خطة استمرارية الأعمال (PCA) وخطة استعادة النشاط (PRA) بالمغرب: دليل شامل للمقاولات الصغرى والمتوسطة 2026
خطة استمرارية الأعمال (PCA) واستعادة النشاط (PRA) بالمغرب 2026: الالتزامات القانونية، منهجية ISO 22301، التكاليف الحقيقية بالدرهم، ودليل التنفيذ للمقاولات الصغرى والمتوسطة.
عندما يتعطل خادمكم صباح يوم الاثنين، كم من الوقت تستطيع مقاولتكم الصمود دون الوصول إلى بياناتها؟ ساعة؟ يوم؟ أسبوع؟ بالنسبة لأغلب المقاولات الصغرى والمتوسطة المغربية، فالجواب الصادق هو: ليس طويلاً. ومع ذلك، فأقل من 20 % منها تتوفر على خطة موثقة لمواجهة هذا السيناريو.
يشرح هذا الدليل ما هي خطة استمرارية الأعمال (PCA) وخطة استعادة النشاط (PRA)، ولماذا أصبحت الاثنتان ضروريتين للمقاولات المغربية في 2026، وكيفية تنفيذهما خطوة بخطوة، وما هي تكلفتهما الحقيقية.
خطة استمرارية الأعمال (PCA) وخطة استعادة النشاط (PRA): التعريفات والفروقات
كثيراً ما يُستعمل المصطلحان بشكل متبادل. وهذا خطأ يكلّف غالياً عند وقوع حادث.
خطة استمرارية الأعمال (PCA) هي وثيقة استراتيجية وتنظيمية. هدفها: تمكين المقاولة من الحفاظ على وظائفها الحيوية أثناء الأزمة، ولو في وضع متدهور. تجيب عن سؤال "كيف نواصل العمل إذا وقع X؟". تغطي خطة استمرارية الأعمال المسارات والأدوار وإجراءات التواصل والمواقع البديلة وموردي الطوارئ.
خطة استعادة النشاط (PRA) أكثر تقنية وأكثر استهدافاً. تحدد كيفية إعادة تشغيل النظام المعلوماتي بعد انقطاع. تجيب عن سؤال "كيف نستعيد أنظمتنا وبياناتنا بعد X؟". تغطي خطة استعادة النشاط النسخ الاحتياطية والبنيات التحتية البديلة وإجراءات الاستعادة والآجال المستهدفة.
عملياً، الخطتان متكاملتان: خطة استمرارية الأعمال تنظم بقاء النشاط، وخطة استعادة النشاط تعيد بناء الأداة المعلوماتية التي تدعمه.
| المعيار | خطة استمرارية الأعمال (PCA) | خطة استعادة النشاط (PRA) |
|---|---|---|
| النطاق | المقاولة بأكملها (المسارات، الموارد البشرية، التواصل) | الأنظمة المعلوماتية والبيانات |
| السؤال المحوري | كيف نواصل الاشتغال أثناء الأزمة؟ | كيف نستعيد النظام المعلوماتي بعد الأزمة؟ |
| الفاعلون الرئيسيون | الإدارة، جميع الأقسام | مديرية النظم المعلوماتية، فريق المعلوميات، مقدمو الخدمات |
| التفعيل | فور ظهور حدث مُخِلّ | بعد قرار التحول إلى خطة الاستعادة |
| المرجع المعياري | ISO 22301 | ISO 22301 (الشق التقني) |
| مدة التحضير | 3 إلى 9 أشهر | 2 إلى 6 أشهر |
| التكلفة النموذجية للمقاولة الصغرى والمتوسطة (10-50) | 30 000 - 60 000 درهم | 25 000 - 50 000 درهم |
خطة استمرارية أعمال دون خطة استعادة نشاط غير مكتملة: أنتم تعرفون كيف تعيدون تنظيم فرقكم لكن ليس لديكم نظام للعمل. وخطة استعادة نشاط دون خطة استمرارية أعمال غير كافية: خوادمكم تُعاد تشغيلها، لكن لا أحد يعرف من يفعل ماذا أثناء الأزمة.
لماذا هذا الأمر حاسم للمقاولات الصغرى والمتوسطة المغربية
يبرر السياق المغربي إيلاء اهتمام خاص لمرونة نظم المعلومات. تتراكم ثلاثة أنواع من التهديدات.
المخاطر المادية تبقى حقيقية
المغرب ليس بمنأى عن الأحداث الطبيعية. في شتنبر 2024، شلّت الفيضانات في جنوب شرق المغرب (مناطق كلميم، درعة-تافيلالت) عشرات المقاولات المحلية طيلة عدة أيام. وفي أكتوبر 2024، تسببت الأمطار التي مسّت مراكش في انقطاعات للتيار الكهربائي أثّرت على مناطق تجارية بأكملها. تبقى انقطاعات الكهرباء، حتى خارج الكوارث الطبيعية، ظاهرة متكررة في عدة مناطق صناعية.
مقاولة بدون مولّد احتياطي وبدون خطة للتحول نحو نظام معلومات منسوخ تتوقف ببساطة. بيانات الزبناء، الطلبيات الجارية، الفوترة: كل شيء يتجمد.
التهديد السيبراني اشتدّ
حسب معطيات المديرية العامة لأمن نظم المعلومات (DGSSI)، فقد رُصدت أكثر من 21 مليون محاولة هجوم سيبراني بالمغرب خلال النصف الأول من 2025 وحده. في 2024، أفادت أكثر من 62 % من المقاولات المغربية بتعرضها لمحاولة اختراق واحدة على الأقل. تمثّل الابتزاز السيبراني (برامج الفدية) 58 % من الحوادث المسجلة.
بالنسبة لمقاولة صغرى أو متوسطة ضحية لبرنامج فدية، فالسيناريو دون خطة استعادة نشاط قاسٍ: تُشفَّر كامل الملفات، وغالباً ما تُصاب النسخ الاحتياطية المحلية أيضاً، ويصبح الخيار الوحيد هو دفع الفدية أو إعادة بناء كل شيء من الصفر. تُقدَّر التكلفة المتوسطة لهجوم سيبراني على مقاولة صغرى أو متوسطة مغربية بـ 2,3 مليون درهم، حسب الأرقام التي جمّعها فاعلو القطاع في 2024-2026, مبلغ يشمل خسائر الاستغلال ومصاريف الاستعادة والأثر التجاري.
الضغط التنظيمي يتصاعد
تخضع المؤسسات المالية وشركات التأمين ومتعهدو الاتصالات بالفعل لالتزامات رسمية باستمرارية النشاط. أما بالنسبة للقطاعات الأخرى، فيأتي الضغط من الآمرين بالصرف والشركاء أكثر مما يأتي من القانون مباشرة. تساعد خدمتنا لـالامتثال التنظيمي المقاولات على تحديد هذه الالتزامات القطاعية واحترامها.
21M+
هجوم سيبراني مرصود بالمغرب (النصف الأول 2025)
2,3 MDH
التكلفة المتوسطة لهجوم على مقاولة صغرى أو متوسطة مغربية
58%
من الحوادث هي برامج فدية (تشفير البيانات)
<20%
من المقاولات الصغرى والمتوسطة المغربية لديها خطة استمرارية أعمال موثقة
الالتزامات التنظيمية بالمغرب
القطاع المالي: التزام رسمي
يفرض بنك المغرب على مؤسسات الائتمان والمؤسسات المماثلة وضع خطة استمرارية أعمال عملياتية. تنص التنظيمات الاحترازية للبنك المركزي على أن على المؤسسات أن تتوفر على التنظيم والإجراءات والوسائل اللازمة لمواجهة الاضطرابات العملياتية الكبرى, فيضانات، زلازل، أعطال ممتدة، أعطال الأنظمة المعلوماتية الحيوية. المؤسسات مُلزَمة بتقديم كشف عن خطة استمرارية أعمالها ضمن تقريرها السنوي للمراقبة الداخلية.
بالنسبة لشركات التأمين وإعادة التأمين، تصوغ هيئة مراقبة التأمينات والاحتياط الاجتماعي (ACAPS) توقعات مماثلة في مجال تدبير المخاطر العملياتية.
المديرية العامة لأمن نظم المعلومات (DGSSI): دليل مرجعي
في مارس 2023، نشرت المديرية العامة لأمن نظم المعلومات دليلاً رسمياً بعنوان "الدليل المتعلق بإعداد خطة استمرارية واستعادة الأنشطة". توفر هذه الوثيقة، المتاحة على الموقع dgssi.gov.ma، منهجية مهيكلة لأي منظمة (عمومية أو خاصة) ترغب في إضفاء الطابع الرسمي على مسعاها. وإذا لم يكن لهذا الدليل قوة إلزامية بالنسبة للمقاولات الخاصة خارج القطاع المالي، فإنه يشكّل المرجع التقني الذي يعتمده المدققون وهيئات الاعتماد.
تنص التوجيهية الوطنية لأمن نظم المعلومات (DNSSI)، في نسختها الصادرة في يناير 2023، على أن متعهدي البنيات التحتية ذات الأهمية الحيوية (OIV) المعيّنين من طرف الدولة يجب أن يتوفروا على خطط للاستمرارية والاستعادة. للحصول على نظرة شاملة حول الإطار التنظيمي الذي تفرضه المديرية العامة لأمن نظم المعلومات على المنظمات المغربية، يغطي دليلنا حول الامتثال لـ DGSSI بالمغرب مجموع التزامات القانون 05-20.
ISO 22301: المرجع الدولي
معيار ISO 22301 هو المعيار الدولي لأنظمة تدبير استمرارية الأعمال (SMCA). ينتمي إلى نفس عائلة المعايير التي ينتمي إليها ISO 27001، والذي يتقاسم معه متطلبات الحوكمة. وهو ليس إلزامياً للمقاولات الصغرى والمتوسطة المغربية، إلا إذا اشترطه عقد أو طلب عروض بشكل صريح. غير أن هيكلة خطة استمرارية الأعمال/استعادة النشاط وفق ISO 22301 تقدم فائدتين ملموستين: المنهجية مُجرَّبة، والاعتماد يثبت نضج المنظمة لأي شريك أو زبون يطلبه. تواكب خدمتنا لـاعتماد ISO المقاولات المغربية في هذا المسعى، من تحليل الفجوة الأولي إلى تدقيق الاعتماد.
الخطوات الست لتنفيذ خطة استمرارية الأعمال
الخطوة 1: تحليل الأثر على النشاط (BIA)
يُعدّ تحليل الأثر على النشاط (Business Impact Analysis) أساس كل ما تبقى. يجيب عن سؤال بسيط: إذا توقف هذا المسار، ما هو الأثر على المقاولة، وابتداءً من متى يصبح هذا الأثر غير مقبول؟
لكل مسار نشاط محدد (الفوترة، الإنتاج، التسليم، خدمة الزبناء، الأجور، إلخ)، نقيس:
- المدة القصوى المحتملة للتعطل (MTPD) (Maximum Tolerable Period of Disruption): كم من الوقت يمكن لهذا المسار أن يتوقف قبل التسبب في ضرر لا رجعة فيه؟
- الموارد اللازمة لاشتغاله (التطبيقات، البيانات، المعدات، الموظفون، الموردون)
- الآثار المالية والتنظيمية والتجارية لانقطاع
مقاولة صغرى أو متوسطة من 30 شخصاً في قطاع التوزيع سيكون لديها غالباً مساران حاسمان فعلاً: تدبير الطلبيات والفوترة. كل ما تبقى يمكن أن يتوقف بضعة أيام دون ضرر كبير. يتيح تحليل الأثر على النشاط تركيز الجهود (والميزانية) حيث تهم فعلاً.
الخطوة 2: تقييم المخاطر
بمجرد تحديد المسارات الحاسمة، نرسم خريطة للتهديدات التي قد تقطعها. انقطاع التيار، برنامج فدية، حريق، مغادرة مسؤول المعلوميات، إخفاق مورد حاسم، فيضان, تختلف السيناريوهات حسب قطاع المقاولة وموقعها.
لكل سيناريو، نقيّم احتمال الوقوع وخطورة الآثار المحددة أثناء تحليل الأثر على النشاط. تتيح مصفوفة المخاطر هذه ترتيب أولويات التدابير الوقائية واستراتيجيات الاستعادة.
الخطوة 3: استراتيجية الاستمرارية
تجيب الاستراتيجية عن سؤال "ماذا نفعل عندما يقع ذلك؟" لكل سيناريو ذي أولوية. تشمل الخيارات النموذجية:
- التكرار (Redondance): مضاعفة الأنظمة الحاسمة (اتصال إنترنت مزدوج، خوادم احتياطية)
- الانكفاء (Repli): تحديد موقع عمل بديل (العمل عن بعد، موقع ثانوي، فضاء عمل مشترك)
- الإسناد الخارجي (Externalisation): إسناد الوظائف الحاسمة إلى مقدم خدمة قادر على استيعاب الحمولة
- الإجراءات المتدهورة: تحديد كيفية العمل يدوياً إذا كانت الأدوات المعلوماتية غير متوفرة
الخطوة 4: تحرير الخطة
خطة استمرارية الأعمال وثيقة عملياتية، وليست تقريراً للإدارة. يجب أن تُحرَّر للأشخاص الذين سيستعملونها تحت الضغط، أثناء أزمة. الممارسات الجيدة:
- بطاقات ردود فعل حسب السيناريو، لا فقرات نصية
- لوائح اتصال محيّنة (فريق الأزمة، الموردون، مقدمو الخدمات، السلطات)
- إجراءات خطوة بخطوة، مرقّمة، دون التباس
- أشجار قرار للاختيارات الحاسمة
- لوحة قيادة للأزمة لمتابعة تقدم الاستعادة
الخطوة 5: الاختبارات والتمارين
الخطة غير المُختبَرة هي خطة تفشل عند أول حادث حقيقي. توجد ثلاثة مستويات من الاختبارات، من الأقل إرباكاً إلى الأكثر واقعية:
- اختبار على الطاولة (tabletop exercise): اجتماع يؤدي فيه فريق الأزمة سيناريو افتراضياً، ويحدد الثغرات، دون المساس بأي شيء في الأنظمة
- اختبار تقني جزئي: نُفعّل فعلياً إجراء التحول على مكوّن واحد (اختبار استعادة النسخ الاحتياطية، التحول إلى موقع الطوارئ)
- اختبار بالحجم الطبيعي (محاكاة كاملة): تتصرف المقاولة كما لو أن الحادث وقع فعلاً
بالنسبة للمقاولات الصغرى والمتوسطة، اختبار سنوي على الطاولة هو الحد الأدنى. أما اختبار تقني لاستعادة النسخ الاحتياطية فينبغي أن يكون فصلياً.
الخطوة 6: الصيانة والتحديث
تصبح خطة استمرارية الأعمال متقادمة بمجرد تغيّر المقاولة. برنامج جديد، مقدم خدمة جديد، انتقال، نمو الفريق: كل تغيير جوهري يجب أن يُفعّل تحديثاً للخطة. يُنصح بمراجعة رسمية سنوية، مع مصادقة من طرف الإدارة.
بحاجة إلى مرافقة؟
اترك معلوماتك وسيتواصل معك خبير من RMG Solutions خلال 24 ساعة.
المكونات الخمسة لخطة استعادة نشاط معلوماتية
تُبنى خطة استعادة النشاط حول خمسة عناصر تقنية يجب على كل مقاولة صغرى أو متوسطة أن توثّقها وتختبرها.
1. النسخ الاحتياطي للبيانات
هذا هو الأساس، وغالباً ما يُنجَز بشكل سيئ. استراتيجية نسخ احتياطي جيدة تتبع قاعدة 3-2-1:
- 3 نسخ من البيانات (الإنتاج + نسختان احتياطيتان)
- دعامتان مختلفتان (قرص محلي وسحابة، مثلاً)
- نسخة واحدة خارج الموقع (يتعذر الوصول إليها من الشبكة الرئيسية للمقاولة)
هذا الشرط الأخير مهم بشكل خاص للحماية من برامج الفدية: إذا كانت نسخكم الاحتياطية على قرص شبكي متصل بخادمكم، فإن برنامج الفدية يشفّرها هي أيضاً. أما نسخة مفصولة مادياً أو مستضافة على خدمة سحابية بمصادقة متعددة العوامل فهي في مأمن.
2. البنية التحتية البديلة
البنية التحتية البديلة هي البيئة التي نتحول إليها عندما يكون النظام الرئيسي خارج الخدمة. حسب مستوى الحماية المرغوب، يمكن أن تكون:
- خادم احتياطي داخل المقر (local failover)
- خادم مستضاف لدى مقدم خدمة خارجي (مركز بيانات ثانوي)
- بنية تحتية سحابية مُهيّأة لاستيعاب الإنتاج في بضع دقائق
أصبح خيار السحابة الهجينة الأكثر متاحاً للمقاولات الصغرى والمتوسطة المغربية: تكاليف الدخول متحكم فيها، وموردون مثل Azure وAWS أو مراكز البيانات المغربية المعتمدة (TIER III) يقدمون اتفاقيات مستوى خدمة (SLA) متوافقة مع أهداف استعادة صارمة. يمكن لمقدم خدمة البنية التحتية المعلوماتية تصميم هذه البنية مع مراعاة الإكراهات المالية والتنظيمية الخاصة بالمغرب.
3. إجراءات الاستعادة
تحدد الإجراءات، خطوة بخطوة، كيفية استعادة كل نظام حاسم. يجب أن تُكتب بتفصيل كافٍ ليتمكن تقني لم يشتغل قط على النظام من تنفيذها, لأنه أثناء حادث كبير، قد يكون المسؤول المعتاد هو نفسه غير متوفر.
يجب أن يحدد كل إجراء المتطلبات المسبقة، والخطوات بالترتيب، والاختبارات الواجب إنجازها للتحقق من الاستعادة، وجهات الاتصال الواجب إخبارها عند كل مرحلة.
4. RTO وRPO
هما المؤشران الرئيسيان لأي خطة استعادة نشاط. يستحقان شرحاً واضحاً.
RTO (Recovery Time Objective) هو المدة القصوى التي يمكن أن يبقى خلالها النظام غير متوفر قبل أن يصبح الأثر غير مقبول. إنه مدى تحمّلكم للانقطاع. RTO قدره 4 ساعات يعني أن أنظمتكم يجب أن تكون عملياتية في أقل من 4 ساعات بعد تفعيل خطة استعادة النشاط.
RPO (Recovery Point Objective) هو الكمية القصوى من البيانات التي تقبلون فقدانها. يُعبَّر عنه بمدة زمنية: RPO قدره 24 ساعة يعني أنكم تقبلون فقدان بيانات آخر 24 ساعة في حال وقوع كارثة. وهذا يحدد مباشرة وتيرة نسخكم الاحتياطية: إذا كان RPO الخاص بكم هو 4 ساعات، فيجب أن تنسخوا احتياطياً كل 4 ساعات على الأكثر.
| الملف | RTO النموذجي | RPO النموذجي | البنية التحتية اللازمة |
|---|---|---|---|
| مقاولة صغرى جداً تجارة/خدمة | 24-48 ساعة | 24 ساعة | نسخ احتياطي سحابي يومي |
| مقاولة صغرى ومتوسطة صناعة/توزيع | 4-8 ساعات | 4-8 ساعات | نسخ احتياطي آلي + خادم بديل |
| مقاولة متوسطة أو قطاع مالي | 1-2 ساعة | 1 ساعة | نسخ متزامن في الوقت الفعلي + مركز بيانات ثانوي |
| متعهد حيوي | < 15 دقيقة | ~0 (RPO منعدم) | عنقود عالي التوفر |
يجب تحديد هذه الأهداف قبل اختيار الحلول التقنية، لا بعده. إنه خطأ متكرر: نشتري الأدوات أولاً، ثم ندرك أنها لا تتيح بلوغ RTO/RPO اللازمين فعلاً.
5. اختبارات الاستعادة
القاعدة الذهبية: إذا لم تختبروا نسخكم الاحتياطية، فليست لديكم نسخ احتياطية. ملف نسخ احتياطي تالف أو سيّئ الإعداد لا ينفع في شيء أثناء حادث. يجب أن تشمل الاختبارات استعادة كاملة في بيئة معزولة، مع التحقق من أن البيانات سليمة فعلاً ومن أن التطبيقات تشتغل بشكل صحيح.
اختبار فصلي للاستعادة في بيئة اختبار هو ممارسة دنيا معقولة لمقاولة صغرى أو متوسطة. بالنسبة لـالخدمات المُدارة التي تشمل الإشراف على النسخ الاحتياطية، غالباً ما تكون هذه الاختبارات مؤتمتة وموثقة في تقارير شهرية.
كم تكلّف عملية تنفيذ خطة استمرارية الأعمال/استعادة النشاط؟
تعكس الأسعار أدناه السوق المغربية في 2026. تختلف حسب تعقيد نظام المعلومات، وعدد المواقع، ومستوى الاعتماد المستهدف.
تكاليف الانطلاق (مهمة استشارية + تنفيذ تقني)
| الملف | خطة استمرارية الأعمال (استشارة + تحرير) | خطة استعادة النشاط (تقنية) | المجموع المقدَّر |
|---|---|---|---|
| مقاولة صغرى جداً (أقل من 10 مستخدمين) | 15 000 - 30 000 درهم | 10 000 - 25 000 درهم | 25 000 - 55 000 درهم |
| مقاولة صغرى ومتوسطة (10 إلى 50 مستخدماً) | 30 000 - 60 000 درهم | 25 000 - 50 000 درهم | 55 000 - 110 000 درهم |
| مقاولة متوسطة (50 إلى 200 مستخدم) | 60 000 - 120 000 درهم | 50 000 - 100 000 درهم | 110 000 - 220 000 درهم |
تفترض هذه المجالات نظام معلومات ذا تعقيد معياري (دون تطويرات مخصصة بشدة، دون نسخ متزامن بين 3 مواقع أو أكثر). المشاريع ذات أنظمة تخطيط موارد المؤسسة (ERP) المُعدَّة بقوة أو ذات الإكراهات التنظيمية القطاعية الخاصة (البنك، التأمين) تكون عموماً في المجال الأعلى.
التكاليف المتكررة السنوية
إلى جانب التنفيذ الأولي، تولّد خطة استمرارية الأعمال/استعادة النشاط تكاليف سنوية يجب رصدها في الميزانية.
| البند | التكلفة السنوية المقدَّرة |
|---|---|
| استضافة البنية التحتية البديلة (سحابة أو مركز بيانات) | 12 000 - 60 000 درهم/سنة |
| اختبار سنوي بالحجم الطبيعي (محاكاة أو اختبار تقني) | 8 000 - 25 000 درهم |
| تحديث الوثائق (مراجعة سنوية للخطة) | 5 000 - 15 000 درهم |
| تكوين وتوعية فريق الأزمة | 5 000 - 12 000 درهم |
| المجموع المتكرر المقدَّر (مقاولة صغرى ومتوسطة) | 30 000 - 112 000 درهم/سنة |
بالنسبة لمقاولة صغرى أو متوسطة من 30 شخصاً، يتراوح الاستثمار الإجمالي على مدى 3 سنوات (التنفيذ + سنتان من الصيانة) بين 115 000 و330 000 درهم. مقارنة بالتكلفة المتوسطة لهجوم سيبراني المقدَّرة بـ 2,3 مليون درهم، فالحساب مباشر إلى حد كبير.
استضافة البنية التحتية البديلة والإشراف على خطة استعادة النشاط يُسندان عملياً في الغالب إلى مقدم خدمة التدبير المفوّض للمعلوميات. يتيح حاسبة تكلفة التدبير المفوّض للمعلوميات الخاصة بنا تقدير الميزانية الشهرية المطابقة لنطاقكم في 30 ثانية.
اعتماد ISO 22301: تكلفة إضافية
إذا كانت المقاولة تستهدف اعتماد ISO 22301، فيجب رصد ميزانية إضافية من 60 000 إلى 150 000 درهم للتحضير (تحليل الفجوة، التوثيق الرسمي، التدقيق الداخلي) ولمصاريف تدقيق الاعتماد من طرف هيئة معتمدة. هذا الاستثمار وجيه خصوصاً بالنسبة للمقاولات المتوسطة، ومناولي المجموعات الكبرى، والمقاولات المصدِّرة نحو أسواق تشترط هذا الاعتماد.
بدون خطة استمرارية أعمال/استعادة نشاط
- برنامج الفدية: كل شيء مُشفَّر، بما في ذلك النسخ الاحتياطية
- عطل الخادم يوم الاثنين: 48 ساعة توقف كحد أدنى
- لا أحد يعرف ماذا يفعل ولا من يتصل به
- بيانات مفقودة منذ آخر نسخة احتياطية يدوية (3 أسابيع)
- التكلفة الإجمالية المقدَّرة: 300 000 إلى 1 200 000 درهم
مع خطة استمرارية أعمال/استعادة نشاط
- برنامج الفدية: التحول إلى نسخ احتياطية غير متصلة في 4 ساعات
- عطل الخادم: الانكفاء على بنية تحتية للطوارئ في ساعتين
- الخطة مُفعَّلة في 15 دقيقة: الأدوار محددة، جهات الاتصال معروفة
- فقدان البيانات 4 ساعات كحد أقصى بفضل النسخ الاحتياطية الآلية
- التكلفة الإجمالية للحادث: 20 000 إلى 50 000 درهم
خطة استمرارية الأعمال/استعادة النشاط: أخطاء متكررة يجب تفاديها
1. الخطة لم تُختبر قط
هذا هو الخطأ الأكثر انتشاراً بفارق كبير. مقاولات صغرى ومتوسطة تنفق عشرات الآلاف من الدراهم لتحرير خطة استمرارية أعمال، ثم تضعها في درج (أو ملف شبكي)، وتكتشف أثناء حادث حقيقي أن الإجراءات ناقصة، وأن جهات الاتصال تغيرت، وأن النسخ الاحتياطية لا تُستعاد بشكل صحيح. الخطة غير المُختبَرة تمنح شعوراً زائفاً بالأمان، وهو ما يكون أحياناً أسوأ من غياب أي خطة على الإطلاق.
2. الوثائق متقادمة
حُرِّرت خطة استمرارية الأعمال منذ ثلاث سنوات. ومنذ ذلك الحين، غيّرت المقاولة خادم تخطيط موارد المؤسسة (ERP)، ووظّفت مسؤول معلوميات، وفتحت موقعاً جديداً، وغيّرت المستضيف. تصف الخطة بنية تحتية لم تعد موجودة. يجب أن يكون تحديث خطة استمرارية الأعمال/استعادة النشاط مساراً مستمراً، يُفعَّل آلياً بأي تغيير جوهري في نظام المعلومات.
3. تجاهل الموردين الحاسمين
كثير من المقاولات الصغرى والمتوسطة تركز على أنظمتها الخاصة وتنسى أن نشاطها يعتمد أيضاً على مقدمي خدمات خارجيين. نظام تخطيط موارد مؤسسة مستضاف لدى ناشر SaaS، اتصال إنترنت عبر متعهد وحيد، تسليمات يؤمّنها ناقل وحيد: كل نقطة من نقاط الإخفاق الوحيدة هذه يجب تحديدها ويجب أن يكون لها بديل موثّق.
4. RTO وRPO غير واقعيين
تحديد RTO قدره 30 دقيقة دون الاستثمار في بنية تحتية عالية التوفر يعني منح النفس انطباعاً بالحماية دون أن تكون محمياً فعلاً. يجب أن تكون أهداف الاستعادة معايَرة على الوسائل المنشورة فعلاً. يتيح تدقيق تقييم المخاطر تحديد أهداف متسقة مع الميزانية المتاحة والمسارات الحاسمة فعلاً.
5. غياب التواصل في الأزمة
عند وقوع حادث، تحتاج مجموعتان إلى معلومات سريعة: الفريق الداخلي (من يفعل ماذا، أين، وبأي أدوات طوارئ) والأطراف المعنية الخارجية (زبناء ينتظرون التسليمات، موردون ينتظرون المدفوعات، شركاء يعتمد نشاطهم على نشاطكم). خطة استمرارية أعمال بدون خطة تواصل في الأزمة تترك هؤلاء الأشخاص في فراغ وتضخّم الأثر التجاري للحادث.
6. الإدارة غير منخرطة
خطة استمرارية الأعمال ليست مشروعاً معلوماتياً. إنها مشروع مقاولة. إذا حملها مسؤول المعلوميات وحده دون تفويض من الإدارة، فستكون ناقصة التمويل، وناقصة التحجيم، وقراراتها (الاستثمار في بنية تحتية بديلة، ميزانية للاختبارات) سيصعب المصادقة عليها عندما يحين الوقت.
مقاربة RMG Solutions
خطة استمرارية أعمالكم/استعادة نشاطكم لا تساوي شيئاً إذا لم تكن بنيتكم التحتية موثوقة. هذه هي مشكلة الاستشاريين الذين يحررون خططاً لأنظمة لا يدبّرونها: يوم الحدث، تصف الخطة بيئة لا يتحكمون فيها. في RMG Solutions، نبني البنية التحتية (الخوادم، النسخ الاحتياطية، السحابة الهجينة) ونحرّر الخطة. خطة استعادة نشاطكم مسنودة إلى بنية تحتية نعرفها خادماً بخادم، لأننا نحن من نشرها ونشرف عليها.
نحن الشريك المعلوماتي الوحيد بالمغرب الذي يغطي البنية التحتية والأمن السيبراني والحوكمة وإدارة المخاطر والامتثال (GRC) تحت سقف واحد. عملياً: نسخكم الاحتياطية غير المتصلة، وموقع انكفائكم السحابي، وتجزئة شبكتكم، وخطتكم الوثائقية تدبّرها نفس الفرقة. لا فجوة بين استشاري خطة استمرارية الأعمال ومقدم خدمة البنية التحتية: تلك الفجوة هي بالضبط حيث تتحول الحوادث إلى كوارث.
مقرنا بحي الرياض (الرباط)، ونتدخل في نفس اليوم بعين المكان. الخطوة الأولى: تدقيق مجاني مدته 30 دقيقة لتقييم نضج خطة استمرارية أعمالكم/استعادة نشاطكم الحالية وتحديد الثغرات الحاسمة. اتصلوا بنا لبرمجة التدقيق الخاص بكم.
أسئلة متكررة
ما هو الفرق الملموس بين خطة استمرارية الأعمال وخطة استعادة النشاط؟
تنظّم خطة استمرارية الأعمال (PCA) الطريقة التي تحافظ بها المقاولة على عملياتها الأساسية أثناء أزمة، بجميع الأقسام مجتمعة. أما خطة استعادة النشاط (PRA) فهي مكوّنها التقني: تحدد كيفية استعادة الأنظمة المعلوماتية والبيانات بعد انقطاع. باختصار، تجيب خطة استمرارية الأعمال عن "كيف نعمل أثناء الأزمة" وتجيب خطة استعادة النشاط عن "كيف نستعيد الأدوات بعد الأزمة". الاثنتان ضروريتان ومتكاملتان.
هل مقاولتي مُلزَمة قانونياً بأن تكون لديها خطة استمرارية أعمال بالمغرب؟
لا ينطبق الالتزام القانوني الرسمي حالياً إلا على مؤسسات الائتمان (بنك المغرب)، وشركات التأمين (ACAPS)، ومتعهدي البنيات التحتية ذات الأهمية الحيوية المعيّنين من طرف الدولة (القانون 05-20). أما بالنسبة للمقاولات الصغرى والمتوسطة في القطاعات الأخرى، فلا يوجد التزام مباشر. غير أن بعض طلبات العروض العمومية أو العقود مع مقاولات كبرى أو شركاء أجانب تشترط بشكل متزايد خطة استمرارية أعمال موثقة أو اعتماد ISO 22301.
ما هما RTO وRPO وكيف أحددهما لمقاولتي؟
RTO (Recovery Time Objective) هو المدة القصوى التي تقبلون خلالها أن تكون أنظمتكم غير متوفرة. أما RPO (Recovery Point Objective) فهو كمية البيانات التي تقبلون فقدانها، مُعبَّراً عنها بمدة زمنية (مثال: RPO قدره 4 ساعات يعني أنكم تقبلون فقدان 4 ساعات من المعاملات كحد أقصى). لتحديدهما، المقاربة الجيدة هي البدء بتحليل الأثر على النشاط (BIA): حددوا مساراتكم الحاسمة وقدّروا تكلفة انقطاعها ساعة بساعة. يتيح ذلك تحديد أهداف واقعية وتخصيص الميزانية المطابقة.
كم من الوقت يلزم لتنفيذ خطة استمرارية أعمال/استعادة نشاط في مقاولة صغرى أو متوسطة مغربية؟
بالنسبة لمقاولة صغرى أو متوسطة من 10 إلى 50 مستخدماً بنظام معلومات معياري، فالأجل الواقعي هو 3 إلى 6 أشهر من الانطلاق إلى أول اختبار كامل. تدوم مرحلة تحليل الأثر (BIA) وتقييم المخاطر عموماً 3 إلى 6 أسابيع. أما تحرير الخطة والتنفيذ التقني فيمثلان 6 إلى 12 أسبوعاً إضافياً. مرحلة الاختبارات والتعديلات تُكمل المشروع. مشاريع أكثر تعقيداً (عدة مواقع، نظام تخطيط موارد مؤسسة مخصص بقوة، قطاع منظَّم) قد تستغرق 9 أشهر.
هل يمكن إنجاز خطة استمرارية أعمال/استعادة نشاط دون استشاري خارجي؟
تقنياً نعم، لكن ذلك نادراً ما يكون فعالاً. المقاولات الصغرى والمتوسطة التي تحاول بناء خطة استمرارية أعمالها داخلياً تنتج غالباً وثائق ناقصة تطمئن دون أن تحمي فعلاً. الصعوبات الرئيسية هي: تحليل الأثر على النشاط يتطلب منهجية مهيكلة للموضوعية بشأن مسارات المقاولة الخاصة، والاختبارات تكشف ثغرات تستدعي نظرة خارجية، والوثائق يجب أن تستجيب لمعايير دقيقة إذا كان عليها أن تخدم اعتماداً أو تطمئن مدققاً. الاستشاري الخارجي يجلب المنهج والموضوعية. والمقاولة تجلب معرفة عملياتها الخاصة. الاثنان ضروريان.
ما هي الوتيرة الدنيا لاختبار خطة استمرارية الأعمال؟
يوصي معيار ISO 22301 باختبارات منتظمة دون تحديد وتيرة دنيا مطلقة. عملياً، الحد الأدنى المعقول لمقاولة صغرى أو متوسطة هو اختبار على الطاولة (محاكاة في اجتماع) مرة في السنة، واختبار تقني لاستعادة النسخ الاحتياطية كل فصل. أما المحاكاة بالحجم الطبيعي فينبغي إنجازها مرة كل سنتين على الأقل. وبعد كل تعديل جوهري للبنية التحتية أو بعد حادث حقيقي، يجب تفعيل اختبار للتحقق.
كيف تتمفصل خطة استمرارية الأعمال/استعادة النشاط مع مسعى ISO 22301؟
يحدد معيار ISO 22301 نظام تدبير استمرارية الأعمال (SMCA), إطاراً كاملاً يشمل خطة استمرارية الأعمال وخطة استعادة النشاط لكنه يتجاوزهما. يقتضي على الخصوص سياسة استمرارية رسمية، وحوكمة محددة، ومسار مراجعة من طرف الإدارة، وتحسيناً مستمراً موثقاً. خطة استمرارية أعمال/استعادة نشاط مصممة جيداً هي الأساس الذي يُبنى عليه اعتماد ISO 22301: حوالي 60 إلى 70 % من العمل الأولي قابل لإعادة الاستعمال. بالنسبة للمقاولات الصغرى والمتوسطة غير المعرَّضة لمتطلبات اعتماد، يبقى تطبيق منهج ISO 22301 دون استهداف الاعتماد وجيهاً لأنه يفرض صرامة تتفادى الخطط الشكلية.
بقلم RMG Solutions
شريك Odoo معتمد | الأمن السيبراني | البنية التحتية | الحوكمة والمخاطر والامتثال
آخر تحديث : April 30, 2026