خطط الإصلاح

1) ما هي خطة الإصلاح (CAPA)

• ويصف النتائج والأسباب الجذرية والمخاطر ؛
• تعيين المالكين والتدابير (التصحيحية والوقائية) والمواعيد النهائية ومعايير النجاح ؛
• أدلة على الإغلاق وتمنع التكرار.

الأهداف: الحد من المخاطر المتبقية على مستوى الشهية، لضمان إمكانية التتبع والاستعداد لمراجعة الحسابات على نحو هام من الناحية القانونية.

2) عندما تكون هناك حاجة إلى CAPA

نتائج عمليات مراجعة الحسابات/التقييمات (الداخلية والخارجية).
حوادث أمن/خصوصية/عمليات المعلومات وتشريحها.
انحرافات اختبارات JMA/التحكم، KRI في «المنطقة الحمراء».
انتهاكات الشروط التعاقدية/التنظيمية.
انجرافات كبيرة في التكوين وتعارض SoD.

3) RACI والأدوار

(ص - مسؤول ؛ ألف - المساءلة ؛ جيم - استشاري ؛ أولاً - معلومات)

4) CAPA من طرف إلى طرف

1. تحديد الهوية: بيان البحث (معيار → الوقائع → التأثير → الأدلة).
2. تقييم المخاطر: الشدة/الاحتمال، والتأثير على جيش تحرير السودان/التنظيم.
3. تحليل السبب الجذري: 5 لماذا، عظم السمك، شجرة الصدع - اختيار الطريقة.
4. التخطيط: تدابير SMART (تصحيحية/وقائية)، الموارد، المواعيد النهائية، مؤشرات الأداء الرئيسية.
5. أبريل: → المالك (في High/Critical Risk Committee/Exes.
6. التنفيذ: مهام في قسم خدمات تكنولوجيا المعلومات/جيرا، ومراقبة التبعية، والاتصالات.
7. التحقق: اختبار التصميم والفعالية، المرجع (إن أمكن).
8. خاتمة: أدلة في WORM، تحديث قواعد/سياسات التحكم.
9. ما بعد المراجعة: بعد 30-60 يومًا - كرر النتيجة.

5) تحديد الأولويات والتوقيت

• حاسمة: على الفور ؛ والموعد النهائي ≤ 7 أيام ؛ تحديثات يومية.
• مرتفع: ≤ 30 يوما ؛ الأسبوعية.
• متوسط: ≤ 90 يومًا.
• منخفض: ≤ 180 يومًا.

العوامل ذات الأولوية: الآثار التنظيمية، وأثر العملاء/مؤشر الاستثمار المستقل، والأثر المالي، وتواتره وحجمه، وتوافر ضوابط التعويض.

6) متطلبات جودة CAPA

خطوات SMART: محددة وقابلة للقياس وقابلة للتحقيق وذات صلة بموعد نهائي.
تجاوز: تصحيحي + وقائي.
الضوابط التعويضية: إذا استغرق التدبير النهائي وقتا، تُدخل حواجز مؤقتة (تعزيز الرصد، والتدقيق اليدوي، وتخفيض الحدود).
الاتصال بالسياسات/الضوابط: تحديث المعايير، وإجراءات التشغيل الموحدة، وقواعد اتفاقية الذخائر العنقودية.
الأدلة: قائمة واضحة بقطع أثرية للإغلاق وكيفية التحقق منها.

7) قالب CAPA (هيكل البطاقة)

ID Finding/Source (Audit, Incident, CCM).
وصف عدم المطابقة (الفعلي/المعيار/الأثر).
تصنيف المخاطر والشهية (قبل/بعد).
السبب الجذري (الطريقة والنواتج).
الإجراءات التصحيحية (الخطوات، المالك، المستحق، KPI، الموارد).
الإجراءات الوقائية (шаги، المالك، المستحق، KPI).
الضوابط التعويضية (ماذا، من قبل من، حتى أي تاريخ).
التبعيات (الخدمات، البائعون، الإطلاقات).
قائمة الأدلة (وهو بالضبط ما يثبته الإغلاق).
خطة التحقق (من، كيف، متى، معايير القبول).
الحالة والتحديثات.
الموافقات (توقيعات/مقررات اللجنة).

8) أمثلة على التدابير التصحيحية/الوقائية

الوصول/IAM: إلغاء الحقوق الإضافية، وإطلاق حملات إعادة الشهادة، وتكوين JIT/MFA، والتصعيد التلقائي SoD.
DevSecOps: تمكين بوابات SAST/SCA، وإعاقة التبعيات الضعيفة، والمسح السري في العلاقات العامة.
البيانات/الخصوصية: تصحيح الاحتفاظ/TTL، تمكين Legal Hold، حقول إخفاء.
Logs/proofs: translation to structed logging, WORM/Object Lock, hash chain inschoring.
البائعون: تحديث إدارة الشؤون السياسية/جيش تحرير السودان، تدقيق المعالجات الفرعية، تأكيد تدمير البيانات.
BCP/DR: زيادة RPO/RTO، ممارسة منتظمة، حجز.
العمليات: تحديث SOP، والتدريب، والاختبارات/التقييمات في LMS.

9) إدارة الاستثناء (الإعفاءات)

عندما يكون مسموحًا به: «قيود صعبة» (البائع، المواعيد النهائية التنظيمية، القيود المعمارية).
الاحتياجات: السبب، وتاريخ انتهاء الصلاحية، والتدابير التعويضية، وتقييم المخاطر المتبقية، والاتفاق مع اللجنة.
التحكم: لوحة القيادة، تذكيرات لمدة 14/7/1 يوم، حظر التنازلات «الأبدية».

10) مقاييس محفظة CAPA و SLOs

العلاج في الوقت المحدد (حسب الشدة): النسبة المئوية لعمليات الإغلاق في الوقت المحدد (الهدف ≥ 95 في المائة).
Median Time-to-Close: Median by High/Critical.
تكرار النتائج: نسبة التكرار في 12 شهرا (اتجاه ↓).
مؤشر الحد من المخاطر: ∆ المعدل الإجمالي للمخاطر بعد الإغلاق.
اكتمال الأدلة:% من الخطط مع مجموعة كاملة من القطع الأثرية (هدف 100%).
تغطية التحكم التعويضي: نسبة الحالات عالية الخطورة مع تدابير مؤقتة (الهدف 100٪ قبل الإصلاح النهائي).
الاتصال بجيش تحرير السودان: النسبة المئوية لتحديث الحالة في الوقت المحدد (الهدف ≥ 98 في المائة).

11) لوحات القيادة (المجموعة الدنيا)

CAPA Pipeline - Plan → In Progress → Verify → Closed with SLAs/delinquisions.
خريطة حرارة الشدة: التوزيع حسب الأهمية والمالكين.
أثر المخاطر: مؤشر الحد من المخاطر والمخاطر المتبقية حسب المجال.
جاهزية الأدلة: اكتمال الأدلة، تقدم عمليات التحقق.
الإعفاءات والمواعيد النهائية: التدابير التعويضية النشطة/المتأخرة.
الشيخوخة والاختناقات: عمر CAPAs المفتوحة، الاختناقات (البائعون/الإصدارات).

12) SOP (إجراءات موحدة)

SOP-1: إنشاء CAPA

1. استنتاج التسجيل → 2) تقييم المخاطر → 3) RCA → 4) شكل بطاقة CAPA (SMART) → 5) الموافقة.

SOP-2: صيانة CAPA

التحديثات الأسبوعية (High +) → التحقق من التبعيات → وإصلاح الأدلة → وتعديل التواريخ مع التحديث.

SOP-3: التحقق من الإغلاق

اختبار التصميم/الفعالية → المرجع (إذا كان ذلك ممكناً) → قرار الإغلاق → محفوظات الأدلة في إدارة المعلومات المتعلقة بالحوادث العالمية.

SOP-4: ما بعد المراجعة

بعد 30-60 يومًا - التحقق من عدم التكرار، وتعديل الضوابط/السياسات.

13) تعريف المنجز

جميع الخطوات المنجزة ؛ تم تحقيق مؤشرات الأداء الرئيسية.
وتلغى التدابير التعويضية أو تدرج بوصفها ضوابط دائمة.
السياسات/المعايير المستكملة/إجراءات التشغيل الموحدة/قواعد الرصد.
الأدلة المجمعة والمحفوظة (إيصالات التجزئة، الوصلات).
تحقق منها طرف مستقل (الامتثال/المراجعة الداخلية للحسابات).

14) أنتيباترن

«خطط على الورق»: لا يوجد مالك/مواعيد نهائية/مقاييس → اكتشافات أبدية.
«تم - لم يثبت»: لا يوجد دليل/رد.
فقط تصحيحي بدون إعادة → الوقائية.
إعفاءات بدون تواريخ انتهاء ولا تعويض.
التحولات في المواعيد النهائية دون تحديث وتحليل المخاطر.
CAPAs «بمعزل» عن السياسات/JMAs - لم يتم تحديث الضوابط.
عدم وجود اتصالات وأوضاع لأصحاب المصلحة.

15) التكامل

GRC/ITSM: سجل موحد لـ CAPAs، وصلات مع النتائج/الحوادث، و SLAs/التصعيد.
CCM/Compliance-as-Code: اختبارات تلقائية لضوابط التحقق.
تخزين الأدلة: WORM/Object Lock، التثبيت، سجل الوصول.
دورة حياة السياسات - مسار التغييرات في السياسات المرتبطة ببرنامج العمل القطري.
LMS: تدريب/اختبار حول المتطلبات الجديدة.
VRM: إجراءات البائعين، الاحتفاظ بالمرآة، تأكيد التدمير.

16) نموذج النضج (M0-M4)

M0 Hell-hoc: خطط مبعثرة، لا جدول زمني/دليل.
فهرس M1: سجل CAPA الموحد وتواريخ وحالات خط الأساس.
M2 يمكن التحكم فيه: لوحات القيادة/جيش تحرير السودان، الأدلة، التحديثات المنتظمة، مسؤولية الدور.
M3 متكاملة: وصلة إلى CCM/GRC/Policy-as-Code, reperform, «Audit-ready by button».
M4 الضمان المستمر: KRIs التنبؤية، مشغلات CAPA التلقائية، محركات توصية تحديد الأولويات، منع التكرار.

17) مقالات ويكي ذات الصلة

التفاعل مع المنظمين ومراجعي الحسابات

مراجعة الحسابات على أساس المخاطر (RBA)

الرصد المستمر للامتثال

مؤشرات الأداء الرئيسية ومقاييس الامتثال

تخزين الأدلة والوثائق

مسار قطع الأشجار ومراجعة الحسابات

إدارة تغيير سياسة الامتثال

مخاطر الحرص الواجب والاستعانة بمصادر خارجية

المجموع

إن قانون الكابلات الفعال ليس «قائمة مهام»، ولكنه نظام لتخفيف المخاطر يمكن التحكم فيه: تحديد الأولويات بوضوح، وتدابير سمارت، والأدلة والتحقق، وتحديث الضوابط وعدم التكرار. هذا النهج يجعل الامتثال قابلاً للتنبؤ، ويقلل من تكلفة الحوادث ويعزز ثقة المنظمين والشركات.