الفجوة بين التقييم الذاتي والجاهزية الفعلية

إشكالية التقييم الذاتي

تُجري المنظمات تقييمات داخلية لحوكمة الذكاء الاصطناعي وتصل بصفة اعتيادية إلى درجات تُبالغ في تصوير وضعها الامتثالي الفعلي. ليس ذلك في جوهره مشكلة أمانة، بل مشكلة قياس. أدوات التقييم الذاتي — سواء كانت استبيانات داخلية أو نماذج النضج أو قوائم جاهزية — عاجزة بطبيعتها الهيكلية عن رصد الفجوة بين النية الموثقة والممارسة المطبقة. الهوة بين الامتثال المُقدَّر ذاتياً والامتثال الذي يُثبته التدقيق ليست عشوائية؛ إنها منهجية وقابلة للتنبؤ.

حين تخضع المنظمات ذاتها التي تُعلن عن نضج رفيع في الحوكمة لعمليات تدقيق على مستوى البنود وفق نظام حماية البيانات، أو ECC-2:2024، أو ISO/IEC 42001، أو اشتراطات سدايا، تتكرر النتائج بصورة موحدة: السياسات الموثقة موجودة؛ الضوابط التي تصفها تلك السياسات مطبقة جزئياً أو بصورة متقطعة؛ والتوثيق الذي يشترطه الإطار التنظيمي دليلاً على الامتثال غائبٌ أو ناقص.

لماذا تعاني التقييمات الذاتية من عيوب هيكلية؟

ثلاثة عيوب هيكلية تجعل التقييم الذاتي مؤشراً غير موثوق على جاهزية الامتثال الفعلية:

صياغة الأسئلة: تسأل استبيانات التقييم الذاتي عادةً عن وجود سياسة أو عملية من عدمه، لا عن تطبيقها أو اختبارها أو توثيقها وفق المعيار الذي تشترطه البنود التنظيمية المحددة. ستُجيب المنظمة التي تمتلك سياسة لحماية البيانات لكنها لم تُحدّثها لتعكس اشتراطات نظام حماية البيانات بـ "نعم" على سؤال "هل لديكم سياسة لحماية البيانات؟". هذه الإجابة دقيقة ولا طائل منها. عمليات التدقيق التنظيمية تطرح سؤالاً مختلفاً: هل تتناول سياسة حماية البيانات لديكم المادة الفلانية، الفقرة الفلانية، بما يُرضي جهة تنظيمية تُجري مراجعة امتثال؟
التحيز للحداثة: يُنجز التقييم الذاتي عادةً من قِبَل موظفي الامتثال أو الشؤون القانونية الذين اطلعوا مؤخراً على الإطار التنظيمي ذي الصلة. يعكس تقييمهم معرفتهم الراهنة بالاشتراطات مطبقةً بأثر رجعي على بنية مؤسسية لم تتحدث بالوتيرة ذاتها. والنتيجة مبالغة منهجية في تقدير الجاهزية: يعرف المُقيِّم ما ينبغي أن تفعله المنظمة، ويميل إلى تقييم الممارسة الراهنة وفق هذا التطلع لا وفق المعيار الفعلي.
غياب التحقق على مستوى البنود: تعمل التقييمات الذاتية على مستوى المجالات أو فئات الضوابط. سيحظى سؤال عن "الامتثال لنقل البيانات عبر الحدود" بإجابة إيجابية إن امتلكت المنظمة أي سياسة نقل، بصرف النظر عما إذا كانت تلك السياسة تُنشئ الأساس القانوني الموثق الذي تشترطه اللوائح التنفيذية لنظام حماية البيانات تحديداً، لكل تدفق نقل على حدة، مدعوماً بالدليل على ذلك الأساس. تعمل عمليات التدقيق على مستوى البنود بالدقة التي تُجري عليها الجهات التنظيمية تدقيقها فعلاً — والهوة بين التقييم الذاتي على مستوى المجالات ونتائج التدقيق على مستوى البنود كبيرة عادةً.

الفجوات الأربع الأكثر شيوعاً

في عمليات التدقيق على مستوى البنود للمنظمات السعودية وفق نظام حماية البيانات وECC-2:2024، تظهر أربع فجوات بتكرار يكفي لاعتبارها هيكلية لا تنظيمية:

فجوة سجل المعالجة: تُفيد المنظمات بامتلاكها سجل معالجة بيانات. يكشف التدقيق عن سجل أُنشئ في وقت محدد، ويوثق أنشطة المعالجة التي كان فريق الامتثال على علم بها، ولم يُحدَّث مع إدخال أدوات ذكاء اصطناعي أو موردين جدد أو أنشطة معالجة جديدة. معالجة الذكاء الاصطناعي الخفي، والمعالجون من الباطن لدى الموردين، وأنشطة التسويق المدعومة بالذكاء الاصطناعي هي الإدخالات الأكثر غياباً.
فجوة آلية الموافقة: تُفيد المنظمات بامتلاكها آليات موافقة. يكشف التدقيق أن تدفقات الموافقة للقنوات الرقمية صُمّمت قبل دخول نظام حماية البيانات حيز النفاذ، ولم تُحدَّث لتستوفي اشتراطات الانضمام الطوعي والتفصيل وحرية الاختيار، وتتضمن موافقة مجمّعة على معالجة تسويقية ينبغي أن يكون أساسها القانوني منفصلاً ومحدداً.
فجوة عقود الموردين: تُفيد المنظمات بامتلاكها اتفاقيات معالجة بيانات مع الموردين. يكشف التدقيق أن تلك الاتفاقيات نماذج قياسية لا تتضمن أحكاماً خاصة بنظام حماية البيانات — ولا سيما حقوق التدقيق، والتزامات الإخطار لسدايا عند حدوث خرق، وأحكام إعادة البيانات أو حذفها عند انتهاء التعاقد.
فجوة الاستجابة للحوادث: تُفيد المنظمات بامتلاكها إجراءات للاستجابة للحوادث. يكشف التدقيق أن تلك الإجراءات تعالج حوادث أمن تقنية المعلومات لكنها لا تتناول تحديداً سيناريوهات خرق البيانات الشخصية، ولا تتضمن خطوات وجداول زمنية خاصة بالإخطار وفق نظام حماية البيانات، ولم تختبر في سيناريو يشمل اشتراطات الإخطار التنظيمي.

ما الذي يختبره التدقيق على مستوى البنود فعلاً؟

يُقابل التدقيق على مستوى البنود كل اشتراط في الإطار التنظيمي المنطبق — كل مادة، وكل فقرة، وكل حكم من اللوائح التنفيذية — بسؤال إثباتي محدد: ما الوثيقة أو السجل أو الإجراء المُختبَر الذي يُثبت استيفاء هذا الاشتراط؟ ثم يفحص التدقيق الدليل لا التأكيد.

بالنسبة لنظام حماية البيانات، يعني ذلك فحص مدخلات سجل المعالجة الفعلية للتحقق من اكتمالها وفق ما تشترطه اللوائح التنفيذية لكل مدخلة. ويعني مراجعة تدفقات الموافقة الفعلية لا وثائق سياسة الموافقة. ويعني قراءة اتفاقيات الموردين بنداً ببند مقابل اشتراطات نظام حماية البيانات. ويعني مراجعة دليل تشغيل الاستجابة للحوادث بحثاً عن الخطوات الإجرائية المحددة التي يشترطها النظام، لا مجرد البنية العامة لبرنامج الاستجابة للحوادث.

مقاربة مختلفة لتحليل الفجوات

يعامل تحليل الفجوات الفعّال كلَّ بند تنظيمي باعتباره يُنتج سؤالاً امتثالياً محدداً ذا إجابة ثنائية: إما يُثبت الدليل الامتثال وإما لا يثبته. والمخرج ليس درجة نضج أو نسبة جاهزية — كلاهما يطمس الفجوات المحددة التي تُفرز التعرض القانوني — بل قائمة ببنود محددة، والحالة الإثباتية الراهنة لكل منها، والإجراءات المطلوبة لسد كل فجوة. هذا هو الشكل الوحيد لتحليل الفجوات الذي يُنتج نتائج يمكن للمنظمة التصرف بناءً عليها — ونتائج تصمد أمام التدقيق في أي مراجعة تنظيمية.