صلاحية التدقيق والاستقلالية والنطاق

تستعد شركة تقنية لإطلاق منظومة وكلاء جديدة. تبحث المنظومة عن المنتجات وتنفّذ مشتريات منخفضة المخاطر نيابة عن العملاء. وهي منظومة لافتة بالفعل: تحلّل حاجة المستخدم، وتقارن المنتجات، وتجمع الأسعار والمواصفات، وتتحقق من سقف الميزانية، ثم تقترح الخيار المناسب. وبعد موافقة الإنسان تُتمّ الشراء. تريد الشركة، قبل طرحها في السوق، إخضاعها لتدقيق GBO. يتعاقد مدير المشروع مع فريق استشاري، ويُضاف إلى عقد التدقيق شرط مرتبط بالنجاح: «تُدفع نسبة 40 بالمئة المتبقية من أتعاب الاستشارة إذا اجتازت المنظومة التدقيق». والمدقق نفسه سبق أن قدّم المشورة لفريق التطوير طوال الأشهر الستة الماضية.

يُحدّد نطاق التدقيق، فيشمل:

سيناريوهات مستخدمين باللغة الإنجليزية

مقارنة المنتجات في بيئة الاختبار

مشتريات لمرة واحدة بموافقة الإنسان

ثلاثة بائعين موثوقين جرى اختيارهم مسبقاً

وتُستبعد من النطاق العناصر الآتية:

وسيلة الدفع الحقيقية

التجديدات التلقائية

عمليات الإلغاء

المستخدمون الناطقون بالتركية والألمانية

الوكلاء الفرعيون

ترتيب المنتجات المدفوع

ذاكرة المستخدم

الإيقاف والتراجع عن الإجراءات

أذونات API الفعلية في بيئة التشغيل الحية

تُختبر المنظومة في 120 سيناريو مضبوطاً. وفي الاختبارات المعدّة الخالية من التعقيدات، يختار الوكيل المنتج الصحيح، ويلتزم بسقف الميزانية، ويطلب موافقة الإنسان، ويستخدم أداة الشراء في بيئة الاختبار استخداماً صحيحاً. النتائج قوية. لكن الوكيل، في سيناريوهين، يسيء تفسير شرط إلزامي يتعلق بالمنطقة الجغرافية للبيانات. يعدّل فريق التطوير تعليمات المنظومة في اليوم نفسه. تُعاد السيناريوهات فتنجح هذه المرة، ولا تُدرج النتائج الفاشلة الأولى في التقرير النهائي. وبعد التدقيق تضع الشركة على موقعها العبارة الآتية: «منظومة شراء ذاتية التشغيل، متوافقة مع GBO وخضعت لتدقيق مستقل». أما الواقع فهو:

للمدقق مصلحة مالية مرتبطة بنتيجة «اجتاز التدقيق».

سبق للمدقق أن أسهم في تصميم المنظومة.

جزء كبير من السلوكيات المحفوفة بالمخاطر خارج نطاق التدقيق.

عُدّلت المنظومة أثناء الاختبار.

لم تُفحص الأذونات التقنية في بيئة التشغيل الحية.

لم يُختبر الإيقاف ولا الإلغاء.

اقتصر الاختبار على سيناريوهات سهلة ومواتية.

نُشر حكم التدقيق بصيغة تتجاوز نطاقه الفعلي.

قد ينجح الوكيل في الاختبارات، لكن التدقيق نفسه غير جدير بالثقة. يكشف هذا المثال حقيقة أساسية في تدقيق GBO: قبل تدقيق الوكيل، لا بد من تدقيق عملية التدقيق ذاتها. من طلبها؟ وهل يملك صلاحية إخضاع المنظومة للتدقيق؟ إلى أي بيانات يُسمح للمدقق بالوصول؟ وما الاختبارات المسموح له بإجرائها؟ هل يجوز له التدخل في المنظومة الحية، أو إرسال رسائل إلى عملاء حقيقيين، أو بدء عملية دفع؟ وإذا اكتشف ثغرة أمنية، فهل يملك صلاحية إيقاف المنظومة؟ من حدّد النطاق؟ ولماذا استُبعدت منه سلوكيات معينة؟ هل للمدقق مصلحة مادية أو مؤسسية قد تغيّر النتيجة؟ وإذا تغيّرت المنظومة أثناء الاختبار، فأي إصدار سيُعدّ خاضعاً للتدقيق؟

وبأي صياغة يجوز للمؤسسة أن تعلن النتيجة المحدودة للجمهور؟ قد يكون العمل المنجز من دون إجابات عن هذه الأسئلة مفصّلاً تقنياً، لكنه ليس تدقيق GBO موثوقاً.

التدقيق فعل أيضاً

غالباً ما يُنظر إلى التدقيق بوصفه مراقبة فحسب: يتفحص المدقق المنظومة، ويقرأ الوثائق، ويراجع السجلات، ثم يعدّ تقريراً. لكن تدقيق GBO قد يتضمن أفعالاً أكثر من ذلك بكثير. فقد يقوم المدقق بما يأتي:

فتح حساب اختباري.

إنشاء مستخدم اصطناعي.

اختبار الوكيل بمعلومات مضللة.

محاولة دفع الوكيل إلى إرسال غير مأذون به.

فحص أذونات API.

بدء مهمة لوكيل فرعي.

إصدار أمر إيقاف.

إلغاء طابور المهام.

تنفيذ تراجع مضبوط إلى حالة سابقة.

نسخ الأدلة.

فحص بيانات شخصية أو مؤسسية.

تعليق تشغيل منظومة مؤقتاً.

كل واحد من هذه الإجراءات فعل حقيقي. وإذا نُفّذ على نحو خاطئ، فقد يصبح التدقيق نفسه مصدراً للضرر. فإرسال رسالة إلى عميل حقيقي لاختبار وكيل بريد إلكتروني ينتج تواصلاً غير مرغوب فيه. وخصم مبلغ من بطاقة حقيقية مرتين لاختبار الحماية من الدفع المزدوج يسبب ضرراً مالياً. وقد يقطع تمرين إيقاف غير مضبوط سير العمل الفعلي. أما نقل قاعدة بيانات العملاء بأكملها إلى منظومة خارجية لجمع الأدلة، فينشئ خطراً جديداً على البيانات. لذلك لا يمنح غرض التدقيق صلاحيات بلا حدود. فالصلاحية لتدقيق منظومة لا تعني الإذن بإجراء أي عملية نريدها عليها.

على مدقق GBO أيضاً أن يعمل ضمن إطار محدد للصلاحيات.

ما صلاحية التدقيق؟

التعريف المرجعي هو الآتي: صلاحية التدقيق هي حق تمنحه جهة محددة، شخصاً كانت أو مؤسسة، لإجراء تدقيق على منظومة وكلاء معرّفة، ضمن حدود معيّنة للوقت والبيانات والأدوات والاختبارات وجمع الأدلة والإيقاف وإعداد التقارير. وبعبارة أبسط، تحدد هذه الصلاحية ما يجوز للمدقق أن يفحصه ويختبره، وما لا يجوز له أن يمسّه، وفي أي حالة يمكنه إيقاف المنظومة. ولا يكفي أن تختصرها جملة «يمكنكم فحص المنظومة». بل يجب أن تجيب عن الأسئلة الآتية:

من يمنح صلاحية التدقيق؟

وهل يملك هذا الشخص فعلاً صلاحية منحها؟

أي الوكلاء يشملهم النطاق؟

أي الحسابات والأدوات يجوز فحصها؟

أي فئات البيانات يجوز الاطلاع عليها؟

هل يُسمح بتنفيذ إجراءات مضبوطة؟

هل يجوز إشراك عملاء أو موظفين حقيقيين في الاختبارات؟

هل ستُستخدم حسابات ومستلمون اصطناعيون؟

هل يُسمح بإجراء تمرين إيقاف؟

هل يجوز للمدقق تعليق تشغيل المنظومة عند وقوع حادثة؟

أين ستُحفظ الأدلة، وما مدة الاحتفاظ بها؟

هل يجوز للمدقق الاستعانة بمتعاقدين فرعيين أو أدوات ذكاء اصطناعي أخرى؟

أي النتائج يجوز إعلانها للجمهور؟

متى ينتهي التدقيق؟

حين تبقى هذه الأسئلة بلا جواب، قد يُحرم المدقق من الاطلاع الكافي، أو قد يمارس سلطة تتجاوز اللازم. وفي الحالتين يتضرر التدقيق.

من يملك منح صلاحية التدقيق؟

قد يقول موظف: «دقّقوا الوكيل الذي نستخدمه». لكنه قد لا يملك صلاحية:

منح الوصول إلى المنظومة،

مشاركة بيانات العملاء،

التكليف باختبارات في البيئة الحية،

التكليف بنشر تقرير علني.

قد يمنح المدير التقني وصولاً إلى النماذج والأدوات، من دون أن يملك بمفرده الإذن باستخدام بيانات الموظفين البيومترية. وقد يملك أحد مسؤولي الشركة صلاحية إخضاع المنظومة المؤسسية للتدقيق، فيما يخضع نقل بيانات العملاء إلى المدقق لشروط قانونية وتعاقدية منفصلة. وقد يُسمح لمدير العلامة التجارية بتكليف جهة بفحص الموقع العام، من دون أن يحق له نشر إقرار تدقيق ملزم باسم الجهة المشغّلة قانوناً. لذلك لا ينبغي التعامل مع صلاحية التدقيق كقبول عام يصدر عن شخص واحد. فقد تتوزع الأدوار الآتية على أشخاص مختلفين:

راعي التدقيق

الجهة التي تطلب التدقيق وتوفر موارده، سواء أكانت فرداً أم مؤسسة.

مالك المنظومة

الشخص المسؤول عن الغرض التجاري لمنظومة الوكلاء وعن تشغيلها.

المسؤول التقني

الشخص الذي يملك التحكم التقني في النموذج والأدوات والأذونات والحسابات والبنية التحتية.

المسؤول عن استخدام البيانات

الشخص الذي يتابع داخل المؤسسة الصلاحية والشروط التي تتيح استخدام البيانات في التدقيق. هذا الدور التشغيلي لا يساوي صفة المتحكم في البيانات أو معالجها بالمعنى القانوني. فالمتحكم يحدد أغراض المعالجة ووسائلها، والمعالج يعمل نيابة عنه. أما الشخص الطبيعي الذي تُعالج بياناته فهو صاحب حقوق في حد ذاته. ويجب تحديد كل دور بحسب نشاط المعالجة الفعلي.

الإنسان المسؤول عن السلوك

الشخص الذي يتحمل المسؤولية المؤسسية عن نتيجة العمل التي ينتجها الوكيل.

الطرف المتأثر

العميل أو الموظف أو المرشح أو المورّد أو أي شخص آخر يتأثر مباشرة بسلوك الوكيل. قد تجتمع هذه الأدوار في شخص واحد، ولا يلزم أن تجتمع كلها فيه. وقبل بدء التدقيق يجب أن يتضح الدور الذي تستند إليه كل صلاحية.

صلاحية مَن يمنح الإذن

لا يكفي أن يتحقق المدقق من حصوله على الإذن؛ عليه أن يتحقق أيضاً من حق الشخص الذي منحه في إعطائه. فقد يرغب مدير قسم، مثلاً، في تدقيق وكيل المبيعات الخاص بقسمه. وقد يملك صلاحية:

عرض وثائق القسم الداخلية،

منح الوصول إلى بيئة الاختبار،

إنشاء سيناريو مبيعات اصطناعي.

لكنه قد لا يملك صلاحية:

مشاركة رسائل العملاء الفعلية،

إتاحة الوصول الكامل إلى حساب البريد الإلكتروني للشركة،

التكليف باختبار معاملات مالية،

نشر تصريح علني بأن «الشركة متوافقة مع GBO».

تخضع صلاحية التدقيق أيضاً لقاعدة GBO السابقة: لا يمكن لأحد أن يفوّض إلى المدقق صلاحية لا يملكها. فإذا لم يكن مالك المنظومة مخوّلاً بإيقافها في التشغيل الحي، فلا يستطيع أن يمنح المدقق تلك الصلاحية بمفرده. كما أن الصلاحية الإدارية لقائد الفريق لا تمنحه حق التصرف بلا حدود في الحقوق الشخصية للموظف. وعند اختبار بيانات الوجه أو الصوت، يجب تحديد الأساس القانوني المنطبق وسائر شروط المعالجة على حدة. وإذا كان الاعتماد على الرضا، فلا بد أن يصدر الرضا الصحيح من الشخص المعني؛ أما المدير فلا يحق له إبداء الرضا نيابة عن الموظف. كذلك لا يمكن الجزم بالطبيعة البيومترية لكل تسجيل للوجه أو الصوت من نوع الملف وحده، إذ يؤثر غرض المعالجة وطريقتها في هذا التحديد.

قد تتولى وكالة تشغيل منظومة عميلها، من دون أن يحق لها إتاحة بياناته لمدقق مستقل بغير موافقة العميل.

صلاحية التدقيق ليست صلاحية تنفيذ الأفعال

قد يُتاح للمدقق الوصول إلى المنظومة. لكن ذلك لا يعني أنه يستطيع إجراء عمليات نيابة عن مستخدم حقيقي. فقد يُسمح له مثلاً بأن:

يطلع على API الدفع،

من دون أن يُسمح له بتحويل أموال حقيقية؛

يفحص أداة إرسال البريد الإلكتروني،

من دون أن يُسمح له بإرسال رسالة إلى عميل حقيقي؛

يختبر وظيفة حذف البيانات،

من دون أن يُسمح له بحذف سجل عميل في البيئة الحية؛

يقيّم منظومة إنشاء الشخصيات الافتراضية،

من دون أن يُسمح له بإنشاء فيديو جديد باستخدام وجه مسؤول تنفيذي حقيقي.

هذا الفرق مهم:

صلاحية الفحص ≠ صلاحية تنفيذ فعل حقيقي

قد يتحقق المدقق تقنياً من إمكان حدوث السلوك. لكن الاختبار الذي قد يسبب ضرراً في العالم الفعلي يجب أن يُجرى على هدف آمن، أو باستخدام بيانات اصطناعية، أو داخل بيئة مضبوطة.

غرض التدقيق لا يبرر الوصول غير المحدود إلى البيانات

يحتاج المدقق إلى أدلة قوية. لكن هذه الحاجة لا تبرر تلقائياً طلب «أعطونا كل البيانات». فقد لا يتطلب التحقق من استخدام وكيل البريد الإلكتروني لموافقة الإنسان قراءة مراسلات كل عميل كاملة. وقد تكفي العناصر الآتية:

سياسة الصلاحيات

أذونات الأدوات

سجلات عمليات منتقاة وحُجبت فيها البيانات الحساسة

اختبار إرسال اصطناعي

سجلات رموز الموافقة

سلوك طابور المهام

قد لا يستلزم اختبار سقف الميزانية لدى وكيل شراء تصدير جميع الحركات المصرفية للمؤسسة. وقد لا يستدعي تدقيق منظومة الشخصيات الافتراضية للموظفين نسخ جميع ملفات وجوههم وأصواتهم الخام. وينبغي أن يلتزم تدقيق GBO أيضاً بمبدأ:

الحد الأدنى اللازم من الأدلة

أدلة تكفي لإسناد حكم التدقيق، لا بيانات زائدة عن الأفراد والعملاء والمؤسسة. وفي المقابل، لا يجوز حجب الأدلة الحاسمة عن المدقق بحجة «تقليل البيانات». والتوازن الصحيح هو:

لا تكشف بيانات غير لازمة.

لا تخفِ الأدلة الضرورية.

استخدم، متى أمكن، بيانات حُجبت منها التفاصيل الحساسة، أو بيانات ملخّصة، أو اصطناعية.

أتِح وصولاً مضبوطاً إلى المصدر الخام الذي يتيح التحقق من ادعاء حاسم.

مستويات إجراءات التدقيق

لا يحتاج كل تدقيق إلى القدر نفسه من القدرة التقنية على التدخل. يصنّف بروتوكول NOMOS GBO إجراءات التدقيق ضمن خمسة مستويات.

المستوى 1 — مراجعة الوثائق والإقرارات

يفحص المدقق:

السياسات،

العقود،

أدوار الوكلاء،

سجلات الصلاحيات،

تسلسل الإجراءات،

التقارير السابقة.

ولا يتدخل في المنظومة الحية. فهذا المستوى لا يتطلب تدخلاً مباشراً فيها، وإن كانت سرية الوثائق وما تحتويه من بيانات شخصية تنطويان على مخاطر منفصلة. وتظل الأدلة على السلوك محدودة.

المستوى 2 — فحص تقني بصلاحية القراءة فقط

يستخدم المدقق وصولاً للقراءة فقط لفحص:

أذونات الأدوات،

نطاقات أذونات API،

السجلات،

إصدارات النماذج والسياسات،

سجلات طوابير المهام،

قائمة الوكلاء،

بنية الذاكرة.

لا يُدخل المدقق أي تغيير على المنظومة. تصبح قدراتها التقنية أوضح، لكن سلوك الوكيل قد لا يكون قد خضع بعد لاختبار مضبوط.

المستوى 3 — اختبار مضبوط للسلوك باستخدام عناصر اصطناعية

يختبر المدقق سلوك الوكيل باستخدام:

مستخدمين اصطناعيين،

عناوين بريد إلكتروني مخصصة للتدقيق،

وسائل دفع اختبارية،

ملفات تعريف لشركات وهمية،

مجموعات بيانات مضبوطة،

بيئة اختبار معزولة.

ولا يمسّ عملاء حقيقيين أو أموالاً فعلية. يمكن في هذا المستوى اختبار كثير من السلوكيات المتعلقة بالهوية والصلاحيات والتعليمات الخارجية وتنفيذ العملية مرتين والإيقاف.

المستوى 4 — تحقق محدود في بيئة التشغيل الحية

قد يتعذر قياس بعض السلوكيات بواقعية في بيئة الاختبار. وعند توافر الصلاحية والظروف المضبوطة، يمكن إجراء ما يأتي:

إرسال رسالة إلى عنوان تدقيق عبر منظومة البريد الحية،

نشر صفحة اختبار غير ضارة عبر سلسلة النشر الفعلية،

تنفيذ عملية تدقيق مالية صغيرة قابلة للتراجع،

إيقاف محدود لطابور مهام،

التحقق من CDN أو API فعلي.

يتطلب هذا المستوى صلاحية صريحة، وإمكان العودة إلى الحالة السابقة، ومسؤولاً عن الحوادث.

المستوى 5 — تمرين تعافٍ عالي التأثير

في بيئة فعلية أو قريبة جداً من الإنتاج، يوقف المدقق أو المؤسسة:

الوكيل المركزي،

الوكلاء الفرعيين،

طوابير المهام،

استخدام الرموز،

التكاملات الخارجية.

يمكن اختبار التراجع إلى حالة سابقة، والنسخ الاحتياطي، واستعادة البيانات، وتسليم التحكم إلى الإنسان. يتيح هذا المستوى اختبار ادعاءات الإيقاف والتعافي مباشرة، لكنه ينطوي أيضاً على أعلى مستوى من المخاطر التشغيلية. ولا يجوز تنفيذه من دون صلاحية صريحة، وخطة للتمرين، وإمكان للعودة إلى الحالة السابقة، ومسؤول محدد للطوارئ.

حدود ما يمكن إثباته بحسب مستوى الإجراء

يمكن لتدقيق يقتصر على مراجعة الوثائق أن يصدر الحكم الآتي: «تشترط سياسة المؤسسة موافقة الإنسان على الإرسال الخارجي». لكنه لا يستطيع أن يحكم بأن «الوكيل لا يمكنه إرسال رسالة من دون موافقة تحت أي ظرف». وقد يتيح الفحص التقني بصلاحية القراءة فقط القول: «تبيّن أن أداة الإرسال تتطلب رمز موافقة الإنسان». وإذا نجح الاختبار المضبوط أيضاً، أمكن القول: «لم ينفّذ الوكيل إرسالاً بلا موافقة في السيناريوهات التي خضعت للتدقيق». وإذا نجحت كذلك اختبارات الطابور الحي وتمرين الإيقاف، أصبح الحكم أقوى: «عند سحب موافقة الإنسان، توقف نشاط الوكيل المركزي وطابور الإرسال والوكلاء الفرعيين المرتبطين به خلال المدة المحددة». يحدّد مستوى إجراءات التدقيق الادعاءات التي يمكن اختبارها والطرق المناسبة لذلك. أما قوة الأدلة فتعتمد على الطريقة المستخدمة، وسلامة السجلات، والتحقق المستقل.

الأفعال المحظورة على عملية التدقيق نفسها

لا يجوز للمدقق أن يتصرف بلا حدود بحجة كشف المخاطر في المنظومة. ويجب اعتبار الأفعال الآتية محظورة ما لم يصدر تفويض صريح بها:

إرسال رسالة تدقيق إلى عميل حقيقي،

بدء دفع أو تحويل أموال حقيقي،

حذف بيانات عملاء في البيئة الحية،

إنتاج محتوى اصطناعي جديد بوجه شخص حقيقي أو صوته،

نشر بيان عام باسم الشركة،

إيقاف منظومة الإنتاج من دون إخطار مسبق،

رفع بيانات سرية إلى أداة ذكاء اصطناعي خارجية من دون موافقة،

محاولة الوصول إلى منظومات أخرى بلا صلاحية،

إخضاع الموظفين لاختبارات هندسة اجتماعية من دون علمهم،

فحص حسابات خارج نطاق التدقيق.

إذا كان الاختبار عالي المخاطر ضرورياً بالفعل، فيجب تحديد:

صلاحية منفصلة،

هدف آمن،

خطة للعودة إلى الحالة السابقة،

مسؤول بشري،

حدود الحادثة.

لا ينبغي أن يُحدث التدقيق ضرراً جديداً وهو يحاول حماية المنظومة.

صلاحية المدقق في الإيقاف

قد يكشف التدقيق عن ضرر يحدث فعلياً في أثناء التشغيل. فقد يلاحظ المدقق مثلاً أن:

الوكيل يرسل رسائل إلى عملاء حقيقيين من دون موافقة.

طابور دفع اعتُقد أنه توقف ما زال ينفّذ عمليات.

بيانات حساسة تُنقل إلى مزوّد خارجي.

صوت شخص يُستخدم بعد سحب رضاه.

عملية النشر الحية تنشر سعراً خاطئاً على صفحات كثيرة.

إذا اكتفى المدقق بكتابة تقرير وانتظر انتهاء التدقيق، فقد يتفاقم الضرر. لذلك يجب في عمليات التدقيق عالية التأثير تحديد:

صلاحية الإيقاف الطارئ أثناء التدقيق

توضّح هذه الصلاحية:

في أي حالة يمكن للمدقق إيقاف الاختبارات؟

أي العمليات الحية يمكنه تعليقها؟

من يجب أن يُخطره فوراً؟

ما الإجراء إذا تعذر الوصول إلى مسؤول المؤسسة؟

إلى أي مدى يمكن أن يمتد الإيقاف؟

أي المنظومات يجب أن تظل عاملة؟

من يُنشئ إيصال الإيقاف؟

من يمنح الإذن بإعادة التشغيل؟

لا ينبغي للمدقق أن يغلق المنظومة بأكملها عند كل نتيجة متوسطة الخطورة. لكن لا يجوز أيضاً تركه بلا صلاحية وبلا قدرة على التصرف أمام ضرر مستمر وعالي التأثير.

ما استقلالية التدقيق؟

غالباً ما تُفهم الاستقلالية بهذه الصورة: «جهة التدقيق شركة خارجية». وهذا وحده لا يكفي. فقد يعتمد المدقق الخارجي مالياً على الوصول إلى النتيجة التي يريدها العميل، بينما يستطيع مدقق داخلي العمل باستقلالية مؤسسية. وقد يكون مطوّر المنظومة أعمق الناس معرفة بتفاصيلها التقنية، لكنه يقيّم تصميمه هو. لذلك ينبغي فحص استقلالية المدقق من أبعاد منفصلة.

1. الاستقلالية المؤسسية

هل المدقق منفصل عن الفريق الذي يطوّر المنظومة أو يشغّلها؟ هل يرفع تقاريره إلى المدير نفسه؟ وهل يعرّضه إعلان إحدى النتائج لضغط يهدد مساره المهني أو عقده؟ قد يعمل المدقق الداخلي في المؤسسة نفسها، ومع ذلك يتمتع باستقلالية مؤسسية فعلية إذا كان مسار رفع تقاريره منفصلاً عن مسار صاحب المشروع. فالعمل من خارج المؤسسة لا يعني الاستقلالية تلقائياً، والعمل من داخلها لا يعني التبعية تلقائياً أيضاً. المهم هو القدرة على الإبلاغ عن النتيجة من دون تغييرها.

2. الاستقلالية المالية

هل ترتبط أتعاب المدقق بنتيجة «اجتاز التدقيق»؟ هل ستمتنع المؤسسة عن الدفع إذا لم ترضَ عن النتيجة؟ هل يبيع المدقق في الوقت نفسه خدمات تصحيح مرتفعة الثمن؟ وهل يزيد دخله مباشرة كلما وجد أخطاء أكثر؟ وجود مصلحة مالية لا يبطل التدقيق دائماً، لكن يجب أن تكون هذه المصلحة ظاهرة وخاضعة للإدارة. ومن النماذج شديدة الخطورة: «مكافأة نجاح إذا تبيّن أن المنظومة متوافقة بالكامل». فقد يدفع هذا الحافز المدقق إلى التقليل من خطورة النتائج الحرجة. والعكس ممكن أيضاً: «أتعاب إضافية عن كل خطأ يُكتشف». قد يشجع هذا النموذج على إنتاج نتائج غير لازمة. ينبغي أن تكون أتعاب التدقيق مستقلة عن النتيجة قدر الإمكان.

3. الاستقلالية التقنية

هل يكتفي المدقق بصور شاشة أعدّتها المؤسسة؟ هل يستطيع الوصول إلى السجلات الخام، ورؤية أذونات API الفعلية، وتشغيل سيناريوهات الاختبار بنفسه؟ هل يتحكم الفريق الخاضع للتدقيق تحكماً كاملاً في البيانات التي تُعرض؟ تعني الاستقلالية التقنية قدرة المدقق على:

الوصول إلى الإعدادات الفعلية التي يستند إليها الادعاء،

إعادة إنتاج الأدلة،

إجراء اختبار مضبوط بدلاً من الاكتفاء بعرض توضيحي منتقى.

لا يحتاج المدقق إلى وصول بلا حدود. لكن لا ينبغي لحائز الأدلة أن يختار بمفرده أي حقائق سيطّلع عليها المدقق.

4. استقلالية الأدلة

هل يستخدم المدقق تقارير النجاح التي تنتجها المنظومة نفسها فقط؟ هل يجري التحقق من نتيجة الإرسال عبر حساب خارجي؟ هل يُقرأ المحتوى المنشور مباشرة عبر HTTPS؟ هل تُقارن عملية الدفع بسجلات البنك والطلب؟ وهل تُفحص سجلات الوكلاء الفرعيين وطوابير المهام كلٌّ على حدة بعد الإيقاف؟ التحقق من منظومة اعتماداً على إقرارها عن نفسها لا ينتج دليلاً مستقلاً. ولا يمكن أن تكون رسالة النجاح الصادرة عن المنظومة التي تنفّذ العملية المصدر الوحيد لحكم التدقيق.

5. استقلالية التفسير

هل تستطيع المؤسسة تحديد الألفاظ التي يستخدمها المدقق؟ هل يختار العميل درجة خطورة النتائج؟ هل يمكن للمؤسسة أن تطلب استبدال وصف «حرج» بعبارة «فرصة للتحسين»؟ يجب أن يكون للمؤسسة حق الرد على الأخطاء الواقعية وتقديم التوضيحات. لكن لا ينبغي أن تملك حق الاعتراض الملزم لفرض تغيير النتيجة. ويجب الفصل بين مبدأين:

حق الرد

يمكن للمؤسسة الرد على نتيجة التدقيق بالأدلة والتوضيحات.

حق التحكم في النتيجة

لا يجوز للمؤسسة أن تغيّر حكم المدقق المستند إلى الأدلة وفق رغبتها. حق الرد ضروري، أما حق التحكم في النتيجة فيهدم الاستقلالية.

6. استقلالية النشر

إذا كانت نتيجة التدقيق ستُعلن للجمهور، فيجب تحديد:

أي ملخص سيُنشر؟

هل يجوز للمؤسسة حجب النتائج؟

هل يجوز للمدقق إجراء إفصاح منسّق عن حادثة حرجة؟

كيف ستُحمى الأسرار التجارية والبيانات الشخصية؟

هل ستعرض الشارة المنشورة للجمهور نطاق التدقيق بدقة؟

ليس من الصواب أن يكشف المدقق جميع المعلومات السرية للجمهور. لكن نشر المؤسسة الصفحات الإيجابية وحدها وإخفاء القيود الحاسمة ليس جديراً بالثقة أيضاً. يجب أن يخضع البيان العام لقاعدة محددة مسبقاً.

لا يلزم أن تكون الاستقلالية مطلقة

ليس العثور على مدقق لا تشوبه شائبة ولا تربطه أي صلة بالأطراف المعنية ممكناً في كل مرة. فقد يكون مطوّر المنظومة أدرى الناس بتفاصيلها التقنية. وقد يستطيع الفريق الداخلي إجراء تقييم ذاتي سريع. وقد يتمتع مستشار التصحيح بأفضلية في فهم نتائج التدقيق. لذلك ليست الاستقلالية اختياراً ثنائياً بين «مستقل» و«غير مستقل»، بل يمكن تقييمها على درجات.

درجات الاستقلالية في NOMOS

الدرجة I — التقييم الذاتي

يفحص الفريق الذي يطوّر المنظومة أو يشغّلها سلوكه بنفسه. قيمة هذا التقييم:

سريع.

يجريه فريق يعرف المنظومة جيداً.

يمكن استخدامه باستمرار.

ومن مخاطره:

النقاط العمياء،

تضارب المصالح،

تأكيد الفريق افتراضاته الخاصة،

التقليل من خطورة النتائج الحرجة.

التقييم الذاتي مفيد، لكن لا يجوز عرضه على أنه تأكيد مستقل للموثوقية.

الدرجة II — مراجعة داخلية مستقلة

يتولى المراجعة فريق من المؤسسة نفسها، لكنه منفصل عن التشغيل اليومي للمنظومة الخاضعة للتدقيق. وقد يكون مثلاً:

فريق التدقيق الداخلي،

فريق الأمن،

فريق الامتثال،

فريق المخاطر.

قيمة هذه المراجعة:

يجريها فريق يعرف سياق المؤسسة.

يمكنه الحصول على الوصول التقني.

يمكنه تكرار المراجعة بانتظام.

وقد تحدّ منها:

ضغوط الإدارة،

المصلحة المؤسسية المشتركة،

محدودية استقلالية النشر.

الدرجة III — تدقيق خارجي مستقل

يتولى التدقيق فريق من خارج المؤسسة، لا يتحمل مسؤولية مباشرة عن تصميم المنظومة المدققة أو تشغيلها. ويمكن أن يوفّر:

منظوراً خارجياً،

استقلالية أقوى في التفسير،

ارتباطاً أقل بافتراضات المؤسسة الداخلية.

أما حدوده:

فقد لا يعرف الفريق سياق المنظومة بما يكفي.

وقد تقيّد المؤسسة وصوله إلى الأدلة.

وقد تظل التبعية المالية قائمة.

الدرجة IV — تدقيق متعدد الأطراف للمخاطر العالية

في المنظومات عالية التأثير، يمكن أن يعمل معاً:

مدقق تقني خارجي،

خبير في المجال،

خبير قانوني أو مختص بحماية البيانات،

ممثل عن الأشخاص المتأثرين،

مسؤول من داخل المؤسسة.

لا ينفرد فريق واحد بسلطة القرار كاملة. وقد تكون هذه الدرجة أنسب في مجالات مثل:

الهوية البيومترية،

المعاملات المالية كبيرة القيمة،

التوظيف،

الصحة،

الخدمات العامة،

المنظومات المادية.

وهي أعلى تكلفة وأبطأ، لكنها تقلل احتمال أن يغفل المنظور الواحد مخاطر مختلفة.

هل يستطيع من بنى المنظومة أن يدققها؟

ليس واقعياً القول إن مطوّر المنظومة يجب ألا يشارك في أي عمل تدقيقي. ويمكن أن تشمل مساهمته:

تقييم ذاتي تقني،

إعداد الأدلة،

دعم الاختبارات،

تفسير الأخطاء.

لكن لا ينبغي له أن ينفرد بالحكم النهائي المستقل على مطابقة منظومته. فإذا كان الشخص نفسه:

يصمم المنظومة،

ويختار سيناريوهات الاختبار،

وينتج الأدلة،

ويحدد أهمية النتائج،

ويعتمد الشارة المعلنة للجمهور،

يضيع الفاصل بين التدقيق والإقرار الذاتي. ويمكن توزيع المسؤوليات على النحو الآتي:

المطوّر ينتج الأدلة. المدقق المستقل يختبرها. المؤسسة تتحمل مسؤولية القرار المتعلق بالمخاطر.

هل يمكن للمدقق تقديم خدمات تصحيح؟

يمكن للمدقق أن يساعد في معالجة خلل كشفه. وليس ذلك خطأ في كل الأحوال؛ فمعرفته بالمنظومة قد تسرّع التصحيح. لكن ينشأ خطران:

قد يضخّم المدقق النتيجة ليبيع مزيداً من خدمات التصحيح.

وقد يعتمد التصحيح الذي أجراه بنفسه، ثم يعرض هذا الاعتماد على أنه مستقل.

ينبغي اختيار مجموعة من التدابير التالية بحسب نوع تضارب المصالح. فالإفصاح عن العلاقة أو فصل العقود لا يكفي ليصبح اعتماد الشخص لتصحيحه اعتماداً مستقلاً. وعند إغلاق نتيجة حرجة، يجب أن يراجع أدلة إعادة الاختبار مدقق آخر غير من أجرى التصحيح، بعد تقييم علاقات المصالح ذات الصلة به:

فصل عقود التصحيح عن عقود التدقيق،

عدم ربط الأجر بعدد النتائج،

إسناد إعادة الاختبار بعد التصحيح إلى مقيّم آخر،

الإفصاح عن علاقة المصلحة في التقرير،

اشتراط توقيع ثانٍ عند إغلاق النتائج الحرجة.

يمكن للمدقق اقتراح حل، لكن لا ينبغي له الادعاء بأن المؤسسة ملزمة بشراء الحل الذي يقترحه.

إقرار تضارب المصالح في التدقيق

ينبغي لكل مدقق وفريق تدقيق الإفصاح عن العلاقات التالية:

المساهمة في تصميم المنظومة،

وجود علاقة تجارية مستمرة مع المؤسسة،

ارتباط المقابل المالي بنتيجة التدقيق،

بيع خدمات تصحيح أو منتجات،

وجود علاقة مع مؤسسة منافسة،

تلقي عمولة من المزوّد الخاضع للتدقيق،

وجود علاقة شخصية وثيقة مع مديرين أو موظفين،

وجود شراكة مع مزوّد النموذج أو الأداة نفسه،

وجود مصلحة مباشرة تتعلق بالسمعة أو النشر في نتيجة التدقيق.

الإفصاح عن تضارب المصالح لا يزيله دائماً، لكنه يمنع بقاءه خفياً. يمكن إدارة بعض التعارضات، بينما يستلزم بعضها الآخر تنحّي المدقق عن إصدار الحكم المعني. فمطوّر المنظومة يستطيع تقديم أدلة تقنية، لكنه لا ينبغي أن يوقّع الحكم النهائي الذي يعلن «المطابقة المستقلة».

الاستقلالية تحمي المؤسسة الخاضعة للتدقيق أيضاً

لا تقتصر الاستقلالية على حماية المدقق من ضغوط المؤسسة. فالمؤسسة أيضاً يجب أن تُحمى من تصرفاته التعسفية. لا يحق للمدقق:

توسيع النطاق من دون إذن،

إصدار حكم شديد من دون أدلة تسنده،

كشف الأسرار التجارية للجمهور،

إثارة الخوف لبيع خدمات التصحيح،

عرض نتيجة اختبار اصطناعي على أنها واقعة حقيقية في بيئة الإنتاج،

منع المؤسسة من ممارسة حقها في الرد.

الاستقلالية لا تعني العمل بلا صلاحية. المدقق حر، لكن حريته محكومة بالأدلة والنطاق والمسؤولية المهنية.

ما نطاق التدقيق؟

قد تقول مؤسسة: «دققوا وكيل المبيعات لدينا». هذا لا يكفي؛ فقد يتولى وكيل المبيعات:

البحث على الويب،

تقييم مدى ملاءمة الشركات كعملاء محتملين،

العثور على أشخاص للتواصل معهم،

إثراء البيانات،

صياغة مسودات البريد الإلكتروني،

إرسال البريد الإلكتروني،

مراسلات WhatsApp،

جدولة الاجتماعات،

اقتراح الأسعار،

تسجيل البيانات في CRM،

مراسلات المتابعة،

استدعاء وكلاء فرعيين.

أيّ هذه الأعمال يدخل في النطاق؟ وبأي لغات، وفي أي دول؟ وباستخدام أي حسابات وفئات بيانات؟ وفي أي بيئة؟ وكيف تتوزع الأدوار على الأشخاص المعنيين؟ النطاق ليس مجرد اسم الوكيل؛ إنه الحد الخارجي لحكم التدقيق.

المحاور التسعة للنطاق

في بروتوكول تدقيق NOMOS GBO، ينبغي تحديد النطاق على تسعة محاور على الأقل.

1. المنظومة

أي نموذج ووكيل ووكيل فرعي وآلية تنسيق؟

2. السلوك

البحث أم التوصية أم الصياغة أم الإرسال أم الدفع أم النشر أم الحذف أم الإيقاف؟

3. الأدوات

أي أدوات للبريد الإلكتروني أو CRM أو الملفات أو التصفح أو الدفع أو النشر؟

4. البيانات

أي بيانات عامة أو داخلية أو شخصية أو حساسة أو بيومترية؟

5. الأشخاص

أي مستخدمين أو موظفين أو عملاء أو فئات متأثرة؟

6. اللغة والجغرافيا

أي لغات ودول ومناطق وسياقات قانونية؟

7. البيئة

بيئة محلية، أم اختبار، أم وضع ظل، أم تشغيل حي محدود، أم إنتاج كامل؟

8. الزمن

أي تواريخ وإصدارات وفترات مهام وقوائم انتظار؟

9. دورة الحياة

أي مراحل البدء والاستمرار والتسليم والإيقاف والتراجع والاعتراض وإعادة التشغيل؟ إذا تُرك أحد هذه المحاور بلا تحديد، فقد يُوسَّع حكم التدقيق على نحو خاطئ.

لماذا تهمّ الاستثناءات من النطاق؟

كثيراً ما تذكر تقارير التدقيق ما يدخل في النطاق، وتكتفي بهامش صغير لما يُستثنى منه. لكن السلوك المستثنى لا يقل أهمية عن السلوك المشمول لفهم الحكم. فقد يكون وكيل شراء مثلاً:

قد اختُبر في عمليات شراء لمرة واحدة،

ولم يُختبر في التجديد التلقائي،

ولم يُختبر في الإلغاء،

ولم يُختبر إلا مع ثلاثة بائعين معتمدين.

إذا جاء البيان العام بعبارة «دُقّق وكيل الشراء»، فقد يظن المستخدم أن دورة الشراء كلها خضعت للتقييم. والأدق أن يقال: «خضع الوكيل للتدقيق في سلوك الشراء لمرة واحدة من ثلاثة بائعين معتمدين، ضمن عمليات منخفضة المخاطر وقابلة للتراجع. أما الاشتراكات والتجديد والإلغاء والتعامل مع بائعين جدد فخارج النطاق». ويجب أن تتوافر ثلاث معلومات عن كل مجال جوهري مستثنى:

لماذا استُثني؟

ما المخاطر التي ما زال ينطوي عليها؟

كيف يحدّ من ادعاء التدقيق؟

الخروج من النطاق لا يعني الأمان

عند استثناء سلوك من النطاق، قد تظهر ثلاثة تفسيرات خاطئة.

التفسير الخاطئ الأول

«ما دام لم يُختبر، فلا توجد مشكلة». والصحيح أننا لا نعرف إن كانت هناك مشكلة أم لا.

التفسير الخاطئ الثاني

«إنه خارج النطاق، إذن لا أهمية له». والصحيح أنه قد يكون استُثني تحديداً بسبب خطورته.

التفسير الخاطئ الثالث

«إذا اجتازت المنظومة الرئيسية التدقيق، فغالباً سيجتازه الجزء المستثنى أيضاً». والصحيح أن السلوك الذي يستخدم أدوات أو صلاحيات أو بيانات مختلفة قد يعطي نتيجة مختلفة. ما يقع خارج النطاق لا يحمل حكماً إيجابياً ولا سلبياً؛ بل هو موضع عدم يقين معلن.

تمويه نطاق التدقيق

قد تُخضع المؤسسة أكثر أجزاء منظومتها أماناً للتدقيق، ثم تستخدم النتيجة للحديث عن المنظومة كلها. مثلاً:

يُختبر وكيل المسودات وحده.

وتُنشر النتيجة بعبارة «دُقّقت منظومة وكلاء المبيعات».

تُقيَّم بيئة الاختبار وحدها.

وتُعرض النتيجة بعبارة «المنظومة الحية آمنة».

تُشغَّل سيناريوهات باللغة الإنجليزية فقط.

وتُعلن النتيجة بعبارة «الوكيل متعدد اللغات ممتثل».

يُفحص الوكيل المركزي وحده.

وتُعمَّم النتيجة على شبكة الوكلاء الفرعيين كلها.

تُستخدم سيناريوهات إيجابية فقط.

وتُعرض النتيجة دليلاً على موثوقية ضبط الصلاحيات وإمكان الإيقاف.

يمكن أن نسمي هذا السلوك:

تمويه نطاق التدقيق

وهو عرض نتيجة تدقيق ضيق أو سهل أو منخفض المخاطر كدليل ثقة يشمل منظومة أو سلوكاً أو لغة أو مجال مخاطر أوسع. تمويه النطاق تقرير مضلل؛ فقد تكون النتيجة التقنية صحيحة، لكن المعنى الذي يصل إلى الجمهور خاطئ.

حصر النطاق في أمثلة مواتية

قد تختار المؤسسة المجالات التي تتفوق فيها وحدها. مثلاً:

تُدرج البائعين المعتمدين.

وتستثني البائعين الجدد ومن لم تتضح أوضاعهم.

تختبر الأفعال التي وافق عليها إنسان.

ولا تختبر الحدود عند غياب الموافقة.

تُدرج اللغة الإنجليزية.

وتستثني النسخ اللغوية الأضعف.

تستخدم بيئة الاختبار.

ولا تفحص أذونات رموز الوصول في التشغيل الحي.

تختبر الوكيل الرئيسي.

وتستثني تفويض الصلاحيات إلى الوكلاء الفرعيين.

ليس كل اختيار للنطاق خطأ. فقد تقتضي الموارد والمخاطر إجراء التدقيق على مراحل. تبدأ المشكلة عندما تُختار المجالات لتجميل النتيجة ولا يُفصح عن تلك الاختيارات بوضوح. ويمكن تسمية ذلك:

حصر النطاق في أمثلة مواتية

يجوز للمؤسسة إجراء تدقيق محدود، لكن عليها شرح سبب محدوديته والمخاطر التي يتركها قائمة.

استثناء مجال ينطوي على مخاطر

قد يصعب تدقيق بعض السلوكيات ذات العواقب الكبيرة من الناحية التشغيلية. فقد لا يكون تنفيذ دفعات حقيقية مرغوباً، والتواصل مع عملاء فعليين ينطوي على مخاطر، وإنتاج مواد بيومترية مسألة حساسة. وبدلاً من استثناء هذه السلوكيات تماماً، يمكن استخدام محاكاة آمنة:

وسيلة دفع اختبارية،

عنوان بريد إلكتروني مخصص للتدقيق،

عميل اصطناعي،

أفاتار اصطناعي مأذون به،

قوائم انتظار منفصلة للاختبار،

وضع الظل،

حساب اختبار مضبوط في بيئة التشغيل الحي (canary): حساب مخصص لاختبار محدود النطاق، تُحدد مسبقاً حدود الاختبار كتابةً، وحدود استخدام البيانات، وطريقة الإيقاف.

إذا تعذّر اختبار السلوك الخطر مباشرة في التشغيل الحي، يمكن الجمع بين:

الأذونات التقنية،

والإعدادات،

والسلوك الاصطناعي،

وأدلة الحوادث السابقة،

والتحقق المحدود عبر حساب canary.

إما أن يُصمَّم التدقيق بأمان، أو أن تُذكر حدود حكمه بوضوح.

النطاق التمثيلي والنطاق الكامل

لا يمكن اختبار كل منظومة في جميع السيناريوهات المحتملة. يمكن للتدقيق الاعتماد على عينة، لكنها يجب أن تكون ممثلة. فمن الممكن، مثلاً، اختبار منظومة تدعم ست لغات اختباراً كاملاً بلغتين، والاكتفاء بسيناريوهات محدودة في اللغات الأربع الأخرى. هذا ممكن، لكن الاختيار يجب أن يستند إلى:

العائلة اللغوية،

واتجاه الكتابة من اليمين إلى اليسار،

واختلاف المصطلحات التجارية،

ومعدلات الأخطاء السابقة،

وحجم الاستخدام،

والمخاطر.

إذا كان استخدام العربية يخلق سلوكاً مختلفاً في اللغة واتجاه العرض من اليمين إلى اليسار، فلا يصح تمثيله بنتيجة الإنجليزية. وبالمثل، لا يمكن تمثيل سلوك دفع عالي المخاطر بعملية بحث منخفضة المخاطر عن منتجات. قد تقلل العينة عدد الاختبارات، لكنها لا تبرر تجاهل اختلاف السلوك. ويُفصَّل منهج اختيار عينات السيناريوهات في الفصل السادس.

لماذا يلزم تثبيت النطاق؟

إذا استمرت المنظومة في التغيّر أثناء التدقيق، فلن يعود واضحاً أي إصدار خضع له. يفشل سيناريو، فيغيّر المطوّر إحدى التعليمات، ثم ينجح الاختبار عند إعادته. ولا يعرض التقرير إلا النتيجة الأخيرة. عندها تختلط الإجابات عن الأسئلة التالية:

هل فشلت المنظومة الأصلية؟

هل اجتازت المنظومة الجديدة الاختبار؟

أي إصدار يُقدَّم للجمهور؟

أي إصدار يعمل في التشغيل الحي؟

التصحيح ليس ممنوعاً، بل إن التحسين أحد أهداف التدقيق. لكن لا يجوز محو النتيجة الأولى، ويجب اختبار الإصدار الجديد على حدة. لذلك يُنشأ قبل بدء التدقيق:

سجل تثبيت النطاق

ما الذي يُثبَّت في سجل تثبيت النطاق؟

يجب تسجيل العناصر التالية على الأقل:

إصدار الوكيل والنموذج،

تعليمات النظام والمطوّر،

اتفاق الصلاحيات،

قائمة الأدوات،

أذونات API،

حسابات الخدمة،

الوكلاء الفرعيون،

بنية الذاكرة ولقطة حالتها ذات الصلة،

مصادر البيانات المرجعية،

أدوار الأشخاص،

بيئة الاختبار،

الفروق عن بيئة التشغيل الحي،

النسخ اللغوية،

إعدادات القياس،

منظومة الإيقاف والاستعادة،

بصمات التجزئة للملفات أو الإعدادات الحرجة،

وقت بدء التدقيق وانتهائه.

لا يلزم الاحتفاظ بنسخة كاملة من كل تفصيل. لكن يجب توافر معرّفات الإصدارات التي تثبت المنظومة التي تخصّها النتيجة.

ماذا لو أُجريت تغييرات أثناء التدقيق؟

يمكن تقسيم التغييرات إلى ثلاث فئات.

الفئة A — تغيير غير جوهري

تصحيح إملائي أو توضيح لا يؤثر في السلوك الخاضع للتدقيق. يُسجَّل، ويمكن أن يستمر التدقيق.

الفئة B — تغيير جوهري محدود

تغيير في أداة أو تعليمة أو صلاحية يؤثر في مجال اختبار محدد. تُعاد السيناريوهات المعنية باستخدام الإصدار الجديد، مع الاحتفاظ بالنتيجة السابقة.

الفئة C — تغيير جوهري أساسي

تغيير النموذج أو صلاحية الفعل أو بنية الوكلاء الفرعيين أو مصدر البيانات أو منظومة الإيقاف يُبطل تثبيت النطاق. ويلزم إصدار جديد للتدقيق أو خط أساس جديد. فإذا أُلغي إذن send_message بعد اكتشاف إرسال بلا موافقة، فهذا تصحيح إيجابي. لكنه لا يجيز وصف المنظومة الأصلية بعبارة «لم تقع مخالفة». ويكون السجل الصحيح كما يلي:

v2.4: رُصد إرسال بلا موافقة. التصحيح: أُزيلت أداة الإرسال. إعادة اختبار v2.5: لم يُرصد إرسال في السيناريوهات المعنية وعددها 24.

هذا السجل يبيّن تعلّم المؤسسة، لا ضعفها.

التصحيح الصامت أثناء التدقيق

بعد فشل اختبار، قد يغيّر المطوّر المنظومة في الخفاء ثم يعيد تشغيلها بالمعرّف نفسه. وقد تُعرض النتيجة بعبارة «نجحت في نهاية الاختبار». لكن ذلك يخلّ بنزاهة التدقيق. ويمكن أن نسميه:

التصحيح الصامت أثناء التدقيق

يجب تسجيل كل تغيير مع:

التاريخ،

والشخص أو الوكيل الذي أجراه،

والسبب،

والسيناريوهات المتأثرة،

والإصدار الجديد.

لا يُجرى التدقيق لصناعة صورة منظومة بلا عيوب، بل لإظهار سلوكها الفعلي والطريق إلى تحسينه.

المخرج الرئيسي الأول: وثيقة التفويض بالتدقيق

بعد بطاقة ادعاء التدقيق، يجب إعداد الوثيقة التالية:

وثيقة التفويض بتدقيق NOMOS GBO

تحدد هذه الوثيقة حدود تصرف المدقق ومسؤولية المؤسسة.

وثيقة التفويض بالتدقيق — مثال مقروء للبشر

معرّف التدقيق: GBO-AUDIT-2026-001

الجهة الطالبة للتدقيق: إدارة العمليات في NobleAxis

الشخص الذي يمنح الصلاحية: الاسم والدور وسند التمثيل

المسؤول عن المنظومة: مدير عمليات المبيعات

المسؤول التقني: مسؤول منظومات الوكلاء

المخوّل المسؤول عن استخدام البيانات: جهة الاتصال التشغيلية المحددة؛ ويُسجَّل على حدة المتحكم في البيانات بالمعنى القانوني، والمعالج إن وُجد.

المدقق: فريق تدقيق GBO مستقل

غرض التدقيق: تقييم سلوك وكيل البحث عن العملاء المحتملين في البحث والصياغة والإرسال بموافقة بشرية والإيقاف.

أفعال التدقيق المسموح بها:

مراجعة الوثائق،

فحص الأذونات والسجلات بالقراءة فقط،

استخدام شركات ومتلقين اصطناعيين،

إرسال رسائل مضبوطة إلى عنوان بريد التدقيق،

اختبار صلاحيات الوكلاء الفرعيين،

تمرين إيقاف قائمة الانتظار،

اختبار التعليمات الخارجية في بيئة التدقيق،

استخدام حساب canary المحدد مسبقاً وحده في المنظومة الحية.

أفعال التدقيق المحظورة:

مراسلة عميل حقيقي،

تنفيذ دفع حقيقي،

حذف بيانات العملاء في التشغيل الحي،

نسخ بيانات شخصية من دون صلاحية،

نشر محتوى متاح للجمهور،

إيقاف منظومة الإنتاج من دون إخطار،

رفع بيانات التدقيق إلى منظومة ذكاء اصطناعي خارجية من دون موافقة.

صلاحية المدقق في الإيقاف الطارئ: تعليق العمليات الجديدة مؤقتاً عند رصد إرسال خارجي مستمر غير مأذون به، أو نقل غير مأذون به لبيانات شخصية، أو فعل خارج السيطرة ذي عواقب كبيرة؛ وإخطار المسؤول عن الحادث في المؤسسة فوراً.

خطة حفظ الأدلة: يفترض هذا المثال الاصطناعي مدة 180 يوماً، وتخزيناً مشفراً، وإيصال حذف. ليست هذه المدة التزاماً قانونياً عاماً؛ بل يُقيَّم الغرض المحدد ونوع البيانات والالتزامات السارية كلٌّ على حدة. وإذا كان هناك نزاع مستمر أو واجب بالحفظ، تُراجع المدة مجدداً مع بيان الأسباب.

استخدام متعاقد فرعي أو أداة ذكاء اصطناعي: مُفصح عنه، وموافق عليه، وحدود بياناته محددة.

حق المؤسسة في الرد: يمكنها تقديم أدلة وتوضيحات بشأن كل نتيجة ضمن مدة محددة.

حق المؤسسة في نقض النتائج: لا يوجد. يمكن تصحيح خطأ واقعي إذا ثبت، لكن لا يجوز حذف نتيجة مسندة بالأدلة لأسباب تجارية.

البيان العام: لا يُنشر إلا ملخص معتمد يوضح النطاق الفعلي والإصدار والتاريخ والقيود الصريحة.

بداية الصلاحية ونهايتها: من 1 سبتمبر 2026 الساعة 09:00 إلى 15 سبتمبر 2026 الساعة 18:00، بتوقيت تركيا (UTC+03:00). وتستلزم اختبارات الإعادة اللاحقة صلاحية جديدة أو مجددة صراحةً.

شرط إعادة التفويض: عند تغيّر النطاق أو مستوى الفعل، تلزم صلاحية جديدة.

وثيقة التفويض بالتدقيق بصيغة مقروءة آلياً

audit_authorization:
  audit_id: GBO-AUDIT-2026-001

  authorized_by:
    role: authorized_system_owner
    authority_basis: internal_governance_record

  system_owner:
    role: sales_operations_owner

  technical_owner:
    role: agent_platform_owner

  auditor:
    identity: independent_audit_team
    independence_level: III

  permitted_actions:
    - document_review
    - read_only_permission_review
    - synthetic_entity_testing
    - controlled_email_to_audit_address
    - subagent_authority_test
    - queue_stop_drill
    - prompt_injection_test
    - controlled_live_testing_only_in_pre_authorized_canary_account

  prohibited_actions:
    - contact_real_customer
    - execute_real_payment
    - delete_live_customer_data
    - publish_public_content
    - upload_evidence_to_unapproved_ai_service
    - unannounced_production_shutdown_outside_emergency_scope

  data_scope:
    allowed:
      - public_company_data
      - masked_transaction_logs
      - synthetic_customer_records
    prohibited:
      - unrelated_personal_data
      - unrestricted_full_mailbox_export

  emergency_stop:
    permitted: true
    limited_to_containment_of_in_scope_new_actions: true
    immediate_notification_to_incident_owner: required
    triggers:
      - unauthorized_live_send
      - prohibited_data_exfiltration
      - uncontrolled_high_impact_action

  evidence_retention:
    duration_days: 180
    encryption_required: true
    deletion_receipt_required: true
    example_duration_not_universal_legal_rule: true
    review_on_ongoing_dispute_or_preservation_duty: required

  external_ai_or_subcontractor_use:
    prior_disclosure: required
    explicit_approval: required
    defined_data_boundary: required

  public_disclosure:
    scope_limited: true
    client_review_for_factual_errors: true
    client_veto_over_findings: false

  valid_from: 2026-09-01T09:00:00+03:00
  valid_until: 2026-09-15T18:00:00+03:00

تحدد هذه الوثيقة حدود صلاحيات المدقق. وللحفاظ عليها، يجب ضبط الوصول التقني وضوابط الاختبار وفقاً للوثيقة أيضاً.

المخرج الرئيسي الثاني: سجل تثبيت النطاق

بعد وثيقة التفويض بالتدقيق، تُسجَّل صورة المنظومة في تلك اللحظة.

سجل تثبيت النطاق — مثال

معرّف التدقيق: GBO-AUDIT-2026-001

وقت تثبيت النطاق: 1 سبتمبر 2026، الساعة 09:30

الوكيل المركزي: SALES-RESEARCH-v2.4

إصدار النموذج الأساسي: المعرّف التقني المسجّل

تعليمة النظام: POLICY-v3.1 — بصمة التجزئة مسجّلة

اتفاق الصلاحيات: AUTH-v2.7

الوكلاء الفرعيون:

Web Research v1.8

Recipient Resolution v1.4

Email Drafting v2.1

Approved Send v1.3

Queue Manager v1.2

الأدوات المتصلة:

البحث على الويب،

القراءة والكتابة في CRM،

المسودات والإرسال في Gmail،

التقويم،

قائمة انتظار المهام.

أذونات API الفعلية: مسجّلة لكل أداة.

حالة الذاكرة: ذاكرة التفضيلات الدائمة مفعّلة؛ ولا يجوز كتابة بيانات العملاء الشخصية في الذاكرة.

مصادر البيانات المرجعية:

كتالوج الخدمات v4.2،

سجل الأسعار v3.7،

سجل صلاحيات الأشخاص v2.5،

سياسة التواصل v3.0.

اللغات المشمولة: الإنجليزية والتركية والألمانية

اللغات المستثناة: العربية والإسبانية والروسية

بيئة الاختبار: CRM اصطناعي وعناوين بريد إلكتروني مخصصة للتدقيق.

النطاق الحي المحدود: بنية Gmail الفعلية، مع الإرسال إلى نطاق التدقيق وحده.

منظومة الإيقاف: الوكيل المركزي والوكلاء الفرعيون وقائمة الانتظار ورمز الإرسال في Gmail.

نقطة الاستعادة: بيان الأدوات والصلاحيات قبل التدقيق.

ما يستدعي اعتبار التغيير جوهرياً:

تغيير النموذج،

تغيير أداة الإرسال،

وكيل فرعي جديد،

تغيير سياسة الصلاحيات،

تغيير الذاكرة الدائمة،

لغة جديدة،

استخدام بيانات العملاء في التشغيل الحي.

توقيعات تثبيت النطاق: المسؤول عن المنظومة والمسؤول التقني والمدقق.

مقتضى سجل تثبيت النطاق

ليس على المنظومة المثبّتة أن تبقى ساكنة تماماً كقطعة في متحف. يمكن أن تستمر العمليات اليومية، لكن يجب الحفاظ على هوية الإصدار المدقق. وإذا تغيّرت المنظومة الحية:

يمكن الاحتفاظ بإصدار التدقيق في بيئة منفصلة،

وتسجيل التغيير،

وإعادة الاختبارات المعنية،

وتضييق حكم التدقيق.

المهم ألا تضيع الصلة بين كل نتيجة والإصدار الذي تخصّه.

بيان الاستقلالية والنطاق

يجب أن يتضمن تقرير التدقيق بياناً مستقلاً بعنوان:

بيان الاستقلالية والنطاق

مثال: «لم يشارك فريق التدقيق في تطوير المنظومة المدققة. ولا يرتبط أجره بنتيجة التدقيق. يمكن للفريق تقديم خدمات تصحيح، لكن يتولى مقيّم آخر اختبار إغلاق النتائج الحرجة. يشمل التدقيق سلوك البحث عن العملاء المحتملين بالإنجليزية والتركية والألمانية. أما WhatsApp والعروض المالية وقبول العقود والسلوك بالعربية والإسبانية والروسية فخارج النطاق. لم يجرِ التواصل مع عملاء فعليين؛ بل استُخدمت عناوين تدقيق مضبوطة». يمكن أن يكون البيان قصيراً، لكنه يجب ألا يخفي علاقات جوهرية.

حق المؤسسة في الرد

قد تكون نتائج التدقيق خاطئة. ربما لم يرَ المدقق وثيقة مهمة، أو أساء فهم غرض سلوك ما، أو قرأ سجلاً تقنياً قراءة ناقصة. لذلك يجب أن تستطيع المؤسسة الرد على كل نتيجة. وقد يكون ردها في صورة:

تقديم أدلة جديدة،

تصحيح خطأ واقعي،

توضيح النطاق،

تقديم سياق تقني،

قبول المخاطر،

خطة تصحيح،

رأي مخالف.

يمكن أن يعرض التقرير النهائي كلّاً مما يلي على حدة:

نتيجة المدقق رد المؤسسة تقييم المدقق النهائي

حق المؤسسة في الرد ليس حقاً في حذف النتيجة. وعلى المدقق أيضاً ألا يتجاهل ردودها.

اختلاف الرأي

قد لا يكون تقييم بعض السلوكيات واضحاً. مثلاً:

هل تستلزم عملية معينة موافقة بشرية؟

هل يرتبط استخدام البيانات بالغرض الأصلي ارتباطاً كافياً؟

هل المزوّد مصدر مستقل فعلاً؟

هل التغيير جوهري؟

قد لا يتفق الطرفان. ولا ينبغي للتقرير عندئذ أن يصطنع توافقاً. يمكن أن يذكر:

رأي المدقق: غرض الاستخدام الجديد يتجاوز نطاق الرضا الأصلي. رأي المؤسسة: الاستخدام يدخل ضمن الغرض القائم لتطوير الخدمة. الحالة: نتيجة غير محسومة وعالية الأولوية تتعلق بتقييد الغرض. يُوصى بإيقاف استخدام البيانات المعني وإحالته إلى مراجعة مختصة.

إظهار الخلاف لا يضعف الموثوقية؛ بل يسجّل بصدق الموضع الذي يصعب فيه تبيّن الحقيقة.

من يتحمل المخاطر المتبقية؟

يبلغ المدقق عن نتيجة قد لا تتمكن المؤسسة من معالجة ما كشفته فوراً. ويمكن قبول خطر معين مؤقتاً. مثلاً:

قد يبقى الوصول الواسع مفعّلاً مدة قصيرة في بيئة اختبار منخفضة المخاطر.

قد تستمر المنظومة القديمة في العمل حتى يكتمل الانتقال.

قد تنتظر نسخة لغوية معينة إعادة الاختبار.

قبول المخاطر ليس مهمة المدقق. مهمة المدقق أن:

يحدد الخطر،

ويسنده بالأدلة،

ويشرح أهميته،

ويقدم توصية.

يتخذ قرار قبول الخطر شخص مخوّل في المؤسسة. ويجب أن يكون هذا القبول:

محدد المدة،

ومعللاً،

ومحدود النطاق،

ومقروناً بموعد لإعادة التقييم.

لا يجوز للوكيل أو المطوّر أن ينفرد بقبول الخطر الوارد في نتيجة توصّل إليها بنفسه. قبول الخطر لا يعني زواله؛ بل يبيّن من تحمّل المسؤولية وإلى متى.

استخدام أدوات الذكاء الاصطناعي في التدقيق

يمكن لمدقق GBO أن يستخدم أدوات الذكاء الاصطناعي أيضاً. وقد يستعين بوكلاء من أجل:

تصنيف السجلات،

وتجميع الحوادث المتشابهة،

ومقارنة النصوص متعددة اللغات،

وإنتاج صيغ مختلفة للاختبارات،

وتنظيم سجل الأدلة،

وكشف التناقضات.

هذا يرفع الكفاءة، لكن وكلاء التدقيق أنفسهم يخضعون للبروتوكول. ويجب الإجابة عن الأسئلة التالية:

أي نموذج استُخدم؟

إلى أي بيانات وصل؟

هل أُرسلت الأدلة إلى منظومة خارجية؟

هل تحقق إنسان من المخرجات؟

هل تصنيف الوكيل نتيجة نهائية أم اقتراح؟

هل تحقق وكيل التدقيق من نفسه؟

أي إصدار استُخدم؟

كيف سيُتعامل مع الخطأ أو حادث الخصوصية؟

لا يستطيع المدقق الاكتفاء بقول: «حلل الذكاء الاصطناعي جميع السجلات ولم يجد مشكلة». فهذا مجرد إقرار صادر عن منظومة أخرى. ويجب أن تظل المسؤولية البشرية والمؤسسية عن الحكم النهائي واضحة.

حماية أدلة التدقيق

الاستقلالية ليست مجرد الوصول إلى الأدلة. فحمايتها من التغيير اللاحق مهمة أيضاً. ويمكن الاحتفاظ بالمعلومات التالية على الأقل:

معرّف المصدر،

ووقت الحصول عليه،

والإصدار،

وبصمة التجزئة أو سجل سلامة الأدلة،

وطريقة حجب البيانات،

ومن وصلوا إليها،

والتحويلات التي أُجريت،

ومدة الحفظ،

وسجل الحذف.

لا ينبغي للمدقق الاحتفاظ بنسخة من جميع بيانات التشغيل الحي إلى الأبد. لكن يجب أن يكون من الممكن إعادة بناء أساس النتيجة الحرجة لاحقاً. ويُبحث حفظ الأدلة وتسلسلها بالتفصيل في الفصل الرابع.

العلاقة بين الصلاحية والاستقلالية والنطاق

تبدو هذه المفاهيم الثلاثة منفصلة، لكنها في الواقع يحدّ بعضها بعضاً.

الصلاحية

ما الذي يحق للمدقق فعله؟

الاستقلالية

إلى أي مدى يستطيع المدقق تفسير ما يراه بحرية وصدق؟

النطاق

عن أي منظومة وسلوك يحق للمدقق إصدار حكم؟ قد يملك صلاحيات واسعة، لكن اعتماده المالي على النتيجة يقلل الثقة بتفسيره. وقد يكون مستقلاً، لكن تعذّر الاطلاع على الأذونات التقنية يخفض مستوى الأدلة. وقد يكون النطاق واسعاً، لكن غياب صلاحية الاختبار الحي يبقي الحكم على السلوك محدوداً. لذلك يمكن صياغة التدقيق الموثوق كما يلي:

تدقيق موثوق = صلاحية سارية واستقلالية تحميها ضوابط مطبّقة ونطاق واضح ووصول كافٍ إلى الأدلة وصلاحية لإجراء اختبارات آمنة وبيان عام محدود

لا يحل أي عنصر من هذه العناصر محل الآخر.

بوابة الصلاحية والاستقلالية قبل التدقيق

قبل بدء الاختبارات، يجب اجتياز البوابات التالية:

1. بوابة مانح الصلاحية

هل يملك الشخص أو المؤسسة التي تطلب التدقيق الصلاحية فعلاً؟

2. بوابة المسؤولية عن المنظومة

هل المسؤولون البشريون والتقنيون عن المنظومة المدققة محددون؟

3. بوابة صلاحية الوصول إلى البيانات

على أي أساس مشروع ومحدود يمكن للمدقق الاطلاع على البيانات اللازمة؟

4. بوابة صلاحية الفعل

ما مستوى صلاحية المدقق في مراجعة الوثائق والاختبار الاصطناعي والاختبار الحي والإيقاف؟

5. بوابة حدود الضرر

ما الأثر الذي قد يحدثه التدقيق في أشخاص حقيقيين أو أموال أو بيانات أو عمليات؟

6. بوابة الاستقلالية

إلى أي مدى يتمتع التدقيق بالاستقلالية مؤسسياً ومالياً وتقنياً وفي تفسير الأدلة؟

7. بوابة تضارب المصالح

هل أُفصح عن العلاقات المتعلقة ببناء المنظومة أو تصحيحها أو بيعها أو تسويق نتيجة التدقيق؟

8. بوابة اكتمال النطاق

هل المنظومة والسلوك والأدوات والبيانات واللغات والبيئة ودورة الحياة محددة بوضوح؟

9. بوابة المخاطر المستثناة من النطاق

هل المجالات المهمة المستثناة وآثارها ظاهرة؟

10. بوابة تثبيت النطاق

هل ثُبّت الإصدار والإعداد الخاضعان للتدقيق؟

11. بوابة الإيقاف الطارئ

إذا ظهر ضرر في التشغيل الحي أثناء التدقيق، فمن سيوقف المنظومة وكيف؟

12. بوابة البيان العام

هل يمكن عرض النتيجة على نحو يتجاوز نطاقها الفعلي؟ ببساطة:

صلاحية بدء التدقيق = طلب صادر عن جهة مخوّلة ومسؤول محدد عن المنظومة ووصول محدود إلى البيانات وصلاحية صريحة للاختبار وتضارب مصالح مُدار ونطاق مثبّت وإيقاف آمن وبيان عام صادق

إذا غابت الصلاحية أو شروط الاختبار الآمن، فلا يبدأ الفعل المعني. ولا يمكن متابعة التدقيق إلا ضمن نطاق أضيق يحافظ على صلاحية سارية وشروط آمنة معاً؛ وتُقيَّد الطريقة والحكم وفقاً لذلك.

حالات التفويض بالتدقيق

يمكن أن يكون التدقيق في إحدى الحالات التالية:

مفوّض

اكتملت الصلاحيات المطلوبة من الأشخاص وللمنظومة والبيانات والاختبارات.

مفوّض بشروط

يمكن تنفيذه ضمن حدود معينة للبيانات أو البيئة أو الأفعال.

مفوّض بمراجعة الوثائق فقط

لا توجد صلاحية للاختبارات التقنية والسلوكية، ويقتصر الحكم على الإقرارات والوثائق.

صلاحية غير كافية

لا يتوافر حق الوصول أو الاختبار اللازم لفحص الادعاء المطلوب.

معلّق

توقف التدقيق مؤقتاً بسبب تغيير جوهري في المنظومة أو حادث أو مشكلة في الصلاحية.

مُنهى

لم يعد ممكناً الحفاظ على نزاهة التدقيق أو أمن الأدلة أو شروط الصلاحية. ويجب بيان هذه الحالات صراحةً. وعندما يتعذر استكمال التدقيق، ينبغي توضيح سبب تعذّر إصدار الحكم بدلاً من الاكتفاء بقول «فشل التدقيق».

التدقيق الاستعراضي

قد تعرض المؤسسة ما يلي:

عرضًا تجريبيًا بلا أخطاء

لقطات شاشة منتقاة

درجة نجاح مرتفعة

آراء إيجابية من العملاء

سياسة أُعدّت بعناية

شارة تدقيق

لكن إذا تعذّر على المدقق الاطلاع على:

الأذونات الفعلية،

والاختبارات التي فشلت،

والوكلاء الفرعيين،

وطوابير الانتظار،

والمجالات المستبعدة من النطاق،

وسجلات الحوادث،

فإن العمل يتحول إلى:

تدقيق استعراضي

في التدقيق الاستعراضي، تتقدم صورة الجدارة بالثقة على الأدلة السلوكية. ومن علاماته:

أن تختار المؤسسة وحدها الاختبارات.

أن يتغير النظام بصمت أثناء الاختبار.

أن تُحذف نتائج الفشل من التقرير.

ألا يتمكن المدقق من صياغة البيان العلني بحرية.

أن تُخفى المخاطر المستبعدة من النطاق.

أن تكون الشارة أبرز من التقرير الكامل.

أن يتوقف أجر التدقيق أو استمراره على نتيجة «اجتاز».

أن يُقدَّم عرض جاهز بدلًا من الأدلة الخام.

يجب أن يحمي بروتوكول GBO التدقيق نفسه من هذه المخاطر.

صدق بيان النطاق عند إعلان النتائج

عند إعلان نتيجة التدقيق للجمهور، يجب التمييز بين أربع عبارات:

خضع للتدقيق

أُجري فحص محدد.

اجتاز ضمن نطاق محدد

استوفيت الشروط في السلوكيات والسيناريوهات المحددة.

صالح بشروط

يمكن استخدام النظام مع مراعاة بعض النتائج أو القيود على الاستخدام.

غير صالح بسبب نتيجة تدقيق حرجة

النظام ليس جاهزًا للاستخدام في مجال سلوكي معين. وينبغي تجنب العبارات المطلقة من قبيل:

«متوافق تمامًا مع GBO». «آمن في جميع الوكلاء». «لا يخطئ». «التحكم البشري مضمون». «محمي من الأخطاء التسعة والتسعين كلها».

إذا كانت الأدلة لا تدعم إلا إصدارًا ونطاقًا محددين، وجب أن يلتزم البيان العلني بالحدود نفسها.

حكم الفصل

لا يبدأ تدقيق GBO بالاختبارات التقنية. بل يجب أولًا الإجابة عن هذه الأسئلة:

من طلب التدقيق؟ من فوّض بإجرائه؟ هل يملك مانح التفويض هذا الحق فعلًا؟ ما البيانات التي يجوز للمدقق الوصول إليها؟ ما السلوكيات التي يستطيع اختبارها بأمان؟ إلى أي حد يجوز له التدخل في النظام الحي؟ هل يستطيع إيقاف النظام إذا لاحظ ضررًا مستمرًا؟ ما مصالحه التجارية والمؤسسية؟ ما السلوكيات المشمولة بالنطاق وما السلوكيات المستبعدة؟ على أي إصدار سيبقى النظام طوال الاختبار؟ ضمن أي حدود ستُعلن النتيجة للجمهور؟

قد يبدو التدقيق قويًا رغم غياب هذه الإجابات، لكنه ينطوي على ثلاثة مخاطر أساسية:

قد يُجرى من دون تفويض.

قد يفتقر إلى الاستقلالية.

قد يُعرض على أنه أوسع من نطاقه الفعلي.

صلاحية التدقيق ليست حقًا في الوصول غير المحدود إلى النظام. والاستقلالية لا تعني أن للمدقق إصدار ما يشاء من أحكام بلا تقيد بالأدلة وحدود النطاق. كما أن النطاق ليس وسيلة لاختيار بضعة سيناريوهات سهلة ثم إعلان الثقة بالنظام كله. يحقق تدقيق GBO الموثوق هذا التوازن:

يستطيع المدقق الوصول إلى الأدلة اللازمة. لكن لا يجوز له أخذ بيانات لا يحتاجها. يستطيع اختبار النظام بصورة واقعية. لكن لا يجوز له إحداث ضرر منفلت باسم التدقيق. تستطيع المؤسسة الرد على النتيجة. لكن لا يجوز لها حذفها لأسباب تجارية. قد يكون التدقيق محدودًا. لكن لا يجوز تقديمه للجمهور بوصفه بلا حدود. يمكن إصلاح النظام. لكن لا يجوز محو الفشل الأول من السجل.

الحكم الأول في هذا الفصل: إن حق تدقيق السلوك يقتضي عقدًا سلوكيًا صريحًا ومحدودًا للتدقيق نفسه. والحكم الثاني: الاستقلالية لا تعني انعدام العلاقات؛ بل تعني إظهار المصالح، وإدارتها، والحد من ضغطها على النتائج. والحكم الثالث: يجب أن يكشف النطاق ما لا يعرفه التدقيق بقدر ما يكشف ما يعرفه. والحكم الرابع: أي تغيير جوهري أثناء الاختبار يستلزم تسجيل إصدار جديد أو نطاق جديد. لا يُحذف الفشل الأول؛ بل يُسجّل التصحيح وإعادة الاختبار كلٌّ على حدة. والحكم الخامس: لا يمكن لنتيجة تدقيق ضيق النطاق أن تسند ادعاء بالثقة في شبكة الوكلاء كلها، أو جميع اللغات، أو مجال المخاطر بأكمله.

والحكم الأخير: إذا كان التدقيق نفسه بلا تفويض، أو فاقدًا للاستقلالية، أو غامض النطاق، فإن الدرجة المرتفعة التي حصل عليها الوكيل ليست دليلًا موثوقًا. أصبح لدينا الآن:

بطاقة ادعاء التدقيق

وثيقة التفويض بالتدقيق

سجل تثبيت النطاق

بيان الاستقلالية والنطاق

ومع ذلك، قد يظل النظام المراد تدقيقه صندوقًا لا نعرف منه سوى أسماء. فتسميته «وكيل مبيعات» أو «وكيل ويب» أو «وكيل مدير تنفيذي» لا تكشف بنية سلوكه الفعلية. نيابة عن أي إنسان يعمل الوكيل؟ أي وكلاء فرعيين يستدعي؟ إلى أي أدوات يستطيع الوصول؟ أي بيانات تأتي من أي نظام؟ ما الأفعال التي تمر بموافقة أي إنسان؟ عبر أي طوابير ومنصات خارجية تتوزع المهمة؟ إلى أي نقاط يجب أن يصل أمر الإيقاف؟ من دون رسم هذه العلاقات، لا نستطيع بناء السيناريو الصحيح. قد نختبر هدفًا خاطئًا، أو نترك وكيلًا فرعيًا حرجًا خارج النطاق، أو نعجز عن رؤية المسار الفعلي لغسل الصلاحيات. في الفصل التالي، سنجعل المجال السلوكي للتدقيق ظاهرًا:

خريطة السلوك: البشر والوكلاء والأدوات والصلاحيات

لكي ندقق نظامًا، لا يكفي أن نعرف ما هو. يجب أن نرى نيابةً عمّن يعمل، وبأي أداة، وباستخدام أي بيانات، وعبر أي سلسلة سلوكية يؤثر في العالم.

نظام الوكلاء الذي لم تُرسم خريطته لا يُدقَّق. إنما يُفحص وجهه الظاهر وحده.