كيف تساعد الأرشفة الإلكترونية في الامتثال والحوكمة؟ دليل المسؤولية المشتركة

هذه الصفحة نقطة البداية لمسؤول الامتثال، والمراجع الداخلي، ومدير الوثائق، ومدير أمن المعلومات. تجمع الأطر الرئيسية التي تمسّ الأرشيف في المملكة، وتفصل ما يستطيع النظام تقديمه عمّا يبقى على الجهة، ثم تحيلك إلى الأدلة التفصيلية لكل إطار. إن كنت تعدّ لمراجعة قادمة أو تكتب متطلبات الامتثال في كراسة شروط، فابدأ من هنا.

خريطة الأطر: أيّها يعنيك؟

لا تخضع كل جهة لكل إطار. حدّد أولًا ما ينطبق عليك، لأن ذلك يغيّر المتطلبات التي تكتبها للنظام:

وقد تنطبق أطر قطاعية أخرى. تفرض اللائحة التنفيذية لنظام ضريبة القيمة المضافة مثلًا حفظ الفواتير والسجلات ست سنوات على الأقل داخل المملكة، مع ضوابط تمنع التلاعب. ويشترط نظام التعاملات الإلكترونية لحجية السجل الإلكتروني أن يُحفظ بشكل يثبت مطابقة محتواه، وأن يبقى قابلًا للرجوع إليه، وأن تُحفظ معلومات منشئه وتاريخ إرساله واستلامه.

المسؤولية المشتركة: ما يقدمه النظام وما تملكه الجهة

أكبر خطأ في مشاريع الأرشفة أن يُكتب في محضر الاستلام أن «النظام متوافق مع NCA وPDPL». هذه العبارة لا يمكن اختبارها، ولا تحمي أحدًا عند المراجعة. الأدق أن تقسم كل متطلب إلى ثلاثة أجزاء:

الحوكمة أوسع من الامتثال

الامتثال يعني الالتزام بقاعدة خارجية. الحوكمة تعني أن تُدار الجهة بشفافية ومساءلة: من قرر، وبناءً على أي معلومات، ومن وافق. والأرشيف المنظم هو ذاكرة هذه القرارات. هذا المسار يوضح كيف تُحفظ هذه الذاكرة داخل نظام الوثائق:

المسار من الإنشاء إلى الإثبات: كل مرحلة تترك أثرًا في سجل التدقيق أو في سجل الإصدارات. عند الرفض لا يُمحى الإصدار السابق، بل يُنشأ إصدار جديد، فيبقى تاريخ القرار كاملًا.

ثلاثة مكاسب حوكمية تظهر عمليًا عندما يُطبّق هذا المسار:

• توثيق القرار: القرار مرتبط بالوثائق التي بُني عليها، فلا يُعاد بناء السياق من الذاكرة بعد سنة.
• المساءلة: كل اعتماد مسجّل باسم صاحبه ووقته، ولا يمكن إنكاره أو نسبته لغيره.
• الاستمرارية المؤسسية: حين يغادر مدير، تبقى قراراته ووثائقها في مكانها بدل أن تغادر معه في بريده أو جهازه.

الاستعداد للمراجعة: ملف الأدلة الذي تجهّزه مسبقًا

المراجع لا يسأل «هل لديكم نظام أرشفة؟». يسأل أسئلة محددة، ويريد لكل سؤال دليلًا. جهّز الأدلة التالية من النظام قبل أن تُطلب:

• تصدير سجل التدقيق لفترة محددة، ولنوع وثيقة حساس مثل ملفات الموظفين أو العقود.
• قائمة المستخدمين وأدوارهم وصلاحياتهم الحالية، مع تاريخ آخر مراجعة لها.
• عينة من وثائق معتمدة مع مسار اعتمادها وإصداراتها.
• سجل محاولات الدخول الفاشلة وحالات قفل الحسابات.
• تقرير آخر اختبار استعادة من النسخ الاحتياطية.
• جدول مدد الاحتفاظ المعتمد، وسجل ما أُتلف وفقه ومن اعتمده.
• وثيقة تصنيف البيانات، ومطابقة مستوياتها مع مجموعات الصلاحيات.

البنود الأربعة الأولى يُنتجها النظام. البنود الثلاثة الأخيرة تنتجها الجهة، والنظام يحفظها ويثبت تطبيقها. وإن أردت اختبار قدرة أي نظام على البند الأول تحديدًا قبل الشراء، فاتبع خطوات التحقق من سجل التدقيق وإمكان تصديره قبل اعتماد النظام.

خطوات التطبيق العملي

1. حدّد الأطر المنطبقة. اكتب قائمة قصيرة بالأنظمة والضوابط التي تخضع لها جهتك فعلًا، مع الجهة المالكة لكل منها داخليًا.
2. صنّف أنواع الوثائق. لكل نوع: مستوى التصنيف، ومن يطّلع، ومن يعتمد، وهل يحتوي بيانات شخصية أو حساسة. المعايير في إدارة الوثائق المحتوية على بيانات شخصية حساسة.
3. اعتمد جدول الاحتفاظ. بالتنسيق مع الشؤون القانونية، ووفق الأنظمة التي تنطبق على كل نوع. الإرشادات في إعداد مدد الاحتفاظ بالوثائق ومتطلبات مراجعتها وإتلافها.
4. حوّل ما سبق إلى متطلبات قابلة للاختبار. بدل «متوافق مع PDPL» اكتب «يمنع النظام الموارد البشرية العامة من فتح التقارير الطبية، ويسجّل كل محاولة».
5. اسأل المورد عن معالجة البيانات. أين تُخزَّن؟ ومن يصل إليها للدعم؟ وماذا يحدث عند انتهاء العقد؟ القائمة في ما الذي تسأل عنه مورد الأرشفة بشأن معالجة البيانات.
6. اختبر قبل الاستلام وراجع بعده. نفّذ سيناريوهات الصلاحيات والتصدير قبل التوقيع، ثم راجع الصلاحيات والسجل دوريًا بعد التشغيل.

أخطاء شائعة في مشاريع الامتثال بالأرشفة

• الخلط بين الدعم والاعتماد. الهيئة الوطنية للأمن السيبراني لا تمنح المنتجات «اعتمادًا»، وشهادة ISO تُمنح لنظام إدارة في جهة محددة وبنطاق محدد. اطلب من أي مورد وثائق تبيّن ما يدعمه النظام من ضوابط، واطلب الشهادة الحالية بنطاقها وتاريخ انتهائها إن ذُكرت.
• نقل الفوضى إلى النظام الجديد. ترحيل مجلدات مشتركة بصلاحياتها المفتوحة كما هي ينقل المشكلة ولا يحلّها. راجع الصلاحيات قبل الترحيل لا بعده.
• سجل تدقيق لا يقرؤه أحد. وجود السجل لا يكفي إن لم يكن هناك من يراجعه دوريًا ويتابع ما يظهر فيه.
• الاحتفاظ بكل شيء إلى الأبد. الاحتفاظ غير المبرر بالبيانات الشخصية مخالفة بذاته، إذ يوجب نظام حماية البيانات الشخصية إتلافها بعد انتهاء الغرض ما لم يوجد مسوّغ نظامي للاحتفاظ.
• إغفال نهاية العقد. ضوابط الأطراف الخارجية والسحابة في ECC تطلب إعادة بيانات الجهة بصيغة قابلة للاستخدام وحذفها الآمن عند انتهاء الخدمة. اكتب ذلك في العقد من البداية.

دور وثيقة في هذه المعادلة

وثيقة نظام سعودي لإدارة الوثائق والأرشفة الإلكترونية، ويقدّم الجزء التقني من المسؤولية المشتركة: صلاحيات مبنية على الأدوار على مستوى المجلد والمستند مع ربط Active Directory/LDAP، ومصادقة ثنائية وقفل الحساب بعد محاولات فاشلة متكررة، وسجل تدقيق محمي بالتجزئة يُصدَّر PDF/Excel، وتتبّع الإصدارات، ومسارات موافقة متعددة المراحل تنتهي بأرشفة نهائية تلقائية، وتشفير أثناء النقل والتخزين، وخيار استضافة داخل المملكة أو على خوادم الجهة، ومدد احتفاظ مع إتلاف مجدول وتعليق للإتلاف عند النزاع. ويساعدك ذلك على إثبات ما قررته جهتك، دون أن يحل محل هذا القرار.

والنظام حاصل على شهادة ISO/IEC 27001، ومتوافق مع ضوابط الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية؛ اطلب نسخة الشهادة ونطاقها كما تطلبها من أي مورد. أما مدد الاحتفاظ لكل نوع وثيقة فتُضبط مع فريق وثيقة أثناء التهيئة وفق جدولك المعتمد. وتبقى السياسات والجداول والمراجعات مسؤولية الجهة كما في الجدول أعلاه.

الخطوة التالية

اختر الإطار الأقرب إلى جهتك من الخريطة أعلاه وافتح دليله التفصيلي. ثم راجع ضوابط الأمان والامتثال في وثيقة لترى كيف تُطبَّق هذه الأدوات، واطلب عرضًا توضيحيًا تُختبر فيه حالات ملف الأدلة على وثائق من جهتك.