1. الغرض
تحديد وتوصيل مستوى تحمل [ORGANIZATION] للمخاطر السيبرانية عبر فئات المخاطر المختلفة ومستويات الأعمال، مما يوفر حدوداً واضحة لاتخاذ القرارات تُمكّن من الاتساق في قبول المخاطر وتصعيدها.
2. النطاق
ينطبق هذا البيان على جميع قرارات إدارة المخاطر السيبرانية عبر [ORGANIZATION]، من التخطيط الاستراتيجي إلى قرارات التحكم التشغيلية. ويحكم كيفية اتخاذ قرارات قبول المخاطر وتوثيقها ومراجعتها.
3. محتوى سياسة
3.1 مبادئ الرغبة في المخاطر
تدرك [ORGANIZATION] أن مستوى معيناً من المخاطر السيبرانية متأصل في تحقيق أهداف الأعمال والحفاظ على القدرة التنافسية. الرغبة في المخاطر لا تعني القبول بمخاطر غير ضرورية؛ بل تُنشئ حدوداً واعية.
يتم تحديد الرغبة في المخاطر على مستوى المؤسسة من قبل [CUSTOMIZE: Board of Directors / Board Risk Committee] ويتم تفعيلها من خلال عتبات تحمل المخاطر لكل فئة من فئات المخاطر.
يجب أن تكون قرارات الرغبة في المخاطر مستنيرة بالسياق التجاري وتأثير التهديدات والقدرة التنظيمية ومتطلبات الامتثال وتوقعات أصحاب المصلحة.
3.2 الرغبة المؤسسية في المخاطر السيبرانية
لدى [ORGANIZATION] رغبة إجمالية [CUSTOMIZE: LOW / LOW-TO-MODERATE] في المخاطر السيبرانية التي قد تؤثر مادياً على عملائها أو أصحاب المصلحة أو استمرارية العمليات أو السمعة أو الامتثال التنظيمي.
يتم تحديد مستويات الرغبة التالية حسب فئة المخاطر:
3.3 عتبات تحمل المخاطر
تُترجم عتبات تحمل المخاطر الرغبة النوعية إلى حدود قابلة للقياس تُحفز إجراءات الاستجابة والتصعيد:
أخضر (ضمن الرغبة): مستويات المخاطر مقبولة. الاستمرار في المراقبة وفقاً لخطة البرنامج المعتمدة.
أصفر (يقترب من حدود الرغبة): مستويات المخاطر تقترب من العتبات. يجب التحقيق وإبلاغ [CUSTOMIZE: CISO / Risk Committee] وبدء إجراءات المعالجة.
برتقالي (يتجاوز تحمل المخاطر): مستويات المخاطر تتجاوز الحدود المقبولة. التصعيد الفوري إلى [CUSTOMIZE: Executive Committee] مع خطة معالجة ذات جدول زمني.
أحمر (يتجاوز رغبة المخاطر): مستويات المخاطر تتجاوز الرغبة المؤسسية. التصعيد إلى [CUSTOMIZE: Board Risk Committee] والمعالجة الطارئة أو التحكم في النشاط المسبب للمخاطر.
3.4 صلاحية قبول المخاطر
يجب اتخاذ قرارات قبول المخاطر من قبل أفراد يملكون صلاحية تتناسب مع مستوى خطورة المخاطر، كما هو موثق في نموذج وسجل طلب قبول المخاطر.
3.5 الموافقة والمراجعة
تمت الموافقة على بيان الرغبة في المخاطر هذا من قبل [CUSTOMIZE: Board of Directors / Board Risk Committee] في [CUSTOMIZE: date].
يجب مراجعته على الأقل [CUSTOMIZE: annually] وتحديثه عندما تتغير استراتيجية الأعمال أو ملف المخاطر أو البيئة التنظيمية بشكل جوهري.
جميع التحديثات تتطلب موافقة [CUSTOMIZE: Board / Board Risk Committee] قبل السريان.
4. الامتثال
الامتثال لهذا سياسة إلزامي لجميع الموظفين والوظائف ضمن نطاقه. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية ومراجعة الإدارة وإشراف خط الدفاع الثاني.
يجب توثيق الاستثناءات من هذا سياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/لجنة المخاطر التنفيذية]، ومراجعتها سنوياً على الأقل.
5. المراجعة والتنقيح
يُراجع هذا سياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك المستند] ويُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي أو مستوى تحمل المخاطر.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد المستند
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند