‌الدليل التنظيمي لإدارة استمرارية الأعمال

sama_gov_sa · guide · processed · 44 chunks

انطلاقا من حرص البنك المركزي في تحسين مستوي الممارسات فيما يتعلق بموضوع استمراريه الاعمال عند وقوع الحوادث او الكوارث-لا سمح الله- من خلال وجود اليه فعاله ومطبقه ومختبره في البنك المصرف مستنده علي افضل الحلول والممارسات التي توفر بييه ناضجه لضمان استمراريه الاعمال دون حدوث انقطاع للخدمات الهامه وتعطل الاعمال، نفيدكم قيام البنك المركزي بتطوير واصدار دليل تنظيمي لاداره استمراريه الاعمال للقطاع المصرفي( مرفق) والذي يتعين علي البنك/ المصرف الالتزام الكامل بما ورد في هذا الدليل من خلال اتباع الاجراءات الاتيه:

اولا: عمل تقييم الوضع الحالي لاستمراريه الاعمال في البنك مقارنه بما ورد من متطلبات في الدليل التنظيمي (Gap Assessment) لتحديد مواطن الضعف في البنك علي ان يتم وضع خطه عمل (Roadmap) للالتزام بمتطلبات البنك المركزي بعد تقييم الوضع الحالي وارسالها للبنك المركزي وذلك في موعد اقصاه نهايه شهر مايو ۲۰۱۷م.

ثانيا: تزويد البنك المركزي بتقارير ربع سنويه اعتبارا من نهايه الربع الثاني وحتي التزام البنك بمتطلبات البنك المركزي.

ثالثا: الالتزام التام بتطبيق جميع المتطلبات الوارده في الدليل وذلك بنهايه شهر يناير لعام ٢٠١٨م.

و في حال وجود اي استفسار بهذا الخصوص يمكنكم التواصل مع مدير شعبه مخاطر تقنيه المعلومات البنكيه في البنك المركزي.

عمل البنك المركزي علي تطوير الدليل التنظيمي لاداره استمراريه الاعمال (BCM) نظرا للحاجه الي توافر عمليات المؤسسات الماليه علي مدار الساعه وطوال ايام الاسبوع، والذي من شانه المساهمه في تعزيز المتانه التشغيليه للجهات لضمان استمراريه وتوافر عملياتها وخدماتها. تستند الضوابط الوارده في الدليل التنظيمي الي متطلبات البنك المركزي السعودي وافضل الممارسات والمعايير الدوليه، علي سبيل المثال (ISO 22301) و (ISO 27001) وارشادات افضل الممارسات الصادره عن معهد استمراريه الاعمال (BCI) وارشادات الممارسات المهنيه الصادره عن المعهد الدولي للتعافي من الكوارث (DRII). يجب علي كافه المؤسسات الماليه المعنيه الالتزام بهذه المتطلبات وادراجها ضمن برنامج اداره استمراريه الاعمال الخاص بها.

تعد اداره استمراريه الاعمال (BCM) عمليه متكامله في تحديد التهديدات المحتمله علي المؤسسه واثرها علي الاعمال في حال تحققها. كما توفر اطار لبناء الصمود المؤسسي والقدره علي الاستجابه الفعاله بما يحمي مصالح اصحاب المصلحه الرييسيين، والسمعه، والهويه المؤسسيه، وانشطه صنع القيمه.
تعد اداره استمراريه الاعمال (BCM) جزءا من المنظومه الاداريه الشامل، والتي تتضمن الهيكل التنظيمي والسياسات والانشطه المخطط لها والمسؤوليات والاجراءات والعمليات، والموارد المطلوبه لانشاء وتنفذ وتشغيل ومراقبه ومراجعه والمحافظه والتحسين علي استمراريه الاعمال.
يعد التعافي من كوارث تقنيه المعلومات (IT DR) جزءا من اداره استمراريه الاعمال، ويشمل السياسات والمعايير والاجراءات والعمليات المتعلقه بمتانه البني التحتيه التقنيه المطلوبه لتقديم الاعمال الحساسه او استعادتها او استمرارها.
يعرف الحد الاقصي المقبول للانقطاع (MAO) بالفتره الزمنيه من الانقطاع التي قد يترتب عنها اثار سلبيه غير مقبوله في حال عدم تقديم منتج / خدمه او عدم تقديم اداء نشاط معين .
يعرف وقت التعافي المستهدف (RTO) بالفتره الزمنيه ما بعد وقوع الحادثه والتي يجب ان يتم خلالها استيناف المنتجات او الخدمات او الانشطه او استعاده الموارد.
تعرف نقطه الاسترجاع المستهدفه (RPO) بالنقطه المحدده من المعلومات المستخدمه في نشاط معين والواجب استعادتها لتمكين العمل علي النشاط حال استينافه. بالاضافه الي التعريف التالي "الحد الاقصي لقبول خساره البيانات".

يتضمن الدليل التنظيمي لاداره استمراريه الاعمال تحديد المبادي والاهداف والضوابط الاساسيه لبدء وتطبيق ومراقبه وتحسين والحفاظ علي ضوابط استمراريه الاعمال في المؤسسات الماليه.

ينطبق الدليل التنظيمي علي نطاق المؤسسه الماليه بالكامل، ويشمل ذلك الشركات التابعه والموظفين والمقاولين والاطراف الثالثه والعملاء.

تترابط متطلبات الدليل التنظيمي لاداره استمراريه الاعمال بالسياسات المؤسسيه الاخري في المجالات ذات الصله، مثل اداره مخاطر المؤسسيه، والصحه والسلامه والبييه (HSE)، والامن المادي، والامن السيبراني (بما في ذلك المتانه السيبرانيه واداره الحوادث).

ينطبق الدليل التنظيمي لاداره استمراريه الاعمال علي ما يلي:

كافه المؤسسات الخاضعه لاشراف البنك المركزي ("المؤسسات الماليه").
كافه البنوك العامله في المملكه العربيه السعوديه.
كافه الشركات التابعه للبنوك السعوديه.
الشركات التابعه للبنوك الاجنبيه والمتواجده في المملكه العربيه السعوديه.

تم التعميم بالدليل التنظيمي لاداره استمراريه الاعمال علي المؤسسات الماليه من قبل البنك المركزي. ويحتوي الدليل التنظيمي علي متطلبات اداره استمراريه الاعمال لتطبيقها من قبل المؤسسات الماليه. يعد البنك المركزي الجهه المالكه للدليل التنظيمي والمسؤول عن تحديثه دوريا. وعلي المؤسسات الماليه مسؤوليه اعتماد وتطبيق المتطلبات المنصوص عليها في الدليل.

تخضع المبادي والاهداف والضوابط الاساسيه الوارده في الدليل التنظيمي لتفسير البنك المركزي بصفته الجهه المالكه للدليل، وفي حال دعت الحاجه.

هذه الوثيقه مخصصه لمجلس الاداره، والرؤساء التنفيذيين، ومديري المخاطر، والاداره العليا والتنفيذيه، وادارات الاعمال، ومسؤولي الاصول المعلوماتيه، ومديري تقنيه المعلومات، ومديري الامن السيبراني، ومديري استمراريه الاعمال، والمدققين الداخليين والمسؤولين عن تحديد وتنفيذ ومراجعه ضوابط استمراريه الاعمال.

البنك المركزي هو المعني بمراجعه وتحديث هذه الوثيقه للتاكد من مدي فعاليه وكفايه الدليل التنظيمي في مواجهه التهديدات والمخاطر الناشيه في مجال استمراريه الاعمال.

يتطلب علي المؤسسات الماليه في حال رات الحاجه الي تحديث هذه الوثيقه تقديم طلب رسمي الي البنك المركزي، وذلك بعد الحصول علي موافقه مدير اداره استمراريه الاعمال ولجنه اداره استمراريه الاعمال ضمن المؤسسه الماليه. وللبنك المركزي مراجعه الطلب والنظر في التحديث علي الوثيقه في حال الموافقه عليه.

تخضع الوثيقه لاجراءات ضبط الاصدارات للحفاظ، وسيتم التعميم علي المؤسسات الماليه المعنيه في حال تحديث الاصدار السابق.

تمثل المتطلبات الوارده في الدليل التنظيمي لاداره استمراريه الاعمال الاقسام الفعليه لاداره استمراريه الاعمال، والاقسام الفرعيه، والمبادي، والاهداف، والضوابط الاساسيه.

المبدا
يجب تحديد واعتماد وتطبيق والحفاظ علي اطار حوكمه استمراريه الاعمال، والرقابه عليه من قبل الاداره العليا. كما يجب تحديد هيكله استمراريه الاعمال والتعميم بها علي كافه الموظفين والاطراف الثالثه المعنيين.
الهدف
توجيه ومراقبه وتقييم المنهجيه الشامله لاستمراريه الاعمال في المؤسسه الماليه.
الضوابط الاساسيه:
1. | يجب ان يكون علي مجلس الاداره او العضو التنفيذي المفوض المسؤوليه النهاييه عن برنامج اداره استمراريه الاعمال.
2. | يجب علي مجلس اداره المؤسسه الماليه او العضو المفوض من الاداره العليا تخصيص ميزانيه كافيه لتنفيذ الانشطه المطلوبه لاداره استمراريه الاعمال.
3. | يجب انشاء لجنه اداره استمراريه الاعمال وتكليفها من قبل مجلس الاداره.
4. | يجب ان تتضمن عضويه لجنه اداره استمراريه الاعمال ممثلي الاداره العليا المعنيين، مثل مدير المخاطر (CRO)، ومدير العمليات (COO)، ومدير تقنيه المعلومات (CIO)، ومدير الامن السيبراني (CISO).
5. | يجب اعداد ميثاق لجنه استمراريه الاعمال ومتضمنا الاتي:
 | ا. | اهداف اللجنه
 | ب. | الادوار والمسؤوليات
 | ج. | الحد الادني من الاعضاء لانعقاد اللجنه.
 | د. | وتيره الاجتماعات (بما لا يقل عن ربع سنوي).
6. | يجب انشاء وحده معنيه باداره استمراريه الاعمال.
7. | يجب ان يكون مدير/رييس اداره استمراريه الاعمال:
 | ا. | قد تم تعيينه.
 | ب. | يمتلك الصلاحيات المناسبه لاداره برنامج اداره استمراريه الاعمال.
 | ج. | ان يكون مؤهلا ويمتلك الخبره والمهارات والجدارات المناسبه لتطبيق برنامج استمراريه اعمال المؤسسه الماليه والحفاظ عليه.
8. | يجب تزويد وحده اداره استمراريه الاعمال بالعدد الكافي والمؤهل من الكوادر.
9. | يجب ان تساهم الفرق متعدده الوظايف والمكونه من اعضاء الفريق الاستراتيجي، والتكتيكي ،والعمليات في تطبيق والحفاظ علي خطط استمراريه الاعمال والتعافي من الكوارث.

المبدا
يجب تحديد استراتيجيه استمراريه الاعمال وموايمتها مع الاهداف المؤسسيه الاستراتيجيه الشامله للمؤسسه الماليه.
الهدف
التاكد من موايمه مبادرات استمراريه الاعمال مع الاهداف المؤسسيه الاستراتيجيه، والتحسين المستمر في مستوي نضج المؤسسه الماليه عبر دمج اداره استمراريه الاعمال ضمن ممارساتها الاداريه.
الضوابط الاساسيه
1. | يجب تحديد استراتيجيه استمراريه الاعمال، واعتمادها، وتطبيقها والحفاظ عليها.
2. | يجب ان تحدد الاستراتيجيه بحد ادني ما يلي:
 | ا. | الاهداف الاستراتيجيه طويله المدي لتطبيق ونضج برنامج اداره استمراريه الاعمال.
 | ب. | خارطه الطريق والفتره الزمنيه لتحقيق الاهداف الاستراتيجيه.
 | ج. | متطلبات المراجعه المستمره والتحقق من موايمه برنامج اداره استمراريه الاعمال مع الاهداف الاستراتيجيه.

المبدا
يجب تحديد سياسه استمراريه الاعمال، واعتمادها، والتعميم به علي اصحاب المصلحه المعنيين.
الهدف
توثيق التزام المؤسسه الماليه واهداف برنامج استمراريه الاعمال والتعميم به علي اصحاب المصلحه المعنيين.
الضوابط الاساسيه
1. | يجب تحديد سياسه استمراريه الاعمال، واعتمادها، وتطبيقها، والتعميم بها.
2. | يجب ان تحدد سياسه استمراريه الاعمال بحد ادني ما يلي:
 | ا. | الاهداف
 | ب. | النطاق
 | ج. | المسؤوليات
3. | يجب مراقبه الالتزام بسياسه استمراريه الاعمال.
4. | يجب قياس وتقييم فعاليه تطبيق السياسات بشكل دوري.
5. | يجب توثيق الاستثناءات من نطاق اداره استمراريه الاعمال وتقييمها بشكل دوري. وتوثيق مبررات الاستثناءات واعتمادها من قبل لجنه اداره استمراريه الاعمال والاداره العليا.

المبدا
يجب علي المؤسسه الماليه اجراء تحليل اثر انقطاع الاعمال وتقييم المخاطر لكافه الانشطه ذات الصله لتحديد متطلبات استمراريه الاعمال، والتعافي من الكوارث، والتحسينات المطلوبه عليها.
الهدف
التاكد من قيام كل مؤسسه ماليه بتحديد عملياتها المؤسسيه وتصنيف اولويتها والتبعيات الرييسيه لها، وتحديد ضوابط استمراريه الاعمال الكافيه لتلبيه متطلبات الاعمال، والمتطلبات التنظيميه، والقانونيه، والالتزام.
الضوابط الاساسيه
1. | يجب تحديد منهجيه تقييم الاثر علي الاعمال وتقييم المخاطر، واعتمادها، وتطبيقها، والحفاظ عليها.
2. | يجب علي المؤسسه الماليه اجراء تقييم دوري لمخاطر استمراريه الاعمال. وان يشمل ذلك دون الحصر علي الاتي:
 | ا. | تحديد التهديدات الداخليه والخارجيه المحتمله، بما يشمل نقاط الفشل الواحده التي قد تتسبب في تعطيل الانشطه الحساسه وفق ما تم تحديده في تحليل اثر انقطاع الاعمال وبمراعاه الاشخاص، والعمليات، والتقنيات، والمباني.
 | ب. | تقييم المخاطر المحتمله وتحديد اولويتها من خلال تقييم التهديدات المحتمله وفق اثرها التشغيلي واحتماليه حدوثها.
 | ج. | تحديد الضوابط المطلوبه لاداره المخاطر المحدده.
 | د. | تحديد الخطه التصحيحيه وتطبيق ضوابط اداره استمراريه الاعمال.
3. | يجب علي المؤسسه الماليه تحديد الانشطه وترتيب اولوياتها (مثل المنتجات والخدمات والمهام واجراءات الاعمال) من خلال اجراء تحليل اثر انقطاع الاعمال لتحديد ما يلي علي سبيل المثال دون الحصر:
 | ا. | الاثر المحتمل لانقطاع الاعمال لكل مهمه واجراء عمل ذي اولويه، وبما يشمل دون الحصر الاثار الماليه، والتشغيليه، والقانونيه، والتنظيميه، والاثر علي العملاء.
 | ب. | اوقات التعافي المستهدفه (RTOs)، ونقاط الاسترجاع المستهدفه (RPOs) والحد الاقصي المقبول للانقطاع (MAO).
 | ج. | الارتباطات المتبادله داخليا وخارجيا.
 | د. | موارد دعم التعافي.
4. | يجب علي لجنه اداره استمراريه الاعمال اقرار قايمه الاولويات، ونتايج تحليل اثر انقطاع الاعمال، وتقييم المخاطر، واوقات التعافي المستهدفه(RTOs)، ونقاط الاسترجاع المستهدفه(RPOs)، والحد الاقصي المقبول للانقطاع (MAO).
5. | يجب مشاركه نتايج تقييم المخاطر مع لجنه اداره استمراريه الاعمال.
6. | يجب تحديث تحليل اثر انقطاع الاعمال وتقييم المخاطر بشكل سنوي وعند حدوث تغييرات جوهريه (مثل التغييرات في الهيكل التنظيمي، والعمليات، والتقنيات، والموردين، والمواقع).
7. | يجب ان يتضمن التقييم المخاطر المرتبطه بالمؤسسه الماليه بشكل عام ومراكز البيانات (الاساسيه والاحتياطيه) التي لا تملكها (مثل مراعاه تحديد الفتره الزمنيه الكافيه للانتقال الي موقع جديد وتضمينها في الاتفاقيات التعاقديه).
8. | يجب اجراء تقييم دوري سنوي كحد ادني لقياس قدره الموردين، ومزودي الخدمات في دعم والحفاظ علي مستويات الخدمه للانشطه ذات الاولويه اثناء الحوادث المعطله.
9. | يجب علي المؤسسات الماليه التاكد من مناسبه اوقات التعافي المستهدفه (RTOs) لانظمه الدفع، والخدمات المرتبطه بالعملاء، وغيرها، ومراعاه متطلبات التوافر العالي لهذه العمليات والحد الادني من التعطل في حاله وقوع كارثه.

المبدا
يجب علي المؤسسه الماليه تحديد، واعتماد، وتطبيق خطه استمراريه الاعمال لانشطتها الحساسه. ومراقبه الالتزام بخطه استمراريه الاعمال وقياس وتقييم مدي فاعليتها بشكل دوري.
الهدف
التاكد من قدره المؤسسه الماليه علي تحديد وايضاح الاجراءات الواجب اتخاذها، والموارد اللازمه للتمكن من اداره الانقطاعات المعطله، والعوده الي الوضع اللازم لاستيناف العمليات المؤسسيه العاديه.
الضوابط الاساسيه
1. | يجب تحديد خطه استمراريه الاعمال واعتمادها وتطبيقها والحفاظ علي جاهزيتها للاستخدام اثناء الحوادث المعطله، وبما يمكن المؤسسه الماليه من مواصله تنفيذ انشطتها الهامه والعاجله وفق مستوي مقبول ومحدد مسبقا.
2. | يجب علي المؤسسه الماليه تحديد، واعتماد، وتطبيق اجراءات الاستجابه للحوادث المعطله. وان تشمل الاجراءات مجتمعه الاتي:
 | ا. | الموارد الرييسيه (مثل الاشخاص، والمعدات، والمرافق، والتقنيات).
 | ب. | تحديد الادوار والمسؤوليات والصلاحيات لاصحاب المصلحه المعنين.
 | ج. | عمليه اداره الاثار الفوريه للحوادث المعطله واجراءات التصعيد.
 | د. | عمليه مواصله الانشطه الحساسه ضمن اهداف التعافي المحدده مسبقا (وقت التعافي المستهدف (RTO)، ونقطه الاسترجاع المستهدف (RPO)، والحد الاقصي المقبول للانقطاع (MAO)).
 | ه. | عمليه استيناف عمليات المؤسسه الماليه وفق المعتاد حين معالجه الحادثه.
 | و. | ارشادات التواصل مع الموظفين، والاطراف الثالثه ذات الصله، وجهات الاتصال في حالات الطواري.
 | ز. | عمليه تضمين متطلبات الامن السيبراني ذات الصله، ان وجدت، ضمن تخطيط استمراريه الاعمال.
3. | يجب مراقبه الالتزام بخطه استمراريه الاعمال.
4. | يجب قياس وتقييم مدي فعاليه خطط استمراريه الاعمال بشكل دوري.
5. | علي مدير استمراريه الاعمال ومنسقو استمراريه الاعمال مسؤوليه الحفاظ والتحديث علي خطط استمراريه الاعمال والترتيبات.
6. | يجب ان يكون لدي المؤسسه الماليه مساحات عمل احتياطيه كافيه بما يمكنها من نقل الموارد المطلوبه لتنفيذ العمليات الحساسه والمطلوبه وفق اهداف التعافي المحدده مسبقا ضمن تحليل اثر انقطاع الاعمال.
7. | يجب ان تحتوي مساحات العمل الاحتياطيه علي تقسيمات واضح لمناطق جلوس وحدات الاعمال المختلفه.
8. | يجب علي المؤسسه الماليه تطبيق الضوابط الامنيه المنطقيه، والماديه، والبيييه الكافيه لتوفير مستوي الوصول والامان ذاته في حال الحاجه الي تفعيل الموقع الاحتياطي.
10. | يجب علي المؤسسه الماليه التاكد ان لدي مزودي الخدمه الاساسين خطه لاستمراريه الاعمال (في حال تطلب ذلك) لدعم الانشطه الحساسه وفق تحليل اثر انقطاع الاعمال، وان يتم اختبارها علي اساس سنوي كحد ادني.

المبدا
يجب علي المؤسسه الماليه تحديد، واعتماد، وتطبيق، والحفاظ علي خطه التعافي من كوارث تقنيه المعلومات لانشطتها الحساسه والبني التحتيه التقنيه ذات الصله.
الهدف
التاكد ان لدي المؤسسه الماليه خطه للتعافي من كوارث تقنيه المعلومات وقايمه محدثه بالانشطه الحساسه في حاله وقوع حادث معطل.
الضوابط الاساسيه
1. | يجب تحديد، واعتماد، وتطبيق خطه التعافي من كوارث تقنيه المعلومات لاستعاده واسترداد خدمات تقنيه المعلومات ومكونات البنيه التحتيه التقنيه (البيانات، والانظمه، والشبكه، والخدمات، والتطبيقات) والحفاظ عليها بما يتماشي مع تحليل اثر انقطاع الاعمال.
2. | يجب علي المؤسسه الماليه انشاء مركز بيانات احتياطي في موقع مناسب. ويجب تحديد الموقع بناء علي:
 | ا. | اجراء تقييم للمخاطر والتحقق من ان الموقع لا يتشارك في المخاطر مع المركز الرييسي (مثل التهديدات الجغرافيه).
 | ب. | الحصول علي موافقه من البنك المركزي السعودي.
3. | يجب ان تتناسب اعدادات البيانات، والنظم، والتطبيقات، والطاقه الاستيعابيه في مركز البيانات الاحتياطي مع التي ما يتم الحفاظ عليه في مركز البيانات الرييسي.
4. | يجب علي المؤسسه الماليه تطبيق الضوابط الامنيه المنطقيه، والماديه، والبيييه، والسيبرانيه في مركز البيانات الاحتياطي وفق ما هي عليه في مركز البيانات الرييسي.
5. | يجب علي المؤسسه الماليه تحديد وتطبيق عمليه النسخ الاحتياطي والاستعاده.
6. | يجب ان يكون لدي المؤسسه الماليه موقع خارجي لحفظ النسخ الاحتياطيه.
7. | يجب تتضمن العقود المبرمه مع الاطراف الثالثه المعنيه التاكيد علي استمراريه الخدمات المسنده لها، او توفير الاجهزه او البرامج البديله خلال الفترات الزمنيه المتفق عليها في حاله وقوع كارثه. والارشادات للتاكد ان توافق العقود المبرمه مع نتايج تحليل اثر انقطاع الاعمال وتقييم المخاطر.
8. | علي مدير تقنيه المعلومات مسؤوليه الحفاظ علي خطط وترتيبات التعافي من الكوارث وتحديثها، وعلي مدير اداره استمراريه الاعمال المسؤوليه الشامله في تكامل الخطط ضمن برنامج اداره استمراريه الاعمال.
9. | يجب مراقبه الالتزام بخطه التعافي من الكوارث.
10. | يجب قياس وتقييم مدي فعاليه خطه التعافي من كوارث تقنيه المعلومات علي اساس سنوي كحد ادني.

المبدا
يجب علي المؤسسه الماليه التاكد من اعتماديه ومتانه البني التحتيه والبرمجيات في تشغيل الخدمات، ووظايف الاعمال، والعمليات الحساسه لديها.
الهدف
التاكد من ان الخدمات، ووظايف الاعمال، والعمليات الحساسه لدي المؤسسه الماليه متوافره حين الحاجه لها ومقاومه للانقطاعات.
الضوابط الاساسيه
1. | يجب ان تخضع كافه التغييرات في البني التحتيه والبرمجيات التي تدعم الخدمات الحساسه، ووظايف الاعمال، والعمليات بشكل مباشر الي الاتي:
 | ا. | تقييمات دقيقه للمخاطر للتاكد من تلبيه متطلبات الاعمال المتفق عليها في شان التوافر العالي والتعافي.
 | ب. | اتباع اجراءات حازمه للتطوير، والاختبار، واداره التغيير لتجنب نقطه الفشل الواحده او الاعطال.
2. | يجب تحديد واعتماد المراجعه المعماريه بشكل دوري للتاكد من معالجه متطلبات الاعمال في شان التوافر واستمراريه الاعمال وصحه تطبيقها.
 | ملاحظه. يرجي الاطلاع علي التعليمات الصادره عن البنك المركزي السعودي في شان
الدليل التنظيمي لامن المعلومات
للمزيد من الضوابط المعززه للمرونه التشغيليه، مثل
اداره التهديدات
، و
اداره الثغرات الامنيه
.

المبدا
يجب علي المؤسسه الماليه تحديد، واعتماد، وتطبيق خطه لاداره الازمات ولتمكين الاستجابه والتواصل الفعال في حال الحوادث الكبري، ولضمان السلامه العامه لاصحاب المصلحه الداخليين والخارجيين.
الهدف
التاكد ان لدي المؤسسه الماليه خطه فعاله ومحدثه لاداره الازمات في حال وقوع حادث معطل للمنتجات، والخدمات، ووظايف الاعمال، والعمليات الحساسه لديها.
الضوابط الاساسيه
1. | يجب تحديد خطه لاداره الازمات واعتمادها وتطبيقها.
2. | يجب مراقبه الالتزام بخطه اداره الازمات.
3. | يجب قياس وتقييم مدي فعاليه برنامج استمراريه الاعمال ضمن خطه اداره الازمات بشكل دوري.
4. | يجب علي المؤسسه الماليه توثيق خطه (خطط) اداره الازمات لتحديد كيفيه التعامل مع واداره الازمات الناتجه عن حادثه (حوادث) كبري، وان تتضمن الاتي كحد ادني:
 | ا. | معايير تاكيد الازمه.
 | ب. | يجب علي المؤسسه الماليه انشاء مركز اساسي واحتياطي للاداره المركزيه للطواري.
 | ج. | تحديد اعضاء فريق اداره الازمات، ومراعاه توافر ممثلي اداره الاعمال للمنتجات والخدمات والوظايف والعمليات الحساسيه في المؤسسه الماليه (بما يشمل اداره التواصل).
 | د. | بيانات التواصل لاعضاء فريق اداره الازمات (بما يشمل الاطراف الثالثه).
 | ه. | تحديد الخطوات الواجب اتخاذها اثناء وبعد الازمه او الكارثه (بما يشمل التفويضات اللازمه).
 | و. | خطه التواصل متضمنه خطه الاستجابه الاعلاميه لمعالجه التواصل اثناء الازمات مع اصحاب المصلحه الداخليين والخارجيين.
 | ز. | وتيره الاختبارات لاداره الازمات.

المبدا
يجب علي المؤسسه الماليه تحديد، واعتماد، وتطبيق، ومراقبه الاختبارات الدوريه لاستمراريه الاعمال وخطط التعافي من الكوارث بما يمكن تدريب موظفيها والاطراف الثالثه، واختبار فعاليه خطط استمراريه الاعمال والتعافي من الكوارث.
الهدف
التاكد من ملايمه الخطط الحاليه لاستمراريه الاعمال والتعافي من الكوارث للمؤسسه الماليه، وان الموظفين والاطراف الخارجيه مدربون علي تطبيق هذه الخطط.

الضوابط الاساسيه

يجب علي المؤسسه الماليه اجراء تمارين محاكاه دوريه لاختبار خطه استمراريه الاعمال (مره واحده في السنه كحد ادني).
يجب ان تراعي الاختبارات ملايمه السيناريوهات وخطط تنفيذها ووضوح اهدافها (علي سبيل المثال وفق الوحدات الاداريه، والخدمات، والعمليات، والموقع، واسوا الاحتمالات)، كما يجب علي المؤسسه الماليه مراعات تضمين سيناريوهات الامن السيبراني.
يجب ان تشمل سيناريوهات الاختبار تفعيل واشراك فريق اداره الازمات.
بعد الانتهاء من الاختبارات الفرديه اعلاه، يجب علي كل مؤسسه ماليه مراعات اجراء اختبار متكامل لاداره استمراريه الاعمال لجميع الخدمات الحساسه والعمليات المؤسسيه والوحدات الاداريه.

الضوابط الاساسيه

يجب علي المؤسسه الماليه اجراء اختبار دوري للتعافي من الكوارث بالتزامن مع خطه استمراريه الاعمال (مره واحده في السنه كحد ادني).
يجب علي المؤسسه الماليه تقييم اختبار التعافي من الكوارث للبني التحتيه التقنيه لانظمتها الحساسه، وذلك للتاكد من امكانيه وجاهزيه التعافي من الكوارث واستيناف العمليات المؤسسيه الحساسه لفتره من الوقت في حال وقوع كارثه كبري.
يجب ان تتيح نتايج اختبار التعافي من الكوارث تقييمها والتحسينات المقترحه لاداره الاحداث المعطله ذات الاثر علي استمراريه اعمال المؤسسه الماليه.
يجب ان يشمل ذلك تفعيل واشراك فريق اداره الازمات.

1. | يجب توثيق النتايج التفصيليه لكافه التمارين والاختبارات للرجوع اليها في المستقبل. وان تتضمن نتايج التمارين/الاختبارات الاعتبارات الاتيه دون الحصر:
 | ا. | التاكد من تحقيق اهداف التمرين المطبق للخطه.
 | ب. | التاكد من قدره وجاهزيه موارد التعافي.
 | ج. | توثيق الدروس المستفاده والتحسينات المطلوبه.
 | د. | تحديد السبب الجذري للفشل في حال حدوثه، واجراءات المعالجه الواجب متابعتها حتي الوصول الي نتيجه ناجحه.
2. | يجب اعاده اختبار الخطه وفق المده الزمنيه المحدده في حاله فشلها، علي ان لا تتجاوز المده الزمنيه ثلاثه (3) اشهر.
3. | يجب علي المراجع الداخلي في المؤسسه الماليه او المراجع الخارج المؤهل مراقبه انشطه اختبار استمراريه الاعمال والتعافي من الكوارث عبر المشاركه المستقله ولغرض التاكيد المعقول بشان الانشطه المطبقه ونتايج الاختبارات وما ان كانت تلبي الاهداف الشامله لبرنامج استمراريه اعمال المؤسسه الماليه.
4. | يجب ابلاغ لجنه اداره استمراريه الاعمال والاداره العليا ومجلس الاداره بنتايج كافه اختبارات خطه استمراريه الاعمال وخطه التعافي من الكوارث.

المبدا
يجب علي المؤسسه الماليه اعداد وتطبيق والحفاظ علي برنامج تدريبي وتوعوي يدعم بشكل فعال اهداف اداره استمراريه الاعمال من خلال تطوير الكفاءه المطلوبه بين الموظفين.
الهدف
يجب علي المؤسسه الماليه التاكد من دمج اداره استمراريه الاعمال في انشطتها اليوميه، من خلال خطه توعيه مستمره وموثقه.
الضوابط الاساسيه
1. | يجب علي المؤسسه الماليه والاطراف الثالثه ذات الصله، مثل المزودين والموردين:
 | ا. | الالمام بالبنود ذات الصله ضمن سياسه وخطط استمراريه الاعمال.
 | ب. | الالتزام تعاقديا علي تقديم الخدمات او المنتجات في وقت متفق عليه حال وقوع حادث معطل.
 | ج. | الالمام ببيانات ضباط اتصالها او منسقي استمراريه الاعمال في المؤسسه الماليه.
 | د. | الالمام بالادوار والمسؤوليات في حال وقوع حوادث معطله.
2. | يجب تقديم برنامج تدريبي علي اساس سنوي للموظفين المشاركين في اداره استمراريه الاعمال لتحقيق المستوي المطلوب من الخبره والمهارات والكفاءات.
3. | يجب علي المؤسسه الماليه قياس فعاليه برنامج التدريب والتوعيه بشكل دوري.

المبدا

يجب علي المؤسسه الماليه تحديد وانشاء والحفاظ علي اجراءات التواصل الدوري مع البنك المركزي فيما يخص برامج استمراريه اعمالها.

الهدف

التاكد من استمراريه التواصل مع البنك المركزي من خلال تحديد واعتماد بروتوكول ووتيره التواصل، والادوار والمسؤوليات والالتزام بها.

الضوابط الاساسيه

يجب علي المؤسسه الماليه ابلاغ البنك المركزي فورا في حال وقوع حوادث معطله ذات تصنيف "متوسط" او "عالي"، ومشاركه البنك المركزي تقرير ما بعد الحادثه عند استيناف عملياتها العاديه.
يجب علي المؤسسه الماليه التنسيق مع وكاله الرقابه في البنك المركزي عند التواصل مع وسايل الاعلام في حال وقوع الحوادث.
يجب علي المؤسسات الماليه الحصول علي موافقه البنك المركزي عند اختيار موقع جديد لمركز البيانات الرييسي او الاحتياطي الخاص بها، او عند الرغبه بنقل مركز البيانات الرييسي او الاحتياطي الحالي.
يجب علي المؤسسه الماليه ابلاغ البنك المركزي بالبرنامج المعتمد لتنفيذ اختبارات استمراريه الاعمال والتعافي من الكوارث بنهايه شهر يناير من كل عام.
يجب علي المؤسسه الماليه مشاركه نتايج اختبار استمراريه الاعمال والتعافي من الكوارث مع البنك المركزي في غضون اربعه اسابيع من اجراءها. وتحديد التحسينات المطلوبه بناء علي الاختبار الذي تم اجراؤه وتقديم خطه عمل الي البنك المركزي في غضون شهرين بعد تقديم نتايج الاختبار.

المبدا

يجب مراجعه وتحديث برنامج استمراريه الاعمال والتعافي من الكوارث، والسياسات، والخطط، والاجراءات بشكل دوري، وفي حاله حدوث تغييرات (جوهريه) في المنتجات، والخدمات، ووظايف الاعمال و/او العمليات الحساسه لدي المؤسسه الماليه.

الهدف

التاكد من حداثه كافه مستندات استمراريه الاعمال بما يمكن الاستفاده منها في استعاده العمليات المؤسسيه حال وقوع حادث معطل.

الضوابط الاساسيه

يجب علي المؤسسات الماليه وضع اجراءات لمراجعه/وتحديث واعتماد مستندات استمراريه الاعمال.
يجب ان تتضمن كافه المستندات بوضوح تاريخ مراجعتها واعتمادها.

المبدا

يجب ان تخضع اداره استمراريه الاعمال في المؤسسات الماليه للمراجعه والتدقيق الدوري من قبل طرف مؤهل ومستقل داخلي او خارجي لضمان فعاليتها، وللتاكد من الالتزام بالدليل التنظيمي لاداره استمراريه الاعمال الصادر عن البنك المركزي.

الهدف

التاكد من قيام طرف مستقل بمراجعه الانشطه المرتبطه بالدليل التنظيمي لاداره استمراريه الاعمال وابلاغ الاداره العليا بشكل مستقل عن الملاحظات المرصوده في شانها.

الضوابط الاساسيه

يجب علي المؤسسه الماليه اجراء مراجعه / تدقيق لاداره استمراريه الاعمال من قبل طرف مؤهل ومستقل داخلي / خارجي.
يجب علي المؤسسه الماليه تحديد الفجوات وتوفير خارطه تنفيذ اجراءات تعزيز اداره استمراريه الاعمال داخل المؤسسه.
يجب ابلاغ الاداره العليا ولجنه اداره استمراريه الاعمال عن الملاحظات المرصوده والخطط التصحيحيه لها.