المدار لا يكون النظام المالي أكثر موثوقية من ضوابط الوصول وإدارة التغيير التي يقوم عليها، وهذه هي الضوابط التي تختبرها مراجعة الضوابط العامة لتقنية المعلومات.
ويرتبط هذا الأمر بخدمة استشارات المخاطر السيبرانية والرقمية، التي تعنى بالحماية من الهجمات الخارجية. أما مراجعة الضوابط العامة فتسأل: هل يمكن الاعتماد على الضوابط الداخلية التي تحكم الوصول والتغيير؟ وكثيراً ما تعتمد مصفوفة المخاطر والضوابط على سلامة هذه الضوابط، لأن كثيراً من ضوابطها يعمل داخل الأنظمة.
المجالات الأساسية الثلاثة للضوابط العامة
إدارة الوصول والصلاحيات: هل تطابق صلاحيات المستخدمين أدوارهم ومسؤولياتهم الحالية؟ إدارة التغيير: هل تُختبر تغييرات النظام وتُعتمد قبل إطلاقها، بدلاً من دفعها مباشرة إلى بيئة التشغيل؟ عمليات تقنية المعلومات: انضباط النسخ الاحتياطي، وجدولة المهام، ومعالجة الحوادث عند حدوث خلل.
لماذا يهم هذا حتى لو بدا موقفكم السيبراني سليماً
قد تملك الشركة دفاعات خارجية قوية وتظل ضوابط تقنية المعلومات الداخلية فيها ضعيفة. فقد يحتفظ موظف غادر منذ أشهر بوصول نشط إلى النظام. وقد يُطلق تغيير في نظام مالي دون اختبار، فيعطل عملية مطابقة ولا يلاحظ أحد ذلك على مدى عدة فترات تقارير. وتختلف هذه المخاطر عن الهجوم الخارجي، لكنها قد تضر بسلامة التقارير المالية بالقدر نفسه.
الارتباط بضوابط أنظمة ERP
للشركات التي تشغّل نظام SAP أو أنظمة مماثلة، تتداخل مراجعة الضوابط العامة مع أعمال SAP GRC. فهي تكشف غالباً مشكلات الوصول وفصل المهام نفسها التي صُمم تطبيق GRC لمنع تكرارها.
كيف يبدو التقرير النهائي
تأتي كل ملاحظة مع أثرها على العمل وخطوة معالجة عملية، ليتمكن فريقكم الداخلي من العمل بالتقرير مباشرة دون ترجمة اللغة التقنية أولاً. وقائمة المعالجة مرتبة بالأولوية، فتُفصل مخاطر الوصول العاجلة عن فجوات العمليات الأقل أثراً التي يمكن جدولتها تدريجياً.