لا تستطيع نقض المستأجر بعد إنشائه: تأسيس تقنية المعلومات لمنشأة جديدة داخل مجموعة في السعودية

تفترض معظم كتابات القيادة التقنية أن أمامك بنية قائمة: خوادم ورثتها، ودليل مستخدمين، وطابور تذاكر، وثلاثة عقود لم توقّعها، وعقدًا من القرارات صنعها من غادروا. وما يأتي بعد ذلك نصائح ترحيل: كيف ترشّد، وكيف توحّد، وكيف تُخرج القديم من الخدمة. ولا ينطبق شيء من ذلك على شركة لم توجد بعد.

وتأسيس وظيفة التقنية لمنشأة جديدة داخل مجموعة انضباط آخر، والخطأ الشائع أن يُظن الأسهل. فالبناء من الصفر يزيل مخاطر الترحيل ويضع مكانها مخاطر الترتيب، وهي أسوأ. فخطأ الترحيل يظهر في تحويل فاشل تستطيع التراجع عنه، أما خطأ الترتيب فيظهر بعد أربعة أشهر في قرار لا تستطيع نقضه. ليس لديك إرث تحمله، وليس لديك كذلك مزوّد هوية، ولا نطاق، ولا صندوق بريد، ولا طابور تذاكر، ولا عقد مورّد، ولا سجل أصول، ولا أثر أدلة، ولا شخص وظيفته أن ينتبه إلى غياب هذا كله.

وهناك تاريخ. فتاريخ التسجيل النظامي لا يتأخر من أجلك. وقد مرّ السجل التجاري السعودي بإصلاحه الخاص: دخل نظام السجل التجاري الجديد حيّز النفاذ في 3 أبريل 2025، ولم يعد للسجل تاريخ انتهاء، بل تؤكد المنشأة بياناته سنويًا. وهذا تبسيط حقيقي، ولا يعينك البتة في الجزء المهم: يوم توجد المنشأة نظامًا تتعلق بها التزامات، وإما أن تكون وظيفة التقنية موجودة في ذلك اليوم، وإما أن تكون متأخرة من ساعتها الأولى.

كل ما عداهما يفترضهما. فالنظام المالي يحتاج مستخدمين، ومكتب الخدمة يحتاج طابورًا يستقبل البريد، وبوابة المورّد تحتاج عنوانًا تُرسل إليه العقد، والتهيئة تحتاج مكانًا تضع فيه الحساب. وكل واحدة من هذه ترجع إلى شيئين: مزوّد هوية يقول من هذا الشخص، ونطاق يقول أين هو. وما تبنيه قبلهما ستبنيه مرتين.

والترتيب ليس كله بيدك. فنطاق com.sa يُسجَّل عبر مركز معلومات الشبكة السعودية التابع لهيئة الاتصالات والفضاء والتقنية، وتقوم أهلية التسجيل على سجل تجاري سارٍ صادر في السعودية، أو اسم تجاري أو علامة تجارية مسجلة محليًا. فالنطاق لا يسبق المنشأة. وبهذا تكون بداية التسلسل مثبتة عليك: التسجيل النظامي، ثم النطاق، ثم المستأجر، ثم الهوية، ثم كل ما طلبه منك الناس فعلًا. ومن يدفع بإطلاق نظام قبل ذلك إنما يطلب منك إنشاء حسابات ستحذفها.

ثم مصائد مايكروسوفت تحديدًا، وتستحق التسمية لأنها دائمة ولأنها تُصنع في خانة نص خلال أول عشر دقائق. فالنطاق الابتدائي onmicrosoft.com لا يمكن تغيير اسمه ولا حذفه، وعناوين SharePoint عندك مشتقة منه. وتستطيع إضافة نطاقات onmicrosoft.com أخرى وترقية أحدها ليكون النطاق الاحتياطي، لكنك محدود بخمسة في المجموع، ولا يمكن حذف أي منها أبدًا، وتغيير اسم نطاق SharePoint عملية منفصلة لها شروط أهليتها.

وقد اعتمدت أحد هذه الأسماء بنفسي، على أنه اسم مؤقت وأننا «سنرتّبه لاحقًا». ولا يوجد «لاحقًا». فهو في عناوين SharePoint، ولا يمكن حذفه، وصرت من يومها أعامل فتح النسخة التجريبية قرارًا معماريًا لا قرار شراء.

وهناك أثر تجاري مباشر أيضًا. فمنذ 15 أكتوبر 2025 تحدّ مايكروسوفت الإرسال من نطاقات onmicrosoft.com بمئة مستلم خارجي لكل منشأة في كل أربع وعشرين ساعة متحركة. أي أن منشأة جديدة لم تتحقق من نطاقها الخاص بعد لا تستطيع مراسلة سوقها. وهذا ليس خطر حوكمة، بل انقطاع في أسبوع الإطلاق تسنده سياسة منشورة، ويمكن تجنبه كليًا بحسم النطاق قبل أن يُمنح أحد صندوق بريد.

افرز كل قرار أمامك إلى كومتين: ما تستطيع تغييره في يوم عادي، وما يحتاج نقضه إلى ترحيل أو حديث مع جهة تنظيمية أو منشأة نظامية جديدة. واصنع الكومة الثانية ببطء، وبالكتابة، وبأسماء من وافقوا عليها.

وفيها خمسة بنود.

ابدأ بدولة المستأجر. فحين يُنشأ مستأجر Microsoft Entra تحدد الدولة المُدخَلة عند التسجيل الموقع الجغرافي الافتراضي له، ولا يمكن تغيير هذا الموقع بعد إنشائه. وتدرج مايكروسوفت حاليًا السعودية ضمن المناطق المحلية المستقبلية لا الحالية، ولا تظهر السعودية في جدول الالتزامات الثابتة لموقع البيانات بحسب الجغرافيا. واقرأ النتيجة بصراحة: ففي أحمال العمل الأساسية، لا تستطيع منشأة سعودية تُنشأ اليوم أن تتعاقد على التزام ثابت ببقاء تلك البيانات ساكنة داخل المملكة، والمستأجر الذي تنشئه في الأسبوع الأول هو حدّ كل إجابة مستقبلية. ولا تنشر مايكروسوفت تاريخًا لإطلاق تلك المنطقة.

ثم مزوّد الهوية. فالدليل الذي يصدر أول حساب هو الذي تتحد به كل تطبيقاتك، ويتكامل معه كل مورّديك، وتُدار منه كل مراجعات الصلاحيات. وتغييره لاحقًا ليس تعديل إعدادات، بل إعادة تهيئة لكل نظام وقّعت عليه في الأثناء.

ثم النظام المالي المرجعي. ويُطلب مني تأجيله أكثر من أي بند آخر. فأول قيد يُرحَّل هو بداية الأثر التدقيقي للمنشأة، ونقل هذا النظام في السنة الثانية ترحيل لتاريخ ضريبي لا لقاعدة بيانات.

ثم التسمية، وتُعامَل معاملة التافه لأنها تُكتب ولا تُهندَس: اسم المستأجر، ونطاق البريد، ورمز المنشأة في دليل حسابات المجموعة، وعُرف حسابات الخدمة، ومعيار تسمية المواقع. رخيصة في القرار غالية في التغيير، وهذا بالضبط وصف القرار الذي يجب أن يُتخذ في الأسبوع الأول على مستوى قيادي ثم يُترك وشأنه.

وعقود المورّدين الأولى، وهي البند الذي يخاصمني فيه الناس. ففي القطاع المالي السعودي يقوم التصور المتعلق بالإسناد إلى الغير على أن المساءلة لا تنتقل إلى المورّد، ويُتوقع أن يحمل العقد مُهلًا للإبلاغ عن الاختراق، وحقوقًا في التدقيق، ومستويات خدمة، وشروطًا للتوطين ونقل البيانات عبر الحدود، وموافقة على التعاقد من الباطن، واستراتيجية خروج. والعقد الذي يُوقَّع في الأسبوع الثاني بلا بند خروج قرار لا رجعة فيه يرتدي تاريخ تجديد؛ والعقود الثلاثة الأولى تصير القالب الذي تُقاس عليه كل عقودك اللاحقة، وتُوقَّع في الأسابيع التي لا يجد فيها أحد وقتًا لقراءة شيء.

داخل المجموعة يوجد خيار ثالث دائمًا، وهو الذي يُؤخذ تلقائيًا لا عن قصد: استعره من الشركة الأم. ضع المنشأة الجديدة في مستأجر المجموعة، ووجّهها إلى مكتب خدمة المجموعة، ومدّد عليها إدارة الأجهزة الطرفية والمراقبة وأجهزة جدار الحماية واتفاقية مايكروسوفت في المجموعة. سريع، ورخيص في اليوم الأول، وصحيح في كثير من الأحيان.

لكنه ليس مجانيًا. فكل منصة مستعارة تدمج سطح الضبط وسطح الأدلة للمنشأتين معًا. ومزوّد الهوية المستعار يعني أن سياسة الوصول المشروط لدى الشركة الأم هي سياسة المنشأة الجديدة، بما فيها بنود كُتبت لعمل لا تعمل فيه المنشأة الجديدة. وطابور التذاكر المستعار يعني أن تقارير الخدمة عند المنشأة الجديدة مرشّح يُطبَّق على بيانات غيرها، وهذا يصمد إلى أن يطلبها أحد وثيقةً قائمة بذاتها. وعقد المورّد المستعار يعني أن علاقة المنشأة الجديدة بالمورّد بند في اتفاقية ليست طرفًا فيها.

ولذلك فالقاعدة التي أستخدمها تسعّر الفصل لا الإنشاء.

استعر ما يسهل فصله لاحقًا: إدارة الأجهزة الطرفية، والمراقبة، وأدوات مكتب الخدمة، ومعظم اتفاقيات التراخيص. وأسّس منفصلًا ما يصعب فصله لاحقًا: الهوية، والنظام المالي، وكل ما سيحمل بيانات شخصية. وهذه الثلاثة غالية الفصل لأن فصلها يعني نقل سجلات لها تاريخ، والتاريخ هو الجزء الذي لا تستطيع إعادة إنشائه.

وتنكسر هذه القاعدة عند مكتب الخدمة، وقد كففت عن التظاهر بغير ذلك. فأدواته يسهل فصلها فعلًا: نسخة جديدة، وطابور جديد، وأسبوعان. أما تاريخ التذاكر خلفها فلا يسهل فصله، وهو الدليل الوحيد على أن الخدمة قُدّمت يومًا بالمستوى الذي ادّعيته. ولذلك أستعير الأداة وأرفض إعداداتها الافتراضية: تكون المنشأة النظامية حقلًا إلزاميًا في التذكرة من التذكرة الأولى، لا وسمًا يملؤه أحد بأثر رجعي في أسبوع أول تدقيق. وهذا هو الموضع الوحيد الذي أدفع فيه كلفة الإنشاء التي تنصحني القاعدة بتجنّبها.

وتستحق البيانات الشخصية سطرًا مستقلًا لا مجرد إشارة. فنظام حماية البيانات الشخصية (PDPL) صدر بالمرسوم الملكي رقم م/19 في 16 سبتمبر 2021، وعُدّل بالمرسوم الملكي رقم م/148 في 27 مارس 2023، ودخل حيّز النفاذ في 14 سبتمبر 2023، وأُمهلت جهات التحكم حتى 14 سبتمبر 2024 لتوفيق أوضاعها. وتتولى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) سجلًا وطنيًا لجهات التحكم، ويلزم التسجيل فيه متى كانت جهة التحكم تعالج بيانات حساسة أو كان نشاطها الرئيس قائمًا على معالجة البيانات الشخصية. فالسؤال إذن ليس أي نظام يحفظ سجل الموظف، بل أي منشأة نظامية هي جهة التحكم فيه. أجب عن هذا كتابةً قبل وجود أول سجل موظف، فبعده يصير خلافًا لا قرارًا.

البديل عن أثر الأدلة تنقيب أثري، والتنقيب يُحمَّل على فريقك في أسوأ لحظة ممكنة. وأسئلة أول تدقيق معروفة سلفًا: من وافق؟ ومتى؟ وبناءً على ماذا؟ وأين هو مكتوب؟ وجوابها يكاد يكون مجانيًا حين يُلتقط لحظة وقوعه، ويكاد يكون مستحيلًا حين يُعاد بناؤه بعد سنة من ذاكرة الناس عن إطلاق.

والضرائب أوضح الأمثلة لأن ساعتها لا تُفاوَض. فمرحلة الإصدار في الفوترة الإلكترونية لدى هيئة الزكاة والضريبة والجمارك سارية منذ 4 ديسمبر 2021 على جميع المكلفين عدا غير المقيمين، وعلى كل من يصدر الفواتير الضريبية نيابة عنهم. ولا توجد مهلة تهيئة لشركة جديدة: أنت داخلها لحظة تسجيلك في ضريبة القيمة المضافة. أما مرحلة الربط والتكامل فتجري على مجموعات بإشعار مدته ستة أشهر على الأقل، وقد أخذت المجموعات تنزل بثبات على سلّم الإيرادات. فالمجموعة الخامسة والعشرون تشمل المكلفين الذين تجاوزت إيراداتهم الخاضعة لضريبة القيمة المضافة 187,500 ريال في 2022 أو 2023 أو 2024 أو 2025، ويلزمهم الربط في موعد أقصاه 1 فبراير 2027. وعلى المنشأة الجديدة أن تفترض وقوعها في مجموعة قريبة وأن تبني على مواصفة الربط الآن، بدل أن تطلق حلًا مؤقتًا للإصدار وحده وقد جدولت هي نفسها استبداله.

والوثائق المطلوبة غير لامعة ولا تستغرق الواحدة منها أكثر من ساعة: سجل قرارات فيه التاريخ والمالك وما رُفض. وسجل إنشاء المستأجر، ومن أنشأه، وأي دولة أُدخلت فيه. وسجل مورّدين يحمل عمودًا تنظيميًا من سطره الأول. ونموذج صلاحيات يُكتب قبل الحسابات العشرة الأولى لا يُستنتج منها. وأول مراجعة صلاحيات تُجرى في الشهر الثالث حين تكون اثني عشر شخصًا وتستغرق عصر يوم، حتى توجد الممارسة قبل أن تصير مهمة.

في تبار القابضة بنيت كتالوج خدمات يضم أكثر من مئة خدمة حيث لم يكن قبله شيء، وحملت كل خدمة فيه مستوى خدمة. لم تكن في تلك الشركة أي اتفاقية مستوى خدمة (SLA) قبل أن أكتبها؛ فالكتالوج والالتزامات الأولى خلفه عمل واحد. فكتابة الالتزام في اللحظة نفسها التي تنشئ فيها الخدمة تكلفك فقرة إضافية، أما إلحاق التزام بخدمة ظلت سنتين تعمل بلا قياس فيكلفك ربع سنة، ويخرج برقم أضعف، لأن الجميع حينها صار له رأي فيما تفعله الخدمة أصلًا.

تاريخ الإطلاق ثابت، وتوقعات الضبط ليست مقيسة عليه. ستُقاس لاحقًا على حد أدنى ينطبق على المنشأة لا على مدى حداثتها يوم بنيتها. والتظاهر بغير ذلك هو الطريق إلى شركة جديدة تجمع دينًا تقنيًا مقداره ثمانية عشر شهرًا في تسعين يومًا.

واعرف هذا الحد الأدنى، واعرف أنه يُنفَّذ فعلًا. فنظام حماية البيانات الشخصية ليس التزامًا مستقبليًا: هو ساري المفعول منذ 14 سبتمبر 2023، وأُغلقت مهلة توفيق الأوضاع في 14 سبتمبر 2024، وخلال الاثني عشر شهرًا المنتهية في منتصف يناير 2026 أصدرت لجان النظر في المخالفات لدى الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) 48 قرار إنفاذ بثبوت المخالفة، بغرامات تبلغ خمسة ملايين ريال وتتضاعف عند تكرار المخالفة. وانظر إلى المُهل لا إلى الغرامات، فالمُهل هي التي تصطاد المنشأة الجديدة. فمتى أبلغتك الهيئة بمخالفة منسوبة إليك، فأمامك خمسة أيام لتقديم ردك إلى اللجنة؛ ويجب إبلاغ الطرفين بقرار اللجنة خلال خمسة عشر يومًا من اعتماده؛ ومهلة التظلم ستون يومًا. وشركة عمرها تسعون يومًا تنال الأيام الخمسة نفسها التي تنالها شركة عمرها عشرون سنةً.

فالسؤال الذي مكانه الأسبوع الأول سؤال غير لامع ومحدد: أي صندوق بريد يستقبل ذلك الإشعار، ومن يراقبه، ومن المخوّل بالرد عليه. فإن بقي ذلك غير مُسنَد يوم تُسجَّل المنشأة، بدأت الأيام الخمسة تجري على لا أحد.

ويتصرف الحد الأدنى في الأمن السيبراني على النحو ذاته. فضوابط الهيئة الوطنية للأمن السيبراني لمنشآت القطاع الخاص غير المصنّفة بنية تحتية وطنية حرجة، ورمزها NCNICC-1:2025، تحدد نطاق المنشأة بحجمها لا بدورة مراجعة. فالفئة الأكبر هي التي يتجاوز موظفوها بدوام كامل 250 موظفًا أو تتجاوز إيراداتها 200 مليون ريال؛ وما بين 6 و249 موظفًا، أو إيراد بين 3 ملايين و200 مليون ريال، يقع في الفئة الأصغر. ولن أذكر عدد الضوابط في أي منهما. فالمجاميع المتداولة لا تتفق، والمسودة التي طرحتها الهيئة لاستطلاع المرئيات لا تطابق الملخصات المكتوبة عن النسخة المنشورة؛ ولذلك آخذ العدد من النص الذي سأُقاس عليه لا من ملخص عنه. واقرأ شرط الانطباق بعناية: فهو شرط حجم، بعدد الموظفين أو بالإيراد، ولا تُذكر معه دورة تقييم. أي أن الشركة التابعة الجديدة تدخل الفئة الأكبر يوم تكتمل تعييناتها أو يوم يبلغ إيرادها الحد، لا في مراجعة لاحقة. وهذه الضوابط تمس مباشرة القرارات التي يدور حولها هذا المقال: تصنيف البيانات، وفصل المستأجرين، وإعادة البيانات بصيغة قابلة للاستخدام عند إنهاء التعاقد. ولا تذكر الضوابط موعدًا للامتثال، وسأقولها صراحةً لأن المحتوى التسويقي حولها يصنع موعدًا من عنده. لا أعرف متى تصير هذه الضوابط واجبة النفاذ على منشأة بعينها، لكن الذي لن أفعله هو أن أعدّ ذلك إذنًا ببناء شيء يكلّف رفعه إليها كثيرًا.

وبهذا يعود قرار المستأجر إلى حقيقته: قرار ضبط لا قرار تفضيل. فضوابط الأمن السيبراني للحوسبة السحابية، وإصدارها الحالي CCC-2:2024، تُلزم المشتركين في الخدمات السحابية لا مقدّميها وحدهم، وقد حدّثتها الهيئة فيما يخص متطلبات توطين البيانات. فالنسخة التي تستشهد بها مهمة إذن: والاستشهاد بالإصدار CCC-1:2020 أمام مورّد استشهاد بوثيقة متجاوَزة أمام من قد يعرف ذلك. وفي القطاع المالي تتطلب الاستضافة خارج المملكة موافقة مسبقة من البنك المركزي السعودي، ولهذا يميل مقدّمو الخدمة لهذا القطاع إلى الاستضافة داخل المملكة أصلًا. ثم ضع هذا بجوار ما سبق: الموقع الجغرافي الافتراضي يُثبَّت عند إنشاء المستأجر ولا يتغير بعده. فالمنطقة ليست تفضيلًا في البنية التحتية تعيد النظر فيه في السنة الثانية، بل قرار منظَّم في اتجاه واحد يُتخذ في الأسبوع الأول ممن صادف وجوده في الغرفة.

وفي التوظيف أقول أقل مما يتوقعه الناس مني. فنسب التوطين تصدر بقرار وزاري مهنةً مهنة، وقد بحثت عن قرار مكتوب لمهن تقنية المعلومات فرجعت بلا شيء. ولذلك أخطط للأعداد بحسب القرار النافذ فعلًا للمهن التي أعلن عنها، متحققًا منه يوم الإعلان، ولا أكرر النسب التي تتداولها مدونات التوظيف.

ولا ينتهي الإطلاق وقد بُني كل شيء، وأي خطة تقول ذلك خطة سيخجل منها صاحبها في الشهر الخامس. إنما ينتهي بقائمة تأجيل: يحمل كل بند فيها الضابط الذي لم تبلغه المنشأة بعد، وسبب قبول التأجيل، وتاريخ عودته إلى الطاولة.