تدريب المدقق الرئيسي ISO 37001: قيادة فريق التدقيق وتوزيع البنود وإدارة الوقت

أصعب ما في التدقيق ليس قراءة المعيار. أصعب ما فيه أن تقف أمام فريق من ثلاثة مدققين صباح الاثنين، وأمامك خمسة أيام في موقع لا تعرفه، وعليك أن تقرّر من يذهب إلى أين، ومتى، وبأي دليل يعود. هذا بالضبط ما يتمرّن عليه المشاركون في تدريب المدقق الرئيسي ISO 37001: توزيع بنود المعيار على أشخاص حقيقيين، وبناء جدول زمني يصمد، ثم إنقاذ ذلك الجدول حين يتأخر ويتعثر. الدورة تمتد خمسة أيام بواقع 40 ساعة تدريب، وهي مبنية حول قاعة عمل لا حول عرض شرائح.

ما هو تدريب المدقق الرئيسي، وبماذا يختلف عن دورة المدقق الداخلي؟

الفارق بين الدورتين ليس فارق مدة فحسب. دورة المدقق الداخلي تُعدّك لتدقيق مؤسستك أنت: تعرف الأشخاص، وتعرف أين تُحفظ السجلات، وتستطيع أن تعود غداً لتسأل سؤالاً نسيته. أما دورة المدقق الرئيسي ISO 37001 فتُعدّك لتدقيق مؤسسات أخرى، بصفتك ضيفاً لديه وقت محدود وصلاحية محدودة وفريق ينتظر توجيهك.

لهذا السبب يقوم تدريب المدقق الرئيسي ISO 37001 على منهجية التدقيق نفسها التي تقوم عليها برامج المدققين الرئيسيين الأخرى، مع خصوصية كاملة في نوع المخاطر ونوع الأدلة.

هذا التحوّل يغيّر طريقة العمل كلها. عليك أن تخطط قبل الوصول، وتقود اجتماع الافتتاح، وتوزّع النطاق على من معك، وتحكم على كفاية أدلة يجمعها غيرك، وتكتب نتائج تصمد أمام الاعتراض، ثم تعرض تقريراً واضحاً في اجتماع الختام. من يريد تدقيق مؤسسته وحدها قد يكفيه مسار تأهيل المدققين الداخليين، ومن يريد قيادة فرق خارجية يحتاج إلى الأسبوع الكامل.

المعيار الذي ستقوده: ISO 37001:2025 ونظام إدارة مكافحة الرشوة

ISO 37001 هو المعيار الدولي لـنظام إدارة مكافحة الرشوة. الإصدار الحالي هو ISO 37001:2025، وقد صدر في فبراير 2025 ليحلّ محل إصدار 2016. الشهادات الصادرة وفق إصدار 2016 لها موعد انتقال ينتهي في 28 فبراير 2027، وهذا وحده سبب كافٍ ليعرف رئيس الفريق ما الذي تغيّر بالضبط.

المعيار يعالج الرشوة في أربعة اتجاهات: رشوة تقوم بها المؤسسة نفسها، ورشوة يقوم بها العاملون لديها، ورشوة يقوم بها شركاء أعمال يتصرفون نيابة عنها، ورشوة تُوجَّه إلى المؤسسة. حين توزّع البنود على فريقك، ستكتشف بسرعة أن هذه الاتجاهات الأربعة لا تعيش في بند واحد، بل تتوزّع على تقييم المخاطر والعناية الواجبة والضوابط المالية وغير المالية وقنوات الإبلاغ.

ما الذي تغيّر في إصدار 2025

• انتقل المعيار إلى البنية المنسّقة المشتركة بين معايير نظم الإدارة.
• استُبدل مصطلح «أصحاب المصلحة» بمصطلح «الأطراف المعنية».
• البندان 4.1 و4.2 يتطلبان الآن أخذ تغيّر المناخ في الاعتبار عند تحديد السياق والأطراف المعنية.
• البند 5.1.3 يجعل ثقافة مكافحة الرشوة متطلباً صريحاً، لا نتيجة ضمنية.
• البند 7.2.2 يضيف التوعية بتضارب المصالح إلى عمليات التوظيف.
• دور وظيفة الامتثال لمكافحة الرشوة واستقلاليتها صارا مذكورين بوضوح أكبر.
• البند 8.4 يضيف عمليات الاندماج والاستحواذ ضمن الضوابط غير المالية.
• أُعيد ترتيب البند 10: التحسين المستمر في 10.1، وعدم المطابقة والإجراء التصحيحي في 10.2.

هذه التغييرات ليست معلومات تُحفظ للامتحان. البند 5.1.3 مثلاً يغيّر أسلوب المقابلة: الثقافة لا تُثبت بسجل واحد، بل بشهادات متقاطعة من مستويات مختلفة. وهذا يستهلك وقتاً، فاحجز له مساحة في الجدول منذ البداية.

كيف توزّع بنود المعيار على الفريق قبل الوصول إلى الموقع؟

في اليوم الثاني من الدورة نضع أمام كل مجموعة نطاق تدقيق افتراضياً ومصفوفة فارغة. المهمة بسيطة الوصف صعبة التنفيذ: وزّع بنود ISO 37001 على ثلاثة مدققين خلال يومين ميدانيين، وحدّد لكل بند الدليل الذي تتوقع أن يعود به المدقق.

الخطأ الأول هو التوزيع بالتساوي. عدد البنود ليس مقياساً للجهد. البند 4 قد يُغلق في جلسة واحدة مع الإدارة العليا، بينما البند 8 وحده قد يستهلك يوماً كاملاً لأنه يمتد على المشتريات والعقود والهدايا والتبرعات والعناية الواجبة. الخطأ الثاني تجاهل الجغرافيا: مدقق ينتقل بين مبنيين يخسر ساعة لا تظهر في أي مصفوفة.

الخطأ الثالث وهو الأخطر: توزيع البنود دون كتابة الدليل المتوقع. حين لا يعرف المدقق ما الذي يبحث عنه، يعود بأوراق كثيرة وبنتيجة غامضة. عمود «الدليل المتوقع» هو ما يحوّل التوزيع إلى خطة عمل. وتجد نظرة أوسع على تسلسل العمل في شرح إجراءات تدقيق الأيزو.

هذه المصفوفة مخرج تمرين في القاعة، لا قالب يُنسخ. كل مجموعة تخرج بتوزيع مختلف ثم تدافع عنه أمام بقية المجموعات. الدفاع عن الاختيار جزء من التدريب بقدر الاختيار نفسه.

كيف يُقسَّم اليوم الميداني في جدول التدقيق؟

بعد التوزيع يأتي الجدول. نبنيه بوحدات لا تقل عن نصف ساعة ولا تزيد عن تسعين دقيقة، مع فواصل حقيقية بين الجلسات. من يبني جدولاً متلاصقاً يكتشف في المحاكاة أن أول تأخير بسيط يهدم كل ما بعده.

هناك ثلاث قواعد نكررها طوال الأسبوع:

• الجلسات الحرجة أولاً. المقابلات مع الإدارة العليا ووظيفة الامتثال لا تُؤجَّل إلى اليوم الأخير. إذا سقطت هذه الجلسة، سقط معها جزء من الحكم على البندين 5.1.3 و5.3.2.
• احجز وقتاً للورق. تدقيق السجلات ليس نشاطاً يُنجز في الطريق. خصّص له وحدات مستقلة في الجدول.
• اترك 15 في المئة احتياطياً. الاحتياطي ليس ترفاً؛ إنه الفرق بين تعديل الجدول وبين إعادة كتابته.

ونعرض كيف يُصاغ الجدول بلغة يفهمها المدقَّق عليه. جدول يكتفي بعبارة «تدقيق البند 8» يدفع المؤسسة إلى إحضار عشرة أشخاص لا يعرف أحدهم لماذا حضر. الجدول الجيد يسمّي النشاط والوظيفة والمدة.

ماذا يفعل رئيس الفريق حين يتأخر الفريق عن الجدول؟

كل تدقيق يتأخر. السؤال ليس كيف تمنع التأخير، بل ما الذي تتخلى عنه حين يقع. هذا هو التمرين المحوري في اليوم الثالث: نعطي كل مجموعة موقفاً وسط اليوم — تأخر شاهد رئيسي، أو ملفات غير جاهزة، أو مقابلة تجاوزت وقتها بالضعف — ونطلب قراراً خلال عشر دقائق.

والقرار يميّز بين ثلاثة: ما يمكن تقليصه دون أن يتأثر الحكم، وما يمكن تأجيله إلى الغد، وما لا يجوز إسقاطه لأن إسقاطه يعني أن التدقيق لم يغطِّ نطاقه.

والقاعدة التي نغرسها: أي تعديل على الجدول يُبلَّغ فوراً ولا يُبتلع بصمت. المدقَّق عليه الذي يُفاجأ في اجتماع الختام بأن نصف اليوم الثاني لم يُنفَّذ سيفقد الثقة في التقرير كله، ولو كانت النتائج صحيحة.

كيف تجمع نتائج فريق كامل في جلسة نهاية اليوم؟

ثلاثون دقيقة في نهاية كل يوم ميداني تساوي ساعتين في نهاية الأسبوع. نتمرّن على هذه الجلسة بصيغة ثابتة: كل مدقق يعرض ما أنجزه وما لم ينجزه والنتائج المحتملة والأدلة الناقصة. ثم يقرر رئيس الفريق ثلاثة أمور: ما يُثبَّت كنتيجة، وما يحتاج دليلاً إضافياً، وكيف يتغيّر جدول الغد.

وأصعب ما يجده المشاركون هو ردّ النتيجة إلى صاحبها. حين يعرض مدقق نتيجة مبنية على انطباع لا على دليل، يرفضها رئيس الفريق الآن لا في اجتماع الختام أمام المدقَّق عليه. نتدرّب على صياغة الرفض بلغة لا تُضعف المدقق ولا تُمرّر نتيجة هشّة. هذه مهارة قيادة قبل أن تكون مهارة تدقيق.

ما الأدلة التي يقبلها رئيس الفريق، وما الذي يعيده؟

النتيجة التي لا تصمد هي التي تفتقد أحد ثلاثة عناصر: البند المرجعي، ووصف الوضع الملاحَظ، والدليل الموضوعي. نقضي وقتاً طويلاً على تحويل عبارات فضفاضة إلى نتائج قابلة للدفاع.

مثال نستخدمه: «التوعية بمكافحة الرشوة ضعيفة» ليست نتيجة. النتيجة أن سجلات التدريب لعيّنة من موظفي وظيفة عالية المخاطر لا تُظهر تغطية خلال الفترة المحددة في خطة التوعية، خلافاً للبند 7.3. الفرق بين الصيغتين هو الفرق بين تقرير يُقبل وتقرير يُردّ.

ونتعامل مع التصنيف: متى تكون الحالة عدم مطابقة كبرى، ومتى صغرى، ومتى تُسجَّل فرصة تحسين. لا توجد معادلة، لكن توجد أسئلة منهجية نتمرّن عليها بحالات متدرجة.

ماذا يتضمن أسبوع الدورة: 40 ساعة وتقييم مستمر وامتحان ختامي؟

تدريب المدقق الرئيسي ISO 37001 مكثّف بطبيعته. خمسة أيام متتالية بواقع 40 ساعة، وأغلب الوقت في تمارين مجموعات ولعب أدوار ومحاكاة موقع. الجزء النظري مضغوط، لأن المشارك يقرأ نص المعيار بنفسه ولا يستطيع أن يتمرّن على قيادة فريق وحده.

اليوم الأول يؤسّس: مبادئ التدقيق، مصطلحات ISO 37001:2025، ومنهجية جمع الأدلة. اليوم الثاني للتخطيط والتوزيع وبناء الجدول. اليوم الثالث للتنفيذ الميداني المحاكى ولإدارة التأخير. اليوم الرابع للنتائج والتقرير واجتماع الختام. اليوم الخامس لمراجعة المتابعة والإغلاق، ثم الامتحان الكتابي.

والتقييم ليس امتحاناً واحداً في النهاية. هناك تقييم مستمر طوال الأسبوع: كيف توزّع البنود، وكيف تدير جلسة، وكيف تصوغ نتيجة، وكيف تتصرف حين يتأخر فريقك. يضاف إليه امتحان كتابي في اليوم الأخير يغطي المعيار ومنهجية التدقيق وقيادة الفريق. والتمارين اليومية هي التحضير الفعلي له.

ما صيغ الحضور المتاحة: قاعة، أو افتراضي، أو دراسة ذاتية؟

تتوفر الدورة بثلاث صيغ، وكلها تحمل المحتوى نفسه:

• حضورياً في قاعة تدريب بأحد مراكز IAS، أو داخل مقر مؤسستك إذا كان لديك فريق كامل يحتاج التأهيل. الصيغة الداخلية تسمح بتكييف أمثلة التمارين على قطاعك.
• افتراضياً بقيادة مدرب عبر مؤتمرات الويب، بالجلسات والتمارين نفسها وبغرف فرعية للمجموعات.
• دراسة ذاتية مع إتاحة للمادة لمدة 30 يوماً، وهي الأنسب لمن لا يستطيع تفريغ خمسة أيام متتالية. يمكنك استعراض منصة الدورات عبر بوابة التعلّم الإلكتروني.

الصيغة الافتراضية تحتاج انضباطاً أكبر في إدارة الوقت، وهذا مناسب لموضوع الدورة تحديداً. من يدير غرفة فرعية بجدول محدد يتمرّن على المهارة نفسها التي سيحتاجها في الموقع.

هل تحتاج إلى خبرة تدقيق سابقة؟

لا. لا تُشترط خبرة تدقيق سابقة للالتحاق. ما نوصي به إلمام مسبق بنص ISO 37001:2025، لأن من يفتح المعيار لأول مرة في القاعة يقضي اليوم الأول في اللحاق بغيره.

والمشاركون عادةً من مسؤولي الامتثال، ومديري الجودة، والمدققين الداخليين، ومسؤولي المخاطر، والاستشاريين، ومن مسؤولي المشتريات وشؤون الموظفين الذين تمسّ أعمالهم ضوابط الرشوة. ومن اعتاد قيادة تدقيق وفق معيار آخر سيجد المنهجية مألوفة، ويحتاج فقط إلى استيعاب خصوصية مخاطر الرشوة. من هؤلاء من سبق أن أنهى دورة المدقق الرئيسي لنظام إدارة الجودة ISO 9001 أو تدريب المدقق الرئيسي لأمن المعلومات ISO 27001.

لمن تناسب هذه الدورة ولمن لا تناسب؟

من كانت حاجته تدقيق مؤسسته وحدها، فالمسار الأقصر هو تدريب المدقق الداخلي ISO 37001. أما من يبحث عن شهادة للمؤسسة لا تأهيل للفرد، فالمسار مختلف تماماً ويبدأ من شهادة ISO 37001 للمؤسسات، وتشرح خطوات منح الشهادة الفرق عملياً.

ما الشهادة التي تحصل عليها، وما لا تعنيه؟

عند إتمام الأسبوع واجتياز التقييم، تُصدر شهادة إتمام من IAS بالاشتراك مع EAS. الدورة تُقدَّم من IAS مع EAS تحت اعتماد IAS من UQAS، وهو اعتماد يغطي برامج التدريب إلى جانب أنشطة منح الشهادات.

ونلفت الانتباه إلى نقطة تنظيمية: الفريق الذي يدرّب منفصل عن الفريق الذي يدقّق. هذا الفصل متطلب حياد لا ترتيب إداري اختياري. وأي قول بأن حضور الدورة يسهّل شيئاً في مسار تدقيق أو منح شهادة لاحق قول غير صحيح.

وحتى لا يقع لبس، نقولها صراحة بلا تلميح:

• إتمام الدورة لا يجعلك مدققاً لدى IAS، ولا يمنحك تكليفاً بتنفيذ عمليات تدقيق نيابة عنها.
• إتمام الدورة لا يمنح شركتك شهادة ISO 37001. حضورك لا يُشهِد جهة العمل التي توظّفك، ولا يُدرجها في أي مسار شهادة، ولا يختصر عليها خطوة واحدة منه. شهادة المؤسسة تُمنح بعد تدقيق مستقل عليها هي، لا بعد تدريب موظف لديها.

الشهادة التي تخرج بها شهادة إتمام تدريب تخصّك أنت كفرد، وتوثّق أنك أكملت 40 ساعة وخضعت للتقييم.

ونضيف ما هو أوسع: حصول أي مؤسسة على شهادة وفق ISO 37001 لا يثبت أن الرشوة لم تحدث ولا يضمن أنها لن تحدث. المعيار يتعلق بوجود نظام إدارة معقول ومطبَّق ومُراقَب، لا بضمان النتائج. ورئيس الفريق الذي يفهم هذا الحد يكتب تقارير أدق ويعد المدقَّق عليه بأقل مما يعد به غيره.

لا ادّعاء بشأن الأنظمة المحلية

هذه الصفحة تتحدث عن معيار دولي وعن دورة تدريبية، لا عن أي متطلب نظامي في أي دولة. لا نذكر جهة رقابية، ولا نقول إن الدورة أو المعيار مطلوب أو مقبول من أي جهة رسمية في أي سوق. وإذا كان لديك التزام محدد في بلدك أو قطاعك، فالمرجع مستشارك القانوني والوثائق المعمول بها لديك، لا هذه الصفحة.

مسارات تدريبية قريبة

كثير ممن يحضرون هذا الأسبوع يقودون لاحقاً تدقيقات مدمجة على أكثر من معيار، وتجد الخريطة العامة في محفظة برامج التدريب على معايير الأيزو. ومن الروافد المفيدة تدريب المدقق الرئيسي للبيئة ISO 14001 لمن يعمل في قطاعات صناعية، ودورة المدقق الرئيسي لسلامة الغذاء ISO 22000 لمن يعمل في سلاسل الإمداد الغذائي.

ومن يهتم بجانب الجاهزية والاستمرارية يجد في تدريب المدقق الرئيسي لاستمرارية الأعمال ISO 22301 امتداداً منطقياً، بينما يتجه العاملون في المواقع التشغيلية إلى تدريب المدقق الرئيسي للصحة والسلامة ISO 45001. ومن يقود تدقيقات على أنظمة معلومات حساسة يفيده مسار تدقيق أمن المعلومات، إذ تتقاطع ضوابط الوصول والسجلات مع أدلة البند 8. والقائمة الكاملة في صفحة برامج المدققين الرئيسيين.