نتوجه بالشكر إلى عايدة كالوجي وأكسيل ديسميت من فريق الابتكار لدى Cresco لمشاركتهما في ندوتنا الرقمية بعنوان: الامتثال للائحة دورا (DORA) بعد يناير: ما هي الخطوة التالية؟.
لقد دخلت لائحة الصمود التشغيلي الرقمي (DORA) حيز النفاذ بالفعل، ورغم أن إجراءات الإنفاذ التنظيمي قد تتصاعد بعد أبريل 2025، إلا أنه يتعين على المؤسسات والشركات التحرك الفوري الآن. وتُعد مراجعة العقود والتفاوض بشأنها ومواءمتها ركيزة أساسية لضمان الامتثال وتفادي المخاطر المالية والتشغيلية.
فيما يلي أبرز المخرجات والمحاور المستفادة من هذه الجلسة القيمة. كما يمكنكم مشاهدة تسجيل الندوة كاملاً من هنا.
تنامي التهديدات السيبرانية ونشأة لائحة دورا (DORA)
في عام 2024، بلغت الهجمات السيبرانية مستويات قياسية عالمياً، مسجلةً زيادة بنسبة 75% خلال الربع الثالث مقارنة بالفترة نفسها من عام 2023.
وبالتزامن مع ذلك، نشهد موجة جديدة من الأطر التنظيمية، وفي طليعتها لائحة الصمود التشغيلي الرقمي للقطاع المالي (DORA)، وهو إطار تشريعي يستهدف تعزيز الصمود التشغيلي للمؤسسات المالية في مختلف أنحاء الاتحاد الأوروبي.
من هي الجهات الخاضعة لنطاق لائحة DORA؟
تسري لائحة DORA على المؤسسات المالية التقليدية، ومنها:
مؤسسات الائتمان والمصارف
مؤسسات وشركات خدمات الدفع
منصات وأسواق التداول المالي
كما ينبسط نطاقها ليشمل الكيانات المالية الحديثة، بما في ذلك:
شركات إدارة الاستثمار والأصول
مزودو خدمات الأصول المشفرة والافتراضية
ومن الأهمية بمكان الإشارة إلى أن مزودي خدمات تكنولوجيا المعلومات والاتصالات (ICT) من الأطراف الخارجية، الذين يقدمون خدماتهم لهذه المؤسسات المالية، يقعون بصورة غير مباشرة تحت طائلة أحكام هذه اللائحة.
الجدول الزمني للامتثال للائحة DORA
أصبحت اللائحة نافذة المفعول والتطبيق اعتباراً من 17 يناير 2025، وهو موعد نهائي حاسم. ومع ذلك، هناك فترة انتقالية ضمنية تستمر حتى 30 أبريل 2025، حيث يتعين على الهيئات والجهات الرقابية الوطنية آنذاك تقديم قائمة بمزودي الخدمات الخارجيين الحيويين والحرجين إلى سلطات الاتحاد الأوروبي.
وحتى يحين ذلك التاريخ، قد تتسم إجراءات الإنفاذ بقدر من المحدودية، غير أنه لا ينبغي للشركات إرجاء جهود وإجراءات الامتثال بأي حال.
أهمية الامتثال للائحة DORA
قد يفضي الإخلال بأحكام لائحة DORA وعدم الامتثال لها إلى الجزاءات الآتية:
غرامات مالية تصل إلى 2% من إجمالي حجم المبيعات (الدخل السنوي) العالمي، على غرار اللائحة العامة لحماية البيانات (GDPR).
مخاطر تطال التراخيص؛ إذ تشير بعض التحليلات إلى أن عدم الامتثال قد يؤثر سلباً على تراخيص التوجيه الثاني لخدمات الدفع (PSD2) وغيرها من تراخيص الخدمات المالية.
للتعرف على كيفية استفادتكم من خدمات LEGALFLY، يُرجى حجز موعد للتحدث مع أحد خبرائنا.
كيفية التعامل مع التزامات وتحديات لائحة DORA الجوهرية
تفرض DORA متطلبات وإجراءات صارمة على المؤسسات المالية ومزودي خدمات تكنولوجيا المعلومات والاتصالات المتعاقدين معها. ويتطلب تحقيق الامتثال منهجية منظمة تغطي أربعة مجالات رئيسية: إدارة مخاطر تكنولوجيا المعلومات، والإبلاغ عن الحوادث التشغيلية والسيبرانية، واختبار الصمود والجاهزية، وإدارة مخاطر الأطراف الخارجية المتعاقد معها.
ويستلزم كل التزام من هذه الالتزامات استراتيجية استباقية للامتثال، حيث يتعين على المؤسسات المالية تعزيز الضمانات والتحوطات التعاقدية وتفعيل الرقابة المستمرة. بيد أن التفاوض مع مزودي خدمات تكنولوجيا المعلومات غالباً ما ينطوي على عقبات إجرائية وتعاقدية، مما يجعل اتباع نهج قائم على تقييم المخاطر أمراً حتمياً.
تعزيز إدارة مخاطر تكنولوجيا المعلومات والاتصالات (ICT)
يتعين على المؤسسات المالية إجراء تقييم مستمر وإدارة فاعلة للمخاطر الناشئة عن مزودي خدمات تكنولوجيا المعلومات لديها. ويشمل ذلك:
تحديد الأدوار والمسؤوليات والالتزامات التعاقدية بدقة ووضوح.
تنفيذ تقييمات دورية ومستمرة للمخاطر لضمان استيفاء مزودي الخدمات لمعايير الصمود التشغيلي المحددة.
يُلزم هذا المطلب المؤسسات والشركات المالية بمعاملة مزودي التكنولوجيا كجزء لا يتجزأ من منظومة أمنها التشغيلي، بما يضمن مواءمة أنظمتهم وضوابطهم الرقابية مع المتطلبات التنظيمية الصادرة.
الإبلاغ عن الحوادث والوقائع التشغيلية
توجب اللائحة إخطار الجهات والهيئات الرقابية المعنية بأي حادث سيبراني أو تقني جوهري دون أي تأخير غير مبرر. ويتطلب الامتثال في هذا الإطار:
إرساء آليات وقنوات واضحة للإبلاغ ضمن بنود العقود.
تحديد الأطر الزمنية، ومسارات التصعيد، والمسؤوليات القانونية المرتبطة بالإبلاغ بدقة.
يفرض ذلك على المؤسسات المالية التنسيق الوثيق مع مزودي التكنولوجيا لضمان التدفق السلس للمعلومات عند وقوع أي حادث. كما يجب أن تصاغ الشروط التعاقدية بصورة تنفي أي غموض وتحدد بوضوح بروتوكولات الاستجابة العملية والتنفيذية.
اختبار الصمود التشغيلي الرقمي
يُعد اختبار الصمود ركيزة أساسية لمنظومة الامتثال للائحة DORA؛ إذ يفرض على المؤسسات المالية إخضاع أنظمتها التكنولوجية لاختبارات وفحوصات دورية. ولذا، يجب أن تنص العقود صراحةً على ما يلي:
دورية إجراء الاختبارات (سنوياً كحد أدنى، أو بوتيرة أكثر تكراراً بالنسبة للمزودين ذوي المخاطر العالية).
نطاق الاختبار ومحدداته، بما يشمل اختبارات الاختراق وتمارين المحاكاة للتعافي من الكوارث والأزمات.
التدابير العلاجية والتصحيحية للتعامل مع الثغرات ونقاط الضعف المكتشفة أثناء الفحص.
يكفل هذا الإجراء تمكين الكيانات المالية من التنبؤ بالتهديدات السيبرانية ومواجهتها مسبقاً قبل تفاقمها وتحولها إلى انقطاعات تشغيلية جسيمة.
إدارة مخاطر الأطراف الخارجية عبر الصياغة والبنود التعاقدية
يمتد نطاق تطبيق اللائحة ليتجاوز المؤسسات المالية وحدها، فارضاً رقابته غير المباشرة على مزودي خدمات التكنولوجيا الخارجيين. ولتحقيق الامتثال المنشود، ينبغي أن تشتمل العقود على:
شروط إنهاء التعاقد والخروج المنظم (Exit Clauses) بما يضمن انتقال الخدمات وسلاستها دون انقطاع عند استبدال المزود.
أحكام وضوابط التعاقد من الباطن، مبينةً ما إذا كان الأمر يتطلب الحصول على موافقة مسبقة قبل إسناد الخدمات إلى أطراف أخرى.
تتطلع الجهات التنظيمية إلى احتفاظ المؤسسات المالية بالرؤية والرقابة الكاملة على مزودي خدماتها، بما يحول دون تسارع آثار أي تعطل لدى مزود واحد وانتقالها لتصيب النظام المالي ككل بآثار ارتدادية.
تحديات التفاوض على العقود:
أوجه ونقاط الاعتراض المحتملة
على الرغم من وضوح متطلبات DORA، يبدي العديد من مزودي خدمات تكنولوجيا المعلومات تحفظات وممانعة حيال تعديل العقود القائمة، مستندين إلى الاعتبارات التالية:
تكاليف الامتثال، نظراً لأن الوفاء بالمعايير الرقابية يستوجب ضخ استثمارات إضافية.
محدودية الإمكانات والقدرات، حيث يفتقر بعض المزودين إلى الموارد الكافية لتطبيق الضوابط المقررة.
النزاعات حول التصنيف القانوني والتشغيلي، ومجادلة المزودين بشأن ما إذا كانت الخدمات التي يقدمونها تدعم وظائف مالية «جوهرية وحرجة» فعلاً.
ويكمن الحل في تطبيق نهج مبني على تقييم المخاطر، بالتركيز على:
حصر وتحديد كافة مزودي التكنولوجيا والاتصالات الداعمين للعمليات والأنشطة الحرجة.
مراجعة العقود السارية لتحديد الثغرات وحالات عدم المطابقة التنظيمية.
التفاوض بشأن الشروط بما يضمن وفاء المزودين باشتراطات DORA دون فرض أعباء تشغيلية غير مبررة.
على سبيل المثال، طلبت إحدى المؤسسات المالية في مستهل الأمر من مزود تكنولوجيا إجراء ثلاثة اختبارات اختراق سنوياً، وهو ما يتجاوز الحد الأدنى المطلوب بموجب DORA والمحدد باختبار سنوي واحد. وعقب إجراء تقييم المخاطر، تبين أن الخدمات المعنية لا تندرج ضمن المهام بالغة الحرجية، مما أتاح للمؤسسة تعديل اشتراطاتها التعاقدية دون الإخلال بسلامة الصمود الرقمي.
المراجعة اليدوية للعقود تجعل من الامتثال لـ DORA تحدياً جسيماً
يُعد الامتثال للائحة DORA مساراً معقداً ومحفوفاً بمخاطر جمّة. كما أضحى بنداً أولوياً على جدول أعمال مجالس الإدارات نظراً لحجم التعرض للمخاطر المترتبة عليه. فالامتثال لم يعد شأناً قانونياً بحتاً، بل يتطلب مواءمة وتنسيقاً عابراً للإدارات يضم الشؤون القانونية والمشتريات والمبيعات والفرق المعنية الأخرى.
ورغم هذه الأهمية، لا تزال معظم الإدارات القانونية تعتمد على المراجعة اليدوية للعقود؛ وهي عملية تستنزف وقتاً طويلاً وآلاف الساعات في القراءة وإعادة التفاوض وإعادة الصياغة. الأمر الذي يبطئ وتيرة الامتثال، ويرفع النفقات الناجمة عن الاستعانة بالمستشارين الخارجيين، ويزيد من احتمالات الخطأ البشري، لا سيما في ظل التدفق الهائل لحجم الاتفاقيات والعقود.
الذكاء الاصطناعي يتيح تحقيق امتثال استباقي ومستدام
تعمل منصة LEGALFLY على تيسير الامتثال لأحكام DORA من خلال أتمتة مراجعة العقود، وتحديد المخاطر المحتملة، وضمان التوافق التنظيمي المستمر. وتُسرّع المنصة عمليات التدقيق التعاقدي عبر فحص وتحليل آلاف الاتفاقيات خلال دقائق معدودة، مما يقلص زمن المراجعة من أسابيع إلى أيام. وعبر كشف البنود غير المطابقة واقتراح صياغات بديلة متوافقة مع لائحة DORA، تمكّن المنصة الفرق القانونية من إجراء التعديلات والتعقيبات (Redlines) فوراً، وبما يضمن دقة الصياغة واتساقها.
للمزيد من المعلومات والتفاصيل: تيسير الامتثال للائحة DORA بالاعتماد على الذكاء الاصطناعي القانوني
ومن خلال أدلة ونماذج الامتثال التعاقدية المخصصة (Playbooks)، تقدم LEGALFLY الدعم للمؤسسات المصرفية والمالية الكبرى مثل KBC Bank لوضع إرشادات وضوابط منهجية، مما يرفع كفاءة مراجعة العقود لفرق الشؤون القانونية والمشتريات على السواء. وتضمن هذه الأدلة توحيد معايير الامتثال وتطبيقها باتساق في كافة الاتفاقيات. كما توفر المنصة خاصية المراقبة المستمرة، حيث تُحدّث أدلة الامتثال تلقائياً لتعكس المستجدات التنظيمية والتشريعية الطارئة، مما يقلص الحاجة إلى التحديثات اليدوية المرهقة وتكاليف الاستشارات القانونية الخارجية.
وعلاوة على رفع الكفاءة التشغيلية، تساعد LEGALFLY المؤسسات المالية على إدارة المخاطر بصورة استباقية، وتقليص الأخطاء البشرية لأدنى حد، وتجنب التعرض للغرامات المالية أو التعطلات التشغيلية. ومن خلال تحويل الامتثال إلى عملية مؤتمتة ومحكمة، تتيح المنصة للشركات والمؤسسات الاستجابة الفاعلة لمتطلبات DORA والأطر التنظيمية المستقبلية بأعلى درجات الثقة والموثوقية المؤسسية.
