سجل المورّدين صار هو التدقيق: إنفاذ DORA وNIS2 في 2026

نظامان تنظيميان أوروبيان كُتبا بوصفهما قانوناً لإدارة المخاطر تحوّلا بهدوء إلى شيء أضيق وأسهل اختباراً: تدقيق على التوثيق. في عام 2026 لم يعد السؤال الذي تطرحه الجهات الرقابية على المؤسسات المالية ومشغّلي البنية التحتية الحرجة هو «هل تديرون مخاطر الأطراف الثالثة؟»، بل صار «أرونا السجل، ودعونا نتحقق من اتساقه مع نفسه».

ما كشفته دورة الإبلاغ الثانية في DORA

يسري قانون الصمود التشغيلي الرقمي (DORA) على الكيانات المالية في الاتحاد الأوروبي منذ يناير 2025. و«سجل المعلومات» الخاص به -- وهو جرد منظّم لكل ترتيب تعاقدي يتعلق بخدمات تقنية المعلومات والاتصالات، بما في ذلك سلاسل التعاقد من الباطن -- يُقدَّم سنوياً إلى السلطات الوطنية المختصة ثم يُحال إلى هيئات الإشراف الأوروبية. جرت دورة 2026 خلال مارس، ونفّذت هيئات الإشراف فحوص الاتساق والجودة في أبريل، وأعادت السجلات المعيبة لاستكمالها.

المرجع الذي يوضّح صعوبة هذه المهمة هو تمرين المحاكاة الذي أجرته هيئات الإشراف الأوروبية عام 2024. من بين ما يقارب ألف مؤسسة مشاركة، اجتازت نحو 6.5% فقط جميع فحوص جودة البيانات البالغ عددها 116 فحصاً. لكن التفصيلة الأهم أن نصف المؤسسات المتبقية تقريباً أخفقت في أقل من خمسة فحوص. أي أن الإخفاق كان مركّزاً وقابلاً للتصحيح لا دليلاً على جهل بنيوي، وقد تجمّع تحديداً حيث يتوقع الممارس: كيانات تعاقد من الباطن غائبة، وبيانات عقود ناقصة، وتصنيفات حَرِجية لا تتطابق مع ما سجّلته المؤسسة نفسها في أنظمة أخرى.

وأثر ذلك يتجاوز درجة الامتثال بكثير. فالسجلات المجمّعة هي المُدخل الذي تستخدمه هيئات الإشراف لتحديد «مزوّدي الطرف الثالث الحرجين» الخاضعين للرقابة المباشرة على مستوى الاتحاد بموجب المادة 31، وهي المُدخل الذي تستخدمه السلطات الوطنية لرؤية مخاطر التركّز على مستوى الكيان. السجل الذي تتخلله فجوات ليس مجرد إفصاح ناقص، بل تشويه للصورة الرقابية، وهو تشويه ينحاز دائماً إلى التقليل من حجم التعرّض.

NIS2 وصل إلى النقطة نفسها من طريق آخر

ليس NIS2 نظام إبلاغ بالمعنى الذي يعنيه DORA، لكن إنفاذه في 2026 التقى عند الأدلة ذاتها. فحتى مايو 2026 كانت 21 دولة من أصل 27 قد أدرجت التوجيه في تشريعاتها الوطنية، وأحالت المفوضية الأوروبية سبع دول إلى محكمة العدل لتخلّفها عن ذلك. وتعمل برامج تدقيق اليوم في غالبية الدول التي أتمّت النقل التشريعي، مستهدفةً الكيانات الأساسية.

تُدرِج المادة 21 أمن سلسلة التوريد ضمن تدابير إدارة المخاطر العشرة الأساسية، وقد صدرت أولى العقوبات المعلنة في بلجيكا وإيطاليا والمجر وليتوانيا. والمُلفت هو حجمها: عشرات إلى مئات قليلة من آلاف اليوروهات، أي أدنى بكثير من السقوف المعلنة البالغة 10 ملايين يورو أو 2% من الإيرادات العالمية للكيانات الأساسية. هذه ليست غرامات ردع، بل الغرامات التي تصدرها جهة رقابية حين يعجز الكيان عن تقديم التوثيق عند الطلب.

لماذا تفشل السجلات

عملياً، تفسّر ثلاثة أنماط من الإخفاق معظم الحالات. الأول أن السجل تبنيه إدارة المشتريات من بيانات العقود، بينما تقيّم إدارة الأمن الحَرِجية من نظام مختلف، ولا أحد يوفّق بين الاثنين. الثاني أن التعاقد من الباطن يُرصد عند المستوى الأول فقط، لأنه المستوى الوحيد الذي يسمّيه العقد. الثالث أن السجل يُعامَل كمُخرَج سنوي لا كضابط حيّ، فيكون دقيقاً يوم التقديم ومتآكلاً بحلول الأسبوع الثالث.

ولا شيء من ذلك مشكلة تقنية. إنها مشكلة ملكية، وتستمر لأن السجل يقع على تقاطع المشتريات والشؤون القانونية والأمن ووحدات الأعمال دون مالك واحد مسؤول.

القراءة الحوكمية

هنا نمط يستحق التسمية. حين يعجز المنظّم عملياً عن تقييم ما إذا كانت إدارتك للمخاطر جيدة، فإنه يقيّم ما إذا كان سجلك لإدارة المخاطر مكتملاً -- لأن الاكتمال قابل للتدقيق والاجتهاد ليس كذلك. ومع الوقت يتوقف السجل عن كونه ناتجاً جانبياً لحوكمة الأطراف الثالثة ليصبح هو موضوعها.

والاستجابة الصحية ليست الاستياء من ذلك، بل إدراك أن المؤسسة التي تعرف اعتمادياتها فعلاً تُنتج السجل شبه تلقائياً، وأن المؤسسة العاجزة عن إنتاج السجل لا تعرف اعتمادياتها على الأرجح. الإفصاح مؤشر بديل، لكنه مؤشر ليس رديئاً.

ثلاثة أمور تستحق التنفيذ هذا الربع

أولاً، عيّني مالكاً واحداً مسؤولاً عن سجل الأطراف الثالثة، تكون له صلاحية على بيانات العقود وعلى تصنيف الحَرِجية معاً. والتوفيق بين الاثنين ينبغي أن يكون ضابطاً مجدولاً لا سباقاً محموماً قبل موعد التقديم.

ثانياً، وسّعي الرؤية إلى ما بعد المستوى الأول للخدمات الحرجة تحديداً. لست بحاجة إلى خرائط كاملة للطرف الرابع عبر كل المنظومة، بل تحتاجينها في الترتيبات القليلة التي يصبح فيها إخفاق مقاول من الباطن غير قابل للتمييز عن إخفاق المزوّد نفسه.

ثالثاً، شغّلي نسختك الخاصة من فحوص جودة البيانات قبل أن تفعلها الجهة الرقابية. قواعد التحقق في DORA منشورة، والانضباط نفسه -- سلامة الإسناد المرجعي، وعدم وجود كيانات يتيمة، وتصنيفات متطابقة عبر الأنظمة -- ينطبق تماماً على سجل مخاطر سلسلة التوريد في NIS2 رغم أنه بلا صيغة محددة أصلاً.

صار السجل هو التدقيق. وبناؤه كضابط لا كإفصاح هو ما يفصل بين المؤسسات التي ستجتاز وتلك التي ستعالج الملاحظات.