إدارة الأزمات المؤسسية: خطوات لبناء الجاهزية والمرونة

إدارة الأزمات المؤسسية: كيف تبني قدرة مؤسستك وفق ISO 22361؟

الساعة الثالثة فجراً، يرنّ هاتف المدير التنفيذي. الأنظمة الرقمية للمؤسسة متوقفة، والعملاء يكتبون شكاواهم على منصات التواصل، ووسائل الإعلام تسأل عن التفاصيل، والموظفون ينتظرون تعليمات لا يعرف أحد من سيصدرها. هذا المشهد ليس خيالاً بعيداً؛ ففي يوليو 2024 أدى تحديث برمجي معيب من شركة CrowdStrike إلى تعطّل نحو 8.5 ملايين جهاز يعمل بنظام ويندوز حول العالم وفق تقديرات Microsoft، فتوقفت رحلات طيران وخدمات مصرفية ومستشفيات في ساعات قليلة. وتؤكد الأرقام أن هذا النوع من الصدمات أصبح القاعدة لا الاستثناء: فقد توقّع 50% من أكثر من 1,300 قائد وخبير شاركوا في تقرير المخاطر العالمية 2026 الصادر عن المنتدى الاقتصادي العالمي أن تكون السنتان المقبلتان "مضطربتين أو عاصفتين"، وترتفع النسبة إلى 57% عند النظر إلى السنوات العشر المقبلة حتى عام 2036. كما تصدّرت الحوادث السيبرانية قائمة مخاطر الأعمال في مقياس أليانز للمخاطر 2026 بنسبة 42%، وقفز الذكاء الاصطناعي إلى المرتبة الثانية بنسبة 32%. في هذا السياق، لم تعد إدارة الأزمات المؤسسية خطة تُحفظ في الأدراج، بل قدرة استراتيجية تُبنى وتُختبر باستمرار، وهنا تحديداً يأتي دور معيار ISO 22361:2022 الذي يقدّم إطاراً دولياً متكاملاً لبناء هذه القدرة.

ما هي إدارة الأزمات المؤسسية وفق معيار ISO 22361؟

إدارة الأزمات المؤسسية هي القدرة المنظّمة التي تمكّن الإدارة العليا من توقّع الأزمات والاستعداد لها والاستجابة لها والتعافي منها بطريقة تحمي بقاء المؤسسة وسمعتها وثقة أصحاب المصلحة بها. ولا تقتصر هذه القدرة على وجود وثيقة مكتوبة، بل تشمل هيكل حوكمة واضحاً، وفريقاً مدرّباً، وآليات لاتخاذ القرار تحت الضغط، ومنظومة اتصال قادرة على الوصول إلى الجمهور الصحيح بالرسالة الصحيحة في الوقت المناسب.

أصدرت المنظمة الدولية للتقييس معيار ISO 22361 في نوفمبر 2022 بعنوان "الأمن والصمود: إدارة الأزمات"، ليحلّ محل المعيار البريطاني BS 11200:2014 والمواصفة الأوروبية الفنية PD CEN/TS 17091:2018 اللذين سُحبا بعد صدوره. وهو معيار إرشادي وليس معيار متطلبات، أي أنه لا يُمنح عليه شهادة مطابقة كما هو الحال في ISO 22301 لإدارة استمرارية الأعمال، لكنه يمثّل المرجع الدولي الأكثر نضجاً لكيفية بناء قدرة الأزمات على المستوى الاستراتيجي. وتتكامل إرشاداته مع ISO 22301 ومع ISO 31000 لإدارة المخاطر، مما يسمح للمؤسسات التي تطبّق هذه المعايير بدمج إدارة الأزمات في منظومتها القائمة بدلاً من بناء نظام منفصل.

وتكتسب هذه المرجعية أهمية خاصة في دول الخليج العربي؛ ففي دولة الإمارات مثلاً تعتمد الهيئة الوطنية لإدارة الطوارئ والأزمات والكوارث المعيار الوطني AE/SCNS/NCEMA 7000:2021 لإدارة استمرارية الأعمال، وتظهر بنوده بصورة متكررة في وثائق المناقصات والعقود الحكومية. وحين تبني المؤسسة قدرتها في إدارة الأزمات وفق ISO 22361 إلى جانب متطلبات استمرارية الأعمال الوطنية، فإنها تقدّم لشركائها وللجهات الرقابية دليلاً عملياً على أنها مستعدة للمواقف التي تتجاوز الخطط الروتينية.

الفرق بين الحادث والانقطاع والأزمة

يعرّف المعيار الأزمة بأنها "حدث أو موقف غير اعتيادي أو استثنائي يهدد مؤسسة أو مجتمعاً، ويتطلب استجابة استراتيجية ومرنة وفي الوقت المناسب للحفاظ على بقائه وسلامته". ويشير إلى أن الأزمات تتسم بدرجة عالية من التعقيد وعدم الاستقرار وعدم اليقين، وقد تتجاوز قدرة المؤسسة على الاستجابة بإجراءاتها المعتادة.

هذا التعريف يرسم حدوداً عملية مهمة. فالحادث هو حدث قد يؤدي إلى انقطاع أو أزمة، مثل عطل في خادم واحد تعالجه فرق تقنية المعلومات بإجراءات معروفة خلال ساعات. أما الانقطاع فهو توقّف فعلي في تقديم الخدمات أو المنتجات، وتتعامل معه خطط استمرارية الأعمال عبر بدائل مجهّزة مسبقاً. وتبدأ الأزمة حين يتجاوز الموقف ما خطّطت له المؤسسة، ويصبح التهديد موجّهاً إلى سمعتها أو ثقة عملائها أو قدرتها على البقاء، فتنتقل المسؤولية من المستوى التشغيلي إلى الإدارة العليا. ومثال ذلك أن تسرّب بيانات عدد محدود من العملاء قد يبدأ حادثاً تقنياً، لكنه يتحول إلى أزمة حين تنتشر القصة إعلامياً وتتدخل جهات رقابية ويبدأ الشركاء بمراجعة عقودهم.

المبادئ السبعة لإدارة الأزمات المؤسسية

يحدّد المعيار في بنده الرابع سبعة مبادئ تشكّل الأساس الفكري لأي منظومة ناجحة لإدارة الأزمات. وقيمة هذه المبادئ أنها لا ترتبط بنوع معين من الأزمات، بل تنطبق على الأزمة السيبرانية وأزمة السمعة والأزمة التشغيلية على حد سواء:

1.     الحوكمة: تحتاج المؤسسة إلى هيكل واضح يحدد من يملك صلاحية إعلان الأزمة ومن يقود فريقها وكيف تُرفع المعلومات إلى مجلس الإدارة. وغياب هذا الوضوح هو السبب الأكثر شيوعاً لضياع الساعات الأولى الحاسمة في نقاشات حول الصلاحيات بدلاً من التعامل مع الموقف، لذلك يُستحسن أن تُدرج صلاحيات الأزمات صراحة في مصفوفة الصلاحيات المعتمدة.

2.     الاستراتيجية: يجب أن ترتبط إدارة الأزمات بأهداف المؤسسة الاستراتيجية، وأن تحظى بدعم القيادة العليا وبموارد مخصصة لها. فالمؤسسة التي تعدّ إدارة الأزمات ملفاً فرعياً في قسم السلامة ستجد نفسها عاجزة حين تمس الأزمة جوهر أعمالها.

3.     إدارة المخاطر: يعتمد الاستعداد الجيد على فهم عميق للمخاطر التي تواجهها المؤسسة، ومراقبة الإشارات المبكرة التي تسبق الأزمات. وتتيح أدوات التحول الرقمي اليوم، مثل لوحات المتابعة اللحظية وأنظمة رصد وسائل التواصل، التقاط هذه الإشارات قبل أن تتحول إلى أزمة مكتملة.

4.     اتخاذ القرار: يدعو المعيار إلى قرارات مبنية على أفضل معلومات متاحة، مع الاعتراف بأن المعلومات في الأزمة تكون ناقصة ومتغيرة. والمطلوب هنا ليس انتظار الصورة الكاملة، بل اتخاذ قرارات قابلة للمراجعة وتوثيق مبرراتها.

5.     الاتصال: يؤكد المعيار أن الاتصال الدقيق والموثوق وفي الوقت المناسب جزء من الاستجابة نفسها وليس نشاطاً لاحقاً لها، لأن الفراغ المعلوماتي يملؤه الآخرون بالشائعات.

6.     الأخلاقيات: ينبغي أن تستند قرارات الأزمة إلى القيم المعلنة للمؤسسة، وأن تضع سلامة الناس ومصالحهم فوق الاعتبارات قصيرة المدى. فالجمهور يتذكر طويلاً كيف تصرّفت المؤسسة حين كانت تحت الضغط.

7.     التعلّم: تُبنى القدرة الحقيقية عبر التدريب والتمارين واستخلاص الدروس من الأزمات الفعلية، سواء التي مرّت بها المؤسسة أو التي عاشتها مؤسسات مشابهة في القطاع نفسه.

بناء القدرة المؤسسية على إدارة الأزمات في عصر التحول الرقمي

يخصص المعيار بنده الخامس وهو الأكثر تفصيلاً لكيفية بناء القدرة على إدارة الأزمات. والفكرة المحورية هنا أن القدرة منظومة تتكامل فيها العناصر البشرية والتنظيمية والتقنية، وأن ضعف أي عنصر منها يضعف المنظومة كلها. فالمؤسسة التي تملك أحدث منصة رقمية لإدارة الحوادث دون فريق مدرّب على استخدامها، كالمؤسسة التي تملك فريقاً مدرّباً يعمل بجداول ورقية لا تتحدّث لحظياً.

وقد غيّر التحول الرقمي طبيعة الأزمات وطريقة إدارتها معاً. فمن جهة، أصبحت المؤسسات أكثر اعتماداً على الأنظمة السحابية وسلاسل التوريد الرقمية، مما يجعل عطلاً لدى مزوّد خارجي واحد قادراً على شلّ عملياتها. وتتوقع مؤسسة Gartner أن يتعامل نصف جهود الاستجابة للحوادث السيبرانية في المؤسسات بحلول عام 2028 مع حوادث تتعلق بتطبيقات ذكاء اصطناعي مطوّرة داخلياً. ومن جهة أخرى، يوفّر التحول الرقمي أدوات غير مسبوقة للاستجابة: منصات إشعار جماعي تصل إلى آلاف الموظفين خلال دقائق، وغرف عمليات افتراضية تجمع فريق الأزمة من مدن مختلفة، وأدوات تحليل تساعد على تقدير أثر القرارات قبل اتخاذها. ويعكس نمو السوق هذا التحول؛ إذ تشير تقديرات Global Market Insights إلى أن سوق إدارة الأزمات العالمي، الذي بلغ نحو 121.4 مليار دولار في عام 2023، مرشّح للوصول إلى نحو 227.1 مليار دولار بحلول عام 2032 بمعدل نمو سنوي مركب يقارب 7.5%.

فريق إدارة الأزمات: الأدوار والكفاءات

يمثّل فريق إدارة الأزمات قلب المنظومة، ويوصي المعيار بأن يضم ممثلين عن الإدارة العليا والجهات القادرة على اتخاذ القرار وتنفيذه، مثل العمليات وتقنية المعلومات والشؤون القانونية والموارد البشرية والاتصال المؤسسي. ولكل عضو دور محدد مسبقاً: قائد الأزمة الذي يملك صلاحية القرار النهائي، ومنسق الفريق الذي يدير الاجتماعات ويتابع تنفيذ القرارات، ومسؤول المعلومات الذي يبني صورة موحدة للموقف، ومسؤول الاتصال الذي يصوغ الرسائل ويتابع صداها. ومن الممارسات الجيدة تعيين بديل مدرّب لكل دور، لأن الأزمة قد تقع والمسؤول الأساسي في إجازة أو خارج نطاق الاتصال.

غير أن تحديد الأدوار على الورق لا يصنع فريقاً قادراً. فالمعيار يتحدث عن كفاءات تشمل مهارات إدارة المهام، والمهارات الشخصية مثل ضبط النفس تحت الضغط، ومهارات التعامل مع الآخرين، ومهارات إدارة أصحاب المصلحة. وهذه الكفاءات لا تُكتسب بقراءة دليل إجرائي، بل ببرامج تطوير منهجية تتولى إدارة الموارد البشرية تخطيطها ضمن مسارات تطوير القيادات. ولهذا تحرص المؤسسات الرائدة على إدراج إدارة الأزمات في خطط التدريب السنوية بوصفها كفاءة قيادية أساسية، لا دورة تُعقد مرة واحدة بعد أزمة طارئة. وفي هذا الإطار، يقدّم معهد الحل الوحيد للتدريب والاستشارات برامج متخصصة في إدارة الأزمات واستمرارية الأعمال للجهات الحكومية والمؤسسات في دول الخليج، تنطلق من إرشادات ISO 22361 وتربطها بواقع بيئة العمل في المنطقة.

خطة إدارة الأزمات: لماذا لا تُبنى على السيناريوهات؟

من أبرز ما يميّز المعيار دعوته إلى ألا تُبنى خطة إدارة الأزمات حول سيناريوهات محددة سلفاً. والسبب أن الأزمات الحقيقية نادراً ما تطابق السيناريو المكتوب؛ فالخطة المصممة لحريق في المبنى الرئيسي لن تسعف المؤسسة كثيراً في أزمة تسرّب بيانات أو مقطع مفبرك بتقنيات التزييف العميق ينتشر عن رئيسها التنفيذي. لذلك يوصي المعيار بخطة مرنة تركّز على الآليات: كيف تُكتشف الأزمة ويُرفع التنبيه، ومن يُفعّل الفريق، وأين يجتمع فعلياً أو افتراضياً، وكيف تُجمع المعلومات وتُحلَّل، وكيف تُتخذ القرارات وتُوثّق، وكيف يُدار الاتصال الداخلي والخارجي.

وتتضمن الخطة الجيدة أيضاً معايير واضحة لتصعيد الموقف من حادث إلى أزمة وقوائم اتصال محدّثة بصورة دورية وقوالب رسائل أولية جاهزة للتكييف ونموذجاً موحداً لسجل القرارات. ويسهّل التحول الرقمي هذه المهمة حين تُحفظ الخطة وقوائمها على منصة آمنة يمكن الوصول إليها من الهاتف المحمول حتى لو تعطلت الأنظمة الرئيسية للمؤسسة، وهو درس تعلّمته مؤسسات كثيرة حين اكتشفت خلال أزمة تقنية أن خطة الطوارئ نفسها محفوظة على الخوادم المتوقفة.

القيادة واتخاذ القرار والاتصال في أثناء الأزمة

يخصص المعيار بنوداً مستقلة لقيادة الأزمات واتخاذ القرار الاستراتيجي، إدراكاً منه أن الأزمة تختبر القائد بطريقة تختلف عن الإدارة اليومية. فقائد الأزمة مطالب بأن يوازن بين السرعة والدقة، وأن يحافظ على هدوء الفريق، وأن يتخذ قرارات قد تكون لكل خياراتها عواقب سلبية، وهو ما يعترف به المعيار صراحة حين يشير إلى أن بعض قرارات الأزمة تنطوي على أضرار لا يمكن تجنبها تماماً.

ولتقليل أثر الضغط على جودة القرار، يقترح المعيار أدوات عملية، منها بناء صورة موحّدة للموقف يشترك فيها جميع أعضاء الفريق، وتحديد أولويات واضحة في كل مرحلة، وتوثيق كل قرار مع مبرراته والمعلومات المتاحة لحظة اتخاذه. ويُعد سجل القرارات هذا حماية للمؤسسة وقادتها عند المراجعة اللاحقة، ومصدراً ثميناً للتعلّم. وهنا يبرز دور أدوات التحليل الرقمي والذكاء الاصطناعي في تلخيص كميات ضخمة من المعلومات وعرضها على لوحات بيانات لحظية، مع التأكيد على أن القرار النهائي يبقى مسؤولية بشرية لا تُفوَّض للخوارزميات.

الاتصال في الأزمات ووسائل التواصل الاجتماعي

يرى المعيار أن الاتصال الفعّال يتطلب استراتيجية معدّة مسبقاً وقنوات معتمدة ورسائل متسقة ودمجاً واعياً لوسائل التواصل الاجتماعي. وتزداد أهمية هذا البند في ظل تصنيف المعلومات المضللة والكاذبة في المرتبة الثانية ضمن أخطر المخاطر العالمية على مدى العامين المقبلين وفق تقرير المخاطر العالمية 2026. فالأزمة اليوم قد تبدأ بمنشور واحد، وقد تتضخم خلال ساعات بسبب معلومات غير دقيقة إذا غابت رواية المؤسسة الرسمية.

ومن التطبيقات العملية لهذا المبدأ أن تصدر المؤسسة رسالة أولية خلال الساعة الأولى تعترف فيها بالموقف وتوضح أنها تتعامل معه وتحدد موعد التحديث التالي، حتى لو لم تكتمل المعلومات بعد. كما ينبغي ألا يسمع الموظفون أخبار مؤسستهم من وسائل الإعلام، لأنهم في الأزمة سفراء غير رسميين يتواصلون مع العملاء والعائلات والمجتمع. ويحتاج فريق الاتصال إلى أدوات رصد رقمية تتابع ما يُقال عن المؤسسة لحظياً، وإلى متحدث رسمي مدرّب على الظهور الإعلامي تحت الضغط، وإلى صلاحيات واضحة تحدد من يعتمد الرسائل قبل نشرها دون أن تتحول إجراءات الاعتماد إلى سبب للتأخير.

التدريب والتمارين والتعلّم بعد الأزمة

يختتم المعيار بنوده بالتأكيد على أن القدرة على إدارة الأزمات لا تثبت إلا بالتدريب والتحقق والتعلّم المستمر. ويوصي بتنويع أشكال التمارين، بدءاً من تمارين المناقشة على الطاولة التي يستعرض فيها الفريق موقفاً افتراضياً ويناقش قراراته، مروراً بتمارين المحاكاة التي تضيف ضغط الوقت وتدفق المعلومات المتغيرة، وصولاً إلى التمارين الشاملة التي تختبر المؤسسة كلها وتشرك أحياناً الجهات الخارجية. والغاية من ذلك ليست حفظ الإجراءات، بل تنمية المرونة وقدرة الفريق على الارتجال المنضبط حين تخرج الأحداث عن كل ما هو مكتوب.

ويكتسب التدريب بعداً جديداً مع التحول الرقمي؛ فالتمارين الحديثة تستخدم منصات محاكاة رقمية تولّد تحديثات إخبارية ومنشورات وهمية على وسائل التواصل ورسائل من أصحاب المصلحة، لتضع الفريق في ظروف قريبة من الواقع. كما يتيح الذكاء الاصطناعي بناء سيناريوهات متجددة تعكس المخاطر الناشئة، مثل الهجمات المعتمدة على التزييف العميق أو تعطل أنظمة الذكاء الاصطناعي نفسها. ويحتاج ذلك إلى شراكة وثيقة بين إدارة الموارد البشرية وإدارات المخاطر وتقنية المعلومات، بحيث تُقاس نتائج التمارين وتُربط بخطط التطوير الفردية لأعضاء فريق الأزمة. ومن هذا المنطلق، يعتمد معهد الحل الوحيد للتدريب والاستشارات في برامجه على التمارين التطبيقية ودراسات الحالة المستمدة من أزمات حقيقية في المنطقة والعالم، لأن المهارة التي لم تُمارَس تحت الضغط لا يمكن الاعتماد عليها في الأزمة الفعلية.

أما التعلّم بعد الأزمة فيبدأ بمراجعة منظمة وصريحة تجمع الفريق خلال أيام من انتهاء الموقف، وتطرح أسئلة محددة: ما الذي نجح؟ وما الذي تأخر؟ وأي قرار كنا سنتخذه بصورة مختلفة لو عدنا إلى الساعة الأولى؟ ثم تتحول الإجابات إلى إجراءات تصحيحية لها مالك وموعد نهائي، وتُحدَّث بناءً عليها الخطة وبرامج التدريب. فالمؤسسات الأكثر صموداً ليست تلك التي لا تمر بأزمات، بل تلك التي تخرج من كل أزمة أقوى مما دخلتها. ومع تسارع التغيرات التقنية والجيوسياسية نحو عام 2030 وما بعده، سيصبح الاستثمار في إدارة الأزمات المؤسسية وفق ISO 22361 وفي تأهيل الكوادر القادرة على قيادتها أحد أوضح الفوارق بين مؤسسة تتفاعل مع الأحداث ومؤسسة تستعد لها.

أسئلة شائعة حول إدارة الأزمات المؤسسية وISO 22361

هل يمكن الحصول على شهادة ISO 22361؟

لا، فمعيار ISO 22361 معيار إرشادي لا يتضمن متطلبات قابلة للتدقيق والإشهاد. ويمكن للمؤسسة أن تستخدمه مرجعاً لبناء قدرتها على إدارة الأزمات وتقييم نضجها، وأن تجمعه مع شهادة ISO 22301 لإدارة استمرارية الأعمال التي تُمنح عليها شهادات مطابقة من جهات إشهاد معتمدة.

ما الفرق بين إدارة الأزمات وإدارة استمرارية الأعمال؟

تركّز إدارة استمرارية الأعمال على الحفاظ على الأنشطة الحيوية أو استعادتها خلال مدد زمنية محددة مسبقاً، وتعمل غالباً على المستوى التشغيلي والتكتيكي. أما إدارة الأزمات فتعمل على المستوى الاستراتيجي، وتتعامل مع المواقف غير المتوقعة التي تهدد سمعة المؤسسة وبقاءها وتتجاوز الخطط المعدّة مسبقاً. والمؤسسة الناضجة تحتاج إلى الاثنين معاً في منظومة واحدة متكاملة.

من المسؤول عن إدارة الأزمات في المؤسسة؟

المسؤولية النهائية تقع على الإدارة العليا ومجلس الإدارة، بينما يتولى فريق إدارة الأزمات قيادة الاستجابة الفعلية. وتؤدي إدارة الموارد البشرية دوراً محورياً في اختيار أعضاء الفريق وتطوير كفاءاتهم ورعاية الموظفين المتأثرين بالأزمة، في حين تتولى إدارة المخاطر مراقبة الإشارات المبكرة وتحديث تقييمات المخاطر.

كم مرة يجب تدريب فريق إدارة الأزمات؟

لا يحدد المعيار عدداً ثابتاً، لكن الممارسة الشائعة هي تنفيذ تمرين واحد على الأقل سنوياً لفريق الأزمة، مع تمارين إضافية عند تغيّر أعضاء الفريق أو ظهور مخاطر جديدة أو بعد أزمة فعلية. ويُفضّل تنويع التمارين بين المناقشة والمحاكاة حتى يكتسب الفريق خبرة متدرجة.