ISO 22301 لاستمرارية الأعمال: لماذا تطلبه البنوك والاتصالات؟
ماذا يحدث إذا توقف النظام البنكي الإلكتروني ساعتين؟
أو تعطلت شبكة اتصالات أثناء أزمة؟
أو خرج مركز البيانات الرئيسي عن الخدمة؟
المشكلة هنا ليست مجرد عطل تقني؛ قد تصبح Business Continuity Issue تؤثر في العملاء والمعاملات والخدمات الحرجة والالتزامات التنظيمية.
لهذا تكتسب ISO 22301 أهمية خاصة في قطاعات مثل البنوك والاتصالات.
ISO 22301 هو المعيار الدولي لنظام:
Business Continuity Management System — BCMS
ويهدف إلى مساعدة المؤسسة على الاستعداد للاضطرابات والاستجابة لها واستعادة المنتجات والخدمات ذات الأولوية ضمن مستويات مقبولة.
ما الإصدار الحالي؟
حتى نوفمبر 2026، الإصدار المنشور الحالي هو:
ISO 22301:2019
مع:
Amendment 1:2024 المتعلق باعتبارات تغير المناخ.
وفي الوقت نفسه تعمل ISO على الإصدار الثالث من المعيار، وهو ما يزال قيد التطوير ولم يحل بعد محل إصدار 2019.
لذلك أي Certification حالي يجب أن يستند إلى الإصدار المنشور المعمول به، وليس إلى المسودة الجديدة.
لماذا يهم البنوك تحديدًا؟
البنك يعتمد على خدمات يجب أن تستمر أو تستعاد ضمن مدد مقبولة، مثل:
الخدمات المصرفية الإلكترونية.
المدفوعات والتحويلات.
أجهزة الصراف.
أنظمة العملاء.
العمليات الداخلية الحرجة.
ومراكز البيانات والاتصالات.
في الأردن، أصدر البنك المركزي منذ عام 2006 تعليمات Business Continuity Plan للبنوك، ونصت على وجوب إعداد جميع البنوك خططًا لاستمرارية الأعمال، مع مسؤوليات واضحة لمجلس الإدارة والإدارة العليا، وإجراء Business Impact Analysis واختبار الخطط ومراجعتها وتحديثها.
إذن استمرارية الأعمال في القطاع المصرفي ليست مجرد خيار إداري إضافي.
لماذا يهم شركات الاتصالات؟
لأن الاتصالات نفسها قد تكون بنية تحتية حرجة أثناء:
الكوارث.
الأحوال الجوية القاسية.
انقطاع الكهرباء.
الحوادث واسعة النطاق.
أو الأزمات الوطنية.
وفي الأردن، تنشر هيئة تنظيم قطاع الاتصالات تعليمات خاصة بـإدامة خدمات شبكات الاتصالات العامة في حالات الطوارئ والأزمات. وقد أوضحت الهيئة أن الهدف هو توفير إطار موحد يساعد على بقاء البنية التحتية للاتصالات قادرة على تقديم الخدمات وتبادل المعلومات أثناء حالات الطوارئ.
وهذا يفسر لماذا تكون Business Continuity وDisaster Recovery موضوعين أساسيين لدى مشغلي الاتصالات.
ماذا تضيف ISO 22301؟
وجود خطة طوارئ وحدها لا يعني وجود BCMS.
ISO 22301 تنقل المؤسسة من:
لدينا خطة إذا حدث شيء
إلى:
نعرف الخدمات الحرجة، ونفهم أثر توقفها، وحددنا استراتيجية للاستمرار والتعافي، ونختبرها ونحسنها دوريًا.
أي أن Business Continuity تصبح نظام إدارة مستمرًا وليست ملفًا يُفتح عند الأزمة.
1. Business Impact Analysis — BIA
من أهم أجزاء استمرارية الأعمال:
Business Impact Analysis
الهدف هو معرفة:
ما العمليات والخدمات ذات الأولوية؟
ماذا يحدث إذا توقفت؟
متى يصبح أثر التوقف غير مقبول؟
ما الموارد التي تعتمد عليها؟
وما الاعتماديات الداخلية والخارجية؟
مثلًا في بنك:
توقف البريد الداخلي ساعتين قد لا يساوي أثر توقف نظام الدفع ساعتين.
وفي شركة اتصالات:
توقف نظام إداري داخلي لا يساوي توقف شبكة تخدم آلاف المستخدمين.
لذلك لا تعامل جميع العمليات بنفس الأولوية.
2. تحديد أولويات الاستعادة
بعد BIA تحتاج المؤسسة إلى تحديد مستوى ووقت الاستعادة المطلوب للخدمات ذات الأولوية.
المفهوم الأساسي هو:
كم يمكن أن نبقى متوقفين قبل أن يصبح الأثر غير مقبول؟
ثم تُبنى استراتيجيات الاستمرار والتعافي وفق هذه الأولويات.
وهنا تظهر أهمية مفاهيم مثل:
Recovery Time Objectives
ومتطلبات استعادة البيانات والخدمات والموارد المناسبة للنشاط.
3. الاعتماديات الحرجة
الخدمة لا تعتمد عادة على خادم واحد فقط.
قد تعتمد على:
الكهرباء.
الإنترنت.
الموظفين.
الموردين.
Cloud Provider.
Data Center.
المباني.
الاتصالات.
التطبيقات.
وشركات خارجية.
لذلك يجب تحديد:
Single Points of Failure
والاعتماديات التي قد تمنع المؤسسة من استعادة الخدمة حتى لو كانت أنظمتها الداخلية جاهزة.
4. Business Continuity Strategy
بعد معرفة الأولويات، يجب تحديد كيف ستستمر المؤسسة أو تستعيد عملياتها.
قد تشمل الاستراتيجية، بحسب المخاطر:
موقعًا بديلًا.
أنظمة احتياطية.
اتصالات بديلة.
Redundancy.
Work from Alternate Location.
موردين بدلاء.
Backup and Recovery.
أو إجراءات تشغيل يدوية مؤقتة.
ISO 22301 لا تفرض حلًا تقنيًا واحدًا؛ الاستراتيجية يجب أن تتناسب مع احتياجات المؤسسة ونتائج BIA والمخاطر.
5. خطط الاستجابة والتعافي
يجب تحويل الاستراتيجية إلى إجراءات يمكن تنفيذها عند وقوع اضطراب.
من يفعل ماذا؟
من يعلن الأزمة؟
كيف يتم تصعيد الحدث؟
كيف يتم التواصل مع الموظفين والعملاء والجهات التنظيمية؟
ما الخدمة التي تستعاد أولًا؟
وأين توجد المعلومات اللازمة أثناء الأزمة؟
الخطة الجيدة يجب أن تكون قابلة للاستخدام في ظروف ضغط حقيقية، وليس فقط وثيقة طويلة داخل نظام إلكتروني قد يكون هو نفسه متوقفًا.
6. الاختبار أهم من وجود الخطة
قد تبدو خطة Business Continuity ممتازة على الورق، ثم تفشل عند أول اختبار.
لذلك الاختبارات والتمارين عنصر أساسي.
قد تشمل:
Tabletop Exercise.
اختبار الاتصال.
اختبار استعادة Backup.
تحويل خدمة إلى موقع بديل.
اختبار Disaster Recovery.
أو سيناريو أزمة متكامل.
والهدف ليس تنفيذ تمرين شكلي، بل اكتشاف:
هل الخطة تعمل؟
هل الأشخاص يعرفون أدوارهم؟
هل الموارد متاحة؟
وهل أوقات الاستعادة واقعية؟
البنك المركزي الأردني يشترط ضمن تعليماته للبنوك مراجعة نتائج اختبارات خطط الاستمرارية وتحديث الخطط بصورة دورية.
7. Business Continuity ليست Disaster Recovery فقط
هذا فرق مهم.
Disaster Recovery — DR يركز غالبًا على استعادة الأنظمة والتقنية بعد كارثة أو عطل كبير.
أما:
Business Continuity — BC
فأوسع.
قد تكون الأنظمة التقنية تعمل، لكن المؤسسة غير قادرة على تقديم الخدمة لأن:
المبنى غير متاح.
الموظفين الأساسيين غير متاحين.
المورد توقف.
وسيلة الاتصال انقطعت.
أو سلسلة التوريد تعطلت.
حتى تعليمات البنك المركزي الأردني تعرف Disaster Recovery Plan باعتبارها جزءًا من Business Continuity Plan.
ماذا عن الأمن السيبراني؟
هناك علاقة قوية، لكن المجالين ليسا متطابقين.
ISO 27001 تهتم بإدارة أمن المعلومات.
ISO 22301 تهتم باستمرارية المنتجات والخدمات بعد الاضطراب.
Cyberattack قد يكون أحد السيناريوهات التي تؤدي إلى تفعيل Business Continuity.
ولهذا يشير إطار الأمن السيبراني للقطاع المالي لدى البنك المركزي الأردني إلى أهمية Cyber Resilience وإدارة الحوادث والحفاظ على قدرة القطاع على الاستجابة والتعافي.
لذلك كثير من المؤسسات تدمج:
ISO 27001 + ISO 22301
بدل التعامل مع الأمن والاستمرارية كنظامين منفصلين بالكامل.
هل البنوك وشركات الاتصالات ملزمة بالحصول على شهادة ISO 22301؟
يجب التفريق بدقة بين:
وجود متطلبات تنظيمية لاستمرارية الأعمال
وبين:
اشتراط Certification وفق ISO 22301.
البنك المركزي الأردني لديه متطلبات واضحة لاستمرارية أعمال البنوك، وهيئة تنظيم قطاع الاتصالات لديها تعليمات لاستمرار خدمات الاتصالات أثناء الطوارئ.
لكن هذا لا يعني تلقائيًا أن كل بنك وكل شركة اتصالات ملزم قانونيًا بالحصول على شهادة ISO 22301 لمجرد وجود هذه المتطلبات.
قد تصبح الشهادة مطلوبة بسبب:
جهة تنظيمية محددة.
عقد.
عميل.
شركة أم.
عطاء.
أو سياسة حوكمة داخلية.
لذلك يجب التحقق من المتطلب الفعلي لكل مؤسسة.
ماذا قد يفحص مدقق ISO 22301؟
قد يأخذ المدقق عينات من:
Business Impact Analysis.
Risk Assessment.
العمليات ذات الأولوية.
Business Continuity Strategies.
خطط الاستجابة.
Disaster Recovery arrangements.
قوائم الاتصال والتصعيد.
الموردين والاعتماديات الحرجة.
نتائج الاختبارات والتمارين.
الحوادث السابقة.
Internal Audit.
Management Review.
والإجراءات التصحيحية.
السؤال الأساسي ليس:
هل لديكم BCP؟
بل:
هل تستطيع المؤسسة إثبات أن ترتيبات الاستمرارية مناسبة ومختبرة وقابلة للتنفيذ؟
أسئلة شائعة
ما هو ISO 22301؟
معيار دولي لمتطلبات Business Continuity Management System يساعد المؤسسات على الاستعداد للاضطرابات والاستجابة لها والتعافي منها.
ما الإصدار الحالي؟
ISO 22301:2019 مع Amendment 1:2024. ويوجد إصدار ثالث قيد التطوير في 2026 ولم يُنشر بعد.
هل ISO 22301 مخصصة للبنوك والاتصالات فقط؟
لا. يمكن تطبيقها على المؤسسات بمختلف أنواعها وأحجامها، لكن أهميتها ترتفع عندما تكون تكلفة توقف الخدمة عالية.
هل Disaster Recovery تكفي؟
لا بالضرورة. DR جزء من منظومة أوسع لاستمرارية الأعمال.
هل الشهادة تضمن عدم توقف الخدمة؟
لا. الهدف هو تعزيز قدرة المؤسسة على الاستعداد والاستجابة والتعافي وتقليل أثر الانقطاع، وليس ضمان عدم حدوثه.
الخلاصة
البنوك والاتصالات تحتاج إلى أكثر من Backup وخطة طوارئ.
السؤال الحقيقي هو:
ما الخدمة التي يجب ألا تتوقف؟
كم يمكنها أن تتوقف؟
على ماذا تعتمد؟
كيف سنستمر أو نتعافى؟
وهل اختبرنا ذلك فعليًا؟
وهنا تعمل ISO 22301 وفق تسلسل واضح:
BIA → Priorities → Risks → Continuity Strategy → Plans → Exercises → Recovery → Review → Improvement
ولهذا تظهر أهميتها في القطاعات التي قد يؤدي فيها توقف ساعات قليلة إلى آثار تشغيلية ومالية وتنظيمية واسعة.
ISO 22301 مع URS Jordan
تعمل URS Jordan في الأردن بصفتها Local Office ضمن منظومة URS Holdings UK، وتتعامل مع شهادات أنظمة الإدارة ضمن إطار طرف ثالث قائم على النطاق والحياد والأدلة.
عند تقييم نظام استمرارية الأعمال، يتم النظر إلى نطاق BCMS والخدمات ذات الأولوية والاعتماديات واستراتيجيات الاستمرارية والاختبارات والأدلة على قدرة المؤسسة على الاستجابة والتعافي.
Phone / WhatsApp: 0791238088
Email: info@jo.urscertification.com
Website: https://www.ursjordan.com/
ملاحظة مهنية: ISO 22301 Certification لا تستبدل متطلبات البنك المركزي الأردني أو هيئة تنظيم قطاع الاتصالات أو أي التزامات تنظيمية أخرى، ولا تضمن عدم حدوث انقطاع؛ هي تقييم مستقل لنظام إدارة استمرارية الأعمال ضمن النطاق المحدد.