د. بكر عبداللطيف الهبوب

في آخر 5 سنوات، لا تكاد تجد هيكلًا تنظيميًا لجهة حكومية أو شركة مدرجة أو حتى جمعية غير ربحية إلا وفيه مربع أنيق اسمه "GRC" الحوكمة والمخاطر والالتزام. لكن اتساع حضور GRC لا يعني بالضرورة ارتفاع نضجه. فالواقع أننا نعيش متلازمة GRC حين يتحول المفهوم من أداة لحماية المؤسسة إلى أداة لحماية المسؤول في بعض السياقات الحكومية، ومن وظيفة تستجيب للهيئات الرقابية إلى مركز تكلفة في القطاع الخاص، نتيجة انحراف الغاية من تحسين القرار وحماية القيمة إلى مجرد إثبات أن المؤسسة قامت بالإجراءات المطلوبة.

تظهر "متلازمة GRC" عندما تنشغل فرق الحوكمة والمخاطر والالتزام بإغلاق الملاحظات وتحديث السجلات وإنتاج التقارير، بينما تستمر القرارات الاستثمارية والتشغيلية والإستراتيجية في مسار منفصل. وتصبح المشكلة عندها في انفصال GRC عن المكان الذي تصنع فيه القيمة وتتخذ فيه القرارات.

هذا التصور يتعارض مع التطور الذي شهدته النماذج الدولية. فنموذج OCEG ينظر إلى GRC باعتبارها مجموعة قدرات متكاملة تمكّن المؤسسة من تحقيق أهدافها مع التعامل مع عدم اليقين والعمل بنزاهة، بينما يربط ISO 31000 إدارة المخاطر بخلق القيمة وحمايتها والتحسين المستمر. ومن هنا لا يبدو مستقبل GRC في إنشاء إدارات أكبر، وإنما في إزالة الحدود الفاصلة بينها وبين العمليات والمالية والاستراتيجية والتقنية.

يتجه GRC بذلك من Risk to Report  إلى Risk to Value، بحيث لا يقتصر التعامل مع المخاطر على تسجيلها وتصنيفها، بل يمتد إلى قياس أثرها الاقتصادي والقيمة المعرضة لها وتكلفة معالجتها مقارنة بالخسارة المتوقعة. عندها يصبح GRC جزءًا من المفاضلة بين البدائل الاستثمارية والتشغيلية، وتتحول المخاطر من تقارير دورية إلى عنصر حاضر في القرار.

وينعكس ذلك على مفهوم النضج نفسه. فعدد السياسات ونسب إغلاق الملاحظات وعدد اختبارات الضوابط لا تكفي لقياس النضج الحقيقي. الأهم هو سرعة وصول معلومات المخاطر إلى متخذ القرار، وامتلاك الأعمال لمخاطرها، وفعالية الضوابط، وقدرة المؤسسة على قياس تكلفة الرقابة مقابل القيمة التي تحميها.

وتشير تطبيقات عملية إلى إمكانية تحقيق وفورات ملموسة في الجهد اليدوي من خلال الأتمتة، إلا أن أثرها يختلف بحسب طبيعة العملية وجودة البيانات ومستوى النضج التقني.

ثم يأتي الذكاء الاصطناعي ليغير نموذج تشغيل GRC اليومي من جمع الأدلة وتحليل البيانات إلى مراقبة الضوابط وتتبع المتطلبات التنظيمية واكتشاف الأنماط غير المعتادة. ومع تطور "Agentic GRC القائم على وكلاء الذكاء الاصطناعي» ستنتقل المنصات تدريجيًا من عرض المؤشرات إلى مراقبة المتطلبات، واكتشاف الانحرافات، واقتراح المعالجات ومحاكاة آثار بعض القرارات، مع بقاء الأحكام الجوهرية والاعتماد النهائي والمسؤولية ضمن الإطار البشري للحوكمة.

وسيعيد ذلك تشكيل مهنة GRC نفسها. فالمهام الروتينية المرتبطة بجمع البيانات والمطابقة وإعداد الأدلة ستكون أكثر قابلية للأتمتة، بينما سترتفع قيمة المهارات المرتبطة بتحليل المخاطر من منظور مالي، وحوكمة البيانات والنماذج، وفهم الأعمال، وهندسة الضوابط، وتحليل الأثر التنظيمي.

ولا يعني هذا تراجع أهمية الأطر المرجعية مثل COSO. فإطار الرقابة الداخلية يوفر المبادئ والمكونات الأساسية لتصميم الرقابة وتقييم فعاليتها عبر 17 مبدأ ضمن خمسة مكونات، بينما توفر منصات GRC طبقة التشغيل والأتمتة وربط المخاطر والضوابط والأدلة. ويؤكد إصدار COSO لإرشادات الرقابة الداخلية على الذكاء الاصطناعي التوليدي في 2026 أن الرقابة المؤسسية نفسها تدخل مرحلة جديدة.

مستقبل GRC الحقيقي ليس في موقع الإدارة داخل الهيكل التنظيمي، بل في كيفية اندماج الحوكمة والمخاطر والالتزام في الاستثمار والتعاقد والتسعير والتشغيل والتقنية. وتنتقل ملكية المخاطر تدريجيًا إلى الأعمال نفسها، بينما يصبح دور GRC تمكين القرار وتحديه وتقديم الرؤية المستقلة.

المؤسسة الأكثر نضجًا ليست التي تملك أكبر عدد من السياسات أو أكثر لوحات المخاطر ازدحامًا، بل التي تستطيع أن تتوسع وتتخذ قراراتها بسرعة ضمن مخاطر معلومة والتزامات واضحة وضوابط قابلة للإثبات وقيمة قابلة للقياس. عندها تنتهي "متلازمة GRC" عندما تتحول من إدارة تنتج التقارير والملاحظات إلى قدرة مؤسسية تنتج الثقة، وتحسن القرار، وتحمي القيمة، وتساعد على صنعها.

مستشار قانوني