يحاول تقييم شيء لا يتقن تصميمه ينتهي إلى حفظ خطوات بلا مرجعية. تشترط OCEG عادةً تسلسلاً بين الشهادتين، ويُنصح بمراجعة شروط الأهلية المعلنة على موقعها قبل التسجيل لأنها تُحدَّث مع إصدارات النموذج.

ثلاثة سيناريوهات تحسم القرار سريعاً:

1. تعمل في إدارة الامتثال أو المخاطر أو الحوكمة: ابدأ بـ GRCP واكتفِ بها سنة كاملة قبل التفكير في GRCA.
2. تعمل في المراجعة الداخلية وتُكلَّف بمهام تقييم الحوكمة: GRCP أولاً ثم GRCA خلال اثني عشر شهراً، وهذا هو المسار الوحيد الذي تصبح فيه GRCA ذات عائد مباشر.
3. تخطط للانتقال إلى المجال من خارجه: GRCP فقط، وأجّل GRCA حتى تمارس العمل فعلياً؛ الشهادة الثانية بلا خبرة ميدانية لا تُحدث فرقاً في المقابلات.

الاختبار والتكلفة والتحضير

اختبارا OCEG يُؤديان إلكترونياً باللغة الإنجليزية، وهي نقطة تختلف فيها هاتان الشهادتان عن شهادات أخرى تُؤدّى داخل مراكز اختبار معتمدة في الرياض وجدة والدمام. الأسئلة من نوع الاختيار من متعدد وتقيس الفهم التطبيقي للنموذج أكثر من الاسترجاع الحرفي، ويُستحسن مراجعة عدد الأسئلة والزمن المخصص وشروط المراقبة على موقع OCEG قبل الحجز لأن هذه التفاصيل تتغير مع إصدارات المنهج.

أما التكلفة فتُدار عادةً عبر عضوية سنوية لدى OCEG تشمل الوصول إلى المراجع والاختبار، وتقع في نطاق بضع مئات من الدولارات سنوياً حسب نوع العضوية وما إذا كانت فردية أو مؤسسية. اعتبر هذا الرقم مؤشراً تقريبياً فقط وراجع صفحة العضوية الرسمية قبل الشراء، فالأسعار وحزم الاشتراك تتغير. ويستحق التحقق أيضاً ما إذا كانت جهة عملك أو برامج الدعم التدريبي في المملكة، مثل ما يقدمه صندوق تنمية الموارد البشرية، تغطي جزءاً من الكلفة، لأن شروط الدعم تختلف بحسب البرنامج والجهة.

أكبر عائق أمام المرشحين ليس صعوبة المنهج بل ازدحام الجدول اليومي؛ ولهذا فإن اعتماد أساليب المذاكرة أثناء العمل بدوام كامل أجدى من محاولة تفريغ عطلة نهاية الأسبوع كاملة ثم الانقطاع أسبوعين. ومن سبق أن تعثّر في اختبار مهني بسبب التوتر لا الجهل، فمراجعة أساليب التعامل مع قلق الاختبارات جزء من التحضير لا ترف. ولمن يفضّل التحضير الموجّه مع مدرّب ومراجع منظمة، توفّر دراية برنامج التحضير لشهادة GRCP بمحتوى مبني على مكوّنات النموذج نفسها.

أين تُستخدم الشهادتان في السوق السعودي؟

الطلب على مهارات الحوكمة الموحّدة في المملكة نتيجة مباشرة لتراكم المتطلبات التنظيمية على الجهة الواحدة. الشركة المدرجة تخضع للائحة حوكمة الشركات الصادرة عن هيئة السوق المالية بما فيها من متطلبات لجان ومسؤوليات مجلس إدارة، وتخضع في الوقت ذاته للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، ولمتطلبات نظام حماية البيانات الشخصية، وربما لأطر رقابية قطاعية إضافية. حين تُدار هذه المتطلبات كجزر منفصلة يتضاعف الجهد وتتكرر الضوابط؛ وهذا بالضبط ما يعالجه نموذج OCEG.

إضافة إلى ذلك، دفعت مستهدفات رؤية 2030 في تطوير القطاع المالي وتوسيع الشراكة مع القطاع الخاص كثيراً من الجهات إلى بناء وظائف حوكمة وامتثال لم تكن قائمة قبل سنوات، وهو ما خلق طلباً على من يجيد تأسيس هذه الوظائف لا مجرد تشغيلها. ولأن جزءاً كبيراً من الامتثال داخل المنظمات يقع في مجال الموارد البشرية تحديداً، فإن الإلمام بـ أحكام نظام العمل السعودي التي تخص مختص الموارد البشرية يجعل حامل GRCP أقدر على ربط الضوابط بالمخاطر النظامية الفعلية بدل التعامل معها كنصوص عامة. ومن يعمل في هذا التقاطع تحديداً قد تفيده مسارات متخصصة مثل برنامج SHRM-SCP إلى جانب شهادة الحوكمة، لأن الجمع بينهما نادر في السوق.

الميزة التي يبحث عنها صاحب العمل ليست معرفة إطار واحد، بل القدرة على ترجمة متطلبات ثلاث جهات تنظيمية مختلفة إلى مجموعة ضوابط واحدة غير مكررة.

GRCP وGRCA مقابل الشهادات القريبة

الخلط الأكثر شيوعاً يقع بين شهادات OCEG وشهادات التدقيق الداخلي وإدارة المخاطر، لأن الميادين متداخلة والمسميات الوظيفية في السوق غير منضبطة. الفرق الحاسم أن CIA شهادة مهنة كاملة بمعاييرها الدولية ونطاقها الواسع الذي يشمل الحوكمة والمخاطر والرقابة والعمليات، بينما تعالج شهادات OCEG موضوعاً واحداً بعمق: قدرة المنظمة على إدارة الحوكمة والمخاطر والامتثال كمنظومة متكاملة.

إذا كان ترددك بين مسار الحوكمة ومسار التدقيق، فمقالة الفرق بين GRCP و CIA تفصّل الاختلاف في نطاق العمل ومسار الترقي. وإذا كان ترددك بين الحوكمة الشاملة والتخصص في المخاطر وحدها، فمقارنة GRCP و CRMO تحدد أي المسارين يخدم هدفك. ومن حسم أمره لصالح التدقيق الداخلي يحتاج قبل التسجيل أن يعرف ما ينتظره في المراحل المتقدمة، وهو ما تشرحه مراجعة اختباري CIA الجزء الثاني والثالث من حيث تغيّر مستوى الصعوبة وطبيعة الأسئلة، ثم يمكنه الالتحاق بـ برنامج التحضير لشهادة CIA بمساراته الثلاثة.

الجمع بين المسارين ليس تكراراً بالضرورة. المدقق الداخلي الذي يحمل CIA ثم يضيف GRCP يكتسب لغة تصميم يفتقدها كثير من المدققين، ويصبح قادراً على تقديم توصيات قابلة للتنفيذ بدل ملاحظات عامة. ومن يضيف GRCA بعدها يكون قد أغلق الدائرة: يفهم كيف تُبنى المنظومة، ويعرف كيف تُقاس.

كيف تحسم القرار في جلسة واحدة

اجلس مع وصفك الوظيفي الحالي ووصف الوظيفة التي تستهدفها بعد ثلاث سنوات، وأجب عن أربعة أسئلة بصراحة: هل مخرجاتك اليوم قرارات وسياسات أم آراء وتقارير تقييم؟ هل الجهة التي تعمل بها تبني وظيفة حوكمة جديدة أم تراجع وظيفة قائمة؟ هل تحتاج لغة مشتركة مع إدارات متعددة أم منهجية فحص دقيقة؟ وهل لديك خبرة ميدانية كافية تجعل شهادة التقييم مفيدة الآن؟

في الغالبية العظمى من الحالات ستقودك الإجابات إلى GRCP كنقطة بداية، وتترك GRCA لمرحلة لاحقة تتحدد بطبيعة عملك لا بشغف التجميع. والقاعدة التي تختصر الأمر كله: الشهادة التي تستخدمها في عملك خلال ثلاثة أشهر من حصولك عليها هي الشهادة الصحيحة، وما عداها استثمار مؤجّل بلا عائد واضح.

تنبيه: رسوم العضوية وتفاصيل الاختبار وشروط الأهلية والتجديد لدى OCEG قابلة للتغيير، ويُرجى اعتماد الموقع الرسمي للجهة المانحة مصدراً نهائياً قبل أي قرار تسجيل أو دفع.