قد تعمل المؤسسة بصورة طبيعية لسنوات، ثم يحدث خلال ساعات ما يغير قدرتها على تقديم الخدمة: تعطل نظام تقني رئيسي، انقطاع الكهرباء أو الاتصالات، توقف مورد حرج، فقدان موقع عمل، حادث أمني، نقص مفاجئ في القوى العاملة، أو أزمة تؤثر في الوصول إلى المنشأة أو سلسلة التوريد.
السؤال في تلك اللحظة ليس فقط:
كيف نحل المشكلة؟
بل أيضًا:
ما العمليات التي يجب ألا تتوقف؟ وكم من الوقت يمكن أن تتحمل التوقف؟ وما الحد الأدنى المقبول من الخدمة؟ ومن يملك قرار تفعيل خطة الاستمرارية؟ وأي موارد يجب استعادتها أولًا؟ وكيف نتواصل مع الموظفين والعملاء والموردين؟
هذه هي المساحة التي يعالجها ISO 22301 لنظام إدارة استمرارية الأعمال.
المعيار لا يبني خطة طوارئ منفردة توضع في ملف. بل يبني Business Continuity Management System – BCMS يربط فهم المؤسسة بالمخاطر وتأثير الانقطاع، والاستراتيجية، والخطط، والمسؤوليات، والتدريب، والتمارين، وقياس الأداء والتحسين المستمر.
ما هو ISO 22301؟
الإصدار المنشور الحالي حتى 17 أغسطس 2026 هو ISO 22301:2019 – Security and resilience — Business continuity management systems — Requirements، وله تعديل منشور في 2024 متعلق بتغييرات العمل المناخي. وتعرض ISO حالة إصدار 2019 حاليًا بأنه ما يزال منشورًا لكنه To be revised.
كما توجد بالفعل ISO/CD 22301، الإصدار الثالث قيد التطوير، والمشروع مصمم ليحل مستقبلًا محل إصدار 2019، لكنه لم يصبح بعد معيارًا دوليًا منشورًا؛ لذلك يبقى ISO 22301:2019 المرجع النافذ حاليًا.
وهذا يعني أن المؤسسة التي تبدأ التطبيق الآن لا ينبغي أن تنتظر الإصدار الجديد أو تتعامل مع المسودة الحالية باعتبارها متطلبًا نافذًا.
هل ISO 22301 «يضمن» استمرار الأعمال؟
الأدق مهنيًا هو القول:
ISO 22301 يرفع جاهزية المؤسسة وقدرتها على الاستمرار والتعافي، لكنه لا يضمن عدم حدوث توقف أو خسارة.
قد تحدث أزمة أكبر من السيناريو المتوقع، وقد يفشل مورد بديل، أو يتزامن أكثر من حدث، أو تتغير الظروف بطريقة لم تكن ضمن الافتراضات.
القيمة في وجود نظام يساعد الإدارة على معرفة ما يجب حمايته أولًا، وكيف تتخذ القرار، وما البدائل المتاحة، وكيف تختبر قدرتها قبل وقوع الأزمة.
ISO تربط المعيار بتعزيز المرونة المؤسسية، وتحسين إدارة المخاطر، وتوفير استجابة أكثر منهجية للأزمات وتحسين أزمنة التعافي.
الفرق بين استمرارية الأعمال والطوارئ والتعافي التقني
من المهم ألا تختزل المؤسسة ISO 22301 في خطة إخلاء أو خطة تقنية.
إدارة الطوارئ تركز على التعامل الآمن والمنظم مع الحدث المباشر، مثل الإخلاء والاستجابة للحادث.
أما Disaster Recovery فيرتبط عادة بصورة أكبر باستعادة التقنية والأنظمة والبيانات والبنية التحتية الرقمية.
بينما Business Continuity تسأل عن قدرة المؤسسة على مواصلة تقديم منتجاتها وخدماتها ذات الأولوية خلال الانقطاع وبعده.
لذلك قد تعمل خطة الطوارئ خلال الساعة الأولى، بينما تستمر خطة الأعمال خلال الأيام التالية، وتعمل خطة التعافي التقني لاستعادة التطبيقات والبيانات التي تحتاجها العمليات.
وفي المؤسسة الناضجة يجب أن تتكامل هذه المستويات بدل أن تتنافس.
البداية ليست كتابة BCP
من أكثر الأخطاء شيوعًا أن تقول الإدارة:
«نحتاج Business Continuity Plan».
ثم يبدأ الفريق بكتابة الخطة مباشرة.
لكن كيف ستعرف ما الذي يجب أن تستعيده أولًا إذا لم تحدد العمليات الحرجة؟
وكيف تحدد الموارد البديلة دون فهم اعتماد العمليات على الأشخاص والمباني والتقنية والبيانات والموردين؟
لذلك تبدأ الاستمرارية بفهم المؤسسة قبل كتابة الخطة.
والكاتالوج الرسمي لـIAC يثبت هذا المنطق؛ إذ يبدأ مسار ISO 22301 بـتحليل تأثير الأعمال BIA وتحديد العمليات الحرجة وأولويات الاستعادة، ثم تقييم سيناريوهات الانقطاع، وبعد ذلك بناء خطط الاستجابة والتعافي والاستمرارية.
تحليل تأثير الأعمال BIA: قلب نظام الاستمرارية
Business Impact Analysis – BIA يجيب عن سؤال مختلف عن تقييم المخاطر.
لا يبدأ أساسًا بالسؤال:
ما احتمال وقوع الحادث؟
بل:
ماذا يحدث للمؤسسة إذا توقفت هذه العملية؟ وكيف يزداد الأثر مع مرور الوقت؟
يمكن أن تنظر المؤسسة إلى آثار مثل تعطل خدمة العملاء، أو عدم القدرة على تنفيذ المعاملات، أو خسائر مالية، أو تأثير تعاقدي أو تنظيمي، أو ضرر بالسمعة، أو تعطل عمليات أخرى تعتمد على العملية نفسها.
وتنشر ISO مرجعًا متخصصًا هو ISO/TS 22317:2021 لإرشاد المؤسسات في إجراء تحليل تأثير الأعمال، وهو جزء من عائلة المراجع الداعمة لـISO 22301.
والهدف من BIA ليس وصف كل عملية بأنها «حرجة». إذا كانت جميع العمليات حرجة بالدرجة نفسها، فلن تعرف الإدارة ما الذي يجب أن تستعيده أولًا عندما تكون الموارد محدودة.
من BIA إلى أولويات الاستعادة
بعد تحليل التأثير تبدأ الإدارة في تحديد الأولويات الزمنية والتشغيلية.
قد تكون إحدى الخدمات قادرة على التوقف عدة أيام دون أثر جسيم، بينما هناك عملية أخرى يصبح توقفها لساعات قليلة مشكلة كبيرة.
وهنا تظهر مفاهيم مثل Recovery Time Objective – RTO، أي الزمن المستهدف لاستعادة النشاط أو القدرة المطلوبة بحسب سياق الاستمرارية.
أما Recovery Point Objective – RPO فيستخدم خصوصًا عندما تكون استعادة البيانات والمعلومات جزءًا من السيناريو، لتحديد نقطة الاستعادة المقبولة للبيانات بحسب احتياجات العملية.
ملفات IAC تنص صراحة على استخدام RTO/RPO بحسب السياق ضمن تحليل الاستمرارية، ولذلك لا ينبغي إعطاء القيم نفسها لكل الأنظمة والعمليات.
والخطأ الشائع هو أن تقول الإدارة التقنية:
«سنستعيد النظام خلال أربع ساعات».
بينما العمل نفسه يحتاج استعادته خلال ساعة واحدة.
هنا توجد فجوة بين Business Requirement وقدرة التقنية على التعافي.
وظيفة BCMS هي كشف هذه الفجوة قبل الأزمة.
تقييم المخاطر وBIA ليسا الشيء نفسه
BIA يسأل:
إذا تعطلت العملية، ما الأثر وكم نتحمل؟
بينما تقييم المخاطر يساعد على فهم:
ما السيناريوهات التي قد تؤدي إلى الانقطاع وما مستوى التعرض لها؟
مثلًا، قد تكون خدمة معينة شديدة الأهمية بحسب BIA، بينما تتعرض لعدة سيناريوهات مختلفة: فقدان الموقع، توقف النظام، انقطاع مورد، أو عدم توافر الموظفين.
من هنا تُبنى استراتيجية الاستمرارية على الأثر المطلوب تجنبه والسيناريوهات التي يجب الاستعداد لها معًا.
ولهذا تجمع خدمة IAC لـISO 22301 بين BIA وتقييم المخاطر التشغيلية وسيناريوهات الانقطاع.
لا تبنِ خطة لكل كارثة محتملة
لا تحتاج المؤسسة إلى ملف منفصل لكل سيناريو يمكن تخيله.
قد يكون من الأفضل في كثير من الحالات التفكير في فقدان الموارد أو القدرات.
مثلًا: ماذا نفعل إذا فقدنا المبنى، بصرف النظر عمّا إذا كان السبب حريقًا أو ضررًا إنشائيًا أو حدثًا خارجيًا؟
ماذا نفعل إذا فقدنا النظام الرئيسي؟
أو المورد الحرج؟
أو عددًا كبيرًا من الموظفين؟
هذا يجعل الخطط أكثر مرونة وقابلية للاستخدام عندما تكون الأزمة الفعلية مختلفة جزئيًا عن السيناريو الذي تصورته المؤسسة.
استراتيجية الاستمرارية: كيف سنواصل العمل؟
بعد أن تعرف المؤسسة أولوياتها، يجب أن تحدد كيف ستحافظ عليها.
قد تشمل الاستراتيجية، بحسب واقع المؤسسة، بدائل للعمل من موقع آخر، أو العمل عن بعد، أو إجراءات يدوية مؤقتة، أو أنظمة احتياطية، أو زيادة مرونة الموردين، أو قدرات بديلة، أو ترتيبات لاستعادة البيانات أو الموارد.
لكن الخيار الصحيح يجب أن يستند إلى BIA والتكلفة والمخاطر والقدرات، لا إلى فكرة أن كل مؤسسة تحتاج Duplicate Data Center أو موقعًا احتياطيًا كاملًا.
أحيانًا تكون تكلفة البديل أكبر من الخسارة التي تحاول تجنبها.
لذلك استمرارية الأعمال هي قرار إدارة مخاطر واستثمار، وليست سباقًا لبناء أكبر احتياط ممكن.
سلسلة التوريد جزء من الاستمرارية
يمكن أن تكون المؤسسة جاهزة داخليًا بينما يتوقف نشاطها بسبب مورد واحد.
اسأل عن كل مورد حرج: هل يوجد بديل؟ كم يستغرق تأهيله؟ ما مخزون الأمان المتاح؟ هل المورد نفسه يعتمد على مصدر وحيد؟ وما الذي يحدث إذا تعطلت وسائل النقل أو الاتصالات معه؟
وتوجد ضمن عائلة ISO مرجعية متخصصة هي ISO/TS 22318:2021 لإدارة استمرارية سلسلة التوريد، وهي مخصصة للمؤسسات التي تعتمد على استمرار توريد الموارد والخدمات وعلى قدرتها على مواصلة تقديم منتجاتها وخدماتها. وقد تم تأكيد هذا الإصدار في 2025 وما يزال حاليًا.
الاستمرارية التي تتوقف عند بوابة الشركة ليست استمرارية كاملة.
الأشخاص أيضًا مورد حرج
يمكن للمؤسسة أن تمتلك أنظمة احتياطية وموقعًا بديلًا، لكن ماذا إذا كان تشغيل عملية حرجة يعتمد على موظف واحد فقط يعرف كيفية تنفيذها؟
هنا تصبح Single Point of Failure بشرية.
لذلك راجع الكفاءات، والبدائل، والتفويضات، وإمكانية العمل عن بعد، وبيانات الاتصال، ومسؤوليات فرق الاستجابة.
المؤسسة الأكثر مرونة لا تعتمد فقط على نسخة احتياطية من البيانات، بل تقلل كذلك الاعتماد المفرط على شخص أو وظيفة أو موقع واحد.
بناء خطة استمرارية الأعمال BCP
بعد BIA وتحليل المخاطر والاستراتيجية، تصبح الخطة ذات معنى.
الخطة الجيدة يجب أن تساعد الفريق في الأزمة، لا أن تكون وثيقة طويلة تحتاج ساعة لفهمها.
يجب أن توضح بصورة عملية متى يتم تفعيلها، ومن يملك قرار التفعيل، وما الأدوار والمسؤوليات، وما الأنشطة ذات الأولوية، والموارد والبدائل، وآليات الاتصال والتصعيد، وكيفية الانتقال إلى التشغيل البديل ثم العودة إلى الوضع الطبيعي.
وتنشر ISO ISO/TS 22332:2021 كإرشادات متخصصة لتطوير وصيانة خطط وإجراءات استمرارية الأعمال.
لكن لا يوجد قالب واحد يجب نسخه لجميع المؤسسات.
خطة مستشفى ليست كخطة مصنع أو بنك أو شركة برمجيات أو مؤسسة تعليمية.
من يملك قرار تفعيل الخطة؟
هذه نقطة حوكمة أساسية.
في الأزمة لا يجب أن يبدأ الجدل:
هل نعلن حالة استمرارية؟ ومن يملك القرار؟
حدد مسبقًا مستويات التصعيد والتفعيل.
قد توجد مستويات مختلفة للحوادث، مع صلاحيات تتناسب معها.
كما يجب أن توجد بدائل للأشخاص الرئيسيين إذا كانوا غير متاحين.
وهذا يتوافق مع نطاق IAC الذي يثبت تحديد الأدوار والمسؤوليات وقنوات الاتصال في الطوارئ ضمن ISO 22301.
الاتصال وقت الأزمة ليس منشورًا إعلاميًا فقط
الاتصال في الأزمة عملية تشغيلية.
قد تحتاج إلى التواصل مع الموظفين والعملاء والموردين والإدارة وأطراف أخرى بحسب طبيعة الحدث.
لذلك يجب أن تعرف المؤسسة مسبقًا من يتواصل، مع من، وبأي وسيلة، ومن يعتمد الرسالة، وما البديل إذا تعطلت القناة الرئيسية.
لا تفترض أن البريد الإلكتروني سيكون متاحًا أثناء حادث تقني.
ولا تفترض أن جميع أرقام الاتصال الحالية صحيحة.
قائمة اتصال لم تُختبر منذ عامين قد تكون أضعف مما تبدو.
الخطة غير المختبرة مجرد فرضية
هذه من أهم مبادئ استمرارية الأعمال.
يمكن للمؤسسة إعداد خطة ممتازة على الورق، لكن لا تعرف مدى فعاليتها إلا عندما تختبرها.
تثبت ملفات IAC أن خدمة ISO 22301 تشمل اختبارات الجاهزية عبر التمارين والمحاكاة وتوثيق الدروس المستفادة وخطة التحسين. كما أن التقويم الاستشاري الرسمي للمشروع خصص موضوعًا مستقلًا لـ«اختبارات الاستمرارية: تمرين محاكاة يكشف الثغرات قبل الأزمة».
يمكن أن تبدأ المؤسسة بتمرين مكتبي يناقش فيه الفريق سيناريو محددًا، ثم تنتقل إلى اختبارات أكثر واقعية بحسب المخاطر والقدرة على التنفيذ.
المهم ألا يكون نجاح التمرين هو:
«أنهيناه دون مشاكل».
إذا كشف التمرين ثغرات، فقد نجح في وظيفته.
ماذا تختبر في تمرين الاستمرارية؟
يمكن أن يختبر التمرين: هل يستطيع الفريق الوصول إلى الخطة؟ وهل بيانات الاتصال صحيحة؟ وهل يعرف كل شخص دوره؟ وهل يمكن تشغيل البديل؟ وهل يمكن استعادة النظام ضمن الزمن المطلوب؟ وهل المورد البديل متاح فعليًا؟ وهل يعرف الفريق متى يصعد القرار؟
ثم تتحول النتائج إلى إجراءات تحسين.
التمرين الذي ينتهي بصور جماعية دون Corrective Actions لا يطور BCMS.
الفرق بين النسخ الاحتياطي واستمرارية الأعمال
وجود Backup مهم، لكنه لا يعني وجود Business Continuity.
تخيل أن لديك نسخة كاملة من البيانات، لكن استعادتها تحتاج ثلاثة أيام بينما يستطيع العميل تحمل توقف الخدمة أربع ساعات فقط.
النسخة موجودة.
لكن الاستمرارية غير كافية.
لذلك يجب ربط قدرة التعافي التقني بمتطلبات الأعمال الناتجة عن BIA.
والأفضل اختبار الاستعادة فعليًا بدل الاعتماد على رسالة «Backup completed successfully».
الفرق بين إدارة المخاطر واستمرارية الأعمال
ISO 31000 يساعد المؤسسة على بناء إطار شامل لإدارة المخاطر.
أما ISO 22301 فيركز على القدرة على الاستمرار والاستجابة والتعافي عند وقوع الانقطاع.
قد تحدد إدارة المخاطر خطر تعطل مركز البيانات وتعمل على تقليل احتماله.
لكن استمرارية الأعمال تسأل كذلك:
إذا حدث رغم الضوابط، كيف سنستمر؟
وهنا يكمل النظامان بعضهما.
وتعرض ISO نفسها ISO 31000 إلى جانب ISO 22301 ضمن المعايير المرتبطة بإدارة المخاطر والمرونة.
وما علاقة ISO/IEC 27001 باستمرارية الأعمال؟
بالنسبة إلى المؤسسات التي تعتمد بصورة كبيرة على التقنية والمعلومات، هناك ارتباط واضح بين BCMS ونظام إدارة أمن المعلومات.
ISO/IEC 27001 يدير مخاطر أمن المعلومات، بينما ISO 22301 ينظر بصورة أوسع إلى القدرة على استمرار المنتجات والخدمات خلال الانقطاع.
قد يكون الهجوم السيبراني سببًا للانقطاع.
لكن خطة استمرارية الأعمال تحتاج أن تعرف ماذا تفعل المؤسسة تشغيليًا إذا أصبحت الأنظمة غير متاحة.
لذلك يمكن دمج ISO 22301 مع معايير إدارة أخرى، وISO توضح أن بنية المعيار تسمح بالتكامل مع أنظمة الإدارة الأخرى.
استمرارية الأعمال ليست مسؤولية IT
هذه من أكثر الأخطاء انتشارًا.
IT يستطيع إدارة التعافي التقني.
لكنه لا يستطيع وحده تحديد:
أي خدمة تجارية أكثر أهمية؟
أي عميل يجب أن يخدم أولًا؟
أي نشاط يمكن تشغيله يدويًا؟
ما الالتزام التعاقدي؟
ما الحد المقبول للخدمة؟
هذه قرارات أعمال.
لذلك يجب أن يشارك في BCMS مالكو العمليات والإدارة العليا والمالية والموارد البشرية والمشتريات والتقنية والاتصال وغيرها بحسب طبيعة المؤسسة.
Business Continuity يجب أن يملكها العمل، وتدعمها التقنية؛ وليس العكس.
ما الذي يجب أن تقيسه المؤسسة؟
لا تقيس نجاح BCMS بعدد الخطط المكتوبة.
يمكن أن تنظر المؤسسة إلى أمور مثل تحقيق أزمنة الاستعادة أثناء الاختبارات، ونسبة الإجراءات الناتجة عن التمارين التي أُغلقت، وحالة خطط العمليات الحرجة، وجاهزية البدائل والموردين، ودقة بيانات الاتصال، ونتائج التدقيق.
المؤشرات الفعلية تختلف حسب المؤسسة.
المهم أن تقيس قدرة الاستمرارية، وليس حجم الوثائق.
التدقيق الداخلي ومراجعة الإدارة
ISO 22301 هو Management System Standard، لذلك لا ينتهي عند كتابة BCP.
يجب مراقبة النظام ومراجعته وتحسينه بصورة مستمرة. ISO تصف BCMS بأنه نظام يتم التخطيط له وتطبيقه وتشغيله ومراقبته ومراجعته والمحافظة عليه وتحسينه باستمرار.
يمكن في التدقيق الداخلي أن تختار عملية حرجة وتسأل: هل BIA محدث؟ هل RTO معروف؟ هل الموارد المطلوبة متوفرة؟ هل الخطة مرتبطة به؟ متى اختُبرت؟ هل ظهرت ملاحظات؟ وهل أُغلقت؟
ثم تصل النتائج المهمة إلى مراجعة الإدارة لتحديد ما يحتاج إلى قرار أو استثمار أو تعديل.
متى يجب تحديث نظام الاستمرارية؟
لا تنتظر موعد المراجعة السنوية إذا تغيرت المؤسسة.
إذا أطلقت خدمة جديدة، أو تغير نظام تقني أساسي، أو انتقلت إلى موقع آخر، أو تغير مورد حرج، أو أعيدت الهيكلة، أو ظهر اعتماد جديد على السحابة، أو كشف تمرين أو حادث عن فجوة، فإن أجزاء من BIA والخطط والاستراتيجيات قد تحتاج إلى المراجعة.
الاستمرارية يجب أن تتغير مع العمل.
هل ISO 22301 قابل للشهادة؟
نعم، هو معيار Requirements لنظام إدارة استمرارية الأعمال، ويمكن للمؤسسة أن تختار الخضوع لتقييم جهة منح شهادة مستقلة إذا رغبت.
لكن ISO نفسها لا تمنح الشهادات ولا تصدرها؛ الشهادات تصدر من جهات منح خارجية. كما تميز ISO بوضوح بين جهة منح الشهادة وبين جهة الاعتماد التي تقيم كفاءة جهة المنح.
والحصول على الشهادة لا يعني أن المؤسسة لن تتوقف مستقبلًا، بل يدل على تقييم نظام الإدارة مقابل متطلبات المعيار ضمن نطاق الشهادة.
متى تعرف أن BCMS أصبح عمليًا؟
عندما يستطيع مدير العملية أن يقول:
هذه عمليتي الحرجة، وهذا الزمن الذي نحتاج لاستعادتها خلاله، وهذه مواردها واعتمادياتها، وهذه البدائل، وهذا الشخص الذي يفعّل الخطة، وهذه آخر مرة اختبرناها، وهذه الفجوات التي ما زلنا نعالجها.
أما إذا كانت الإجابة:
«الخطة عند قسم الجودة أو المخاطر».
فالنظام لم يدخل التشغيل بعد.
الأخطاء الأكثر شيوعًا
أكثر الأخطاء تكرارًا هي البدء بكتابة الخطة قبل BIA، واعتبار كل العمليات حرجة، ووضع RTO غير مرتبط بالقدرات الفعلية، وتركيز النظام بالكامل داخل IT، وعدم معالجة اعتماد المؤسسة على الموردين، وكتابة بيانات اتصال لا تتم مراجعتها، وافتراض أن وجود Backup يعني الجاهزية، وعدم إجراء اختبارات حقيقية، وإجراء تمارين دون متابعة الإجراءات الناتجة عنها.
هناك خطأ آخر أكثر خطورة: بناء BCMS فقط للحصول على الشهادة.
عندها تصبح الوثائق جاهزة للتدقيق، لكن الأشخاص الذين سيستخدمونها في الأزمة لا يعرفونها.
وهذا يتعارض مباشرة مع فلسفة IAC التي تنص على أن المعايير وسيلة لدعم الأداء وجودة القرار، وليست غاية لمجرد الحصول على شهادة.
مسار تطبيق ISO 22301 عمليًا
يمكن تنظيم المشروع في تسلسل واحد مترابط:
تحديد نطاق BCMS وسياق المؤسسة → تشخيص الوضع الحالي → إجراء BIA → تحديد العمليات ذات الأولوية وأزمنة الاستعادة → تقييم مخاطر وسيناريوهات الانقطاع → تحديد استراتيجية الاستمرارية والبدائل → إعداد خطط BCP والتعافي والاتصال → تحديد الأدوار والتفعيل والتصعيد → تدريب الفرق → تنفيذ اختبارات وتمارين → معالجة الفجوات → التدقيق الداخلي → مراجعة الإدارة → التحسين المستمر → التقييم الخارجي عند رغبة المؤسسة.
- هذه السلسلة هي التي تحول الاستمرارية من «خطة» إلى قدرة مؤسسية.
ما دور IAC؟
الكاتالوج الاستشاري الرسمي يثبت لدى الإضافات المثالية للاستشارات والتدريب استشارات نظام استمرارية الأعمال ISO 22301، بهدف تعزيز جاهزية المؤسسات للتعامل مع الأزمات والطوارئ واستمرارية العمليات الحيوية وتقليل أثر الانقطاع على الخدمة والسمعة والامتثال.
ويشمل النطاق المثبت: تحليل تأثير الأعمال BIA، تحديد العمليات الحرجة وأولويات الاستعادة، RTO/RPO بحسب السياق، تقييم سيناريوهات الانقطاع، إعداد BCP/DRP، آليات التفعيل، أدوار ومسؤوليات الاتصال في الطوارئ، تمارين الجاهزية والمحاكاة، الدروس المستفادة والتحسين المستمر وربط الاستمرارية بالحوكمة وإدارة المخاطر.
وتتفق هذه الخدمة مع منهجية IAC الحاكمة: تشخيص موضوعي → تصميم مخصص → تنفيذ مرحلي → تمكين داخلي → قياس أثر.
الهدف ليس إنتاج خطة تُفتح فقط عند التدقيق، بل بناء خطط قابلة للتفعيل والاختبار، وهي القيمة المضافة المثبتة حرفيًا في الكاتالوج الاستشاري.
أسئلة شائعة
ما الإصدار الحالي من ISO 22301؟
حتى 17 أغسطس 2026، ISO 22301:2019 هو الإصدار المنشور الحالي وله Amendment 1:2024. وهناك إصدار ثالث قيد التطوير في مرحلة Committee Draft، لكنه لم يحل محل إصدار 2019 بعد.
ما الفرق بين BIA وتقييم المخاطر؟
BIA يركز على أثر توقف الأنشطة وكيف يتطور الأثر مع الزمن وأولويات الاستعادة، بينما تقييم المخاطر يساعد على فهم سيناريوهات وأسباب الانقطاع ومستوى التعرض لها. ويستخدم الاثنان معًا لتصميم استراتيجية الاستمرارية.
هل Backup كافٍ لتحقيق ISO 22301؟
لا. النسخ الاحتياطي أحد عناصر التعافي التقني المحتملة، بينما BCMS يغطي العمليات والأشخاص والمواقع والموردين والاتصال والموارد والتقنية والاستجابة والتعافي والتحسين.
هل ISO 22301 خاص بالشركات الكبيرة؟
لا. ISO توضح أن المعيار قابل للاستخدام من المؤسسات بمختلف أحجامها، ويُكيف التطبيق حسب سياق المؤسسة وتعقيدها.
هل ISO 22301 يمنع الأزمات؟
لا. هو يساعد المؤسسة على الاستعداد للاضطرابات والاستجابة لها والتعافي منها بصورة أكثر منهجية؛ ولا توجد شهادة يمكن أن تضمن عدم وقوع الأزمة أو عدم توقف أي خدمة.
هل يمكن دمجه مع ISO 27001 أو ISO 9001؟
نعم. ISO تنص على إمكانية تكامل ISO 22301 مع أنظمة إدارة ISO الأخرى، وهو مفيد خصوصًا عندما تريد المؤسسة توحيد الحوكمة والمخاطر والتدقيق ومراجعة الإدارة.
هل يجب اختبار خطة الاستمرارية؟
النظام الفعال يحتاج إلى تمارين واختبارات ومراجعة وتحسين. ملفات IAC تثبت صراحة اختبارات الجاهزية والمحاكاة وتوثيق الدروس المستفادة ضمن خدمة ISO 22301.
الخلاصة
استمرارية الأعمال لا تبدأ من سؤال:
«ما الكارثة التي قد تقع؟»
فقط.
بل تبدأ من سؤال أكثر أهمية:
«ما الذي يجب أن تستمر المؤسسة في تقديمه إذا وقع الانقطاع؟»
ثم تتحول الإجابة إلى:
عمليات ذات أولوية → أزمنة استعادة → موارد واعتماديات → سيناريوهات انقطاع → استراتيجية وبدائل → خطط قابلة للتفعيل → أدوار واتصال → اختبارات وتمارين → قياس وتحسين.
وهنا تكمن قيمة ISO 22301: تحويل الاستمرارية من رد فعل عند الأزمة إلى قدرة مؤسسية يتم تصميمها واختبارها وتحسينها قبل الحاجة إليها.
لطلب جلسة تشخيص أولية لجاهزية استمرارية الأعمال، يمكن التواصل مع IAC لتقييم العمليات الحرجة وBIA وسيناريوهات الانقطاع وخطط الاستجابة والتعافي وبناء مسار تطوير يتناسب مع واقع المؤسسة.