يتجاوز التحقق من مراقبة المعاملات مجموعة العمل المالي السؤال عن وجود نظام مراقبة وقواعد معيارية. فالمقيّم يسأل: هل تكتشف السيناريوهات فعلًا الأنماط التي حددتموها بأنفسكم في تقييم المخاطر؟ وإذا كان تقييمكم يذكر أن مخاطر قطاعٍ أو منتجٍ تتركز في نمط بعينه، فعليكم أن تُظهروا السيناريو الذي يلتقطه، والبيانات التي تغذيه، والدليل على أنه يعمل.
يعرض هذا المقال ثلاث ثغرات تظهر عادة عند هذا الاختبار، ثم بروتوكولًا للاختبار الرجعي يقيس التغطية مقابل تقييم المخاطر. وهو موجّه إلى مسؤولي الامتثال ومكافحة غسل الأموال في البنوك والشركات المالية في المملكة الذين يستعدون للتقييم المتبادل. ويُنظر إلى هذه الأمور في ضوء توصيات مجموعة العمل المالي (FATF) وقواعد مكافحة غسل الأموال وتمويل الإرهاب الصادرة عن البنك المركزي السعودي.
لماذا يبدأ المقيّم من تقييم المخاطر
تقوم توصيات مجموعة العمل المالي على النهج القائم على المخاطر. ومعنى ذلك أن ضوابط المراقبة لا تُقاس بعدد القواعد، بل بمدى تناسبها مع المخاطر التي حددتها المؤسسة. لذلك يأخذ المقيّم نمطًا من تقييم المخاطر، ثم يتتبعه نزولًا: أي سيناريو يغطيه؟ وما عتبته؟ وأي بيانات تدخل فيه؟ وماذا حدث عند التنبيه؟
حين ينقطع هذا التسلسل في أي حلقة، تصبح الفجوة ملاحظة على فعالية البرنامج وليست مسألة توثيق فقط.
الثغرة الأولى: انحراف عتبات السيناريو
تُضبط العتبات عادة عند إطلاق السيناريو، ثم تبقى كما هي بينما يتغير سلوك العملاء وحجم العمليات وتركيبة المنتجات. وتظهر المشكلة بإحدى صورتين:
- عتبات مرتفعة لم تعد تلتقط الأنماط التي يصفها تقييم المخاطر، فلا تصدر تنبيهات عن سلوك يُفترض أن يكون مرصودًا.
- عتبات منخفضة تُغرق المحللين بتنبيهات ضعيفة القيمة، فيُغلق كثير منها دون تحقيق حقيقي.
والأخطر أن تغييرات العتبات قد تُجرى دون سجل يوضح السبب أو الجهة التي وافقت أو الأثر المتوقع. وعندها يعجز الفريق عن الدفاع عن قيمة عتبة بعينها أمام المقيّم.
ما يطلبه المقيّم: مبررًا موثقًا لكل عتبة، وأثرًا مقاسًا لتغييرها، وتاريخًا واضحًا للتعديلات.
الثغرة الثانية: تجزئة مخاطر العملاء غير المكتملة
تعتمد كثير من السيناريوهات على شرائح العملاء، كأن تُضبط العتبات بحسب فئة المخاطر أو نوع النشاط. وتتعطل هذه المنطقية عندما تكون التجزئة نفسها ناقصة، ومن أمثلة ذلك:
- عملاء بلا تصنيف مخاطر محدّث، أو يقعون في شريحة افتراضية.
- شرائح واسعة تجمع عملاء متباينين في السلوك، فتُضبط العتبة على متوسط لا يمثل أحدًا.
- اختلاف بين تصنيف المخاطر في نظام اعرف عميلك وما يصل إلى نظام المراقبة.
والنتيجة أن السيناريو يعمل تقنيًا لكنه يُطبَّق على الشريحة الخطأ. وهذه ثغرة لا تظهر في مراجعة القواعد، وإنما عند مقارنة بيانات العملاء بين النظامين.
الثغرة الثالثة: غياب الربط بين المنتجات
يتحرك المال عبر الحسابات والبطاقات والتحويلات والتمويل ومنتجات أخرى، لكن السيناريوهات كثيرًا ما تُبنى لكل منتج على حدة. فيبدو كل نشاط منفردًا عاديًا، بينما يكشف مجموعه عن نمط مثل تجزئة الأموال أو تدويرها عبر قنوات مختلفة.
وتزداد المشكلة حين يذكر تقييم المخاطر نمطًا عابرًا للمنتجات دون أن يوجد سيناريو يجمع بياناتها حول عميل واحد أو شبكة علاقات واحدة. وقد يكون السبب تقنيًا، كغياب معرّف موحد للعميل، أو تنظيميًا، كملكية كل منتج لفريق مختلف.
بروتوكول الاختبار الرجعي: قياس التغطية مقابل تقييم المخاطر
الهدف من الاختبار الرجعي إثبات أن السيناريوهات كانت ستلتقط الأنماط المحددة لو وقعت. ويمكن تنفيذه بالخطوات الآتية:
- استخراج الأنماط من تقييم المخاطر. حوّلوا كل مخاطرة جوهرية إلى نمط سلوكي قابل للقياس، مع المنتج والشريحة والقناة المعنية.
- بناء مصفوفة التغطية. اربطوا كل نمط بالسيناريو المقابل له. وأي نمط بلا سيناريو فهو فجوة تغطية تُوثَّق وتُعالَج.
- اختبار البيانات. تحققوا من اكتمال الحقول التي يعتمد عليها كل سيناريو وجودتها، ومن وصولها كاملة من المصدر إلى نظام المراقبة.
- تشغيل حالات اختبار. أعيدوا تشغيل السيناريو على بيانات تاريخية، وعلى حالات اصطناعية تحاكي النمط المستهدف، وسجلوا ما التُقط وما فات.
- مراجعة العتبات والشرائح. قارنوا نتائج الخطوة السابقة بالعتبات الحالية وبشرائح العملاء، وحدّدوا مواضع الانحراف.
- اختبار الربط بين المنتجات. تأكدوا من إمكان تجميع نشاط العميل الواحد عبر المنتجات في سيناريو واحد.
- توثيق النتائج والقرارات. احفظوا الأدلة والتوصيات وقرارات الضبط وأسباب قبولها أو رفضها، فهي ما سيطلبه المقيّم.
يفيد أن يجري هذا العمل قبل التقييم بوقت كافٍ، حتى تتسع المهلة لمعالجة الفجوات لا لمجرد اكتشافها.
أين يفيد التحقق المستقل
كثيرًا ما يصعب على الفريق الذي بنى السيناريوهات أن يختبرها بحياد. ولهذا يفيد أن يتولى طرف مستقل هذا الفحص. وفي سيزو يقوم التحقق من نماذج المراقبة والفحص لمكافحة غسل الأموال على تحقق مستقل من سيناريوهات مراقبة العمليات وأدوات فحص الأسماء، يشمل جودة البيانات والحدود وأداء المطابقة التقريبية وتغطية تقييم المخاطر.
وينتظم العمل في أربعة محاور: البيانات، وفيها اختبار تسلسل البيانات واكتمالها وجودتها؛ والتغطية، وفيها ربط السيناريوهات بتقييم المخاطر؛ والأداء، وفيه اختبار الحدود وجودة المطابقة؛ والحوكمة، وفيها تقرير التحقق وتوثيق النماذج.
أما المخرجات فهي تقرير التحقق، وتوصيات الضبط مع الأدلة، وسجل النماذج وحزمة الحوكمة. وتمتد مدة المشروع من ٦ إلى ١٠ أسابيع.
وبشأن سؤالين يتكرران: نعمل على مستخلصات داخل بيئتكم أو نسخة آمنة، فلا تخرج البيانات عن سيطرتكم. ويشمل التحقق توصيات ضبط مبنية على الأدلة، ويمكننا دعم التنفيذ.
خاتمة
ثلاث أسئلة تلخص ما سيختبره المقيّم: هل العتبات مبررة وموثقة؟ وهل الشرائح مكتملة ومتسقة مع نظام اعرف عميلك؟ وهل ترى السيناريوهات نشاط العميل عبر منتجاته؟ فإن أجبتم عنها بالأدلة، صارت التغطية حقيقة مثبتة لا افتراضًا.
إذا أردتم اختبار مراقبتكم قبل التقييم المتبادل، فيمكن أن يبدأ الحوار مع سيزو من خدمة التحقق من نماذج المراقبة والفحص لمكافحة غسل الأموال.
