إدارة المخاطر الأمنية

التعريفات:

التهديد: سبب محتمل للضرر ناتج عن أفعال متعمدة، وهو عبارة عن مزيج من النوايا والقدرات والسياقات المعيقة.

الخطر: سبب محتمل للضرر ناتج عن أفعال غير متعمدة. 

قابلية التأثر: نقطة عجز يمكن أن تسمح للتهديد أو الخطر بإحداث ضرر.

الاحتمال: مزيج من احتمالية وقوع حدث ضار والأثر الناجم عن هذا الحدث في حال وقوعه.

الاحتمالية: تصنيف للإمكانية المقدّرة لتأثير حدث ضار على المنظمة.

الأثر: تصنيف للضرر المحتمل المقدّر الذي يمكن أن يحدثه حدث ما بالمنظمة (في حال وقوعه).

إدارة المخاطر: عملية منهجية لتحديد وتنفيذ نُهُج فعّالة وفورية لإدارة التأثيرات الناجمة عن التهديدات التي تواجه المنظمة.

الوقاية: اتخاذ إجراءات للحد من احتمالية وقوع أضرار.

التخفيف: اتخاذ إجراءات للتخفيف من الأثر الناتج عن حدث ما.

عملية إدارة المخاطر الأمنية

تعتبر عملية إدارة المخاطر الأمنية ضمن نظام الأمم المتحدة لإدارة الأمن عملية محددة السياق، ترصد الأحداث التي تشكّل تهديدات أمنية وتحدّد مستويات المخاطر المرتبطة بها، كما أنها تحدّد الاستجابات المناسبة لإدارة هذه المخاطر بهدف اتخاذ قرارات منظمة بشأن تقبّل المخاطر الأمنية. وقد صُمّمت آلية إدارة المخاطر الأمنية لتكون ديناميكية وسريعة الاستجابة ومرنة، بحيث تكون قادرة على التكيف مع التغيرات السريعة في الوضع أو السياق الأمني ومع وجوب تنفيذ البرامج بفعالية. صُمّمت عملية إدارة المخاطر الأمنية أيضاً لتعميم نُهج تتمحور حول الأفراد، وضمان أن تراعي تقييمات المخاطر مختلف خصائص الأفراد، على أن تحدّد هذه التقييمات المخاطر المتباينة المرتبطة بالسياق، وكذلك تدابير التخفيف التي يجب تنفيذها لضمان أن يكون مستوى المخاطر الناتج مقبولاً للجميع. في إطار عملية إدارة المخاطر الأمنية، يتيح النهج المتمحور حول الأفراد لعملياتنا توفيرَ بيئة ملائمة للحفاظ على التنوع في خصائص الموظفين ودعم تنوع المجتمعات التي نخدم فيها، مع مراعاة الفروق الدقيقة المرتبطة بالسياق.

على المستوى التشغيلي، يساهم كل من الإدارة والأمن الميداني في المفوضية بشكل فعّال في عملية إدارة المخاطر الأمنية ضمن نظام الأمم المتحدة لإدارة الأمن من خلال: تحديد الأنشطة البرنامجية ونطاقها وحجمها، وتقييم التعرض المحتمل لأحداث التهديدات الأمنية ومستويات المخاطر، وضمان أن تلبي تدابير إدارة المخاطر الأمنية احتياجات المفوضية وملاءمتها لها، على أن تكون قابلة للتطبيق من الناحية التشغيلية، ما يسهم في خفض المخاطر الأمنية إلى مستويات مقبولة للمفوضية. تتألف العملية من تسع خطوات على النحو التالي:

public://2024-12/SRM Process (New, English)_0.jpg

الخطوة الأولى: النطاق الجغرافي والإطار الزمني

يحدّد نظام الأمم المتحدة لإدارة الأمن النطاق الجغرافي والإطار الزمني لعملية إدارة المخاطر الأمنية، ويحدّد المواقع الجغرافية بهدف وضع إطار للسياق الذي يتم فيه تقييم البرامج ومكامن الضعف. بشكل عام، يجب تجميع المناطق ذات خصائص أمنية متشابهة ضمن نفس النطاق الجغرافي المحدد لمنطقة إدارة المخاطر الأمنية.

بعد تحديد النطاق الجغرافي، يصبح من المهم وضع إطار زمني واضح من أجل تحديد البرامج وحجمها ونطاقها، بالإضافة إلى الجهات الفاعلة في التهديد، وبالتالي تقييم احتمالية تحقيق التهديدات وأثرها على الأمم المتحدة. يمكن لعملية إدارة المخاطر الأمنية أن تعتمد مجموعة متنوعة من الأطر الزمنية، تبدأ من بضع ساعات وما فوق، ولكن لا تتعدّى السنة، وهو الحد الأقصى للإطار الزمني المسموح به.

يجب ملاحظة أنه في حال اعتبار عملية طوارئ معيّنة قائمة، قد يكون من المبرر إنشاء عملية جديدة لإدارة المخاطر الأمنية نظراً لوقوع المنطقة الجغرافية خارج نطاق العمليات الحالية لإدارة المخاطر الأمنية.

الخطوة الثانية: تحليل الأوضاع

عملية تحليل الأوضاع هي عبارة عن معلومات أساسية موجزة عن منطقة إدارة المخاطر الأمنية، تُقدّم لصُنّاع القرار الأمني من أجل مساعدتهم في فهم سياق العمليات من خلال مواضيع متنوعة، سياسية، واقتصادية، وبيئية، وخاصة بالبنية التحتية، وقوات الأمن، والمجموعات/الجهات الفاعلة في التهديد، وولاية الأمم المتحدة، التي تُعدّ ذات صلة بسلامة وأمن الأمم المتحدة في المنطقة الجغرافية التي يتم تقييمها.

هي عملية توفر ملخصاً عملياً لما "تبدو عليه" منطقة إدارة المخاطر الأمنية وما يمكن للمرء أن يتوقعه من حيث بيئة العمل. هذا الجزء من الوثيقة مهم جداً لتحديد القضايا المستمرة التي قد تساهم في إنشاء ظروف تؤدي إلى ظهور تهديدات.

ملاحظة بشأن إدراج نُهج متمحورة حول الأفراد في إدارة المخاطر الأمنية

من الضروري أن يتضمّن قسمُ تحليل الأوضاع في عملية إدارة المخاطر الأمنية إجراءَ بحث حول الاعتبارات المتمحورة حول الأفراد والحوادث (الاتجاهات) السابقة في منطقة إدارة المخاطر الأمنية ليتم دمج هذه الاعتبارات في السرد:

1. العنف المبني على النوع الاجتماعي

2. التصورات والاستهدافات والعنف الممارس بحق مجتمع الميم الموسع

3. تحديد الأشخاص ذوي الإعاقة وأوجه التمييز ضدّهم

4. العلاقات القبلية والإثنية والعلاقات بين الطوائف، وتكوين المجتمع، وتصوّرات الجماعات الدينية المختلفة في منطقة تحليل المخاطر الأمنية

5. عوامل أخرى متعددة الجوانب قد تؤثر على عمليات الأمم المتحدة أو موظفيها

إن فهم السياق والوضع في منطقة إدارة المخاطر الأمنية، والاتجاهات المحتملة المتمحورة حول الأفراد، مثل العنف المبني على النوع الاجتماعي، والتمييز الممارس بحق موظفين لهم خصائص معيّنة، والتوترات القائمة في المجتمعات، يُعتبر عاملاً رئيسياً في القدرة على تحديد تهديدات معيّنة تحدق بموظفي المفوضية. يمكن تسجيل هذه التهديدات في جزء تقييم التهديدات من عملية ووثيقة إدارة المخاطر الأمنية، كما في التهديدات التي يتعرّض لها الشركاء والأشخاص المشمولين باختصاص المفوضية والتي يسعى موظفو الأمن في المفوضية بالتعاون مع جهات فاعلة ذات الصلة وبالعمل مع وحدات أخرى لتحديد سُبُل التخفيف من حدتها.

الخطوة الثالثة: تقييم البرامج

يُمكّن تقييمُ البرامج أخصائيي الأمن من فهم متطلبات البرامج ضمن المنظمات في نظام الأمم المتحدة لإدارة الأمن، كما يسلّط الضوء على البرامج المعرضة لتهديدات معيّنة. وتوفّر تقييمات البرامج معلومات عامة بالإضافة إلى تفاصيل محددة عن الأنشطة الخاصة بالوكالات التي تُنفَّذ في منطقة إدارة المخاطر الأمنية.

لكي يتمكّن نظام الأمم المتحدة لإدارة الأمن من فهم نطاق وحجم البرامج والعمليات التي تجريها المفوضية، وكذلك التهديدات والمخاطر المحتملة على موظفي المفوضية وأصولها وعملياتها ومبانيها، من الضروري أن تقدّم العمليات القُطرية للمفوضية معلومات ذات صلة ومحدثة إلى إدارة الأمم المتحدة لشؤون السلامة والأمن بهدف استكمال تقييم البرامج بشكل دقيق. علاوة على ذلك، قد تواجه برامج محدّدة مخاطر متزايدة مقارنة ببرامج أخرى.

على سبيل المثال:

• قد تواجه أنشطة رصد الحماية التي تجريها المفوضية تهديدات معينة بسبب المعلومات الحساسة المتعلقة بالسكان المعرّضين للخطر والإجراءات التي تتخذها الجهات الفاعلة في التهديد، مثل سلطات الدولة، أو سلطات الأمر الواقع، أو الجماعات المسلحة غير التابعة للدولة.

• نظراً للطريقة الفريدة التي تتبعها المفوضية في تنفيذ العمليات، وبما أنّ الأشخاص الذين أجبروا على الفرار يلتقون بأفرقة الحماية في مكاتب المفوضية أو مبانيها، تواجه المفوضية احتمالاً متزايداً بحدوث اضطرابات عامة، سواء كانت عنيفة أو غير عنيفة، بالإضافة إلى احتمال حدوث اقتحامات في مرافقها واحتلال لمبانيها وغيرها من التهديدات.

ملاحظة بشأن إدراج نُهج متمحورة حول الأفراد في إدارة المخاطر الأمنية

ينبغي أن يتضمّن الجزء الخاص بتقييم البرامج في إدارة المخاطر الأمنية إشارةً إلى الأنشطة التي تجريها المفوضية وغيرها من منظمات نظام الأمم المتحدة لإدارة الأمن، والتي قد تُعتبر على أنها تزيد من التعرض لمخاطر معينة أو احتمال الاستهداف. ومن هذه الأنشطة، أنشطة الحماية، والعمل مع مجتمع الميم الموسّع، وحملات التطعيم وتمكين المرأة في المجتمعات الأبوية، أو الحالات التي قد تؤدي فيها هوية الموظفين المنفذين للبرنامج، مثل العمر أو الدين أو الخلفية العرقية أو القبلية، إلى زيادة تعرّضهم للمخاطر.

تعتبر القدرة على تحديد المشكلات التي قد تنشأ عن الأنشطة البرنامجية مفتاحاً لتحديد التهديدات المحددة لاحقاً في عملية إدارة المخاطر الأمنية.

الخطوة الرابعة: تقييم التهديدات

تقييم التهديدات هو تقييم يحدّد ويقيّم الجهات الفاعلة والإجراءات في منطقة جغرافية معينة قد تشكّل تهديداً محتملاً لمنظومة الأمم المتحدة، وتنقسم تقييمات التهديدات إلى تهديدات عامة وتهديدات خاصة.

وينقسم تقييم التهديد ضمن عملية إدارة المخاطر الأمنية إلى جزأين منفصلين.

يقدّم التقييم العام للتهديدات وصفاً موضوعياً وتقديراً للتهديدات والأخطار الأمنية في بيئة محدّدة ضمن منطقة إدارة المخاطر الأمنية. (في نظام الأمم المتحدة لإدارة الأمن، يغطي مفهوم "الأمن" التهديدات، بينما يشمل مفهوم "السلامة" الأخطار. إلا أنّ مجال "السلامة" في نظام الأمم المتحدة لإدارة الأمن لا يشمل جميع أحداث الأخطار غير المتعمدة. ويختصّ نظام الأمم المتحدة لإدارة الأمن في ثلاثة مجالات فقط من مجالات السلامة ألا وهي سلامة الطرق، والسلامة من الحرائق، وسلامة الطيران.

ويتم تقييم كل منها على مقياس من 1 إلى 5 من حيث ثلاثة متغيرات:

• النية: هي الدافع أو السلوك الذي يحفّز الجهة الفاعلة في التهديد على التسبب بالحادثة التي تشكّل تهديداً. 

• القدرة: إمكانية أو قابلية الجهات الفاعلة في التهديد على التسبب بالحادثة التي تشكّل تهديداً.

• السياق المانع: العوامل غير التابعة للأمم المتحدة التي تعيق النية أو القدرة ضمن المنطقة الجغرافية.

يتمثل ناتج التقييم العام للتهديدات في تصنيف لكل نوع من أنواع التهديدات أو الأخطار، وفي مستوى أمني يجمع بين درجة كل تهديد والأخطار المرتبط به.

public://2024-12/UNDSS Security Risk Management Process.jpg

تقييم خاص بتهديد معيّن

تعرض التقييمات الخاصة بتهديدات معيّنة تحدق بوكالات الأمم المتحدة وصناديقها وبرامجها ومنظماتها في منطقة معيّنة لإدارة المخاطر الأمنية. وعلى عكس التقييمات العامة للتهديدات التي تبقى عمومية، فإنّ التقييمات الخاصة بتهديدات معيّنة تحدد تهديدات دقيقة تواجهها الأمم المتحدة بشكل عام أو وكالة ما بشكل خاص في منطقة إدارة المخاطر الأمنية.

لإجراء تقييم خاص بتهديد معيّن، يجب إعداد أوصاف شاملة للأحداث المتعلقة بفئة التهديد العامة.

وصف الأحداث هو توضيح دقيق لأحداث ضارة يحلّلها تقييم المخاطر الأمنية بالتفصيل بهدف تحديد مستوى الخطر المرتبط بها، ويتناول هذا الوصف التأثيرات السلبية للحدث على المنظمة ويطبّق منهجيّة "مَن المسؤول، وما حدث ومتى، وأين، وكيف؟"

• ليست كل الأحداث موجهة إلى الأمم المتحدة. لذلك، يجب أن تذكر أوصاف الأحداث أيضاً ما إذا كان التهديد "مباشراً" أو "غير مباشر".

• التهديدات المباشرة هي تهديدات تستهدف الأمم المتحدة على وجه التحديد. ويُعتبر التهديد "مباشراً" إذا أعلنت جماعة معينة نيتها إلحاق الضرر بالأمم المتحدة، أو إذا أظهر التاريخ الحديث أنّ الأمم المتحدة شكّلت هدفاً له.

"اختطاف موظف دولي تابع للأمم المتحدة من أجل الحصول على فدية إجرامية من قبل جهات غير حكومية في الموقع X"

[ما حدث]    [تركيز مباشر على الأمم المتحدة]    [ما حدث]    [مَن المسؤول]    [موقع الحادثة]

• التهديدات غير المباشرة هي التهديدات التي قد تلحق الضرر بالأمم المتحدة من دون أن تكون بالضرورة الأمم المتحدة الهدف الرئيسي لها. قد تتعرض الأمم المتحدة للضرر إذا وجد موظفوها أو أصولها في المكان غير المناسب في الوقت غير المناسب، أو إذا تعرضوا لأضرار جانبية، أو ارتبطوا بهدف مقصود، أو كانوا ببساطة في مسار الأحداث، على سبيل المثال.

"أصيبت مركبة تابعة للأمم المتحدة بعبوة ناسفة مزروعة على الطريق X المؤدي إلى الميدان Y." 

[تركيز غير مباشر على الأمم المتحدة]    [ما حدث/كيف حدث]    [مكان الحادثة]

يمكن تصنيف كل من التهديدات المباشرة وغير المباشرة بين تهديدات معروفة وتهديدات مقدّرة.

• التهديدات المعروفة: لدى إصدار بيان يعبّر عن نية إلحاق الضرر بالأمم المتحدة، أو لدى تعرض الأمم المتحدة للأذى.

• التهديدات المقدّرة: لم يُعلن عن أي نية بإلحاق الضرر، ولكن التحليلات أو التقييمات تشير إلى احتمال وجود تهديد.

بعد استعراض التهديدات المحدّدة والاتفاق على أوصاف الأحداث، يتم إعداد تقييم للتهديدات الناجمة عن كل حدث بناءً على ثلاثة متغيرات: نية الجهة الفاعلة أو الطرف المهدِّد، وقدرة الجهة الفاعلة على تنفيذ التهديد، والسياق المانع في البيئة التي يحدث فيها التهديد (مثل قدرات قوات الأمن أو معارضة السكان لمثل هذه الأفعال). يتم تسجيل تقييمات التهديدات وتصنيفها بنفس طريقة تصنيف تقييمات التهديدات العامة (انظر أعلاه).

ملاحظة بشأن إدراج نُهج متمحورة حول الأفراد في إدارة المخاطر الأمنية

من الضروري أن يشارك موظفو الأمن التابعون للمفوضية في العملية الجماعية، ويضمنوا التوثيق السليم للتهديدات التي يتعرض لها موظفون من خصائص معيّنة، وذلك ضمن عملية إدارة المخاطر الأمنية. على سبيل المثال:

1. هل تحدد عملية إدارة المخاطر الأمنية مناطق تعاني من نزاع مسلح، أو انهيار في القانون والنظام، أو زيادة في معدلات الجريمة، أو انتشار للعنف المبني على النوع الاجتماعي؟

2. هل تمت مراعاة المؤشرات أو المحفزات الخاصة بموجزات المخاطر التابعة للموظفين عند تحديد التهديدات؟

علاوة على ذلك، على موظفي أمن المفوضية ضمان استناد توصيف الأحداث إلى معلومات متعلقة بالتهديدات تم جمعها واستعراضها في الأجزاء السابقة من عملية إدارة المخاطر الأمنية (أي تحليل الحالة)، وضمان تحديد أوصاف الأحداث للتهديدات التي تواجه الأنشطة المفصلة في تقييم البرنامج، وضمان صياغة أوصاف الأحداث بشكل محدد ومناسب لتعكس فئة الموظفين المتأثرين وخصائصهم والجهات الفاعلة في التهديد (مَن المستهدف، وما حدث، ومن المسؤول) بالإضافة إلى تضمين مواقع وأوقات محددة لأماكن وأوقات وقوع أحداث التهديدات بحيث يتم تصميم تدابير إدارة المخاطر الأمنية (في وقت لاحق في العملية) بدقة للتخفيف من احتمالية وقوعها وأثرها.

الخطوة الخامسة: تقييم المخاطر الأمنية

يُحدّد تقييم المخاطر الأمنية احتمالية وقوع أحداث التهديدات وأثرها ويحاول تحديدها كمياً، مع الأخذ بعين الاعتبار مدى قابلية تأثر الأمم المتحدة بها.

الاحتمالية

في نموذج إدارة المخاطر الأمنية، يتم تعريف الاحتمالية على أنها "تصنيف للإمكانية المقدّرة لوقوع حدث ضار يؤثر على المنظمة". وهي تقيّم إمكانية وقوع حدث ضار متعمّد ومحدّد. أما أداة وصف الاحتمالية فهي نتاج للتهديد والضعف الوقائي على حد سواء. ويتم اتخاذ تدابير الوقاية لتقليل احتمالية وقوع حدث ضار معيّن. هي تدابير قد تشمل سلوك طرق بديلة، وخطوات لمراقبة الدخول، وتدابير ردع، وإجراءات متعلقة بالاتصالات وحظر التجول، وغيرها. لكي تكون تدابير الوقاية هذه فعّالة، يجب تنفيذها قبل وقوع الحدث المعني.

يتم تعريف الضعف الوقائي على أنه ”غياب تدابير الوقاية التي تهدف إلى تقليل احتمالية وقوع الحدث على النحو الموصوف“. وبما أنّ التهديدات تقع خارج نطاق الأمم المتحدة، يصعب على الأمم المتحدة أن تسيطر عليها. ما يمكننا القيام به لتأمين أفضل حماية لأنفسنا هو الحد من ضعفنا الوقائي وبالتالي تقليل احتمالية حدوث التهديدات.

يتم تقييم الضعف الوقائي على مقياس من 1 إلى 5 وفقاً لأدوات الوصف التالية:

1. تدابير وإجراءات مضادة وقائية فعّالة لإدارة المخاطر، تكون مطبّقة بالكامل وذات فعالية ثابتة.

2. تدابير وإجراءات وقائية فعّالة ومطبقة بالكامل، ولكن فيها نقطة ضعف يمكن استغلالها

3. تدابير وإجراءات وقائية غير مطبقة بالكامل أو غير ثابتة الفعالية

4. تدابير وإجراءات وقائية غير مطبقة بالكامل وغير ثابتة الفعالية

5. غياب التدابير والإجراءات الوقائية الفعالة

ثم تُنشئ أداة إدارة المخاطر الأمنية تصنيفاً لاحتمالية وقوع الخطر من خلال ضرب درجة الخطر بدرجة الضعف الوقائي:

• 1 - غير محتمل على الإطلاق.

• 2 - غير محتمل.

• 3 - محتمل باعتدال.

• 4 - محتمل.

• 5 - محتمل جداً.

الأثر

يُعرّف الأثر على أنه "تصنيف للإمكانية المقدّرة لوقوع حدث ضار يؤثر (في حال وقوعه) على المنظمة". وهو يشمل الموظفين والعمليات، ويشمل أيضاً قدرتنا على السيطرة على الآثار اللاحقة للحدث أو الحد منها من خلال التخفيف من قابلية التأثر.

الأثر هو نتاج ثلاثة مكونات: 

• التأثير على الموظفين

• التأثير على العمليات

• تخفيف قابلية التأثر

يتم استخدام مقياس من 1 إلى 5 مع أدوات الوصف المرتبطة به لقياس التأثير على الأفراد والعمليات.

تأثير على الموظفين

1. عدم وجود تأثير

2. تأثير قليل الضرر

3. تأثير مؤذٍ بشكل معتدل أو مؤلم نفسياً

4. تأثير مؤذٍ بشدة أو مؤلم نفسياً بشكل شديد أو مميت (فرد واحد أو أعداد محدودة)

5. تأثير كارثي مميت (إصابات جماعية)

التأثير على العمليات

1. عدم وجود تأثير

2. تأثير يعطّل البرامج بشكل بسيط و/أو يلحق ضرراً طفيفاً بالأصول

3. تأثير يعطّل البرامج بشكل كبير و/أو يلحق أضراراً كبيرة بالأصول

4. تعليق البرامج على المدى القصير والمتوسط

5. تعليق البرامج أو إلغاؤها على المدى الطويل

تخفيف قابلية التأثر

تخفيف قابلية التأثر يعني ”غياب التدابير والإجراءات الأمنية المضادة المصمّمة للحد من الأثر الناجم عن حدث ما (في حال وقوعه). التدابير التخفيفية هي تدابير متخذة للحد من أثر حادثة ما. وقد تشمل إجلاء المصابين، والإجلاء الطبي، وحقائب الإصابات الطارئة، وحقائب فردية للإسعافات الأولية، وإدارة حوادث أخذ الرهائن، والاستعداد من خلال التنسيق مع الحكومة المضيفة، والتخطيط لحوادث الإصابات الجماعية، والتدريبات، والتعافي من الكوارث، والتخطيط لاستمرارية تصريف الأعمال، وما إلى ذلك. ورغم أنّ التدابير التخفيفية تهدف إلى الحد من أثر الأحداث عند وقوعها وبعد وقوعها، إلا أنه يجب التخطيط لها وتنفيذها قبل وقوعها لتكون فعالة.

ولتحديد مستوى الأثر، من الضروري تقييم مدى تنفيذ التدابير التخفيفية. ولهذا الغرض، يطبّق نموذج إدارة المخاطر الأمنية مقياساً من 1 إلى 5 استناداً إلى أدوات الوصف التالية:

1. تدابير وإجراءات مضادة وتخفيفية لإدارة المخاطر تكون مطبقة بالكامل وذات فعالية ثابتة

2. تدابير وإجراءات تخفيفية قد لا تكون ذات فعالية ثابتة أو قد يكون لها قيود

3. تدابير وإجراءات تخفيفية غير مطبقة بالكامل أو غير ثابتة الفعالية

4. تدابير وإجراءات تخفيفية غير مطبقة بالكامل وغير ثابتة الفعالية

5. عدم وجود تدابير وإجراءات تخفيفية فعالة

يضيف نموذج إدارة المخاطر الأمنية عنصرَ التأثير على الموظفين والعمليات إلى تخفيف قابلية التأثر بهدف تحديد الأثر (التأثير على الموظفين + التأثير على العمليات + تخفيف قابلية التأثر).

تقوم أداة إدارة المخاطر الأمنية تلقائياً بتحديد درجة الأثر بناءً على تصنيف من 1 إلى 5، على النحو التالي:

• 1 - طفيف

• 2 - بسيط

• 3 - معتدل

• 4 - شديد

• 5 - حرج

مستويات الخطر

يجمع تقييم المخاطر بين الأحداث الضارة المستقبلية المحتملة التي قد تقع في المستقبل ومدى الضرر الذي قد تلحقه هذه الأحداث بالمنظمة.

الخطر = الاحتمالية × الأثر

public://2024-12/Risk Matrix.jpg

بطريقة أخرى:

public://2024-12/Risk Scoring (New).jpg

تشكل مستويات المخاطر، وهي النتائج النهائية لتقييم المخاطر الأمنية، أساس عملية صنع القرار في عملية إدارة المخاطر الأمنية. وهي تمكّن صنّاع القرار من صياغة استراتيجيات مناسبة لإدارة المخاطر وتحديد الأولويات التي تتناسب مع مستويات المخاطر وأداوات وصف الأحداث المرتبطة بها.

ملاحظة: من أجل اتخاذ قرارات مقبولة بشأن المخاطر، يتم تطبيق أعلى مستوى من المخاطر المرتبطة بأي من الأحداث على منطقة إدارة المخاطر الأمنية أو النشاط البرنامجي الذي يتم النظر فيه

الخطوة السادسة: تدابير إدارة المخاطر الأمنية

ندير المخاطر من خلال تحديد وتنفيذ تدابير لإدارة المخاطر الأمنية تقلّل من احتمالية حدوث المخاطر و/أو أثرها عن طريق الحد من مكامن الضعف.

لا يمكن تحديد تدابير إدارة المخاطر الأمنية إلا بعد تقييم:

• نقاط القوة والضعف في تدابير الوقاية والتخفيف الحالية (في ما يتعلق بالتهديدات المحددة)

• مستويات المخاطر المرتبطة بالتهديدات، بناءً على احتمالية وقوعها وأثرها

في سياق الاستراتيجيات المذكورة أعلاه، يمكن استخدام تدابير إدارة المخاطر الأمنية لإدارة المخاطر المرتبطة بأحداث محدّدة تشكّل تهديداً. بعد تقييم نقاط الضعف المتعلقة بالوقاية والتخفيف (كما هو موضح في الخطوة أعلاه)، يمكن للموظفين في مجال الأمن تحديد التدابير الإضافية (التدابير غير المعمول بها حالياً)، بما في ذلك التدابير والإجراءات اللازمة للحد من احتمال حدوثها أو من أثرها أو من الاثنين معاً. وعادةً ما تتضمن هذه القرارات انتقاء الخيار الأفضل من بين عدة خيارات.

تسعى عملية إدارة المخاطر الأمنية إلى تحقيق توازن بين أثر المخاطر من جهة وتكلفة الحلول الأمنية المصمّمة لإدارتها من جهة أخرى. عند اتخاذ القرارات، تعتبر قدرة التدبير الأمني على إنقاذ الأرواح وأهمية البرامج والولايات المعنية، عوامل أكثر أهمية من التكلفة.

ملاحظة إلى المديرين: لا يجب اتخاذ أي قرارات استناداً إلى مستوى الخطر، بل ينبغي اتخاذ قرارات بشأن الإجراءات بعد تحديد مدى تعرض المنظمة للتهديدات. إذ تأخذ إدارة المخاطر في الحسبان التكاليف والفوائد على حد سواء: يجب مراعاة كليهما. من المهم أيضاً مراعاة التكاليف المرتبطة بعدم إدارة المخاطر، حيث يمكن أن تصل التكاليف إلى مستويات غير مقبولة. فالأحداث غير المرغوب فيها لا يترتّب عليها تكاليف مباشرة وحسب، بل تترتب عليها دائماً تكاليف ثانوية وثالثة تؤثر على المنظمة المتضررة.

يجب التذكر أنّ إدارة المخاطر قد توفّر الأموال أيضاً عبر الحد من الخسائر. عند اختيار التدابير الممكنة لإدارة المخاطر الأمنية، من المهم مراعاة:

• أنّ التدبير الذي تم تحديده يقلّل فعلياً من خطر وقوع التهديد.

• الآثار الضارة: قد تؤدي المحاولات لإدارة أحد المخاطر إلى إنشاء أو زيادة خطر آخر بشكل غير مقصود؛ على سبيل المثال، قد تؤدي ضوابط الوصول المطوّلة التي تؤخر دخول الموظفين إلى المباني إلى تعريضهم للتهديد الذي تسعى تلك الضوابط إلى التخفيف من حدته.

• التكاليف: قد يكون إصلاح الأضرار الناجمة عن التهديدات مكلفاً، لكن تعزيز مستويات الأمن مكلف بدوره أيضاً.

• الموارد الإضافية: تتضمن تكاليف التدريب والدعم والصيانة وعوامل أخرى ضرورية لضمان استمرار عمل تدابير إدارة المخاطر الأمنية.

• الوقت اللازم للتنفيذ: عندما يكون ضغط الوقت عاملاً مؤثراً، تبرز مجموعة من الخيارات التي يجب مراعاتها. في أثناء وضع تدابير جديدة، قد تنشأ حاجة إلى تدابير مؤقتة لسد الثغرات.

يمكن أن يؤدي اتباع نهج متكامل يجمع بين الجوانب المادية والإجرائية والتقنية والبشرية للأمن إلى مضاعفة الفوائد الناتجة عن تدابير إدارة المخاطر الأمنية. وغالباً ما يُطلق على هذا النهج، الذي يقوم على مبادئ الردع والكشف والتأخير والإنكار، اسم الأمن الطبقي متّحد المركز، أو الدفاع في العمق. فعندما تكون مكوّنات نظام الأمن متعددة الطبقات، يصعب التغلب عليها.

تتّسم عملية إدارة المخاطر الأمنية بمستوى عال من المرونة لضمان إمكانية تكييف التدابير مع منطقة محددة من مناطق إدارة المخاطر الأمنية (إذا كانت تختلف عن المنطقة المحددة). وهو ما يلغي الحاجة إلى اعتماد نفس الحد الأدنى من التدابير في جميع أنحاء البلاد. عليه، لا بد من تنفيذ المتطلبات الإلزامية لجميع مراكز العمل، مثل تدريب (BSafe) ومجموعة لوازم العلاج الوقائي بعد التعرض لفيروس معيّن. ملاحظة بشأن إدراج نُهج متمحورة حول الأفراد في إدارة المخاطر الأمنية

من الإلزامي أن تكون تدابير إدارة المخاطر الأمنية متمحورة حول الأفراد. يُتوقّع أن يعمل موظفو الأمن مع الخلية الأمنية لتحديد التدابير المناسبة والملائمة والمستجيبة التي تدعم جميع الموظفين للحد من المخاطر وصولاً إلى مستويات مقبولة. تتضمّن المبادئ التوجيهية لإدارة الأمن دليلَ النوع الاجتماعي واعتبارات الإعاقة، الذي يوضح بالتفصيل ما هي الاعتبارات التي يجب مراعاتها عند اتخاذ الإجراءات، لضمان اتباع نهج متمحور حول الأفراد. وتشمل بعض هذه الاعتبارات على سبيل المثال لا الحصر ما يلي:

1. تعالج التدابير الأدوات المحدّدة لوصف الحادثة وتقلل بشكل خاص من احتمالية و/أو أثر الحدث.

2. تدعم التدابير فئات محددة من الموظفين على اختلاف مؤهلاتهم. على سبيل المثال، موظفو نظام الأمم المتحدة لإدارة الأمن المنتمون إلى منطقة/قبيلة مختلفة، أو إلى أقلية دينية، أو من النساء، أو من مجتمع الميم الموسّع، أو من ذوي الإعاقة، أو من النساء الحوامل، وما إلى ذلك.

3. لا تضع التدابير المقترحة قيوداً تمييزية على الموظفين على أساس النوع الاجتماعي أو التوجه الجنسي أو الخصائص الجنسية أو الهوية الجنسانية أو التعبير الجنساني.

يتعيّن على المفوضية ضمان تنفيذ الصفحة 22 من دليل إدماج المنظور الجنساني في إدارة الأمن [باللغة الإنكليزية] والصفحات 6-10 من الفصل المستقل الخاص بالمبادئ التوجيهية لاعتبارات الإعاقة في إدارة الأمن.

الخطوة السابعة: تنفيذ إدارة المخاطر الأمنية

عند تحديد التدابير الأمنية والاتفاق عليها، يجب الالتزام القوي بتنفيذها من دون تأخير. فعندما تتم الموافقة على تدابير وعمليات إدارة المخاطر على المستوى المناسب، تصبح هذه التدابير متطلبات واجبة التنفيذ، على أن يتم وضع خطة تنفيذ لضمان وضع التدابير واستكمالها في الوقت المناسب وبطريقة فعالة. فإذا لم تطبق هذه المرحلة، قد تفشل عملية إدارة المخاطر الأمنية بأكملها.

لذلك يجب على المديرين التأكد من أن الجهات الفاعلة في مجال الأمن وسائر أصحاب المصلحة المعنيين (بما في ذلك المهندسين، وموظفي تكنولوجيا المعلومات والاتصالات، وموظفي الإمداد، والموظفين الإداريين، وما إلى ذلك) يعتمدون نهجاً شاملاً لإدارة المشاريع عند توثيق موارد التخطيط والتنظيم والإدارة اللازمة لتنفيذ تدابير إدارة المخاطر الأمنية بنجاح.

من هنا، ينبغي مراعاة الجوانب التالية:

• تدابير الوقاية/التخفيف من المخاطر: أعد قائمة مفصلة ومحددة بالتدابير المقترحة.

• هدف الوقاية/التخفيف من المخاطر: اشرح كيف ستؤدي التدابير المعنية إلى إدارة المخاطر المحددة. هل سيتم ذلك عن طريق الحد من الاحتمالية أو الأثر أو كليهما؟

• الموارد/التكاليف: عدّد الموارد المطلوبة بالتفصيل، بما في ذلك تكاليف التمويل والتعاون، وراعِ التكاليف غير المتكررة والتكاليف المتكررة (للصيانة، والتدريب، وما إلى ذلك).

• الجهة الفاعلة المسؤولة: حدّد المدير أو الفرد أو الكيان المسؤول عن تنفيذ كل تدبير من التدابير.

• الإطار الزمني: ضَع جدولاً زمنياً واقعياً لإتمام كل إجراء وحدد موعداً نهائياً لاستكمال المشروع. قد يتعيّن اتخاذ تدابير بديلة أو مؤقتة لتغطية الفجوات حتى يتم التنفيذ الكامل.

• آخر المستجدات في التقدم المحرز: أصدر تحديثات منتظمة حول عملية التنفيذ، وأعد قائمة بالإجراءات المعلّقة والمكتملة، بالإضافة إلى الخطوات الإضافية المطلوبة، واستحدث آليات للتقييم والإثبات والمصادقة.

• الميزانية: حدّد ما إذا كانت تدابير إدارة المخاطر الأمنية هي تدابير مشتركة للأمم المتحدة أو تدابير خاصة بوكالة معينة بهدف تحديد صاحب الميزانية المعني والحصول على إذن على الميزانية المخصّصة للتدابير المخطط لها.

الخطوة الثامنة: ﺗﺤﺪﻳﺪ ﻣﺴﺘﻮﻳﺎت اﻟﻤﺨﺎﻃﺮ اﻟﻤﻘﺒﻮﻟﺔ

رغم أنّ عملية إدارة المخاطر الأمنية تساهم في تقليل المخاطر من خلال التخفيف والوقاية (كما تم توضيحه في الأقسام السابقة)، إلا أنه لا يمكن القضاء على جميع المخاطر بشكل كامل. من هنا، توجه المبادئ أدناه نظام الأمم المتحدة لإدارة الأمن في ما يتعلق بالمخاطر المقبولة.

• لا تقبل أي مخاطر غير ضرورية؛ إذ لا فائدة من قبول المخاطرة إن لم تكن ستساعد الأمم المتحدة على تحقيق أهدافها.

• اقبل المخاطر إذا كان لها فوائد كبيرة؛ رغم أنه لا يمكن القضاء على جميع المخاطر، فإن تجنّب جميع المخاطر لا يمكن أن يخدم مصلحة الأمم المتحدة في تحقيق أهدافها.

• اتخذ قرارات على المستوى المناسب بشأن إدارة المخاطر؛ يجب على المنظمات ضمان اتخاذ القرارات المتعلقة بالمخاطر على المستوى المناسب من السلطة، إذ لا ينبغي أن يتحمّل المديرون والموظفون مخاطر لم يتم التفويض بها بشكل مناسب.

• يجب القيام بكل ما هو معقول للحد من المخاطر. يجب علينا دائماً السعي لتقليل المخاطر كلّما أمكن، حتى وإن تم قبول مستوى معيّن من المخاطر.

نموذج المخاطر المقبولة

يعمل نموذج المخاطر المقبولة ضمن نظام الأمم المتحدة لإدارة الأمن على تحقيق توازن بين المخاطر الأمنية وفوائد البرامج (يسمى "الأهمية الحيوية للبرامج"). لتقييم المخاطر المقبولة، تتم مراجعة أربعة مستويات من الأهمية الحيوية للبرامج مقارنةً بمستويات المخاطر المتولدة في الخطوة 5 أعلاه (تقييم المخاطر الأمنية). أيضاً، يميّز نموذج المخاطر المقبولة بين الأنشطة التي يقوم بها موظفو الأمم المتحدة والأنشطة التي يقوم بها الشركاء المنفذون، ولا يتناول سوى الأنشطة التي يقوم بها موظفو الأمم المتحدة. وهو نموذج يحدّد الحد الأقصى لمستوى المخاطر الأمنية المقبول لكل مستوى من مستويات الأهمية الحيوية للبرامج. تُستخدم أيضاً أداة منفصلة للأهمية الحيوية للبرامج من أجل تحديد مستويات الأهمية الحيوية للأنشطة التي يشارك فيها موظفو الأمم المتحدة. 

ثمة مستوى من المخاطر (الأعلى من حيث الاحتمالية والأثر) يُعتبر غير مقبول، بغض النظر عن أهمية النشاط الذي قد يرغب موظفو الأمم المتحدة في القيام به. من هنا، يوضح الجدول أدناه العلاقة بين المخاطر المقبولة والأهمية الحيوية للبرامج ومسؤولية اتخاذ القرارات. (يفترض أنّ المنظمة قد بذلت كل ما في وسعها لتقليل المخاطر الأمنية).

public://2024-12/Balancing risks and Programme Criticality.jpg

المستوى الأول من الأهمية الحيوية للبرامج: أنشطة تنفذ فقط في بيئات ذات مخاطر حالية مرتفعة جداً؛

المستويان الأول والثاني من الأهمية الحيوية للبرامج: في بيئات تتخللها مخاطر حالية مرتفعة؛

المستويات الأول والثاني والثالث للأهمية الحيوية للبرامج: في بيئات ذات مخاطر حالية متوسطة؛

المستويات الأول والثاني والثالث والرابع من الأهمية الحيوية للبرامج: في بيئات ذات مخاطر متدنية.

الخطوة التاسعة: الرصد والمراجعة

إن الغرض من الرصد والتقييم هو تحسين فعالية التدابير الخاصة بإدارة المخاطر الأمنية وتمكين البرامج من توفير خدماتها بمستوى مقبول من المخاطر. توفّر عملية الرصد مؤشرات على التقدم المحرز أو غير المحرز في تنفيذ تدابير إدارة المخاطر الأمنية، وغالبا ما يُطلق على ذلك عبارة "الامتثال". تعد المراجعات أساسية لضمان أن تكون إدارة المخاطر الأمنية ملائمة للغرض.