خطة إدارة النظم – كيفية بناء سجلات نظم تكنولوجيا المعلومات والمسؤوليات والعجلة السنوية

تصف خطة إدارة النظام كيفية تشغيل نظام تقنية المعلومات وتطويره ومراقبته وإيقافه في نهاية المطاف. أما سجل أنظمة تقنية المعلومات فهو القائمة الشاملة لأنظمة الشركة، وأصحابها، والموردين، ومحتوى المعلومات، والاعتمادات المهمة. وتساعد هذه الأدوات معاً في تسهيل توزيع المسؤوليات، وتحديد أولويات الإجراءات، والتحكم في مشهد الأنظمة بالكامل.

ما الذي يجب أن تتضمنه خطة إدارة النظام؟

تربط خطة الإدارة المفيدة بين احتياجات العمل والتشغيل اليومي لتقنية المعلومات. يجب أن تكون قابلة للمتابعة دون أن تتحول إلى تقرير ضخم لا يستخدمه أحد. قد يختلف المحتوى بين شركة صغيرة لديها عشر خدمات سحابية (SaaS) وبين مؤسسة لديها أنظمة أعمال مطورة داخلياً.

من هو مالك النظام - وما الفرق بينه وبين مدير النظام؟

مالك النظام هو عادةً الدور الذي تعينه الجهة المسؤولة لاتخاذ القرارات بشأن أهداف النظام وأولوياته وموارده. أما مدير النظام (أو المسؤول عن الإدارة) فيقوم عادةً بتنسيق العمل اليومي والتوثيق والمتابعة. بينما يتولى قسم تشغيل تقنية المعلومات المهام التقنية وفقاً لتوزيع المسؤوليات المعمول به في المؤسسة أو لدى المورد.

هذه أدوار تنظيمية وليست تصنيفاً قانونياً عالمياً. قد تجمع الشركات الصغيرة بين عدة مهام لشخص واحد، ولكن يجب أن تظل عمليات اتخاذ القرار والتنفيذ العملي والرقابة واضحة. عند معالجة البيانات الشخصية، من المهم أيضاً التمييز بين مالك النظام المعين داخلياً والدور القانوني لـ وحدة تحكم البيانات (Data Controller) وفقاً للائحة العامة لحماية البيانات (GDPR).

إنشاء سجل لأنظمة تقنية المعلومات خطوة بخطوة

1. جرد الأنظمة المستخدمة فعلياً

أدرج أنظمة الأعمال، والأنظمة المالية، وأدوات الموارد البشرية، واشتراكات البرمجيات كخدمة (SaaS)، ومنصات التكامل، والأنظمة التي تستخدمها فرق العمل الفردية. ابحث عن التكرارات والخدمات التي تفتقر إلى جهة طلب واضحة. سجل أيضاً الأنظمة التي هي في مرحلة الإيقاف التدريجي.

2. توثيق البيانات الأساسية

أدخل اسم النظام، والغرض منه، والعملية الرئيسية، والمورد، ومالك النظام، والمستخدمين الرئيسيين، ومالك العقد، والتكلفة، ومدة العقد، وطريقة التواصل في حالات الحوادث. يُفضل تحديد مكان حفظ العقود ذات الصلة والوثائق التقنية، دون تخزين كلمات المرور أو الأسرار الأخرى في السجل.

3. تحديد المعلومات والاعتمادات

سجل مجموعات المعلومات التي يعالجها النظام، والتكاملات المهمة، وتدفقات البيانات، وعمليات الأعمال الحرجة. تابع السرية والدقة والتوافر. يصبح الجرد قيّماً بشكل خاص عندما يمكن استخدام نفس البيانات في تقييمات المخاطر وتخطيط استمرارية العمل.

4. توزيع المسؤوليات باستخدام مصفوفة RACI بسيطة

حدد من المسؤول عن القرار، ومن ينفذ النشاط، ومن يجب استشارته، ومن يجب إبلاغه. اربط الأدوار بمهام مثل الموافقة على التغيير، ومراجعة الصلاحيات، وإدارة الحوادث، وتجديد عقود الموردين.

5. تحديد أولويات المخاطر والتحسينات

قيّم عواقب واحتمالات الاضطرابات ذات الصلة. وثّق مالك المخاطر، والإجراءات التصحيحية، والقرارات، وتاريخ المتابعة. تجنب استخدام درجة تقييم وحيدة كبديل تلقائي لتقدير العمل الفعلي.

6. إنشاء عجلة سنوية

خطط لعمليات مراجعة منتظمة لصلاحيات المستخدمين، وقدرة الاستعادة، ونتائج الموردين، والتكاليف، والتراخيص، وتذاكر الدعم، والتحسينات المقررة. اضبط التكرار بناءً على أهمية كل نظام وملف المخاطر الخاص به.

7. مراجعة دورة الحياة والإيقاف

عند استبدال نظام ما، يلزم اتخاذ قرارات واضحة بشأن تصدير البيانات، وترحيلها، وإغلاق الصلاحيات، والحذف، والأرشفة، وإنهاء العقد. تحقق بشكل خاص من أن البيانات الشخصية ومعلومات الحسابات تُعالج وفقاً للقواعد المعمول بها.

مثال: ثلاثة أنظمة في شركة صغيرة

افترض أن الشركة تستخدم نظاماً مالياً، ونظام شؤون موظفين، ونظاماً خارجياً للدعم الفني (Helpdesk). يمكن تعيين المدير المالي كمالك للنظام المالي، ومدير الموارد البشرية لنظام الموظفين، والمسؤول عن تقنية المعلومات للدعم الفني. وفي الوقت نفسه، يمكن لقسم تقنية المعلومات تنفيذ عمليات المراقبة التقنية المشتركة. لكل نظام يتم تسجيل المورد، وتجديد العقد، وتصنيف المعلومات، والمخاطر الرئيسية، والمراجعة القادمة.

يوضح المثال لماذا يؤدي سجل النظام وخطة الإدارة مهاماً مختلفة: يوضح السجل ما هو موجود، بينما تصف الخطة ما يجب القيام به، ومن قبل من، ومتى.

هل سجل أنظمة تقنية المعلومات هو نفسه سجل السجلات الخاص باللائحة العامة لحماية البيانات (GDPR)؟

لا. يصف سجل أنظمة تقنية المعلومات الأنظمة والموارد التقنية أو التنظيمية. أما المادة 30 من اللائحة العامة لحماية البيانات (GDPR) فتتعلق بسجل أنشطة المعالجة للبيانات الشخصية وتتطلب بيانات محددة، بما في ذلك الغرض، وفئات الأشخاص المعنيين، والمستقبلين حيثما ينطبق ذلك. يمكن لنظام تقنية المعلومات دعم عدة عمليات معالجة للبيانات الشخصية، وقد تتضمن عملية المعالجة الواحدة عدة أنظمة. لذلك يجب تقييم سجل أنشطة المعالجة بشكل منفصل.

اقرأ دليلنا الحالي حول سجل أنشطة المعالجة وفقاً للمادة 30 من اللائحة العامة لحماية البيانات (GDPR) للحصول على المحتوى المناسب لذلك المستند.

قائمة مراجعة لإدارة النظام

• جميع أنظمة تقنية المعلومات المهمة مدرجة في السجل.
• تم تحديد مالك النظام، والمسؤول التشغيلي، والمورد.
• تم وصف غرض النظام، والاعتمادات، ومجموعات المعلومات.
• تم توثيق المخاطر والتغييرات والقرارات.
• تم تحديد المسؤولين عن مراجعة الصلاحيات وإجراءات الحوادث.
• تواريخ التراخيص والعقود قابلة للمتابعة.
• يتم متابعة العجلة السنوية ونتائج المراقبة.
• تم التخطيط لعمليات الإيقاف وتصدير البيانات للأنظمة التي سيتم استبدالها.

أخطاء شائعة يجب تجنبها

• أنظمة بلا مالك: لا يمتلك أحد الصلاحية لتحديد أولويات التحسينات.
• سجل بلا روتين تحديث: تصبح المعلومات قديمة بسرعة.
• خلط الأدوار: افتراض أن دعم تقنية المعلومات يتحمل تلقائياً كامل مسؤولية حماية الأعمال والبيانات.
• نسيان خدمات SaaS: تجاهل التكاليف والتكاملات وأماكن التخزين الخارجية.
• لا توجد خطة خروج: عدم وضوح كيفية نقل البيانات أو حذفها عند انتهاء العقود.

أسئلة شائعة حول خطة إدارة النظام

هل يجب أن يكون لدى كل شركة خطة لإدارة النظام؟

لا يوجد مطلب قانوني سويدي عام ينص على أن كل شركة يجب أن تمتلك وثيقة تسمى "خطة إدارة النظام". قد تخضع بعض الأنشطة المحددة لمتطلبات ملزمة أخرى تتعلق بالحوكمة والأمن والتوثيق والرقابة. لذا، تُعد الخطة أداة إدارة عملية يمكن أن تساعد المؤسسة في الوفاء بالالتزامات ذات الصلة.

ما الفرق بين سجل أنظمة تقنية المعلومات وسجل التراخيص؟

يصف سجل النظام غرض النظام، والمالك، وإدارة المعلومات، ودورة الحياة. بينما يركز سجل التراخيص على الاشتراكات، وعدد التراخيص، والتكاليف، وتواريخ التجديد. يمكن ربط السجلين ببعضهما.

كم مرة يجب تحديث خطة إدارة النظام؟

حدد مراجعة دورية بناءً على المخاطر ومعدل التغيير. قم بالتحديث أيضاً بعد تغييرات الأنظمة الرئيسية، والحوادث، والتغييرات التنظيمية، والتغيرات الهامة في الموردين.

هل يمكن أن يكون الشخص نفسه مالكاً للنظام ومديراً له؟

نعم، في المؤسسات الصغيرة يمكن دمج الأدوار. ومع ذلك، يجب توثيق بوضوح من يتخذ القرارات، ومن ينفذ عمليات المراقبة، ومن المسؤول عن معالجة النواقص.

أدلة ونماذج ذات صلة

عمّق عملك من خلال أدلتنا حول تصنيف المعلومات، ومراجعة الصلاحيات، وخطة إدارة الحوادث، والخروج من خدمات SaaS وترحيل البيانات. انظر أيضاً نماذج عقود تقنية المعلومات والخدمات الرقمية.

المصادر ومزيد من القراءة

• IMY: الاحتفاظ بسجل لأنشطة معالجة البيانات الشخصية
• IMY: معالجة الشركات للبيانات الشخصية
• Informationssäkerhet.se: دعم منهجي للعمل المنهجي لأمن المعلومات

آخر مراجعة للحقائق: 13 أكتوبر 2026. يقدم المقال توجيهاً عاماً للعمل وليس استشارة قانونية. تحقق مما إذا كانت أنشطتك تخضع لمتطلبات قطاعية خاصة أو عقود أو لوائح محددة.