معايير ISO في إدارة الوثائق والسجلات: الإصدارات الحالية وكيف تقرأ شهادة المورد

هذا الدليل لمسؤول الجودة والامتثال، ومدير الوثائق، ومدير أمن المعلومات، ولجنة فحص العروض. يفيدك في موقفين: حين تبني نظام إدارة وثائق يدعم سعي جهتك إلى شهادة ISO أو يحافظ عليها، وحين تقيّم موردًا يذكر ISO في عرضه. ويصحح المقال معلومات قديمة شائعة، مثل عدد ضوابط ISO 27001 وإصدارات المعايير الحالية.

أولًا: من يحمل الشهادة، وعلى ماذا؟

معايير أنظمة الإدارة، مثل ISO/IEC 27001 وISO 30301 وISO 9001، تُطبَّق على منظمة. تدقق جهة منح مستقلة نظام الإدارة في نطاق محدد، مثل «تطوير وتشغيل منصة كذا من موقع كذا»، ثم تصدر شهادة لها تاريخ انتهاء وتدقيقات مراقبة دورية. يترتب على ذلك ثلاث نتائج عملية:

• عبارة «برنامج حاصل على شهادة ISO» غير دقيقة. الأدق أن المورد حاصل على شهادة لنظام إدارة يشمل نطاقه تطوير المنتج أو تشغيله، أو أن المنتج يوفر أدوات تدعم متطلبات جهتك.
• شهادة المورد لا تنتقل إلى جهتك. إن كانت جهتك تسعى إلى شهادة، فستُدقَّق هي على سياساتها وإجراءاتها، ويكون نظام الوثائق أداة ومصدر أدلة.
• النطاق يحدد القيمة. شهادة تغطي مكتب المبيعات وحده لا تقول شيئًا عن مركز البيانات الذي ستُستضاف فيه وثائقك.

المعايير ذات الصلة بإصداراتها الحالية

وتشترك معايير أنظمة الإدارة الأخرى، كالإدارة البيئية ISO 14001 والسلامة والصحة المهنية ISO 45001، في بنية موحدة تتطلب «معلومات موثقة» مضبوطة: إجراءات معتمدة، وسجلات حوادث وتدريب، ومراجعات إدارة. هنا يخدم نظام الوثائق الجهة في أي شهادة من هذه الشهادات، دون أن يكون موضوع الشهادة نفسه.

ما الذي تطلبه ISO 15489 من نظام الوثائق عمليًا؟

يصف المعيار السجلات الموثوقة بأربع خصائص: الأصالة، والموثوقية، والسلامة، وقابلية الاستخدام. ترجمتها إلى متطلبات قابلة للاختبار في نظام الوثائق:

ويطلب المعيار كذلك أن تُحدَّد مدد الاحتفاظ والتصرف النهائي في السجلات. وتختلف الأنظمة كثيرًا في قدرات الاحتفاظ والإتلاف المجدول وتعليق الإتلاف، فاطلب من أي مورد أن يعرضها في العرض التوضيحي، وراجع إعداد مدد الاحتفاظ بالوثائق ومتطلبات مراجعتها وإتلافها.

محاور ISO/IEC 27001:2022 وما يقابلها في نظام الوثائق

أغلب ضوابط الملحق A مسؤولية المنظمة. لكن في كل محور ضوابط يُسهم فيها نظام الوثائق بأدلة مباشرة:

كيف تقرأ شهادة ISO يقدّمها مورد؟

قبل أن تمنح نقاطًا في تقييم العروض لبند «شهادات»، تحقق من العناصر التالية:

• اسم الجهة الحاصلة يطابق الكيان القانوني الذي ستتعاقد معه، لا شركة شقيقة أو شريكًا.
• المعيار والإصدار: ISO/IEC 27001:2022 لا 2013، فشهادات إصدار 2013 انتهت صلاحيتها بانتهاء الفترة الانتقالية في 31 أكتوبر 2025.
• النطاق يشمل تطوير المنتج المعروض أو تشغيله أو استضافته، والمواقع التي ستُعالج فيها وثائقك.
• تاريخ الإصدار والانتهاء، وما يثبت اجتياز آخر تدقيق مراقبة.
• الجهة المانحة وجهة الاعتماد التي تعتمدها، مع إمكان التحقق من الشهادة في سجلها.
• بيان قابلية التطبيق (Statement of Applicability) في شهادات 27001، ولو ملخّصًا، لمعرفة الضوابط المستبعدة ومبرر استبعادها.

وإن لم يحمل المورد شهادة، فذلك لا يعني بالضرورة ضعفه. اطلب حينها وثائقه الأمنية التفصيلية وإجاباته عن استبيان أمني، كما في استبيان الأمن التقني الذي يُرسل إلى موردي أنظمة الأرشفة، وقائمة الوثائق في الوثائق الفنية المطلوبة من مورد نظام إدارة الوثائق.

ISO والمتطلبات السعودية: تكامل لا بديل

معايير ISO طوعية، ولا تحل محل المتطلبات النظامية المحلية. جهة تخضع للضوابط الأساسية للأمن السيبراني (ECC-2:2024) أو لنظام حماية البيانات الشخصية تبقى ملزمة بهما ولو حملت شهادة ISO/IEC 27001. قد تتقاطع بعض الضوابط، كإدارة الصلاحيات والتشفير وسجلات الأحداث، فيُستفاد من الأدلة نفسها في أكثر من إطار، لكن المطابقة بين الإطارين عمل تقوم به جهتك ومستشاروها. للمتطلبات المحلية راجع متطلبات الهيئة الوطنية للأمن السيبراني للأرشفة الإلكترونية، وللصورة المجمّعة راجع دليل الامتثال والحوكمة في الأرشفة الإلكترونية.

كيف يدعم وثيقة جهتك في مسار ISO

يوفّر وثيقة أدوات تنتج الأدلة التي يطلبها المدققون في معايير إدارة السجلات وأمن المعلومات: مستودع مركزي بتصنيف هرمي ووسوم وبيانات وصفية، وتتبّع الإصدارات مع إمكان العودة لأي إصدار سابق، ومسارات اعتماد متعددة المراحل تنتهي بأرشفة نهائية، وصلاحيات مبنية على الأدوار على مستوى المجلد والمستند، ومصادقة ثنائية، وسجل تدقيق محمي بالتجزئة قابل للتصدير PDF/Excel، وتشفير أثناء النقل والتخزين، ونسخ احتياطي تلقائي وفق صفحة الأمان واتفاقية الخدمة، وبحث داخل النص وOCR عربي يجعل السجلات قابلة للاسترجاع. ويدعم كذلك جداول مدد الاحتفاظ مع الإتلاف الآلي عند انتهائها، وتعليق الإتلاف (Legal Hold) للسجلات الخاضعة لتدقيق أو نزاع، وتُضبط المدد لكل نوع وثيقة وفق سياسة جهتك أثناء التهيئة.

وفي ما يخص الشهادات، وثيقة حاصل على شهادة ISO/IEC 27001، ومتوافق مع ضوابط الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية. طبّق عليه القاعدة نفسها التي تطبّقها على غيره: اطلب نسخة الشهادة الحالية بنطاقها وتواريخها خلال التقييم.

الخطوة التالية

حدّد المعيار الذي تسعى إليه جهتك أو تحافظ عليه، واختر من جداول هذا الدليل خمسة متطلبات تريد أن يثبتها نظام الوثائق. ثم راجع ضوابط الأمان والامتثال في وثيقة، واطلب عرضًا توضيحيًا يُختبر فيه كل متطلب على وثائق من جهتك.