وجود معادلة واضحة يعطي شعورًا بالانضباط. في تقييم الأثر، يمكن أن يساعد الجمع بين Severity وLikelihood في إعطاء ترتيب أولي للسيناريوهات. لكن الخطأ يبدأ عندما تتحول النتيجة الحسابية إلى جواب نهائي عن سؤال مختلف: «هل هذا الاستخدام مقبول؟».
ما الذي تحسبه المصفوفة؟
في قالب GCAI، تُستخدم طريقة عمل من خمس درجات للشدة وخمس درجات للاحتمال، وتُضرب القيمتان للحصول على Base Significance من 1 إلى 25. ثم تُستخدم نطاقات عمل مثل Low وModerate وHigh وCritical للمساعدة على توحيد المعالجة والتصعيد. لكن القالب نفسه يضع حدودًا واضحة لهذا الحساب: النتيجة لا تستبدل الحكم المهني أو القانون أو معايير المخاطر الخاصة بالمؤسسة أو قرار القبول الصريح. هذه الطريقة هي طريقة عمل داخل مورد GCAI وليست تصنيفًا إلزاميًا من ISO/IEC 42005.
الأثر المتأصل مقابل الأثر المتبقي
هناك فرق أساسي بين حالتين: Inherent Impact هو تقييم السيناريو مع الضوابط الأساسية الموجودة أصلًا في التصميم أو البيئة، من دون افتراض أن الضوابط المخطط لها ستنجح. Residual Impact هو الأثر الذي يبقى بعد تنفيذ الضوابط ووجود دليل على فعاليتها. هذا الفرق يمنع أحد أكثر الأخطاء شيوعًا في تقييمات المخاطر: إعطاء النظام تقييمًا منخفضًا لأن فريق المشروع يخطط لإضافة ضابط لم يُنفذ أو لم يُختبر بعد.
لماذا لا يكفي حاصل الضرب؟
القالب يطلب النظر إلى عوامل لا تدخل ميكانيكيًا في المعادلة، منها:
- حجم التعرض.
- مدة الأثر.
- قابلية الرجوع أو المعالجة.
- توزيع العبء على الفئات المختلفة.
- هشاشة الأطراف المتأثرة.
- عدم اليقين وجودة الأدلة.
ولا يطلب جمع نقاط هذه العوامل لإنتاج رقم جديد؛ بل استخدامها لتفسير الحكم، أو رفع مستوى التصعيد، أو تشديد الضوابط، أو المطالبة بأدلة إضافية.
متى يجب تجاوز الرقم؟
هناك سيناريوهات لا ينبغي أن تمر لمجرد أن الاحتمال التقديري منخفض. من أمثلتها وجود عاقبة شديدة جدًا وذات مصداقية، أو استخدام قد يكون غير مشروع أو تمييزيًا، أو أثر يصعب عكسه أو معالجته، أو غياب تدخل بشري أو آلية توقف أو اعتراض عندما تكون مطلوبة، أو وجود عدم يقين كبير يمكن أن يخفي أثرًا ماديًا. المبدأ هنا بسيط: الرقم يساعد على الاتساق، لكنه لا يلغي معنى السيناريو.
لا تجمع المتوسطات وتخفي الطرف الأكثر تضررًا
ينبه المورد أيضًا إلى خطورة تخفيف السيناريو عبر المتوسطات. إذا كانت الغالبية تتلقى نتيجة جيدة بينما فئة صغيرة معرضة لضرر كبير، فإن المتوسط قد يخفي المشكلة بدل أن يشرحها. لذلك يجب تسجيل أعلى أثر مادي ذي مصداقية وتوزيعه على الفئات، لا الاكتفاء بمتوسط عام.
كيف تستخدم المؤسسة هذه الفكرة؟
تطبيق عملي من سيادة
يمكن للمؤسسة استخدام أربع عدسات منفصلة بدل Score شامل:
- Magnitude — ما حجم الأثر المحتمل؟
- Exposure — من يتعرض له وكم مرة وبأي نطاق؟
- Recoverability — هل يمكن اكتشافه ووقفه وتصحيحه ومعالجته؟
- Evidence Confidence — ما مدى قوة الأدلة التي بُني عليها الحكم؟
ثم يبقى قرار الاعتماد منفصلًا: قد توافق المؤسسة، أو توافق بشروط، أو تحصر الاستخدام في Pilot، أو تطلب إعادة التصميم، أو توقف الاستخدام. هذه ليست معادلة جديدة من المصدر؛ إنها طريقة تنظيمية من سيادة للحفاظ على الأبعاد منفصلة أثناء القرار.
علاقة ذلك بإدارة المخاطر
تطبيق عملي من سيادة
تقييم الأثر لا يلغي إدارة المخاطر، والعكس صحيح. إدارة المخاطر تسأل عن عدم اليقين وأهداف المؤسسة وضوابطها، بينما Impact Assessment يعطي تركيزًا أوضح على من يتأثر وكيف يتوزع الأثر وما إذا كانت المعالجة ممكنة. لذلك يمكن ربط تقييم الأثر بـISO/IEC 23894 في سياق إدارة المخاطر، وبـISO/IEC 42001 في سياق نظام الإدارة، من دون الادعاء أن مصفوفة GCAI جزء إلزامي من أي منهما.
الخلاصة
المعادلة الجيدة تمنع الفوضى، لكنها تصبح خطرة عندما تعطي المؤسسة ثقة زائفة. الشدة والاحتمال نقطة بداية لترتيب السيناريوهات، بينما قرار الاعتماد يحتاج الأدلة، وعدم اليقين، والهشاشة، وقابلية المعالجة، والقيود القانونية والسياسات، ومسؤولًا يملك سلطة القرار.