الشهادة محطة. والقيمة هي الهدف.
تمتلك مؤسسات كثيرة حاصلة على الشهادات شهادة ورفاً من الوثائق لا يستخدمها أحد. نحن نبني أنظمة إدارة متناسبة مع حجم المؤسسة، ومتكاملة مع حوكمتها القائمة، ويملكها من يديرون العمل فعلاً، ليكون التدقيق تأكيداً لطريقة عمل المؤسسة، لا عرضاً يُعد خصيصاً للمدقق.
معايير أنظمة الإدارة التي نغطيها
تقييم الجاهزية، وتحليل الفجوات، وتصميم النظام، ودعم التطبيق، والتدقيق الداخلي، والاستعداد للحصول على الشهادة، لكل معيار منفرداً أو كنظام واحد متكامل ببرنامج تدقيق موحد.
ISO 9001
إدارة الجودة: التركيز على العميل، وانضباط الإجراءات، والتحسين المستمر على مستوى المؤسسة.
ISO/IEC 20000-1
إدارة خدمات تقنية المعلومات: تصميم الخدمات وتقديمها وتحسينها وفق ممارسات ITIL.
ISO 22301
استمرارية الأعمال: تحليل الأثر، واستراتيجيات الاستمرارية، والخطط والتمارين التي تصمد أمام الانقطاعات.
ISO/IEC 27001
أمن المعلومات: تصميم نظام إدارة أمن المعلومات القائم على المخاطر، وضوابط الملحق A، وبيان قابلية التطبيق، والأدلة.
ISO/IEC 42001
أنظمة إدارة الذكاء الاصطناعي: حوكمة مسؤولة للذكاء الاصطناعي، وتقييم الأثر، وضوابط دورة الحياة، بالتكامل مع 27001.
ISO 31000
إدارة المخاطر: إطار مؤسسي للمخاطر، والرغبة في المخاطرة، والإجراءات، والتقارير المدمجة في اتخاذ القرار.
ISO/IEC 38500
حوكمة تقنية المعلومات: مبادئ على مستوى مجلس الإدارة لتقييم استخدام التقنية وتوجيهه ومراقبته.
أنظمة الإدارة المتكاملة
هيكل حوكمة واحد، ومجموعة وثائق واحدة، وبرنامج تدقيق واحد لعدة معايير.
الأمن السيبراني وضمان الحوسبة السحابية
أطر الأمن السيبراني التنظيمية في السعودية والإمارات، يتولى تقييمها وتطبيقها وتدقيقها ممارسون يعرفون كيف تقرأ الجهات التنظيمية الأدلة.
NCA ECC
الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني في السعودية (ECC-2:2024): تقييم الامتثال، وتطبيق الضوابط، وقاعدة الأدلة اللازمة لتقارير الهيئة.
CST CRF
الإطار التنظيمي للأمن السيبراني الصادر عن هيئة الاتصالات والفضاء والتقنية لمقدمي خدمات الاتصالات وتقنية المعلومات والخدمات الرقمية: تقييم النضج وخارطة طريق الامتثال.
لائحة ضمان المعلومات في الإمارات
لائحة ضمان المعلومات في الإمارات تحت إشراف مجلس الأمن السيبراني لدولة الإمارات (المعروفة سابقاً بـ NESA): مواءمة الضوابط، وسد الفجوات، وأدلة جاهزة للتدقيق للجهات الحيوية.
CSA STAR
برنامج STAR من تحالف أمن الحوسبة السحابية: تطبيق مصفوفة ضوابط الحوسبة السحابية، والتقييم الذاتي، والاستعداد لشهادة STAR من المستوى الثاني إلى جانب ISO/IEC 27001.
نماذج العمل
ثلاثة نماذج للعمل يقدمها فريق الممارسين نفسه، لتعزز الاستشارات والتدقيق وبناء القدرات بعضها بعضاً.
الاستشارات والتطبيق
تقييم الجاهزية والفجوات، وتحديد النطاق والسياق، وتصميم نظام الإدارة، وتطوير السياسات والإجراءات، وتطبيق الضوابط، والاستعداد للحصول على الشهادة، وكل ذلك مبني على طريقة عمل المؤسسة الفعلية.
برامج التدقيق الداخلي
دورات تدقيق داخلي بالتعهيد وفق المعيار أو الإطار: خطط تدقيق قائمة على المخاطر، ومدققون مؤهلون، وملاحظات موضوعية، وتحليل للأسباب الجذرية، وإجراءات تحسين تستطيع الإدارة متابعتها. وتبقى قرارات منح الشهادات المستقلة من اختصاص الجهات المعتمدة.
بناء القدرات
ورش عمل للقائمين على التطبيق والمدققين الداخليين يقدمها ممارسونا، وجلسات توعية تنفيذية، ومسارات معتمدة لشهادات المطبق الرئيسي والمدقق الرئيسي عبر شركائنا في التدريب، لتبقى القدرات داخل المؤسسة.
من الفجوة إلى الامتثال المستدام
مسار منظم يبقي القيمة التشغيلية حاضرة في كل مرحلة، لا موعد التدقيق وحده.
ما الذي تحصل عليه المؤسسة؟
أصول ملموسة تمتلكها المؤسسة وتشغلها وتُدقَّق على أساسها.
تقييم الفجوات وخارطة الطريق
رؤية تفصيلية بندًا بندًا وضابطاً ضابطاً لموقع المؤسسة، مع خطة ذات أولويات لسد الفجوات.
توثيق نظام الإدارة
سياسات وإجراءات وسجلات متناسبة مع حجم المؤسسة ومستخدمة فعلاً.
إطار المخاطر والضوابط
تقييم المخاطر، وخطط المعالجة، وبيان قابلية التطبيق، ومواءمة الضوابط عبر المعايير والجهات التنظيمية.
تقارير التدقيق الداخلي والإجراءات
ملاحظات موضوعية، وتحليل للأسباب الجذرية، وإجراءات تصحيحية متابَعة وجاهزة لمراجعة الإدارة.
الجاهزية للشهادة والتدقيق التنظيمي
ملف أدلة وتأكيد للجاهزية قبل تدقيق جهة منح الشهادة أو الجهة التنظيمية.
فريق داخلي مدرّب
قائمون على التطبيق ومدققون داخليون وإدارة يفهمون النظام ويستطيعون استدامته.