دليل معايير تراخيص أنشطة التدقيق والفحص لمعالجة البيانات الشخصية

إضافة تعليق ؟

يمكنك إضافة مرئياتك على المشروع بما لا يتجاوز 5000 حرف,باقي 5000 حرف

إضافة تعليق

التعليقات

(فارغة)

المقدمة

الهدف والنطاق

يهدف هذا الدليل إلى وضع إطار تنظيمي واضح ومتّسق وموثوق لحوكمة ترخيص الجهات المفوّضة من قبل الجهة المختصّة لممارسة أنشطة التدقيق والفحص وإصدار تقارير الفحص وفقًا لمتطلبات نظام حماية البيانات الشخصية.

وعليه، فإن أهداف هذا الدليل تتمحور حول الآتي:

تعزيز الثقة واليقين لدى جهات التدقيق والفحص وأصحاب البيانات وسائر الأطراف ذات العلاقة التي تعتمد على الفحص بوصفه دليلًا على الامتثال لأحكام النظام ولوائحه التنفيذية.
توفير إطار ترخيص يتّسم بالوضوح والشفافية وقابلية التنبؤ، يمكّن الجهة المختصّة من تقييم الجهات المرخّصة والإشراف عليها وضمان امتثالها بصورة فعّالة ومتناسبة.
ضمان الاتساق في تفسير وتطبيق متطلبات الفحص عبر مختلف القطاعات والأنشطة، واعتماد نهج مناسب يأخذ بعين الاعتبار المخاطر ويعكس طبيعة أنشطة معالجة البيانات الشخصية ونطاقها ومستوى حساسيتها.

يحدد هذا الدليل المتطلبات الواجب على جهة التدقيق والفحص المرخّصة مراعاتها لممارسة أنشطة التدقيق والفحص بموجب النظام، بما يشمل متطلبات تقييم الكفاءة، واستمرارية التشغيل بشكل متّسق، وضمان الحياد لجهات التدقيق والفحص ذات الصلة بفحص الامتثال للنظام ولوائحه التنفيذية.

وينطبق هذا الدليل على:

جميع الجهات التي تتقدم إلى الجهة المختصّة بطلب الحصول على ترخيص ممارسة أنشطة التدقيق والفحص بموجب النظام.
جميع جهات التدقيق والفحص المرخّص لها بممارسة أنشطة التدقيق والفحص المتعلّقة بالامتثال للنظام ولوائحه التنفيذية.

المراجع المعيارية

التعريفات

يُقصد بالألفاظ والعبارات الآتية، أينما وردت في هذا الدليل، المعاني المبينة أمام كل منها، ما لم يقتضِ السياق خلاف ذلك:

المملكة: المملكة العربية السعودية.

النظام: نظام حماية البيانات الشخصية الصادر بموجب المرسوم الملكي رقم (م\19) بتاريخ 9\2\1443هـ، والمعدّل بموجب المرسوم الملكي رقم (م\148) بتاريخ 5\9\1444هـ ("النظام").

اللوائح: "اللوائح التنفيذية للنظام" تشمل كلاً من "اللائحة التنفيذية" و"اللائحة الخاصة بنقل البيانات الشخصية إلى خارج المملكة".

الجهة المختصّة: الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

القواعد: القواعد المنظّمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية.

الترخيص: وثيقة تصدر من الجهة المختصّة تتيح لمقدم الطلب صلاحية ممارسة أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة، والقيام بأنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية لدى تلك الجهات.

ترخيص أنشطة إصدار شهادات الاعتماد: وثيقة صادرة من الجهة المختصّة لكيانٍ نظاميٍّ ذي صفة اعتبارية خاصّة لممارسة نشاط إصدار شهادات الاعتماد لجهات التحكم والمعالجة.

ترخيص أنشطة التدقيق والفحص: وثيقة صادرة من الجهة المختصّة لكيانٍ نظاميٍّ ذات صفة اعتبارية خاصّة لممارسة أنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية لدى جهات التحكم والمعالجة.

جهة الاعتماد: جهة حاصلة على ترخيص من قبل الجهة المختصّة لممارسة أنشطة إصدار شهادات الاعتماد، وتشمل صلاحياتها إصدار الشهادات ومتابعة سريانها، وإيقافها أو سحبها أو إلغائها وفقًا لمقتضيات القواعد المنظّمة.

جهة التدقيق والفحص: جهة حاصلة على ترخيص من قبل الجهة المختصّة لممارسة أنشطة التدقيق والفحص؛ لتقييم مدى الامتثال للمتطلبات المحددة ذات الصلة، وتتولى إصدار تقارير التدقيق والفحص دون أن يكون لها صلاحية إصدار الشهادات.

مقدّم الطلب: الجهة التي تتقدم بطلب ترخيص إلى الجهة المختصّة لممارسة أنشطة التدقيق والفحص، بحيث تكون مفوّضة بإجراء أعمال التدقيق والفحص وإصدار التقارير ذات الصلة لجهات التحكم والمعالجة.

العميل: جهة التحكم أو معالجة البيانات الخاضعة لأنشطة التدقيق والفحص لتقييم المطابقة للمتطلبات المحدّدة في القواعد من قبل جهة التدقيق والفحص، والتي تنشأ بينها وبين جهة التدقيق والفحص علاقة تعاقدية.

شهادة الاعتماد: شهادة تصدرها الجهة المختصّة للعميل بناءً على قرار صادر عن جهة الاعتماد، تتضمن التأكيد على أن الممارسات والإجراءات التي يتم اتباعها لدى العميل عند معالجة البيانات الشخصية تمتثل لأحكام النظام واللوائح والمتطلبات المنصوص عليها في القواعد المنظمة لإصدار شهادات الاعتماد لجهات التحكم والمعالجة.

تقرير التدقيق والفحص: تقرير يُعد من الجهة المرخّص لها بأعمال التدقيق والفحص ويتضمن نتائج تدقيق وفحص أنشطة معالجة البيانات الشخصية محلّ التدقيق والفحص في ضوء أحكام النظام ولوائحه التنفيذية.

منصّة الجهة المختصّة: منصة حوكمة البيانات الوطنية (https://dgp.sdaia.gov.sa) التابعة للهيئة السعودية للبيانات والذكاء الاصطناعي، تهدف إلى تقديم الخدمات الداعمة لتنفيذ وإنفاذ أحكام النظام واللوائح.

المركز: المركز السعودي للاعتماد.

المعيار الدولي: المعيار الدولي الصادر عن المنظّمة الدولية للتقييس (ISO/IEC 17020) بشأن تقييم مدى الامتثال - متطلبات تشغيل أنواع مختلفة من الجهات التي تجري عمليات الفحص (المشار إليها في هذه الوثيقة بمعيار الأيزو "ISO 17020").

ملاحظة : تكون للمصطلحات الأخرى المستخدمة في هذه الوثيقة، والتي لم يرد تعريفها صراحةً فيها، المعاني المحددة لها في المعايير الدولية، شريطة ألا تتعارض هذه التعريفات أو تتناقض مع التعريفات الواردة في هذه الوثيقة.

المتطلبات العامة

4.1 الشؤون القانونية والتعاقدية

4.1.1. المسؤولية القانونية

4.1.1.1. يجب على مقدّم الطلب، الذي يرغب في الحصول على ترخيص لممارسة أنشطة التدقيق والفحص، أن يكون كيانًا نظاميًا مستقلًا ومسجّلًا لدى الجهات الحكومية المختصّة في المملكة، على نحوٍ يكفل تحميله المسؤولية القانونية الكاملة عن جميع أنشطته المتعلّقة بأعمال التدقيق والفحص، وذلك وفقًا للأنظمة واللوائح المعمول بها في المملكة.

4.1.1.2. إضافةً إلى ذلك، يتعيّن على جهة التدقيق والفحص، عقب حصولها على الترخيص، أن تعتمد إجراءات وسياسات محدّثة تراعي المسؤولية القانونية التي تخضع لها عند ممارسة مهامها المرخّصة، بما في ذلك الالتزام بالمتطلبات الإضافية المحدّدة في هذا الدليل.

4.1.1.3. وعلى وجه الخصوص، يتعيّن على جهة التدقيق والفحص إثبات أن كافة إجراءاتها وتدابيرها المتّبعة عند الاطلاع على البيانات الشخصية أو معالجتها أثناء تنفيذ أنشطة التدقيق أو الفحص تمتثل لنظام حماية البيانات الشخصية ولوائحه التنفيذية. وعليه، تلتزم الجهة بتقديم الأدلّة اللازمة لإثبات امتثالها عند طلب الجهة المختصّة، ويمكن استخدام نتائج تقييم الامتثال لنظام حماية البيانات الشخصية، التي تتم عبر “منصّة الجهة المختصّة”، كدليل على الامتثال.

4.1.2. الشروط التعاقدية لخدمات الفحص

4.1.2.1. يجب على جهة التدقيق والفحص الاحتفاظ بشروط تعاقدية موثّقة وإبرام اتفاقية واجبة النفاذ قانونًا تنظّم كيفية تقديم خدمات الفحص.

4.1.2.2. يجب أن يتضمن محتوى العقد، كحدٍ أدنى، ما يلي:

1. وصف خدمات الفحص:

- نطاق الفحص ونوعه وأهدافه

- المعايير أو الضوابط أو اللوائح المطبّقة

2. الأدوار والمسؤوليات:

- مسؤوليات جهة التدقيق والفحص (بما يشمل الحياد، والكفاءة، والسرية)

- مسؤوليات العميل (بما يشمل إتاحة الوصول، وتوفير المعلومات، والتعاون)

3. الحياد وتعارض المصالح:

- بنود تضمن الاستقلالية عن الضغوط التجارية أو التشغيلية

- إقرار بعدم وجود تعارض في المصالح

4. السريّة وحماية البيانات:

- حماية البيانات التي يتم الحصول عليها أثناء تنفيذ أنشطة الفحص

- الامتثال لنظام حماية البيانات الشخصية، وأي أنظمة أخرى ذات صلة

- حدود الإفصاح والاستثناءات (مثل الطلبات الواردة من الجهة المختصة)

5. حقوق الوصول:

- إتاحة الوصول إلى المواقع، والموظفين، والوثائق، والسجلات اللازمة للفحص

6. استخدام تقارير الفحص وعلامات الفحص:

- شروط استخدام تقارير الفحص

- حظر الادعاءات المضللة أو غير المصرح بها

7. المسؤولية وحدودها:

- حدود المسؤولية وترتيبات التأمين

- الشروط المتعلقة بالأضرار أو الأخطاء أو الإغفالات

8. الرسوم والشروط المالية:

- هيكل الرسوم، وآلية الفوترة، وجدول السداد، وأي تكاليف إضافية، إن وجدت

9. التقارير والمخرجات:

- هيكل تقارير الفحص، وتوقيتها، ومحتواها

- الشروط التي يتم بموجبها إصدار مسودات التقارير والتقارير النهائية

10. حالات عدم المطابقة والإجراءات التصحيحية:

- التزامات العميل بمعالجة نتائج الفحص

- تنفيذ عمليات فحص متابعة عند الاقتضاء

11. الشكاوى والاعتراضات:

- آلية تقديم ومعالجة الشكاوى والاعتراضات

- استقلالية عملية اتخاذ القرار

12. الإيقاف أو السحب أو الإنهاء:

- شروط الإنهاء المبكر للخدمة

- الالتزام بإبلاغ الجهة المختصّة متى كان ذلك مطلوبًا

4.2. ضمان الحياد

4.2.1. ينبغي أن تُمارس أنشطة جهة التدقيق والفحص بحياد، وبما يتماشى مع المعايير الدولية.

4.2.2. يتعيّن على جهة التدقيق والفحص تقديم أدلّة تثبت ما يلي:

1. مصادر تمويل جهة التدقيق والفحص، وذلك بالقدر المرتبط بضمان الحياد.

2. أنّ مهامها وواجباتها لا تؤدي إلى تعارض في المصالح عند ممارسة أنشطة التدقيق والفحص بموجب النظام.

4.2.3. وعلى وجه الخصوص، يتعيّن على جهة التدقيق والفحص أن تضمن لكل عميل من عملائها ما يلي:

1. عدم وجود أي صلة بين الموظفين المعنيين المشاركين في إجراءات التقييم والمراجعة واتخاذ القرار الخاصة بالفحص والعميل خارج نطاق أنشطة الفحص، وعدم مزاولتهم لأي أنشطة أخرى قد تثير الشك في حياد جهة التدقيق والفحص.

2. عدم وجود علاقة اقتصادية بين جهة التدقيق والفحص والعميل خلال العامين (2) الماضيين، باستثناء العلاقة التي تم تأسيسها بموجب عقد الفحص.

3. عدم قيام جهة التدقيق والفحص بإسناد معالجة بياناتها الشخصية الخاصة إلى العميل الخاضع لأنشطة التدقيق والفحص.

4.2.4. كما يتعيّن على جهة التدقيق والفحص ضمان ما يلي:

1. ألا تعمل بوصفها الجهة المصمّمة لأنشطة المعالجة الخاضعة للفحص، أو المنفذة لها، أو المشغلة لها، أو المسؤولة عن صيانتها.

2. ألا تعرض أو تقدم خدمات استشارية أو خدمات تدقيق داخلي لعملائها الخاضعين للفحص، متى كان من شأن هذه الخدمات التأثير على حيادها.

3. ألا يتم تسويق أنشطة الفحص التي تضطلع بها أو تقديمها باعتبارها مرتبطة بأنشطة أي منظمة تقدم خدمات استشارية.

4.2.5. يتعيّن على جهة التدقيق والفحص ضمان التزام الإدارة العليا بالحياد، ووضع آلية موثقة مسؤولة عن حماية الحياد والإشراف على تنفيذ أحكام هذه المادة.

4.2.6. واستنادًا إلى المادة (31) من نظام حماية البيانات الشخصية ولائحته التنفيذية، وبالإضافة إلى المعايير الدولية، تتحقق الجهة المختصّة من أن جهة التدقيق والفحص قد قدمت أدلة مستقلة وكافية تثبت الامتثال لمتطلبات الاستقلالية وتعارض المصالح.

4.2.7. تصنيف استقلالية جهة التدقيق والفحص

4.2.7.1. يتعيّن على جهة التدقيق والفحص تصنيف أنشطة الفحص وفقًا لفئات الاستقلالية المعترف بها دوليًا لجهات الفحص، على النحو المبيّن أدناه، مع ضمان الامتثال للمتطلبات التي تحدّدها الجهة المختصّة.

1. تمثّل جهة التدقيق والفحص من النوع (A) جهة مستقلّة بالكامل عن أي مشاركة في تصميم أو إنتاج أو ملكية أو توريد أو تركيب أو صيانة العناصر الخاضعة للتدقيق والفحص. ويمثل هذا النوع حياد الطرف الثالث الكامل، ويتعيّن أن يعمل دون أي روابط تنظيمية أو مالية أو تشغيلية يمكن أن تؤثر على نتائج التدقيق والفحص.

2. أمّا جهة التدقيق والفحص من النوع (B) فهي جزء محدّد من المنظّمة الرئيسية، تقوم بإجراء عمليات التدقيق والفحص للعناصر الداخلية فقط ضمن المنظّمة نفسها. ويجب أن تظلّ جهة النوع (B) مستقلّة هيكليًا، بما يضمن عدم تأثّر قرارات التدقيق والفحص بالوحدات التشغيلية المسؤولة عن تصميم العناصر الخاضعة للتدقيق والفحص أو إنتاجها أو تشغيلها.

4.3. المسؤولية والتمويل

4.3.1. يتعيّن على جهة التدقيق والفحص اتخاذ الترتيبات الكافية، مثل التأمين أو الاحتياطيات، لتغطية الالتزامات الناشئة عن عملياتها التشغيلية.

4.4. السريّة

4.4.1. المسؤولية عن إدارة المعلومات

4.4.2. تتولّى جهة التدقيق والفحص، بموجب التزامات واجبة النفاذ قانونًا، مسؤولية الإدارة الآمنة والملائمة لجميع المعلومات التي يتم الحصول عليها أو إنشاؤها أثناء أداء أنشطة الفحص. وتنطبق هذه المسؤولية على جميع المعلومات، سواءً تم جمعها مباشرة من العملاء، أو توليدها من خلال أنشطة التقييم والتدقيق، أو استلامها من أطراف خارجية، باستثناء المعلومات التي يقوم بإتاحتها العميل للعامة أو التي تم الاتفاق صراحةً مع العميل على الإفصاح عنها.

4.4.3. سرية نتائج الفحص ومخرجاته

4.4.3.1. يتعيّن على جهة التدقيق والفحص:

1. الحفاظ على سريّة نتائج الفحص ومخرجاته واستنتاجاته المتعلقة بأنشطة التدقيق والفحص أو التقييم المنفذة فيما يتعلق بالجهات محل التقييم.

2. عدم نشر نتائج الفحص أو مشاركتها أو الإفصاح عنها لأي طرف ثالث دون الحصول على موافقة خطية مسبقة من الجهة المختصّة، ما لم يقتضِ النظام المعمول به خلاف ذلك.

4.4.4. حفظ السجلات والمساءلة

يتعيّن على جهة التدقيق والفحص الاحتفاظ بسجلات مناسبة تثبت ما يلي:

1. الامتثال لالتزامات السرية وإدارة المعلومات.

2. الموافقات التي تم الحصول عليها من الجهة المختصّة بشأن أي إفصاحات مصرح بها. ويجب الاحتفاظ بهذه السجلات وفقًا للآليات وفترات الاستبقاء التي تحددها الجهة المختصّة.

المتطلبات الهيكلية

5.1 الهيكل التنظيمي والإدارة العليا

5.1.1. يجب تنظيم أنشطة التدقيق والفحص وإدارتها بما يضمن الحيادية.

5.1.2. تلتزم جهة التدقيق والفحص بتوثيق هيكلها التنظيمي، مع بيان الواجبات والمسؤوليات والصلاحيات المنوطة بالإدارة وموظفي التدقيق والفحص الآخرين وأي لجان ذات صلة. وفي حال كانت جهة التدقيق والفحص جزءًا محددًا من كيان قانوني، يتعيّن أن يوضح الهيكل التنظيمي تسلسل الصلاحيات وطبيعة العلاقة مع الأجزاء الأخرى داخل الكيان القانوني نفسه.

5.1.3. تحدّد إدارة جهة التدقيق والفحص مجلس الإدارة، أو مجموعة الأشخاص، أو الشخص الذي يتمتع بالصلاحية والمسؤولية الكاملة فيما يتعلق بكل مما يلي:

1. وضع السياسات التشغيلية لجهة التدقيق والفحص.

2. الإشراف على تنفيذ السياسات والإجراءات.

3. الإشراف على الشؤون المالية لجهة التدقيق والفحص.

4. أنشطة التدقيق والفحص.

5. متطلبات التدقيق والفحص.

6. التقييم.

7. المراجعة.

8. تقارير التدقيق والفحص.

9. تفويض الصلاحيات للجان أو الموظفين، حسب الحاجة، للقيام بأنشطة محدّدة بالنيابة عنه.

10. الإجراءات التعاقدية.

11. توفير الموارد الكافية لأنشطة التدقيق والفحص.

12. تحديد المتطلبات الوظيفية للموظفين.

5.1.4. يتعيّن على جهة التدقيق والفحص وضع قواعد رسميّة لتشكيل اللجان المشاركة في عملية التدقيق والفحص، وتحديد نطاق اختصاصها وآليات عملها. ويجب أن تكون هذه اللجان خالية من أي ضغوط تجارية أو مالية أو غيرها من الضغوط التي قد تؤثر على اتخاذ القرارات، كما تحتفظ جهة التدقيق والفحص بصلاحية تعيين أعضاء هذه اللجان أو إنهاء عضويتهم.

5.2. آلية ضمان الحياد

5.2.1. يتعيّن على جهة التدقيق والفحص وضع آلية لضمان حيادها. ويجب أن تقدم هذه الآلية مدخلات بشأن ما يلي:

1. السياسات والمبادئ المتعلقة بحيادية أنشطة التدقيق والفحص.

2. أي ميل من قِبل جهة التدقيق والفحص إلى السماح للاعتبارات التجارية أو غيرها بأن تعيق تقديم أنشطة التدقيق والفحص بصورة حيادية ومتسقة.

3. المسائل التي تؤثر على الحياد والثقة في التدقيق أو الفحص، بما في ذلك مبدأ الشفافية.

5.2.2. يجب تنظيم جهة التدقيق والفحص وإدارتها بطريقة تضمن احتفاظها بالقدرة على أداء أنشطة التدقيق والفحص بفعالية. كما يجب عليها تحديد مسؤولياتها التنظيمية وهيكل التقارير الخاص بها وتوثيقهما. وفي حال كانت جهة التدقيق والفحص جزءًا من كيان قانوني أكبر يمارس أنشطة أخرى، فيجب تحديد العلاقة بين أنشطة التدقيق والفحص وتلك الأنشطة الأخرى وتوثيقها بوضوح، بما يحافظ على الاستقلالية ووضوح الأدوار.

5.2.3. يتعيّن على جهة التدقيق والفحص تعيين شخص أو أكثر من ذوي الكفاءة الفنية والخبرة المناسبة للعمل كمدير أو مديرين فنيين، بحيث تكون لهم المسؤولية العامة عن ضمان امتثال أنشطة الفحص لمعيار الأيزو ISO 17020. ويجب تحديد مسؤوليات كل مدير فني وتوثيقها، بما في ذلك تعيين نواب مؤهلين للقيام بمهامه في حال غيابه. كما يجب على جهة التدقيق والفحص الاحتفاظ بأوصاف وظيفية أو وثائق مماثلة لجميع فئات الوظائف المشاركة في أنشطة التدقيق والفحص.

متطلبات الموارد

6.1. موظفو جهة التدقيق والفحص

6.1.1. يتعيّن على جهة التدقيق والفحص وضع إجراء لإدارة الكفاءات، وتطبيقها، وتحديثها باستمرار، بما يثبت تمتّع موظفيها بالمعرفة والخبرات اللازمة لممارسة أنشطة الفحص على نحو صحيح، واستمرار احتفاظهم بها بمرور الوقت، وذلك بما يتماشى مع نظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية. وينبغي على الموظفين الالتزام بما يلي كحدٍ أدنى:

1. استكمال البرامج التدريبية المخصّصة في مجال حماية البيانات الشخصية، بما في ذلك نظام حماية البيانات الشخصية ولوائحه التنفيذية.

2. التمتع بالمعرفة والخبرة المناسبة في تفسير و/أو تطبيق تشريعات حماية البيانات الشخصية المنطبقة على نطاق آلية الفحص، بما في ذلك نظام حماية البيانات الشخصية ولوائحه التنفيذية.

3. التمتع بالمعرفة والخبرة المناسبة في تقييم و/أو تطبيق التدابير الفنية والتنظيمية لحماية البيانات الشخصية ذات الصلة بنطاق آلية الفحص.

4. امتلاك الخبرات المناسبة لتقييم عمليات معالجة البيانات الشخصية وتدقيقها.

6.1.2. يتعيّن على جهة التدقيق والفحص ضمان امتلاك الموظفين المعنيين بإجراء عمليات التقييم للخبرة العملية المناسبة والكفاءة اللازمة في عمليات التدقيق. ويجب على هؤلاء الموظفين ما يلي:

1. استكمال البرامج التدريبية الرسمية المتعلقة بمنهجيات التدقيق، بما في ذلك مبادئ وإجراءات وتقنيات التدقيق، والوثائق ذات الصلة بالتدقيق، والقواعد والمتطلبات المنطبقة على أنشطة التدقيق.

2. المشاركة في عمليتي تدقيق كاملتين على الأقل خلال السنوات الثلاث الماضية، بما يشمل جميع مراحل عملية التدقيق بدءًا من الإعداد وحتى الوصول إلى الاستنتاجات النهائية.

6.1.3. يتعيّن على جهة التدقيق والفحص ضمان توفّر موظفين من ذوي الخبرة القانونية والفنية المناسبة، ممن تستوفي ملفاتهم التعريفية متطلبات الكفاءة المنطبقة والمحددة في هذه الوثيقة. وعلى وجه الخصوص، يجب أن يستوفي هؤلاء الموظفين ما يلي:

1. متطلبات الكفاءة الفنية المحددة في البنود 6.1.4، و6.1.5، و6.1.6.

2. متطلبات الكفاءة القانونية المحددة في البنود 6.1.7، و6.1.8.

ملاحظة: لا تُحتسب فترات التدريب الداخلي أو التدريب المهني ضمن الخبرات المهنية وتستثنى لغرض إظهار الحد الأدنى لعدد سنوات الخبرة المطلوبة للموظفين المسؤولين عن إجراء التقييمات أو تنفيذ أنشطة المراجعة.

6.1.4. يتعيّن على جهة التدقيق والفحص استيفاء الموظفين المعينين كخبراء فنيين أحد المتطلبات التالية:

1. الحصول على درجة البكالوريوس في علوم الحاسوب، أو نظم المعلومات، أو الأمن السيبراني كحد أدنى.

2. امتلاك خبرة مهنية مهمة لا تقل عن سنتين (2) في مجال حماية البيانات الشخصية.

6.1.5. يتعيّن على جهة التدقيق والفحص ضمان إكمال الموظفين، المعينين بناءً على خبراتهم الفنية، ليومين (2) على الأقل من التدريب الرسمي الذي يغطي موضوعات إدارة أمن المعلومات المعمول بها، بما في ذلك اللوائح، والمعايير، والأساليب، وأفضل الممارسات ذات الصلة، وإدارة المخاطر.

6.1.6. يتعيّن على جهة التدقيق والفحص ضمان امتلاك الموظفين، المعينين بناءً على خبراتهم الفنية، للخبرة المناسبة والمواكبة للتطورات، بما في ذلك الخبرات الخاصة بالأدوار الوظيفية الموضحة على النحو التالي:

1. بالنسبة للموظفين المسؤولين عن إجراء التقييمات: خبرة مهنية لا تقل عن سنتين (2) في مجال حماية البيانات الشخصية ذات الصلة بنطاق آلية الفحص (على سبيل المثال، تحليل و/أو تنفيذ التدابير الفنية والتنظيمية الخاصة بحماية البيانات لأنظمة المعلومات، أو اختبارات الضوابط الأمنية، أو إجراءات التقييم الفني، أو الشهادات).

2. بالنسبة للموظفين المسؤولين عن مراجعة الفحص (أو اتخاذ قرارات بشأن تقرير الفحص النهائي): خبرة مهنية لا تقل عن سنتين (2) في تحديد تدابير حماية البيانات الشخصية وصياغتها ومتابعة تنفيذها، أو في تقديم المشورة في مجال حماية البيانات الشخصية.

3. ملاحظة: تعني الخبرة المواكبة للتطورات أن يحافظ الموظف على تحديث معرفته (مثل إكمال التدريبات الدورية) بما يتماشى مع نطاق الآلية ونظام حماية البيانات الشخصية السعودي.

6.1.7. يتعيّن على جهة التدقيق والفحص ضمان أن الموظفين المصنفين كذوي خبرة قانونية يستوفون أحد المتطلبات التالية:

1. الحصول، كحد أدنى، على مؤهل دراسات عليا في القانون، مثل درجة الماجستير.

2. امتلاك خبرة مهنية مهمة لا تقل عن سنتين (2) سنوات في مجال حماية البيانات الشخصية.

6.1.8. يتعيّن على جهة التدقيق والفحص ضمان امتلاك الموظفين، المعينين بناءً على خبراتهم القانونية، للخبرة المناسبة والمواكبة للتطورات، بما في ذلك الخبرات الخاصة بالأدوار الوظيفية الموضحة على النحو التالي:

1. بالنسبة للموظفين المسؤولين عن إجراء التقييمات: خبرة مهنية لا تقل عن سنتين (2) في مجال قانون حماية البيانات الشخصية، مثل تحليل و/أو تطبيق امتثال عمليات معالجة البيانات الشخصية للمتطلبات القانونية المنطبقة، مثل مراجعة العقود أو تدقيق الإجراءات المتعلقة بحقوق أصحاب البيانات.

2. بالنسبة للموظفين المسؤولين عن مراجعة الفحص، أو اتخاذ القرارات بشأن تقرير الفحص النهائي: خبرة مهنية لا تقل عن سنتين (2) في متابعة الامتثال لمتطلبات حماية البيانات الشخصية، أو في تقديم الخدمات الاستشارية ضمن مجال حماية البيانات الشخصية.

6.1.9. يتعيّن على جهة التدقيق والفحص ضمان حفاظ موظفيها على كفاءاتهم باستمرار، بما في ذلك من خلال المشاركة في أنشطة التطوير المهني المستمر.

متطلبات الإجراءات

7.1. المتطلّبات العامة

نشرت الجهة المختصّة آلية واحدة فقط لفحص معالجة البيانات الشخصية.

ملاحظة: يجب تقييم عمليات معالجة البيانات الشخصية وفقًا لمعايير الفحص المعتمدة من الجهة المختصّة، وبما يتوافق مع نظام حماية البيانات الشخصية السعودي ولوائحه التنفيذية.

7.2. إصدار الترخيص

يعرض التسلسل التالي نظرة عامة عالية المستوى لدورة حياة إدارة عملية إصدار تراخيص أنشطة التدقيق والفحص.
7.2.1. الحصول على اعتماد المركز السعودي للاعتماد

يجب على مقدّم الطلب الحصول على اعتماد المركز السعودي للاعتماد ضمن نطاق “اعتماد جهات التدقيق والفحص” كشرط إلزامي قبل التقدم بطلب الحصول على الترخيص.

7.2.2. التسجيل في المنصة الخاصة بالجهة المختصّة

لبدء عملية الترخيص، ينبغي على مقدّم الطلب التسجيل عبر منصّة حوكمة البيانات الوطنية بصفته مقدّم طلب كجهة تدقيق وفحص.

7.2.3. التقدم بطلب الترخيص كجهة تدقيق وفحص

7.2.3.1. يتعيّن على مقدّم الطلب استكمال طلب الترخيص الرسمي وتقديمه عبر منصة حوكمة البيانات الوطنية، بما يشمل رفع جميع المعلومات المطلوبة والتفاصيل الداعمة حسبما هو مطلوب في المنصّة.

7.2.3.2. يجب على مقدّم الطلب تقديم معلومات قانونية وتنظيمية دقيقة ومحدّثة، تشمل، كحد أدنى، ما يلي:

1. النظام الأساسي للجهة أو ما يعادله من الوثائق التأسيسية.

2. شهادة السجل التجاري.

3. بيانات التواصل الرسمية.

4. الوثائق الداعمة المشار إليها في ملحق هذا الدليل.

7.2.3.3. يلتزم مقدّم الطلب بالامتثال لأي متطلبات إضافية تحددها الجهة المختصّة، وفقًا لأحكام النظام واللوائح. ويجب أن تكون هذه المتطلبات:

1. متوافقة مع معايير الامتثال للنظام واللوائح.

2. ضرورة تقييم مدى ملاءمة مقدّم الطلب للحصول على الترخيص.

7.2.3.4. يتعيّن على مقدّم الطلب سداد رسوم الطلب وأي رسوم مطلوبة أخرى تحددها وتنشرها الجهة المختصّة، وذلك حتى يُعد الطلب مقبولًا للتقديم والمراجعة.

7.2.4. مراجعة الطلب واتخاذ القرار

7.2.4.1. تتولى الجهة المختصّة تقييم طلب الترخيص وفقًا للمتطلبات والشروط الواردة في الطلب المقدّم من مقدّم الطلب على منصّة الجهة المختصّة.

1. تراجع الجهة المختصّة طلب الترخيص وتصدر قرارها خلال مدة لا تتجاوز تسعين (90) يوم عمل من تاريخ استلام الطلب.

2. في حال كان الطلب غير مكتمل، تبدأ مدة المراجعة من تاريخ تقديم جميع المعلومات والوثائق المطلوبة على النحو الواجب.

7.2.5. الإبلاغ بالقرار

7.2.5.1. يجب إبلاغ مقدّم الطلب رسميًا بالقرار الصادر عن الجهة المختصّة، سواء تمت الموافقة على الطلب أو رفضه، بما في ذلك من خلال منصّة الجهة المختصّة، وفقًا للإجراءات التي تحددها الجهة المختصّة.

7.2.5.2. بعد الموافقة على طلب الترخيص، تمنح الجهة المختصّة الترخيص لمدة ثلاث (3) سنوات تبدأ من تاريخ إصدار قرار الترخيص.

7.2.5.3. يجب ذكر مدة ترخيص التدقيق والفحص بوضوح في وثيقة الترخيص وفي الإخطار الرسمي الصادر إلى مقدّم الطلب، بما في ذلك تاريخ بدء وانتهاء الترخيص.

7.2.5.4. يجوز لجهة التدقيق والفحص المرخّص لها حديثًا طباعة الترخيص والبدء في ممارسة أنشطة التدقيق والفحص.

7.2.5.5. في حالة رفض الطلب، يجوز لمقدّم الطلب تقديم طلب جديد بعد استيفاء جميع المعلومات الناقصة والمطلوبة.

7.3. العمليات التشغيلية لأنشطة التدقيق والفحص

7.3.1. الطلبات والاتفاقيات

ينبغي على مقدّم الطلب، عند منحه الترخيص بصفته جهة تدقيق وفحص، البدء في إبرام اتفاقيات تدقيق وفحص ملزمة قانونًا مع كل عميل، بحيث تحدد بوضوح نطاق التدقيق والفحص، وحقوق والتزامات الطرفين، والمتطلبات المنطبقة، وأحكام السريّة، وشروط إصدار تقرير الفحص والحفاظ على سريانه أو إيقافه أو سحبه.

7.3.2. تخطيط عمليات التدقيق وأساليبها

7.3.2.1. يجب على جهة التدقيق والفحص استخدام أساليب وإجراءات التدقيق والفحص المحددة في المتطلبات المنطبقة، مثل اللوائح أو المعايير أو آليات الفحص أو العقود. وفي حال عدم تحديد هذه الأساليب، يجب على جهة التدقيق والفحص تطوير أساليب وإجراءات فحص مناسبة وتوثيقها وتطبيقها.

7.3.2.2. يجب على جهة التدقيق والفحص الاحتفاظ بتعليمات موثقة بشأن تخطيط الفحص، وأخذ العينات، وتقنيات الفحص، وتنفيذ عمليات الفحص بطريقة آمنة. كما يجب أن تكون جميع التعليمات والمعايير والإجراءات وقوائم التحقق والبيانات المرجعية ذات الصلة محدثة ومتاحة بسهولة لموظفي الفحص.

7.3.2.3. يجب توثيق أساليب الفحص غير القياسية بالكامل وإثبات ملاءمتها للغرض المقصود منها. وفي حال اعتبرت جهة التدقيق والفحص أن أساليب الفحص المقترحة من العميل غير مناسبة، فيجب عليها إبلاغ العميل بذلك.

7.3.3. ضبط أنشطة التدقيق والفحص والبيانات

يجب التحقق من سلامة المعلومات المقدمة من الأطراف الخارجية قبل استخدامها. كما يجب تسجيل ملاحظات وبيانات الفحص في الوقت المناسب، وإخضاع العمليات الحسابية ونقل البيانات للفحوصات المناسبة لمنع الأخطاء أو فقدان المعلومات.

7.3.4. التعامل مع عناصر التدقيق والفحص والعينات

7.3.4.1. يجب على جهة التدقيق والفحص ضمان تعريف جميع عناصر الفحص والعينات بشكل فريد لمنع أي لبس. وقبل إجراء الفحص، يجب على جهة التدقيق والفحص التحقق مما إذا كان العنصر قد تم إعداده بالشكل المناسب.

7.3.4.2. يجب تسجيل أي حالات غير طبيعية ظاهرة أو مبلغ عنها. وفي حال وجود شك بشأن ملاءمة العنصر للفحص، أو في حال عدم مطابقة العنصر للوصف المقدم، يجب على جهة التدقيق والفحص الرجوع إلى العميل قبل المضي قدمًا.

7.3.4.3. يجب على جهة التدقيق والفحص الاحتفاظ بإجراءات موثقة وتوفير مرافق مناسبة لحماية عناصر الفحص والعينات من التلف أو التدهور أو الفقدان أثناء وجودها تحت مسؤوليتها.

7.3.5. تقارير التدقيق وشهادات الفحص

7.3.5.1. في حال كان قرار المطابقة مطلوبًا، يجب إصدار شهادة الفحص كجزء من تقرير الفحص، وأن تتضمن بيانًا واضحًا بالمطابقة أو عدم المطابقة للعناصر الخاضعة للفحص مقابل معايير الفحص المحددة والنطاق المعتمد.

7.3.5.2. ينطبق بيان المطابقة المدرج في شهادة الفحص فقط في وقت إجراء الفحص، ولا يعني صدور شهادة اعتماد، أو وجود مدة سريان، أو أي شكل من أشكال المراقبة المستمرة.

7.3.5.3. يجب تمييز تقرير الفحص بشكل فريد من خلال رقم الوثيقة، وتاريخ الإصدار، وحالة المراجعة. وفي حال إصدار شهادة الفحص، فيجب أن تشير إلى تقرير الفحص المقابل.

7.3.5.4. يصدر تقرير التدقيق والفحص فقط للاستخدام المقصود من قبل العميل المحدد بالاسم، وضمن النطاق المتفق عليه، ويتعلق حصريًا بطلب الفحص أو الاتفاق التعاقدي أو المتطلب التنظيمي المنطبق المحدد.

7.3.5.5. يجب أن يوثق تقرير الفحص نتائج الفحص، وأن يستند حصريًا إلى الأدلة الموضوعية التي تم الحصول عليها أثناء الفحص. ويجب أن تقتصر النتائج على نطاق الفحص المحدد ومعايير التدقيق والفحص المعتمدة.

7.3.5.6. يعكس تقرير التدقيق والفحص حالة النطاق محل التدقيق والفحص في وقت إجراء التدقيق والفحص فقط، ووفقًا لمعايير التدقيق والفحص المتفق عليها. ولا يُقدّم أي ضمان بشأن استمرار المطابقة أو تحققها مستقبلًا.

7.3.5.7. لا يكون تقرير التدقيق والفحص صالحًا إلا بعد مراجعته واعتماده من قبل الموظفين المعيّنين حسب الأصول لدى جهة التدقيق والفحص. ويؤدي أي تعديل غير مصرح به أو نسخ جزئي إلى إبطال تقرير الفحص.

7.3.5.8. يصدر تقرير والفحص للاستخدام الحصري من قبل العميل المحدد، ويجب أن يتلقى العميل التقرير النهائي مباشرة من جهة التدقيق والفحص.

7.3.5.9. يجب تقديم سجل بتقرير الفحص إلى منصّة الجهة المختصّة في الوقت المناسب.

7.3.5.10. بعد استلام سجل الفحص من جهة التدقيق والفحص، يجوز للجهة المختصّة طلب رفع وثائق داعمة إضافية على منصّة الجهة المختصّة.

7.3.6. الشكاوى والطعون

7.3.6.1. بما يتماشى مع المعايير الدولية، يجب على جهة التدقيق والفحص الاحتفاظ بعملية موثقة لتلقي الشكاوى والطعون المتعلقة بأنشطة التدقيق والفحص الخاصة بها وتقييمها والبت فيها، بما يتوافق مع الآلية المنطبقة عليها. ويجب أن تحدد هذه العملية، كحد أدنى، ما يلي:

أ‌) من يحق له تقديم الشكاوى والطعون.

ب‌) من يتولى جمع المعلومات اللازمة والتحقق منها للمضي في معالجة الحالة.

ت‌) من يتخذ القرار بشأن حل الشكوى أو الطعن.

ث‌) كيف ومتى يتم إبلاغ مقدّم الشكوى أو الطعن في المراحل الرئيسية، بما يشمل الاستلام، وسير المعالجة، والنتيجة، والإغلاق.

ج‌) كيف يتم تنفيذ أنشطة التحقق.

ح‌) مسارات الحل التي يمكن استخدامها، مثل المراجعة الفنية أو التشاور مع الأطراف المعنية، متى كان ذلك مناسبًا.

7.3.6.2. يجب على جهة التدقيق والفحص تأكيد ما إذا كانت الشكوى تتعلق بأنشطة الفحص الخاصة بها، والإقرار باستلام الشكوى خلال ثلاثون (30) يوم عمل من تاريخ الاستلام. وعند الاقتضاء، يجوز تمديد هذه المدة مرة واحدة لمدة ثلاثون (30) يوم عمل إضافية بحد أقصى، على أن يتم إبلاغ مقدّم الشكوى بالتمديد وأسباب التأخير خلال الثلاثون (30) يوم عمل الأولى.

7.3.6.3. يجب على جهة التدقيق والفحص إبلاغ مقدّم الشكوى أو الطعن بسير المعالجة والنتيجة ضمن أطر زمنية معقولة تحددها في إجراءاتها الموثقة. وفي حال تعذر إصدار نتيجة رسمية، يجب على الجهة إبلاغ مقدّم الشكوى بإغلاق الحالة وأسباب تعذر الوصول إلى نتيجة.

7.3.6.4. يجب على جهة التدقيق والفحص إنشاء سجلات كاملة للشكاوى والطعون والاحتفاظ بها، على أن تشمل، كحد أدنى، ما يلي:

أ‌) حالة كل ملف، مثل: مستلم، أو قيد التحقيق، أو مغلق.

ب‌) التواريخ والإجراءات الرئيسية، مثل: التسجيل، والإقرار بالاستلام، وتحديثات سير المعالجة، والرد النهائي، وإيقاف المعالجة.

7.4. تجديد الترخيص

7.4.1. تقديم طلب التجديد

7.4.1.1. يتعيّن على جهة التدقيق والفحص تقديم طلب تجديد الترخيص إلى الجهة المختصّة في موعد لا يتجاوز تسعين (90) يوم عمل قبل تاريخ انتهاء صلاحية الترخيص.

7.4.1.2. قد لا تُقبل طلبات التجديد التي تُقدّم بعد انقضاء هذه المدة، أو قد تخضع لشروط إضافية، وذلك وفقًا لما تقرره الجهة المختصّة.

7.4.2. شروط الموافقة على التجديد

7.4.2.1. تتم الموافقة على تجديد الترخيص بناءً على التحقق من أن جهة التدقيق والفحص لا تزال مستوفية لجميع متطلبات الترخيص الواردة في نموذج الطلب، ووفقًا للمتطلبات المحددة في القواعد.

7.4.2.2. يتعيّن على جهة التدقيق والفحص الإفصاح عن أي تغييرات متعلقة بالوضع النظامي، أو الملكية، أو الهيكل التنظيمي، أو الإدارة الرئيسية، أو السيطرة التشغيلية، التي طرأت خلال مدة الترخيص وقد تؤثر على أنشطة التدقيق والفحص.

7.4.2.3. يتعيّن على جهة التدقيق والفحص إثبات استمرار توافر الموظفين المؤهلين، والموارد الفنية، والمرافق اللازمة لأداء أنشطة الفحص ضمن النطاق المرخّص له.

7.4.2.4. يتعيّن على جهة التدقيق والفحص تأكيد استمرار فعالية الترتيبات الخاصة بضمان الحياد والاستقلالية، وعدم وجود أي تعارض في المصالح يمكن أن يؤثر على أنشطة التدقيق والفحص أو نتائجها.

7.4.2.5. يجوز للجهة المختصّة طلب معلومات أو وثائق إضافية حسب الحاجة لاستكمال تقييم طلب التجديد.

7.4.3. القرار ومدة سريان الترخيص المُجدَّد

7.4.3.1. تمنح الجهة المختصّة تجديد الترخيص بناءً على إثبات مرضٍ لاستمرار الامتثال. ولا يُعد تجديد الترخيص موافقة على نتائج التدقيق والفحص التي سبق إصدارها.

7.4.3.2. تكون مدة الترخيص المُجدّد مماثلة لمدة الترخيص الأولى، ما لم تقرر الجهة المختصّة خلاف ذلك وفقًا للقواعد المعمول بها. ويجب تحديد مدة الترخيص المُجدّد في قرار التجديد، وأن تنعكس في وثيقة الترخيص المحدّثة.

7.5. سحب الترخيص، وتخفيضه، وإيقافه، وإلغاؤه
7.5.1. يحقّ للجهة المختصّة سحب الترخيص أو إيقاف جهة التدقيق والفحص مؤقتًا، وفقًا للآلية التي تحدّدها الجهة المختصّة، في أي من الحالات التالية:

أ‌) عدم الالتزام بالمتطلبات المنصوص عليها في المادتين (3) و(4) من القواعد المنظّمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص على أنشطة معالجة البيانات الشخصية، والمتعلقة بالاستقلالية والحياد والتزامات تعارض المصالح، أو مخالفة أحكام النظام، أو اللوائح أو ما تصدره الجهة المختصّة من تعليمات ملزمة في هذا الشأن.

ب‌) انتهاء الاعتماد المنصوص عليه في الفقرة (4) من المادة (4) من القواعد المنظمة لتراخيص أنشطة إصدار شهادات الاعتماد لجهات التحكم والمعالجة وأنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية، إذا كان نوع الترخيص لممارسة أنشطة التدقيق والفحص المرتبطة بمعالجة البيانات الشخصية.

ت‌) عدم الالتزام بمعالجة المخالفات أو تنفيذ أي توجيهات خطية صادرة من الجهة المختصّة.

ث‌) تقديم معلومات خاطئة أو عدم الإفصاح عن المعلومات المطلوبة أثناء فترة تقديم الطلب أو أثناء ممارسة النشاط المرخَّص.

ج‌) أي أسباب أخرى تراها الجهة المختصّة مناسبة وفقًا لتقديرها.

7.5.2. تُشعِر الجهة المختصّة جهة التدقيق والفحص التي تم سحب الترخيص منها أو إيقافها عن ممارسة النشاط مؤقتًا بمسببات السحب أو الإيقاف المؤقت، وفقًا للإجراءات والجداول الزمنية المعتمدة لديها.

7.5.3. يحق لجهة التدقيق والفحص الاعتراض على سحب الترخيص أو الإيقاف المؤقت من ممارسة النشاط خلال مدة لا تتجاوز (30) يوم عمل من تاريخ الإشعار بالقرار.

7.5.4. إذا كان قرار سحب الترخيص أو الإيقاف المؤقت مبنيًا على أي مما ورد في الفقرة 7.5.1، فيجوز لجهة التدقيق والفحص تصحيح أوضاعها وتقديم ما يثبت ذلك إلى الجهة المختصّة خلال المدة المحددة وبالطريقة التي تحددها الجهة المختصّة.

7.5.5. يُلغى الترخيص الصادر في أي من الحالات الآتية:

أ‌) انقضاء الكيان النظامي لجهة التدقيق والفحص، وفقًا لما ورد في نظام الشركات.

ب‌) عدم الحصول على موافقة الجهة المختصّة قبل بدء إجراءات الاستحواذ أو الاندماج مع جهة التدقيق والفحص أخرى.

7.5.6. لا يؤثر إلغاء الترخيص على صلاحية تقارير الفحص الصادرة عن جهة التدقيق والفحص قبل تاريخ الإلغاء، إلا إذا تبيّن للجهة المختصّة عدم سلامة أو صحة تلك الشهادات أو التقارير.

7.6. السجلات

7.6.1. سجلات الفحص

7.6.1.1. يتعيّن على جهة التدقيق والفحص الاحتفاظ بنظام سجلات ضمن منصّة الجهة المختصّة لإثبات التنفيذ الفعال لإجراءات الفحص، وتمكين المراجعة والتقييم المناسبين لأنشطة الفحص.

7.6.2. إمكانية تتبّع تقارير الفحص وشهادات الفحص

7.6.2.1. يجب أن يكون تقرير الفحص أو شهادة الفحص قابلًا للتتبع داخليًا إلى المفتش أو المفتشين الذين نفّذوا عملية الفحص.
7.6.3. تقارير الفحص وشهادات الفحص

7.6.3.1. يجب توثيق جميع أنشطة الفحص التي تنفذها جهة التدقيق والفحص في تقرير فحص أو شهادة فحص قابلة للاسترجاع.

7.6.3.2. ويجب أن يتضمن كل تقرير تدقيق أو شهادة فحص، كحد أدنى، ما يلي:

أ‌) تحديد جهة التدقيق والفحص المصدرة.

ب‌) مرجع فريد وتاريخ الإصدار.

ت‌) تاريخ أو تواريخ الفحص.

ث‌) تحديد العنصر أو العناصر الخاضعة للفحص.

ج‌) التفويض أو الاعتماد من قبل الموظفين المعيّنين.

ح‌) بيان المطابقة، متى كان منطبقًا.

خ‌) نتائج التدقيق والفحص.

ملاحظات:

- يجب أن تكون تقارير التدقيق وشهادات الفحص دقيقة وواضحة ومقدمة بطريقة صحيحة.

- يجب توثيق أي تصحيح أو تعديل يصدر بعد إصدار تقرير التدقيق أو شهادة الفحص، وأن يحدد بوضوح التقرير الأصلي الذي يتم استبداله.

متطلبات نظام جهة التدقيق والفحص

المتطلبات الإضافية الأخرى

المتطلبات الإضافية الأخرى

9.1.1. المتطلبات الإضافية التي تفرضها الجهة المختصّة

9.1.1.1. تشمل المتطلبات الإضافية، على سبيل المثال لا الحصر، ما يلي:

1. تقديم المعلومات الإضافية أو الإقرارات أو التعهدات

2. الالتزام بالضوابط التقنية أو التشغيلية أو الأمنية

3. المشاركة في عمليات التدقيق أو الفحص أو إجراء المقابلات

4. تحديد مواعيد ونماذج وأساليب تقديم الطلبات وقنوات التواصل بشأنها

5. تنفيذ أي إجراءات تصحيحية أو وقائية تحددها الجهة المختصّة

9.1.1.2. يجوز للجهة المختصّة الإبلاغ بهذه المتطلبات من خلال قرار رسمي، أو تعميم، أو دليل إرشادي، أو إشعار عبر المنصّة، أو مراسلات خطية.

9.1.2. تخزين البيانات والاحتفاظ بها داخل المملكة

9.1.2.1. يسري هذا المتطلب على جميع البيانات التي يتم إنشاؤها أو جمعها أو معالجتها أو الاحتفاظ بها فيما يتعلق بأنشطة الفحص، بما في ذلك البيانات التشغيلية والفنية والإدارية والبيانات المتعلقة بالامتثال.

9.1.2.2. يجب تخزين البيانات داخل المملكة بغض النظر عمّا إذا كانت البيانات مخزنة بصيغة مادية أو إلكترونية.

9.1.2.3. يتعيّن على جهة التدقيق والفحص تنفيذ تدابير فنية وتنظيمية مناسبة لضمان بقاء هذه البيانات مخزنة داخل المملكة دائمًا.

9.1.2.4. لا يجوز منح حق الوصول إلى البيانات من خارج المملكة إلا في الحالات المسموح بها بموجب النظام واللوائح، ودون نقل البيانات أو استضافتها خارج المملكة.

9.1.2.5. يتعيّن على جهة التدقيق والفحص الاحتفاظ بوثائق تثبت الامتثال لهذا المتطلب، وإتاحتها للجهة المختصّة عند الطلب.

9.1.2.6. قد يترتب على عدم الامتثال لمتطلبات تخزين البيانات والاحتفاظ بها داخل المملكة اتخاذ تدابير تنظيمية من قبل الجهة المختصّة، وفقًا للنظام واللوائح.

9.1.3. الصلاحيات الإشرافية للجهة المختصّة

9.1.3.1. يجوز للجهة المختصّة طلب أي وثائق أو سجلات أو معلومات متعلقة بجهة التدقيق والفحص وأنشطة الفحص التي تمارسها في أي وقت خلال مدة سريان الترخيص.

9.1.3.2. يتعيّن على جهة التدقيق والفحص تقديم الوثائق المطلوبة خلال المدة وبالطريقة التي تحددها الجهة المختصّة.

9.1.3.3. يجوز للجهة المختصّة التنسيق والمتابعة مع الجهات ذات الصلة، حسب الحاجة، لدعم الأنشطة الإشرافية وضمان الرقابة الفعالة على امتثال جهة التدقيق والفحص لهذه القواعد.

9.1.3.4. يجوز للجهة المختصّة تنفيذ أنشطة إشرافية ورقابية ومتابعة حسبما يلزم لضمان التطبيق السليم والامتثال المستمر.

الملحق - الوثائق الداعمة

يجب على مقدّم الطلب تقديم الوثائق الداعمة الآتية للحصول على الترخيص لممارسة أنشطة الفحص وإصدار تقرير التقييم ذي الصلة.

#	الوثيقة	مطلوبة أثناء مرحلة تقديم الطلب	مطلوبة بعد تقديم الطلب/أثناء فترة سريان الترخيص
1	السجل التجاري السعودي	X
2	وثيقة تسجيل الجهات الأجنبية في وزارة الاستثمار السعودية - رخصة الاستثمار (إن وجدت)	X
3	نموذج عقد الفحص	X
4	نموذج إقرار يتضمن تأكيد ما يلي: - ضمان الحياد - مراقبة استخدام الترخيص والتقارير وعلامات المطابقة - توقيع إقرارات الاستقلالية لجميع الموظفين ضمن نموذج الإقرار - الإفصاح عن تعارض المصالح ضمن نموذج الإقرار - تكامل منصّة جهة التدقيق والفحص مع منصّة الجهة المختصّة وفقًا للمتطلبات التي تحددها الجهة المختصّة	X
5	دليل على مراقبة استخدام الترخيص والتقارير وعلامات المطابقة		X
6	خطاب يوضح مصادر تمويل جهة التدقيق والفحص	X	X
7	ميثاق لجنة ضمان الحياد المعتمد وأعضاؤها	X	X
8	سجل مخاطر الحياد وإجراءات المعالجة		X
9	وثائق النظام الإدارة المطبق من قبل جهة التدقيق والفحص لأنشطة الفحص	X	X
10	الهيكل التنظيمي لجهة التدقيق والفحص ومصفوفة RACI	X	X
11	سجل وملفات تعريف الموظفين المرتبطين بأنشطة الفحص بما يتماشى مع المتطلبات المحددة	X	X
12	اتفاقيات عدم الإفصاح الموقعة من موظفي الفحص	X	X
13	خطة تدريب الموظفين	X
14	دليل تنفيذ خطة التدريب		X
15	إجراءات الشكاوى والطعون	X
16	اعتماد المركز السعودي للاعتماد للفحص	X
17	أي وثائق إضافية تطلبها الجهة المختصّة	X	X

آخر تحديث : 05 يوليو 2026

دليل معايير تراخيص أنشطة التدقيق والفحص لمعالجة البيانات الشخصية

إضافة تعليق ؟

المقدمة

إضافة تعليق

الهدف والنطاق

إضافة تعليق

المراجع المعيارية

إضافة تعليق

التعريفات

إضافة تعليق

المتطلبات العامة

إضافة تعليق

المتطلبات الهيكلية

إضافة تعليق

متطلبات الموارد

إضافة تعليق

متطلبات الإجراءات

إضافة تعليق

متطلبات نظام جهة التدقيق والفحص

إضافة تعليق

المتطلبات الإضافية الأخرى

إضافة تعليق

الملحق - الوثائق الداعمة

إضافة تعليق

تواصل معنا

أدوات سهولة الوصول