كيف تكتب سياسة امتثال فعّالة لا تبقى حبراً على ورق

تملك أغلب المنشآت في المملكة اليوم مجلداً كاملاً من سياسات الامتثال: مكافحة غسل الأموال، وتعارض المصالح، ومكافحة الرشوة، وحماية البيانات الشخصية، والإبلاغ عن المخالفات. ومع ذلك يكشف أول فحص رقابي أو تدقيق داخلي الفجوة نفسها كل مرة: النص موجود والممارسة غائبة. الموظف الذي يُفترض أن يطبّق السياسة لم يقرأها، والمدير الذي وقّع عليها لا يتذكر ما التزم به، ومسؤول الالتزام لا يملك بيانات تثبت أنها تعمل.

الفارق بين سياسة فعّالة وأخرى شكلية لا يكمن في جودة الصياغة اللغوية، بل في قرارات تصميمية تُتخذ قبل كتابة السطر الأول: من مالك السياسة؟ ما القرار الذي ستغيّره في العمل اليومي؟ كيف سنعرف أنها طُبّقت؟ ما يلي منهجية عملية لكتابة سياسة تصمد أمام التطبيق والمراجعة معاً.

لماذا تتحول سياسات الامتثال إلى ورق مؤرشف

أسباب فشل السياسات في التطبيق متكررة إلى حد يسمح بحصرها، وأغلبها يعود إلى مرحلة الإعداد لا إلى مرحلة التنفيذ:

• نُقلت السياسة من قالب أجنبي لا يطابق الأنظمة السارية في المملكة ولا حجم المنشأة، فجاءت تفرض ضوابط لا يوجد من ينفذها ولا نظام معلومات يدعمها.
• صيغت بلغة عامة من نوع تلتزم المنشأة بأفضل الممارسات دون تحديد من يفعل ماذا ومتى وبأي دليل.
• لم تُربط بإجراء تشغيلي أو ضابط داخل مسار العمل، فبقيت التزاماً أخلاقياً معلقاً في الهواء.
• اعتُمدت مرة واحدة ولم تُراجع بعد صدور لائحة جديدة أو إطلاق منتج أو تغيير في الهيكل التنظيمي.
• لم يُخصص لها تدريب ولا إقرار موثق بالاطلاع، فلا يمكن إثبات أن الموظف عَلِم بها أصلاً قبل وقوع المخالفة.

النتيجة العملية تظهر في الفحص الميداني: الجهة الرقابية تطرح سؤالين لا سؤالاً واحداً؛ الأول أرِني السياسة المعتمدة، والثاني أرِني الأدلة على تطبيقها خلال الفترة محل الفحص. أغلب المنشآت تنجح في الأول وتتعثر في الثاني، والسبب أن السياسة كُتبت لتُقرأ لا لتُنفَّذ.

السياسة والمعيار والإجراء: تمييز يحسم نصف المشكلة

كثير من الوثائق تفشل لأنها تحاول أن تكون كل شيء دفعة واحدة: مبدأ حاكماً، وحداً فنياً، وخطوات تشغيل، ونموذج إدخال بيانات. فصل هذه المستويات يقلل حجم السياسة، ويقلل عدد مرات تعديلها، ويحدد مستوى الاعتماد الصحيح لكل وثيقة.

هذا التمييز نفسه ينطبق على بقية عائلات الوثائق في المنشأة، لا على وثائق الالتزام وحدها؛ فسياسة استمرارية الأعمال مثلاً تعيش داخل منظومة أوسع تشرحها العلاقة بين إدارة استمرارية الأعمال وإطار الحوكمة الشامل، وأي ازدواج بين الوثيقتين يخلق تعارضاً يظهر لاحقاً في التدقيق.

من أين تستمد السياسة سلطتها في البيئة السعودية

السياسة ليست رأي وحدة الالتزام، بل ترجمة داخلية لالتزام خارجي. لذلك يجب أن يُنسب كل بند إلزامي إلى مصدر واضح، والمصادر في السياق السعودي أربعة:

• الأنظمة واللوائح التنفيذية: نظام مكافحة غسل الأموال، ونظام مكافحة جرائم الإرهاب وتمويله، ونظام حماية البيانات الشخصية، ونظام العمل ولوائحه.
• تعليمات الجهات الرقابية: البنك المركزي السعودي، وهيئة السوق المالية، والهيئة الوطنية للأمن السيبراني، وهيئة الزكاة والضريبة والجمارك، ووزارة الموارد البشرية والتنمية الاجتماعية.
• المعايير الدولية المتبنّاة: مثل ISO 37301 لنظم إدارة الامتثال، وISO 37001 لمكافحة الرشوة، وISO 22301 لاستمرارية الأعمال، وإطار COSO للرقابة الداخلية.
• الالتزامات التعاقدية والداخلية: شروط العملاء المؤسسيين، واتفاقيات المراسلين، وقرارات مجلس الإدارة.

وعلى مستوى العلاقة مع الموظفين، تشترط أنظمة العمل في المملكة على أصحاب العمل الذين يبلغ عدد عمالهم الحد المنصوص عليه إعداد لائحة تنظيم عمل واعتمادها من وزارة الموارد البشرية والتنمية الاجتماعية، ولا يجوز أن تتعارض سياسة الجزاءات في وثيقة الالتزام مع تلك اللائحة المعتمدة. راجع النص السائد لدى الجهة المختصة قبل صياغة أي بند جزائي، فالمخالفة هنا تُبطل البند نفسه.

أما البنود التشغيلية فتُشتق مباشرة من المتطلب الرقابي؛ فسياسة قبول العملاء مثلاً تُبنى على متطلبات التحقق من الهوية وتحديد المستفيد الحقيقي وتصنيف المخاطر، وهي متطلبات مفصّلة في مقال اعرف عميلك KYC والعناية الواجبة وتصلح أساساً مباشراً لصياغة بنود السياسة.

من الممارسات المفيدة إعداد مصفوفة مصادر ملحقة بالسياسة: عمود لرقم البند، وعمود لمصدره النظامي، وعمود لتاريخ آخر تحقق من سريان المصدر. عند تعديل أي لائحة تعرف فوراً أي البنود يتأثر، بدل إعادة قراءة الوثيقة كاملة.

هيكل السياسة: عناصر لا تُختصر

مهما اختلف الموضوع، فإن سياسة الامتثال القابلة للدفاع عنها تحتوي العناصر التالية بالترتيب:

1. الغرض والنطاق: ما الخطر الذي تعالجه، ومن تشمل بالضبط (الشركة الأم، الفروع، المتعاقدون، الأطراف الثالثة).
2. التعريفات: المصطلحات التي قد تُفسَّر بأكثر من وجه، خاصة المترجمة عن الإنجليزية.
3. المرجعية النظامية: الأنظمة والتعاميم والمعايير التي تستند إليها.
4. المبادئ الحاكمة: أربعة إلى ستة مبادئ تُستخدم مرجعاً عند غياب نص صريح.
5. الأدوار والمسؤوليات: بالمسمى الوظيفي لا بالاسم الشخصي، ومع تحديد خطوط الدفاع الثلاثة.
6. المتطلبات الإلزامية: قلب الوثيقة، وكل متطلب فيها قابل للاختبار.
7. الاستثناءات: من يطلبها، ومن يعتمدها، وما مدتها القصوى، وأين تُسجّل.
8. الإبلاغ عن المخالفات: القنوات، وضمانة عدم الانتقام، وسرية هوية المبلّغ.
9. الجزاءات: متسقة مع لائحة تنظيم العمل المعتمدة.
10. حوكمة الوثيقة: رقم الإصدار، والمالك، وتاريخ الاعتماد، وتاريخ المراجعة القادمة، وسجل التعديلات.

هذا الهيكل يتكرر عبر عائلة السياسات كلها. سياسة استمرارية الأعمال مثلاً تتبع الترتيب نفسه، لكن متطلباتها الإلزامية تُشتق من مخرجات تحليل أثر الأعمال BIA لا من اجتهاد الكاتب، لأن أزمنة التعافي المستهدفة لا تُخترع بل تُحسب. ومن أراد التعمق في منهجية بناء هذه السياسة تحديداً يجد تفصيلاً في دليل شهادة BCP لاستمرارية الأعمال.

كيف تكتب نصاً قابلاً للتطبيق فعلاً

استخدم أفعال إلزام صريحة

الصياغة الرخوة أكبر مصدر للتهرب المشروع. اكتب يجب ويُحظر ويجوز بشرط، وتجنّب عبارات مثل ينبغي السعي، وقدر الإمكان، وحسب الاقتضاء. والقاعدة العملية أن كل جملة إلزامية تحتوي أربعة عناصر: فاعل محدد، وفعل إلزام، ومهلة زمنية، ودليل يُحفظ.

قارن بين صياغتين: على الإدارة مراقبة العمليات المشبوهة بشكل دوري، مقابل يجب على محلل الالتزام مراجعة تنبيهات المراقبة خلال يومي عمل من تاريخ التنبيه، وتوثيق قرار الإغلاق أو التصعيد في نظام إدارة الحالات. الأولى لا يمكن اختبارها، والثانية تنتج سجلاً يمكن الاستشهاد به.

حدد مالكاً واحداً لكل متطلب

المسؤولية الموزعة على ثلاث إدارات مسؤولية معدومة. استخدم مصفوفة أدوار تحدد المنفذ والمسؤول النهائي ومن يُستشار ومن يُبلَّغ، مع الحذر من خلط التنفيذ بالرقابة في يد واحدة؛ فوظيفة الالتزام تقع في خط الدفاع الثاني، ولها حدود صلاحيات ومسؤوليات لا ينبغي تجاوزها كما هو موضح في دور مسؤول الالتزام وصلاحياته.

صمّم مسار الاستثناء بدل إنكاره

السياسة التي لا تتيح استثناءً منضبطاً تُخالَف سراً. حدد نموذج طلب الاستثناء، وسقفاً زمنياً لا يتجاوز فترة محددة قابلة للتجديد مرة واحدة، ومستوى اعتماد يرتفع بارتفاع الخطر، وسجلاً مركزياً يُعرض دورياً على اللجنة المختصة. وهذه القرارات غالباً ما تُتخذ تحت ضغط زمني وتضارب مصالح، لذا يفيد تدريب الفريق على أدوات التفكير النقدي واتخاذ القرار تحت الضغط قبل أن يواجهوا أول حالة حقيقية.

اكتب للقارئ لا للمراجع القانوني

اجعل الجملة قصيرة، وتجنّب الإحالات المتشعبة داخل النص، وحدد بوضوح أي نسخة لغوية هي الملزمة عند صدور الوثيقة بالعربية والإنجليزية معاً. إذا احتاج الموظف إلى شرح شفهي ليفهم ما هو مطلوب منه، فالمشكلة في النص لا في الموظف.

دورة حياة السياسة من المسودة إلى المراجعة

كتابة النص أقصر مراحل العمل. الجدول التالي يوضح المسار الكامل الذي يجعل الوثيقة قابلة للاحتجاج بها:

إطلاق سياسة جديدة في منشأة متعددة الفروع هو مشروع بكل معنى الكلمة: له نطاق، وأصحاب مصلحة، وجدول زمني، ومخاطر تنفيذ. تطبيق أدوات إدارة المشاريع على هذه المرحلة يقلل الفوضى كثيراً، ومن يعمل في هذا الموقع يستفيد من الإطار المنهجي الذي يشرحه دليل شهادة PMP في السعودية حتى دون التقدم للاختبار.

من النص إلى ضوابط قابلة للاختبار

هنا يقع الفصل الحقيقي بين السياسة الفعّالة والشكلية. كل متطلب إلزامي يجب أن يقابله ضابط موصوف بأربعة حقول: نوعه (وقائي أم كاشف)، ومالكه، ودوريته، والدليل الذي يُحفظ لإثبات تنفيذه. المتطلب الذي لا يقابله ضابط بهذه الصفات يُحذف من السياسة أو يُنقل إلى دليل إرشادي غير ملزم.

مثال تطبيقي: بند يلزم بفحص الأطراف ذات العلاقة مقابل قوائم العقوبات يحتاج إلى تحديد لحظة الفحص، ومصدر القوائم، ودورية إعادة الفحص للقاعدة القائمة، وآلية معالجة التطابقات المحتملة. تفصيل تصميم هذه العملية دون تعطيل الأعمال موضح في دليل فحص العقوبات الدولية، وهو من أكثر البنود التي تُكتب في السياسات دون أن يُبنى لها ضابط حقيقي.

بعد التصميم يأتي الاختبار على مستويين: اختبار التصميم (هل الضابط كافٍ نظرياً لمعالجة الخطر؟) واختبار الفاعلية التشغيلية (هل نُفِّذ فعلاً على عينة من الحالات خلال الفترة؟). هذه المنهجية هي صلب عمل المراجعة الداخلية، ومن يريد إتقانها بشكل منظم يجد أساسها في دليل شهادة CIA للمدقق الداخلي، ويمكن التحضير لها عملياً عبر برنامج شهادة المدقق الداخلي CIA في دراية.

مؤشرات تكشف الفجوة بين النص والممارسة

اربط كل سياسة بعدد محدود من المؤشرات التي تُعرض على لجنة المراجعة أو لجنة المخاطر بشكل دوري:

• نسبة الموظفين المشمولين الذين أقرّوا بالاطلاع خلال مهلة محددة من تاريخ النشر.
• عدد الاستثناءات المفتوحة، ومتوسط مدتها، وعدد ما تجاوز سقفه الزمني.
• نسبة الضوابط المرتبطة بالسياسة التي خضعت للاختبار خلال الدورة، ونسبة ما رسب منها.
• متوسط زمن إغلاق ملاحظات التدقيق المتعلقة بالسياسة، وعدد الملاحظات المتكررة.
• عدد بلاغات قناة الإبلاغ عن المخالفات ونسبة ما عولج منها ضمن المهلة المقررة.
• عدد السياسات التي تجاوزت تاريخ مراجعتها المقرر، وهو مؤشر إنذار مبكر لصحة المنظومة كلها.

السياسة التي لا يمكن قياس الالتزام بها لا يمكن الدفاع عنها أمام جهة رقابية، ولا يمكن تحسينها داخلياً.

ربط هذه المؤشرات بسجل المخاطر وبخطة المراجعة السنوية هو ما يحوّل الالتزام من ردة فعل إلى منظومة، وهو محور العمل التطبيقي في دورة تأهيل مسؤولي الحوكمة والمخاطر والامتثال.

قائمة تحقق قبل الاعتماد وبناء القدرة الداخلية

قبل رفع المسودة لجهة الاعتماد، تحقق من النقاط التالية بندًا بنداً:

• هل كل بند إلزامي منسوب إلى مصدر نظامي أو قرار داخلي موثق؟
• هل لكل متطلب فاعل محدد بالمسمى الوظيفي ومهلة زمنية ودليل محفوظ؟
• هل يوجد ضابط قابل للاختبار مقابل كل متطلب، وله مالك ودورية؟
• هل مسار الاستثناء واضح ومحدد المدة ومسجل مركزياً؟
• هل تتعارض السياسة مع أي وثيقة أخرى سارية، وخاصة لائحة تنظيم العمل المعتمدة؟
• هل خطة النشر تشمل التدريب وسجل الإقرار وليس البريد الإلكتروني وحده؟
• هل حُدد تاريخ المراجعة القادمة والمحفزات التي تستدعي مراجعة استثنائية؟

يبقى العنصر الأخير، وهو الأهم على المدى الطويل: قدرة الفريق نفسه. كتابة السياسات مهارة مركّبة تجمع الفهم النظامي وتحليل المخاطر وتصميم الضوابط والصياغة الدقيقة، ولا تُكتسب بالممارسة العشوائية وحدها. المسار المنهجي لبنائها يمر عبر برامج متخصصة مثل برنامج GRCP لممارسي الحوكمة والمخاطر والامتثال، الذي يربط بين إطار الحوكمة وتصميم السياسات وقياس الأداء في منظومة واحدة.

وبعد الحصول على أي مؤهل مهني في هذا المجال، فإن توثيقه بشكل صحيح يضاعف أثره على المسار الوظيفي؛ والمنهجية نفسها المشروحة في كيف تضيف شهادتك المهنية إلى السيرة الذاتية ولينكدإن تنطبق على شهادات الحوكمة والالتزام بالدرجة ذاتها. المنشأة تكسب سياسة تُطبَّق، والممارس يكسب سجلاً مهنياً يمكن إثباته.