Loading...
اشترك في نشرتنا البريدية
اطلع على آخر الأخبار مباشرة من بريدك الإلكتروني.
الحل المتكامل للتعلّم والتطوير للارتقاء بمهارات فريقك.
© 2026 سكيل أب مينا. جميع الحقوق محفوظة.
اشترك في نشرتنا البريدية
اطلع على آخر الأخبار مباشرة من بريدك الإلكتروني.
الحل المتكامل للتعلّم والتطوير للارتقاء بمهارات فريقك.
© 2026 سكيل أب مينا. جميع الحقوق محفوظة.
مشاركة :
وجّهت إدارة أمن المعلومات في أحد المصارف الأهلية ببغداد طلبًا يبدو بسيطًا إلى وحدة التدريب: قائمة بكل من يستطيع الاطلاع على نتائج الموظفين في نظام إدارة التعلم، وكل من يستطيع تعديلها. وبعد أيام من المراجعة تبيّن أن بعض مديري الفروع يرون نتائج المصرف كله، وأن منسق التدريب في أحد الفروع يسجّل حضور الجلسات ويعتمده بنفسه، وأن لدى فريق الدعم التابع للمزود حسابًا إداريًا دائمًا لا يعرف أحد متى استُخدم آخر مرة.
لم يكن في ذلك تقصير متعمد. فقد اختيرت منصة إدارة التعلم بناءً على واجهتها العربية وسهولة تشغيل الدورات، ولم تُكتب قبل التعاقد قائمة واضحة بما يجب أن يسجّله نظام إدارة التعلم، ومن يحق له أن يرى كل سجل أو يغيّره. وهذه الأسئلة لا تظهر في العرض التوضيحي، بل تظهر حين يبدأ المدقق أو موظف الامتثال أو مختص أمن المعلومات بطرح أسئلته التفصيلية.
يقدّم هذا المقال لفرق الموارد البشرية وتقنية المعلومات والمشتريات في المصارف العراقية قائمة عملية لمتطلبات التتبع والصلاحيات، وطريقة لمراجعة سياسات البيانات مع المختصين قبل التعاقد. وهو لا يقدّم مشورة قانونية أو رقابية؛ فتحديد سجلات التدريب التي يلزم المصرف الاحتفاظ بها ومدة الاحتفاظ بها يعود إلى متطلبات الامتثال في مؤسستك والمسؤولين عنها، لا إلى المزود ولا إلى هذا المقال.
لماذا لا يكفي أن يصف المزود نظامه بأنه «مناسب للمصارف»؟تحمل عروض كثيرة عبارات مثل «متوافق مع متطلبات القطاع المصرفي» أو «جاهز للامتثال». تعامل مع هذه العبارات على أنها بداية الأسئلة لا جوابها؛ فالمزود لا يعرف التدريب الذي يجب على مصرفك توثيقه، ولا الأدلة التي يطلبها التدقيق الداخلي، ولا القيود التي تفرضها سياسة أمن المعلومات لديك. ولا يوجد نظام إدارة التعلم يجعل المصرف ممتثلًا تلقائيًا؛ فأقصى ما يفعله أن يسجّل ما حدث بدقة، وأن يقصر كل إجراء على من يحق له القيام به.
لذلك انظر إلى نظام إدارة التعلم بوصفه مستودعًا لأدلة التدريب، واطرح على كل متطلب سؤالين: هل سيبقى هذا السجل كاملًا وموثوقًا حين يفحصه أحد بعد عام؟ وهل يقتصر الاطلاع عليه وتعديله على الأشخاص المناسبين؟ والإجابة عن السؤالين موزعة بين أكثر من جهة داخل المصرف، ولهذا تُكتب القائمة بالشراكة معها، لا داخل وحدة التدريب وحدها.
ما الذي يجب أن يسجله نظام إدارة التعلم؟ابدأ متطلبات التتبع بالسجلات التي يُرجَّح أن يطلبها المدققون وموظفو الامتثال، واكتب لكل منها متطلبًا واضحًا والدليل الذي ستتحقق منه أثناء الاختبار:
ويستحق البند الأخير عناية خاصة. فالمعهد الوطني للمعايير والتقنية الأمريكي (NIST) يعرّف سجل التدقيق بأنه سجل زمني يتيح إعادة بناء تسلسل الأنشطة المحيطة بعملية أو حدث معين وفحصه من بدايته إلى نتيجته. اطلب أن ترى هذا السجل لسجل تدريب محدد داخل نظام إدارة التعلم، لا سجلًا تقنيًا عامًا لا يقرؤه إلا فريق تقنية المعلومات، واسأل عن مدة الاحتفاظ به وإمكانية تصديره مع السجلات التي يصفها.
وإذا كان مصرفك يوزّع التدريب الإلزامي حسب مهام الموظف، كما في دليلنا حول اختيار دورات مكافحة غسل الأموال التي تناسب مهام موظفي البنوك العراقية، فاطلب أن يسجّل نظام إدارة التعلم النطاق المطلوب لكل دور، حتى يُظهر التقرير هل أكمل الموظف الدورة المناسبة لدوره، لا أي دورة فحسب.
واجعل الرقم الوظيفي هو المفتاح الذي يربط كل سجل بصاحبه، لا الاسم. فالاسم الواحد قد يُكتب بأكثر من صيغة بين نظام الموارد البشرية وكشوف الحضور الورقية، وقد يظهر بالعربية في فرع وبالكردية أو الإنجليزية في فرع آخر. وإذا اعتمد نظام إدارة التعلم على الاسم في مطابقة السجلات، فقد يُنسب إكمال موظف إلى زميل يحمل اسمًا مشابهًا دون أن يلاحظ أحد.
مصفوفة الصلاحيات: من يرى ومن يعدّل؟لا قيمة للتتبع الدقيق إذا كانت الصلاحيات حوله واسعة. ويصف NIST مبدأ الحد الأدنى من الصلاحيات بأنه تقييد صلاحيات المستخدمين بالحد الأدنى اللازم لإنجاز المهام المكلفين بها. ويتحول هذا المبدأ في نظام إدارة التعلم إلى مصفوفة صلاحيات بسيطة تحدد لكل دور ما يراه وما يفعله:
وأضف مبدأ الفصل بين المهام، الذي يصفه NIST بألا يملك مستخدم واحد من الصلاحيات ما يكفي لإساءة استخدام النظام بمفرده. فمنسق التدريب الذي يسجّل حضور جلسة في الفرع لا ينبغي أن يعتمدها بنفسه، ومسؤول النظام الذي يصحّح درجة لا ينبغي أن يكون الوحيد القادر على رؤية هذا التصحيح.
ولا تنسَ حالتين تتكرران في المصارف ذات الفروع الكثيرة: انتقال الموظف من فرع إلى آخر، وتغيّر مدير الفرع. اسأل ماذا يحدث لصلاحيات المدير السابق في نظام إدارة التعلم، وهل تنتقل سجلات الموظف المنقول إلى مديره الجديد دون أن تبقى ظاهرة لمديره القديم. وحدد كذلك من يحق له التصدير، وما الحقول التي يتضمنها ملف كل دور، وهل يُسجَّل التصدير نفسه؛ فملف واحد يضم أسماء الموظفين وفروعهم ونتائجهم يمكن أن يخرج من النظام في ثوانٍ.
وفي فروع كثيرة يتشارك الموظفون جهاز حاسوب واحدًا في نهاية الدوام. اسأل عن المدة التي تبقى فيها الجلسة مفتوحة دون نشاط، وهل يطلب نظام إدارة التعلم تسجيل الدخول من جديد قبل الاختبار أو الإقرار. فالجلسة التي تُترك مفتوحة قد تعني أن موظفًا أكمل دورة باسم زميله، وعندها يفقد السجل قيمته دليلًا مهما كان التتبع دقيقًا.
مراجعة سياسات البيانات مع المختصينبعد صياغة قائمتي التتبع والصلاحيات، اعرضهما على المختصين في جلسة مراجعة منظمة، يحدد فيها كل منهم البنود التي تخصه، ويصنّف كل متطلب: متحقق، أو متحقق جزئيًا، أو غير متحقق، مع الدليل:
وثّق الخلافات بدل تجاوزها. فإذا طلب أمن المعلومات مدة احتفاظ أقصر مما يتوقعه الامتثال، فالقرار يعود إلى صاحب الصلاحية قبل ضبط نظام إدارة التعلم، لا بعد وصول طلب من المدقق. واحفظ نتيجة المراجعة في جدول واحد يحدد لكل بند مسؤولًا عنه وتاريخ آخر مراجعة له.
ولا تنتهي المراجعة بالتوقيع. حدّد مسبقًا ما يستدعي إعادتها: إضافة فرع جديد، أو تغيير الهيكل التنظيمي، أو تحديث كبير لنظام إدارة التعلم، أو تغيير المزود لفريق الدعم أو مكان الاستضافة. فكل تغيير من هذه قد يفتح صلاحية لم تكن موجودة، أو يوقف تسجيل حدث كان يُسجَّل من قبل.
اختبار نظام إدارة التعلم قبل التعاقدلا تصبح القائمة مفيدة إلا حين تُختبر. اطلب من مزود نظام إدارة التعلم بيئة تجريبية فيها بيانات وهمية: ثلاثة فروع، ونحو عشرين موظفًا افتراضيًا، وحساب لكل دور في المصفوفة. ثم نفّذ اختبارات قصيرة:
وتحتاج تقارير الإكمال إلى اختبار مستقل، لأن المجاميع قد تبدو صحيحة بينما التفاصيل تحتها خاطئة؛ راجع دليلنا حول اختبار تقارير إكمال التدريب في LMS للمؤسسات العراقية. واحفظ أدلة كل اختبار، من صور الشاشة والملفات المصدّرة، مع قائمة المتطلبات، لتعيد استخدامها بعد كل تحديث كبير لنظام إدارة التعلم.
مثال افتراضي: مصرف أهلي في بغداد والحلة والديوانيةالمثال التالي افتراضي، والغرض منه توضيح الطريقة فقط.
يستعد مصرف أهلي له فروع في بغداد والحلة والديوانية لنقل برامجه الإلزامية إلى نظام إدارة التعلم: التوعية بأمن المعلومات، وإجراءات التعامل مع شكاوى العملاء، ومراجعة دورية لسياسات العمل الداخلية. أعدّت وحدة التدريب 30 متطلبًا، وراجعها الامتثال وأمن المعلومات والتدقيق الداخلي خلال أسبوعين.
كشفت البيئة التجريبية ثلاث مشكلات: منسق التدريب في الفرع يسجّل حضور الجلسات ويعتمده بالحساب نفسه، والتقارير تعرض اسم الدورة دون رقم النسخة، والموظف المنقول من الحلة إلى بغداد يبقى ظاهرًا لمدير فرعه السابق.
لم يعتمد المصرف وصف المزود لنظامه بأنه «مناسب للمصارف» جوابًا عن أي من هذه الملاحظات. فطلب فصل التسجيل عن الاعتماد في صلاحيتين مختلفتين، وإضافة رقم النسخة إلى تقرير الامتثال، ونقل الصلاحيات تلقائيًا مع نقل الموظف. وبقي متطلبان متحققين جزئيًا، فوثّق موظف الامتثال طريقة التعامل معهما مؤقتًا إلى حين معالجتهما، وأصبحت القائمة مع أدلة الاختبار جزءًا من وثائق القبول.
الخلاصةلا يجعل نظام إدارة التعلم المصرف العراقي ممتثلًا، لكنه قد يدعم الأدلة التي يعتمد عليها المصرف أو يضعفها. والقائمة المكتوبة لمتطلبات التتبع والصلاحيات، من التكليف ورقم النسخة ودليل الإكمال والتعديلات اليدوية إلى مصفوفة الأدوار والفصل بين المهام والتصدير، تحوّل هذا الأمر إلى شيء يمكن اختباره.
اكتب القائمة مع الامتثال وأمن المعلومات والتدقيق الداخلي والموارد البشرية والشؤون القانونية، واختبر كل بند ببيانات وهمية قبل التعاقد، واحتفظ بالأدلة. عندها تعرف قبل التوقيع ما الذي سيقدمه نظام إدارة التعلم فعلًا، وما الذي يبقى مسؤولية إجراءات المصرف وموظفيه.
إذا أردت مساعدة Skillup Mena ,اضغط هُنا.
