إدارة المخاطر واستمرارية التشغيل

الهيكل التنظيمي المعتمد للجهة (أ) موضّح فيه: الوحدة/الإدارة المطلوبة، موقعها في الهيكل، المسمى الوظيفي، ومحدودية الصلاحيات.

وثيقة معتمدة من الجهة (أ) تتضمن جميع العناصر المطلوبة:
- أ. مُعرِف الخطر.
- ب. مالك الخطر.
- ت. وصف الخطر.
- ث. الأسباب الجذرية والعواقب المترتبة على الخطر.
- ج. تقييم الخطر الكامن (الأثر الكامن، والاحتمالية الكامنة، ودرجة.
- ح. الضوابط المطبَّقة لتقليل أثر واحتمالية حدوث الخطر.
- خ. تقييم فعالية الضوابط المطبَّقة.
- د. تقييم الخطر المتبقي (درجة الخطورة الكامنة وفعالية الضوابط ال.
- ذ. إستراتيجية معالجة المخاطر.
- ر. خطط المعالجة المخطَّط تنفيذها للتعامل مع الخطر.
- ز. مالك خطط المعالجة للخطر.
- س. تاريخ انتهاء تنفيذ خطط المعالجة للخطر.
- ش. نسبة وحالة التنفيذ لخطط المعالجة للخطر.

خطة معتمدة بتوقيع المسؤول الأول للجهة (أ) تتضمن: الأهداف المرحلية، الجدول الزمني لكل مرحلة، الجهات والأشخاص المسؤولين، والميزانية المخصصة.

إستراتيجية إدارة المخاطر للجهة (أ) نسخة محدَّثة، تتضمن: رؤية ومبادئ إدارة المخاطر، منهجية تحديد وتقييم المخاطر، هيكل الأدوار والمسؤوليات، والأهداف القابلة للقياس. معتمدة من اللجنة التوجيهية ضمن دورة 2026.

وثيقة "رواد إدارة المخاطر" للجهة (أ)، تتضمن: قائمة رواد المخاطر المعيّنين في 12 إدارة (الاسم، الإدارة، مدة التعيين)، أدوارهم ومسؤولياتهم، وكيفية تفاعلهم مع فريق إدارة المخاطر المركزي. معتمدة ضمن دورة 2026.

وثيقة "آلية الإبلاغ عن المخاطر" للجهة (أ)، تتضمن: إجراءات الإبلاغ خطوة بخطوة، نموذج الإبلاغ الرسمي، قناة الإبلاغ الموحّدة، وجداول إشعارات الاستلام والمعالجة. معتمدة ضمن دورة 2026.

وثيقة "مستويات تقبل وتحمل المخاطر" للجهة (أ)، تُحدد: مصفوفة تقييم المخاطر (5×5) مع تعريف كل مستوى، حدود التقبل لكل نوع مخاطر (تشغيلية، مالية، تقنية، سمعة)، وإجراءات المعالجة الإلزامية عند تجاوز الحدود. معتمدة ضمن دورة 2026.

قرار تعيين الموظف المسؤول عن إدارة نظام المخاطر في الجهة (أ)، يُحدد: الاسم والمسمى الوظيفي، الأدوار والمسؤوليات التفصيلية، والجهة المُبلَّغ إليها. مؤرّخ ضمن دورة 2026.

وثيقة توثيق الأدوار والمسؤوليات لوحدة إدارة المخاطر في الجهة (أ)، تتضمن: الهيكل التنظيمي، وصف وظيفي تفصيلي لكل دور (مدير المخاطر، محلل المخاطر، رائد المخاطر)، وحدود الصلاحيات. معتمدة ضمن دورة 2026.

قرارات تعيين فريق إدارة المخاطر في الجهة (أ)، تتضمن أسماء الفريق (مدير + 4 محللين)، مسمياتهم، وأدوارهم في النظام. كل قرار موقّع من المسؤول الأول ضمن دورة 2026.

قرار رسمي معتمد برقم وتاريخ ضمن دورة 2026، موقّع من المسؤول الأول للجهة (أ) أو من يفوضه، محدداً نطاق التطبيق وتاريخ النفاذ.

ميثاق اللجنة التوجيهية لإدارة المخاطر في الجهة (أ)، يتضمن: تشكيلة اللجنة، صلاحيات اتخاذ القرار، آلية الانعقاد، والمهام المنوطة بها. معتمد ضمن دورة 2026.

وثيقة السياسة/الإطار معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة 2026، تغطي جميع بنود المتطلب مع آليات التطبيق والمتابعة.

وثيقة السياسة/الإطار معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة 2026، تغطي جميع بنود المتطلب مع آليات التطبيق والمتابعة.

دليل إجراءات إدارة المخاطر للجهة (أ)، يتضمن إجراءات: تحديد المخاطر، تقييمها وتصنيفها، معالجتها، ومتابعتها وإعداد التقارير. كل إجراء يُحدد الخطوات والمسؤوليات والنماذج. معتمد ضمن دورة 2026.

3 عينات إثبات ورش العمل للجهة (أ): (1) دعوة ورشة تحديث سجل المخاطر لإدارة تقنية المعلومات مارس 2026 مع قائمة الحضور وتوقيعاتهم، (2) ملخص ورشة تقييم مخاطر الخدمات الرقمية بأسماء ملاك المخاطر، (3) نموذج سجل مخاطر محدث موقّع من رئيس الورشة.

وثيقة معتمدة من الجهة (أ) تتضمن جميع العناصر المطلوبة:
- أ. تحديد المخاطر والتهديدات الداخلية والخارجية وعكسها في سجل مخ.
- ب. تحليل وتقييم المخاطر والتهديدات الداخلية والخارجية وعكسها في.
- ت. تحديد خطط المعالجة المناسبة لكل خطر.

3 صفحات اعتماد من سجل مخاطر الجهة (أ): (1) صفحة اعتماد سجل مخاطر إدارة تقنية المعلومات موقّعة من الوكيل المساعد، (2) صفحة اعتماد سجل مخاطر إدارة الخدمات الرقمية، (3) سجل مخاطر إدارة البنية التحتية موقّع من مالك المخاطر والمسؤول الأول. كل صفحة مؤرّخة.

سجل المخاطر الرئيسية للجهة (أ)، يتضمن 25 خطراً رئيسياً مع: مستوى كل خطر، استراتيجية المعالجة المعتمدة، المسؤول، والتاريخ المستهدف للمعالجة. مُحدَّث وموقّع ضمن دورة 2026.

وثيقة "مؤشرات المخاطر الرئيسية KRIs" للجهة (أ)، تتضمن 18 مؤشراً موزّعة على المجالات الرئيسية، لكل مؤشر: التعريف، طريقة القياس، التكرار، القيمة الحالية، الحد التحذيري (الأصفر)، والحد الحرج (الأحمر). معتمدة ضمن دورة 2026.

تقرير دوري معتمد للجهة (أ) يتضمن: المؤشرات الفعلية مقارنةً بالمستهدف، ملخص الإنجازات، التحديات، الإجراءات التصحيحية، والخطوات القادمة.

وثيقة معتمدة من الجهة (أ) تتضمن جميع العناصر المطلوبة:
- أ. مراقبة ومتابعة حالة المخاطر المحددة الداخلية والخارجية للجهة.
- ب. مراقبة الضوابط وخطط المعالجة وتقييم فعاليتها بشكل دوري.
- ت. متابعة نسب تنفيذ خطط المعالجة للمخاطر في المدة الزمنية المحد.

وثيقة معتمدة من الجهة (أ) تتضمن جميع العناصر المطلوبة:
- أ. تقرير حالة المخاطر الشاملة.
- ب. تقرير أهم المخاطر.
- ت. تقرير مؤشرات المخاطر الرئيسية.

3 عينات من الجهة (أ) تُثبت التحديث الدوري: (1) سجل أهم المخاطر ينايريونيو 2026 مع التواريخ والتغييرات الموثّقة، (2) محضر اجتماع لجنة المخاطر أبريل 2026 يُقرّ تحديث ترتيب أولوية المخاطر، (3) نسختان من سجل المخاطر (قبل وبعد التحديث) مع التواريخ.

3 عينات من الجهة (أ): (1) جدول KRIs المحدَّث لشهر يناير يُظهر 12 مؤشراً بقيمها الفعلية والحدود الحرجة، (2) مقارنة KRIs بين Q1 وQ2 تُظهر تراجع خطر توافر الخدمة من "أصفر" إلى "أخضر"، (3) تقرير شهري مارس 2026 للـ KRIs موقّع من مسؤول المخاطر.

خطة معتمدة بتوقيع المسؤول الأول للجهة (أ) تتضمن: الأهداف المرحلية، الجدول الزمني لكل مرحلة، الجهات والأشخاص المسؤولين، والميزانية المخصصة.

خطة معتمدة بتوقيع المسؤول الأول للجهة (أ) تتضمن: الأهداف المرحلية، الجدول الزمني لكل مرحلة، الجهات والأشخاص المسؤولين، والميزانية المخصصة.

3 عينات من برنامج التوعية بإدارة المخاطر في الجهة (أ): (1) دليل البرنامج التوعوي المحدَّث 2026 مع خطة التنفيذ والجمهور المستهدف، (2) تقرير إنجاز جلسة توعية مارس 2026 بحضور 180 موظفاً وتوقيع الحضور، (3) اختبار إلكتروني تقييمي لقياس مستوى الوعي بالمخاطر ونتائجه.

3 عينات من الجهة (أ): (1) خطة تدريب رواد المخاطر 2026 تتضمن 5 برامج تدريبية مع الجدول الزمني، (2) شهادات إتمام دورة "إدارة المخاطر المتقدمة" لـ 12 رائداً من إدارات مختلفة، (3) تقرير متابعة تنفيذ خطة التدريب يُظهر إتمام 80% بنهاية Q3.

وثيقة معتمدة من الجهة (أ) تتضمن جميع العناصر المطلوبة:
- أ. سياسة إدارة المخاطر.
- ب. إطار إدارة المخاطر.
- ت. إجراءات إدارة المخاطر.

تقرير دوري معتمد للجهة (أ) يتضمن: المؤشرات الفعلية مقارنةً بالمستهدف، ملخص الإنجازات، التحديات، الإجراءات التصحيحية، والخطوات القادمة.

محضر اجتماع اللجنة التوجيهية للجهة (أ) يُثبت رفع نتائج قياس التحول الرقمي لمعايير إدارة المخاطر ومناقشتها، مع القرارات المتخذة. مؤرّخ ضمن دورة 2026.

وثيقة "آلية حفظ وتخزين بيانات إدارة المخاطر" للجهة (أ)، تُحدد: مكان الحفظ الرقمي، فترات الأرشفة، صلاحيات الوصول، وإجراءات الإتلاف. معتمدة ضمن دورة 2026.

3 عينات من الجهة (أ): (1) قائمة معتمدة بـ 15 شركة مزمع التعاقد معها مباشرة ضمن دورة 2026 مع تصنيفها حسب درجة الخطورة، (2) ملف تقييم مخاطر المورد لشركة استضافة السحابة (درجة عالية)، (3) إجراء التعاقد مع مورد حرج موضّحاً بنود إدارة مخاطر الطرف الثالث.

3 عينات من الجهة (أ): (1) قائمة معتمدة بـ 8 شركات إسناد مع اتفاقيات مستوى الخدمة (SLA) وشرط الإفصاح عن سرية البيانات، (2) عقد مزود خدمة الاستضافة متضمناً بنود إدارة مخاطر الاستمرارية وحق التدقيق، (3) وثيقة تقييم مستوى التوافق مع متطلبات الأمن للشركات.

قرار تعيين الموظف المسؤول عن إدارة استمرارية الأعمال في الجهة (أ)، يُحدد الاسم، المسمى، الأدوار والمسؤوليات التفصيلية. مؤرّخ ضمن دورة 2026.

قرارات تعيين فريق إدارة استمرارية الأعمال في الجهة (أ)، تتضمن أسماء الفريق (مدير BCM + 3 متخصصين)، مسمياتهم، وأدوارهم. موقّعة من المسؤول الأول ضمن دورة 2026.

قرار رسمي معتمد برقم وتاريخ ضمن دورة 2026، موقّع من المسؤول الأول للجهة (أ) أو من يفوضه، محدداً نطاق التطبيق وتاريخ النفاذ.

ميثاق اللجنة التوجيهية لاستمرارية الأعمال في الجهة (أ)، يتضمن: تشكيلتها، صلاحياتها في اعتماد الخطط، آلية الانعقاد الدوري والطارئ، وجداول التصعيد. معتمد ضمن دورة 2026.

وثيقة السياسة/الإطار معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة 2026، تغطي جميع بنود المتطلب مع آليات التطبيق والمتابعة.

وثيقة السياسة/الإطار معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة 2026، تغطي جميع بنود المتطلب مع آليات التطبيق والمتابعة.

قرار تعيين رواد استمرارية الأعمال في الجهة (أ)، يتضمن أسماء 12 رائداً من الإدارات المختلفة، مهامهم، وآلية تنسيقهم مع فريق BCM. مؤرّخ ضمن دورة 2026.

خطة معتمدة بتوقيع المسؤول الأول للجهة (أ) تتضمن: الأهداف المرحلية، الجدول الزمني لكل مرحلة، الجهات والأشخاص المسؤولين، والميزانية المخصصة.

خطة معتمدة بتوقيع المسؤول الأول للجهة (أ) تتضمن: الأهداف المرحلية، الجدول الزمني لكل مرحلة، الجهات والأشخاص المسؤولين، والميزانية المخصصة.

خطط التعاقب الوظيفي للجهة (أ) لمنع نقاط الفشل المفردة في BCM: الأدوار الحرجة والشخص الاحتياطي لكل دور، خطة التدريب المتقاطع، ومعيار تفعيل التعاقب. معتمدة ضمن دورة 2026.

تقارير إثبات برامج التوعية التدريبية للجهة (أ): (1) تقرير تدريب فريق BCM الداخلي (15 متخصصاً) مارس 2026 مع قوائم حضور وشهادات، (2) تقرير جلسة توعية رواد الاستمرارية (12 رائداً) أبريل 2026.

وثيقة السياسة/الإطار معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة 2026، تغطي جميع بنود المتطلب مع آليات التطبيق والمتابعة.

تقرير ورشة توعية الإدارة العليا باستمرارية الأعمال في الجهة (أ): فبراير 2026، بحضور 8 مديرين عامين، محاور الورشة، قائمة الحضور الموقّعة، وتوقيع المسؤول الأول.

تقرير ورشة تدريب رواد استمرارية الأعمال في الجهة (أ): مارس 2026، بحضور 12 رائداً، محاور تطبيق خطط BCM، قائمة حضور موقّعة، ونتائج التقييم.

دراسة تحليلية معتمدة للجهة (أ) تتضمن: المنهجية المستخدمة، حجم عينة البيانات، النتائج الرئيسية مرتّبةً بالأولوية، والتوصيات القابلة للتنفيذ.

وثيقة رسمية معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة قياس 2026، تثبت تطبيق المتطلب بشكل كامل مع جميع العناصر المحددة.

مصفوفة تقييم أثر الانقطاع المعتمدة للجهة (أ)، تتضمن: معايير التقييم (المالي، التشغيلي، السمعة، التنظيمي)، مقاييس الأثر (1-5)، وعتبات الانتقال بين المستويات. معتمدة من اللجنة ضمن دورة 2026.

3 تقارير BIA من إدارات مختلفة في الجهة (أ): (1) تقرير BIA لإدارة الخدمات الرقمية يُحدد RTO=4ساعات وRPO=1ساعة لخدمة البوابة، (2) تقرير BIA لإدارة تقنية المعلومات للأنظمة الحرجة، (3) تقرير BIA لإدارة المالية. كل تقرير معتمد.

3 تقارير موارد الاسترجاع من الجهة (أ): (1) تقرير موارد استرجاع إدارة تقنية المعلومات يُوضح الفريق الاحتياطي وأدواره والمعدات اللازمة، (2) تقرير موارد استرجاع الخدمات الرقمية مع إجراءات التشغيل البديلة، (3) تقرير موارد إدارة الاتصالات. كل تقرير معتمد.

تقرير دوري معتمد للجهة (أ) يتضمن: المؤشرات الفعلية مقارنةً بالمستهدف، ملخص الإنجازات، التحديات، الإجراءات التصحيحية، والخطوات القادمة.

دراسة تحليلية معتمدة للجهة (أ) تتضمن: المنهجية المستخدمة، حجم عينة البيانات، النتائج الرئيسية مرتّبةً بالأولوية، والتوصيات القابلة للتنفيذ.

3 تقارير تقييم مخاطر من إدارات مختلفة في الجهة (أ): (1) تقرير تقييم مخاطر خدمة "البوابة الإلكترونية" يُصنّف 8 مخاطر ويُحدد معالجتها، (2) تقرير تقييم مخاطر منظومة الدفع الإلكتروني (مخاطر توافر عالية)، (3) تقرير مخاطر مركز البيانات الاحتياطي. كل تقرير معتمد.

محضر اجتماع اللجنة التوجيهية لاستمرارية الأعمال في الجهة (أ)، يُثبت رفع تقارير نتائج تقييم المخاطر ومناقشتها، مع القرارات المتخذة بشأن أولويات المعالجة. مؤرّخ ضمن دورة 2026.

3 تقارير BIA تشمل MTPD من الجهة (أ): (1) تقرير BIA خدمة البوابة الإلكترونية يُحدد MTPD=8ساعات وRTO=4ساعات وMRPO=1ساعة مع التبريرات، (2) تقرير BIA نظام المالية (MTPD=24ساعة)، (3) تقرير BIA خدمة مركز الاتصال. كل تقرير معتمد من اللجنة.

3 استراتيجيات تعافٍ معتمدة للجهة (أ): (1) استراتيجية تعافي خدمات البوابة الإلكترونية (احتياطي سحابي + RTO=2ساعة)، (2) استراتيجية تعافي قاعدة بيانات المستفيدين (نسخ احتياطي متزامن + RPO=30دقيقة)، (3) استراتيجية تعافي شبكة الاتصالات (خطوط بديلة). كل استراتيجية معتمدة.

دراسة تحليلية معتمدة للجهة (أ) تتضمن: المنهجية المستخدمة، حجم عينة البيانات، النتائج الرئيسية مرتّبةً بالأولوية، والتوصيات القابلة للتنفيذ.

محضر اجتماع اللجنة التوجيهية لاستمرارية الأعمال في الجهة (أ) يتضمن قرار اعتماد استراتيجيات التعافي للعمليات الحرجة، مع توقيعات الأعضاء. مؤرّخ ضمن دورة 2026.

وثيقة المراجعة السنوية لاستراتيجيات التعافي في الجهة (أ): تقرير مراجعة مع ملاحظات وتوصيات، ومحضر اعتماد التعديلات من اللجنة. مؤرّخة ضمن دورة 2026.

عقود الخدمة الحرجة للجهة (أ): (1) عقد استضافة سحابية يُحدد RTO=4ساعات وRPO=1ساعة وحق التدقيق، (2) عقد اتصالات يتضمن بنود التعافي من الكوارث. كلا العقدَين ساريان ضمن دورة 2026.

3 خطط استمرارية أعمال معتمدة من إدارات مختلفة في الجهة (أ): (1) خطة BCP لإدارة الخدمات الرقمية تتضمن سيناريو انقطاع الإنترنت وإجراءات التعافي، (2) خطة BCP لإدارة تقنية المعلومات لسيناريو فشل مركز البيانات الرئيسي، (3) خطة BCP لإدارة مركز الاتصال. كل خطة معتمدة.

تقرير المراجعة السنوية لخطط التعافي في الجهة (أ): يناير 2026 للخطط التقنية مع الملاحظات والتحديثات المنفّذة، ومحضر اعتماد النسخة المحدّثة من اللجنة.

عقد توفير دوائر الاتصال الاحتياطية في الجهة (أ)، يتضمن مواصفات الدائرة الاحتياطية، وقت التفعيل عند الكارثة، وبنود ضمان الجودة. سارٍ ضمن دورة 2026.

تقرير اختبار دوائر الاتصال الاحتياطية في الجهة (أ): Q1 2026 يُثبت التحويل الناجح للاتصالات إلى الخط الاحتياطي خلال 8 دقائق (مقابل مستهدف 15 دقيقة). موقّع من مسؤول البنية التحتية.

خطة معتمدة بتوقيع المسؤول الأول للجهة (أ) تتضمن: الأهداف المرحلية، الجدول الزمني لكل مرحلة، الجهات والأشخاص المسؤولين، والميزانية المخصصة.

وثيقة المراجعة السنوية لخطط استمرارية الأعمال في الجهة (أ): تقرير يناير 2026 لجميع خطط BCP مع تحديد الخطط التي تتطلب تحديثاً، ومحضر اعتماد اللجنة للنسخ المحدّثة.

تقرير اختبارات خطط استمرارية الأعمال للجهة (أ): اختبار يناير 2026 لـ 8 إدارات حرجة مع النتائج والدروس المستفادة، ومحضر اللجنة التوجيهية الذي يناقش النتائج ويُقرّ الإجراءات التصحيحية.

عقد الصيانة والتشغيل للجهة (أ) مع مزود مركز البيانات، يتضمن بنوداً صريحة لمراكز DR: الموقع الجغرافي للمركز الاحتياطي، وقت الاسترداد المضمون، والتزامات التوافر. سارٍ ضمن دورة 2026.

خطط DR لتقنية المعلومات في الجهة (أ): خطة تعافي البوابة الإلكترونية (RTO=2ساعة، DR في الرياض)، خطة تعافي قاعدة بيانات المستفيدين (RPO=30دقيقة، نسخ متزامن)، وخطة تعافي شبكة الاتصالات. كلها معتمدة ضمن دورة 2026.

وثيقة إجراءات النسخ الاحتياطي والاسترجاع للجهة (أ): جدول النسخ لكل نظام (يومي/أسبوعي/شهري)، إجراءات التحقق من سلامة النسخة، وإجراءات الاسترجاع التفصيلية لكل نظام حرج. معتمدة ضمن دورة 2026.

وثيقة رسمية معتمدة من صاحب الصلاحية في الجهة (أ)، مؤرّخة ضمن دورة قياس 2026، تثبت تطبيق المتطلب بشكل كامل مع جميع العناصر المحددة.

3 تقارير ما بعد الحادث من الجهة (أ): (1) تقرير حادثة انقطاع خدمة الدفع الإلكتروني فبراير 2026 يُحلّل السبب الجذري ويُقرّ الإجراءات الوقائية، (2) تقرير حادثة بطء البوابة الإلكترونية مارس 2026، (3) تقرير محاولة اختراق أمني تم اكتشافها. كل تقرير معتمد.

3 تقارير اختبار DR من الجهة (أ): (1) تقرير اختبار DR التقني يناير 2026 يُثبت تحقيق RTO=3ساعات مقابل مستهدف 4ساعات، (2) تقرير اختبار خطوط الاتصال الاحتياطية أبريل 2026 مع نتائج التحقق، (3) تقرير تمرين الطاولة لسيناريو فشل مركز البيانات مع الدروس المستفادة.

برنامج الاختبارات السنوي لاستمرارية الأعمال في الجهة (أ)، معتمد من اللجنة التوجيهية، يتضمن 6 اختبارات وتمارين موزّعة على السنة مع الأهداف والمسؤوليات والأنواع (tabletop، محاكاة، اختبار تقني). ضمن دورة 2026.

3 تقارير اختبارات أو تمارين من الجهة (أ): (1) تقرير تمرين استمرارية الأعمال فبراير 2026 مع نتائج 4 سيناريوهات، (2) تقرير اختبار خطة BCP لإدارة الخدمات الرقمية أبريل 2026، (3) تقرير تمرين tabletop لفريق قيادة الأزمة مع توقيعات المشاركين.

محضر اجتماع اللجنة التوجيهية لاستمرارية الأعمال في الجهة (أ) يُثبت مشاركة تقرير الاختبار ومناقشته، مع القرارات المتخذة بشأن الدروس المستفادة. مؤرّخ ضمن دورة 2026.

تقرير دوري معتمد للجهة (أ) يتضمن: المؤشرات الفعلية مقارنةً بالمستهدف، ملخص الإنجازات، التحديات، الإجراءات التصحيحية، والخطوات القادمة.

محضر اجتماع لجنة استمرارية الأعمال في الجهة (أ) يُثبت مشاركة نتائج المراجعة ومناقشتها، مع قرارات التحسين المتخذة. مؤرّخ ضمن دورة 2026.

وثيقة من الجهة (أ) تُثبت تحديث نظام BCM: (1) تقرير التدقيق الداخلي ومخرجاته، (2) قائمة التحديثات المنفّذة على وثائق BCM بناءً على التوصيات، (3) محضر اعتماد النسخ المحدّثة. ضمن دورة 2026.