دخلت لائحة إدارة المخاطر التشغيلية الجديدة، الصادرة عن مصرف الإمارات المركزي، حيز التنفيذ اعتباراً من أمس 14 سبتمبر 2026، لتضع إطاراً أكثر تشدداً لحماية استمرارية الخدمات التي تقدمها البنوك والمؤسسات المالية المرخصة، خصوصاً في مواجهة الأعطال التقنية والهجمات الإلكترونية والاحتيال، وفشل الأنظمة، أو الشركات الخارجية التي تعتمد عليها المؤسسات في تقديم خدماتها. وألغت اللائحة الجديدة ضوابط ومعايير إدارة المخاطر التشغيلية السابقة الصادرة في عام 2018.

وتكتسب اللائحة أهمية مباشرة عند المتعاملين مع التوسع المتسارع في استخدام التطبيقات المصرفية والتحويلات الفورية والمحافظ الرقمية والبطاقات، وتحول عدد كبير من الخدمات إلى قنوات إلكترونية، حيث أصبح أي عطل تقني قادراً على تعطيل وصول المتعامل إلى حسابه، أو تأخير تحويل أمواله، أو إتمام مدفوعاته، أو استخدام بطاقته في توقيت قد لا يحتمل الانتظار.

وحسب الضوابط الجديدة التي جاءت في اللائحة، وحصلت «الإمارات اليوم» على نسخة منها، يطالب «المركزي» المؤسسات بوضع خطط عامة للطوارئ، ويلزمها تحديد «العمليات الحرجة» التي قد يؤدي تعطلها إلى أضرار كبيرة للمتعاملين أو المؤسسة أو النظام المالي.

وتشمل هذه العمليات، وفق طبيعة نشاط كل مؤسسة: التحويلات، والمدفوعات، والوصول إلى الحسابات ومعالجة الرواتب، وتشغيل البطاقات، وغيرها من الخدمات الأساسية.

وبحسب اللائحة، يتعين على المؤسسات تحديد مستوى واضح لتحمل التعطل لكل عملية حرجة، بما يشمل المدة القصوى المقبولة لاستمرار الانقطاع، وحجم التأثير الذي يمكن تحمله. ويمثل ذلك تحولاً مهماً من مجرد امتلاك خطة لاستعادة الأنظمة، إلى ضرورة إثبات قدرة المؤسسة على مواصلة خدماتها الأساسية أو استعادتها ضمن حدود زمنية وتأثيرات معتمدة مسبقاً.

وتضع اللائحة مسؤولية الإشراف على المخاطر التشغيلية والمرونة بصورة مباشرة على مجلس إدارة المؤسسة، الذي يتولى اعتماد الاستراتيجيات والسياسات وحدود المخاطر، بينما تتحمل الإدارة العليا مسؤولية تنفيذها وتوفير الأنظمة والموارد والموظفين المؤهلين، وبذلك لا يبقى التعامل مع الأعطال مسؤولية فنية تقتصر على إدارة تكنولوجيا المعلومات.

وتشمل المتطلبات إدارة مخاطر تقنية المعلومات والأمن السيبراني، وحماية الأنظمة والبيانات، ومراقبة نقاط الضعف، واختبار خطط استمرارية الأعمال والتعافي من الكوارث، كما يجب أن تغطي إدارة الحوادث دورة الحادث كاملة، بدءاً من اكتشافه وتصنيفه واحتوائه، وصولاً إلى استعادة الخدمة وتحليل السبب الجذري واتخاذ إجراءات تمنع تكراره.

وتلزم الضوابطُ المؤسسةَ بإخطار المصرف المركزي فور علمها بوجود انحراف كبير عن المتطلبات أو حادث مهم، إلى جانب تقديم البيانات والتقارير الرقابية المطلوبة. كما تظل المؤسسة مسؤولة عن سلامة الخدمة واستمراريتها حتى إذا أسندت بعض عملياتها إلى مزود تقني أو شركة للحوسبة السحابية أو معالجة المدفوعات، ولا يعفيها التعهيد من مسؤولياتها أمام الجهة الرقابية.

ومن المنتظر أن تنعكس اللائحة على المتعاملين من خلال خفض احتمالات تكرار الأعطال، وتسريع استعادة الخدمات، وتعزيز حماية البيانات، وتحسين جاهزية المؤسسات لمواجهة الهجمات الإلكترونية، غير أنها لا تعني استحالة وقوع الأعطال، كما لا تنص بذاتها على تعويض تلقائي عن كل انقطاع.

• المؤسسة مسؤولة عن استمرارية الخدمات.. و«التعهيد» لا يعفيها من مسؤولياتها أمام الجهة الرقابية.