خمس فجوات في فحص العقوبات يكشفها التحقق المستقل

# خمس فجوات في فحص العقوبات يكشفها التحقق المستقل

تعتمد البنوك المراسلة السعودية ومؤسسات الدفع على أدوات التحقق من فحص العقوبات لمطابقة أسماء العملاء والمستفيدين مقابل قوائم مكتب مراقبة الأصول الأجنبية OFAC والأمم المتحدة والاتحاد الأوروبي والقوائم المحلية. تنجح معظم هذه الأدوات في اختبارات المطابقة التامة—الاسم الكامل مكتوب بالضبط كما يظهر في القائمة—لكنها تفشل في متغيرات النقل الحرفي والأسماء المستعارة المفقودة وبيانات العملاء غير المكتملة. يتوقع البنك المركزي السعودي ساما والجهات الرقابية الدولية أن تثبت المؤسسة أن أداة الفحص لديها تعمل فعلًا، وليس فقط أنها مثبتة ومشغلة.

نستعرض في هذا المقال الفجوات الخمس المتكررة التي نجدها أثناء التحقق من نماذج الفحص، والأدلة التي يقدمها المدقق المستقل لإرضاء الفاحصين.

متى تحتاج المؤسسة إلى التحقق المستقل من فحص العقوبات

تنشأ الحاجة إلى التحقق المستقل في عدة مواقف:

التحضير للفحص الرقابي: عندما يقترب موعد زيارة البنك المركزي السعودي أو مدقق خارجي، يطلب رئيس الامتثال دليلًا موثقًا على أن أداة الفحص تلتقط الأسماء المطابقة بدقة مقبولة وأن المنطق الغامض fuzzy logic معاير بشكل صحيح.

تغيير الأداة أو الترقية: بعد تثبيت نظام فحص جديد أو ترقية إصدار قديم، تحتاج المؤسسة إلى التأكد من أن الإعدادات الافتراضية للمورد تناسب ملف مخاطرها وأن البيانات تتدفق من أنظمة العملاء core banking إلى محرك الفحص دون فقدان أو تشويه.

ارتفاع معدل الإيجابيات الكاذبة: عندما يغرق فريق العمليات في آلاف التنبيهات يوميًا ومعظمها إيجابيات كاذبة، يشير ذلك إلى أن عتبة المطابقة threshold منخفضة جدًا أو أن حقول البيانات المدمجة في الفحص غير ملائمة.

السلبيات الكاذبة المكتشفة: إذا اكتشفت المؤسسة—أو الفاحص—أن عملية مرت دون تنبيه رغم وجود اسم على قائمة عقوبات، فهذا يعني أن المنطق الغامض أو جودة البيانات أو تحديث القوائم بحاجة إلى مراجعة عاجلة.

متطلبات الحوكمة: تتطلب إرشادات ساما لمكافحة غسل الأموال وتمويل الإرهاب وإرشادات FATF أن تحتفظ المؤسسة بتوثيق واضح لكيفية عمل ضوابطها، بما في ذلك معايرة أدوات الفحص ونتائج الاختبار الدوري.

الفجوة الأولى: معايرة المنطق الغامض وعتبات المطابقة

تعتمد أدوات الفحص على خوارزميات المطابقة التقريبية—مثل Levenshtein distance أو Soundex—لالتقاط الأسماء المكتوبة بشكل مختلف قليلًا. يحدد المورد عتبة افتراضية، مثل نسبة تشابه ٨٠٪، لكن هذه العتبة نادرًا ما تكون مثالية لكل مؤسسة.

المشكلة: إذا كانت العتبة منخفضة جدًا، تنتج آلاف الإيجابيات الكاذبة؛ وإذا كانت مرتفعة جدًا، تفوت الأداة متغيرات حقيقية—مثل "محمد" مقابل "محمود" أو "Ali" مقابل "Aly". يشير مكتب مراقبة الأصول الأجنبية OFAC في إرشاداته إلى أن المؤسسة يجب أن تثبت أن معايرة المطابقة تناسب ملف مخاطرها، وليس فقط أن تقبل الإعدادات الافتراضية.

ما نجده أثناء التحقق: نختبر مجموعة من الأسماء المعروفة—بعضها من قوائم العقوبات الفعلية وبعضها متغيرات مصطنعة—لنرى عند أي عتبة تبدأ الأداة في تفويت مطابقات حقيقية. نقارن أداء خوارزميات مختلفة (إذا كانت الأداة تدعم أكثر من واحدة) ونوثق النقطة المثلى التي توازن بين الحساسية sensitivity والدقة precision.

الدليل الذي نقدمه: تقرير يوضح نتائج الاختبار لكل عتبة، مع توصية مبنية على الأدلة بالعتبة المثلى لكل نوع اسم (أفراد، كيانات، أسماء عربية، أسماء لاتينية). هذا التوثيق يرضي الفاحص الذي يريد أن يرى أن المؤسسة اختبرت الأداة ولم تكتف بتشغيلها.

الفجوة الثانية: تأخر تحديث القوائم وتكامل المصادر

تُحدّث قوائم العقوبات بانتظام: يضيف OFAC أسماء جديدة أسبوعيًا، وتصدر الأمم المتحدة تحديثات شهرية، وتنشر المملكة قوائمها المحلية عبر البنك المركزي السعودي. يفترض أن تحمّل الأداة هذه التحديثات تلقائيًا، لكن التأخير أو الفشل في التحميل يخلق فجوة زمنية خطرة.

المشكلة: إذا أضاف OFAC اسمًا يوم الاثنين ولم تحمّله الأداة حتى يوم الجمعة، فإن أي عملية تمر خلال تلك الأيام الأربعة لن تُفحص مقابل هذا الاسم. كذلك، بعض الأدوات لا تدمج القوائم المحلية السعودية بشكل افتراضي، مما يترك فجوة امتثال مباشرة.

ما نجده أثناء التحقق: نفحص جدول تحديث القوائم: متى تم آخر تحميل، وهل هو تلقائي أم يدوي، وما هي القوائم المدمجة فعلًا. نقارن محتوى القوائم داخل الأداة مع النسخ الرسمية المنشورة على مواقع OFAC والأمم المتحدة والاتحاد الأوروبي والبنك المركزي السعودي. نختبر ما إذا كانت الأداة تلتقط اسمًا أُضيف حديثًا إلى القائمة.

الدليل الذي نقدمه: سجل يوضح تاريخ آخر تحديث لكل قائمة، وقائمة بالمصادر المدمجة والمفقودة، وتوصية بإضافة القوائم المحلية إن لم تكن موجودة. هذا يثبت للفاحص أن المؤسسة تعرف بالضبط ما تفحص مقابله ومتى.

الفجوة الثالثة: جودة البيانات ودمج الحقول

أداة الفحص لا تفحص إلا ما يُرسل إليها. إذا كانت بيانات العميل في نظام core banking غير مكتملة—مثل اسم أول فقط دون اسم عائلة، أو اسم بالعربية دون نقل حرفي إلى اللاتينية—فإن الفحص يصبح ناقصًا بطبيعته.

المشكلة: نجد أن بعض المؤسسات ترسل إلى محرك الفحص حقل "الاسم الكامل" فقط، دون حقول العنوان أو تاريخ الميلاد أو الجنسية، رغم أن هذه الحقول موجودة في قوائم العقوبات وتساعد في تمييز الإيجابيات الكاذبة عن المطابقات الحقيقية. كذلك، إذا كان الاسم مخزنًا بالعربية فقط ولم يُنقل حرفيًا إلى اللاتينية، فإن الفحص مقابل قوائم OFAC (المكتوبة بالحروف اللاتينية) يفشل تمامًا.

ما نجده أثناء التحقق: نختبر تسلسل البيانات من نظام العملاء إلى محرك الفحص: ما هي الحقول المرسلة، وما هي المفقودة، وهل يتم النقل الحرفي تلقائيًا أم يدويًا. نفحص عينة من سجلات العملاء لنرى نسبة السجلات الناقصة أو المشوهة. نختبر ما إذا كانت الأداة تستخدم حقول إضافية—مثل تاريخ الميلاد—للتخلص من الإيجابيات الكاذبة.

الدليل الذي نقدمه: تقرير عن اكتمال البيانات وجودتها، مع توصيات بإضافة حقول أو تحسين النقل الحرفي. هذا يوضح للفاحص أن المؤسسة تفهم أن الفحص الجيد يبدأ ببيانات جيدة.

الفجوة الرابعة: سير عمل التخلص من النتائج وحوكمة القرارات

حتى لو كانت الأداة تعمل بشكل مثالي، فإن القرار النهائي—هل هذا التنبيه مطابقة حقيقية أم إيجابية كاذبة—يتخذه إنسان. إذا كان سير العمل غير واضح أو غير موثق، أو إذا كان المحلل يتخلص من التنبيهات دون توثيق كافٍ، فإن المؤسسة تخاطر بتفويت مطابقة حقيقية أو عدم القدرة على إثبات قراراتها للفاحص.

المشكلة: نجد أن بعض المؤسسات تسمح لمحلل واحد بإغلاق تنبيه دون مراجعة ثانية، أو تستخدم تعليقات مختصرة مثل "لا يوجد تطابق" دون توضيح السبب. كذلك، بعض الأدوات لا تحتفظ بسجل audit trail كامل للقرارات، مما يجعل من المستحيل إعادة بناء ما حدث بعد أشهر.

ما نجده أثناء التحقق: نراجع سير عمل التخلص من النتائج: من يراجع التنبيهات، وما هي معايير القرار، وهل يوجد فصل واضح بين المحلل الأول والمراجع الثاني. نفحص عينة من التنبيهات المغلقة لنرى جودة التوثيق. نتأكد من أن النظام يحتفظ بسجل كامل لكل قرار.

الدليل الذي نقدمه: توصيات لتحسين سير العمل، مع نماذج لتعليقات موحدة ومعايير قرار واضحة. هذا يساعد المؤسسة على إثبات للفاحص أن كل قرار كان مبنيًا على أساس سليم وموثق.

الفجوة الخامسة: أخذ عينات السلبيات الكاذبة واختبار الفعالية

أصعب فجوة في الكشف هي السلبيات الكاذبة—الأسماء التي كان يجب أن تطابق لكنها لم تطابق. بطبيعة الحال، لا تعرف المؤسسة بوجود سلبية كاذبة إلا إذا اكتشفتها بالصدفة أو اختبرتها بشكل استباقي.

المشكلة: معظم المؤسسات تراقب الإيجابيات الكاذبة (لأنها مرئية وتستهلك وقتًا) لكنها لا تختبر السلبيات الكاذبة بانتظام. يشير مكتب مراقبة الأصول الأجنبية OFAC إلى أن المؤسسة يجب أن تختبر فعالية الفحص بشكل دوري، وليس فقط أن تفترض أنه يعمل.

ما نجده أثناء التحقق: نأخذ عينة من أسماء فعلية من قوائم العقوبات—أفراد وكيانات، أسماء عربية ولاتينية، أسماء بسيطة ومعقدة—ونمررها عبر الأداة كما لو كانت عمليات حقيقية. نختبر متغيرات: نفس الاسم بإملاء مختلف، أو بأسماء مستعارة aliases، أو بحقول ناقصة. نسجل أي حالة لم تطابق فيها الأداة اسمًا كان يجب أن تطابقه.

الدليل الذي نقدمه: تقرير اختبار الفعالية يوضح نسبة الأسماء التي التقطتها الأداة من العينة، والحالات التي فوتتها، والسبب (عتبة مرتفعة، بيانات ناقصة، اسم مستعار مفقود). هذا الدليل يطمئن الفاحص أن المؤسسة تختبر فعالية الفحص بشكل استباقي.

كيف يتم التحقق من نماذج الفحص

يشمل التحقق من نماذج المراقبة والفحص لمكافحة غسل الأموال أربع مراحل رئيسية:

البيانات

اختبار تسلسل البيانات واكتمالها وجودتها من نظام العملاء إلى محرك الفحص. نفحص ما إذا كانت الحقول المطلوبة موجودة، وما إذا كان النقل الحرفي يتم بشكل صحيح، وما إذا كانت البيانات تصل إلى الأداة دون فقدان أو تشويه.

التغطية

ربط السيناريوهات بتقييم المخاطر: هل القوائم المدمجة تغطي المخاطر التي حددتها المؤسسة في تقييم مخاطر غسل الأموال وتمويل الإرهاب؟ هل يوجد قوائم مفقودة يجب إضافتها؟

الأداء

اختبار الحدود وجودة المطابقة: نختبر عتبات المطابقة التقريبية، ونأخذ عينات من السلبيات الكاذبة، ونقيس معدل الإيجابيات الكاذبة. نقدم توصيات ضبط مبنية على الأدلة.

الحوكمة

توثيق النماذج وإعداد تقرير التحقق وحزمة الحوكمة. نوثق كيف تعمل الأداة، وما هي الإعدادات المستخدمة، وما هي نتائج الاختبار، بحيث يمكن للمؤسسة أن تقدم للفاحص دليلًا واضحًا على أن الفحص يعمل فعلًا.

المخرجات والمدة الزمنية

يستغرق التحقق من نماذج المراقبة والفحص لمكافحة غسل الأموال من ٦ إلى ١٠ أسابيع، حسب عدد الأدوات وتعقيد البيانات. تشمل المخرجات:

• تقرير التحقق: وثيقة شاملة توضح نتائج الاختبار والفجوات المكتشفة والتوصيات.
• توصيات الضبط مع الأدلة: عتبات مقترحة، حقول إضافية، تحسينات في سير العمل، كل منها مبني على نتائج الاختبار الفعلية.
• سجل النماذج وحزمة الحوكمة: توثيق كامل لكيفية عمل الأداة، بحيث يمكن للمؤسسة أن تثبت للفاحص أن الفحص معاير ومختبر وموثق.

نعمل على مستخلصات داخل بيئة المؤسسة أو نسخة آمنة، ولا تخرج البيانات عن سيطرة المؤسسة. يشمل التحقق توصيات ضبط مبنية على الأدلة، ويمكن دعم التنفيذ إذا طلبت المؤسسة ذلك.

الخلاصة: الدليل الذي يطمئن الفاحص

معظم أدوات فحص العقوبات تنجح في اختبارات المطابقة التامة، لكن الفجوات الحقيقية تظهر في متغيرات النقل الحرفي والأسماء المستعارة المفقودة وبيانات العملاء غير المكتملة ومعايرة المنطق الغامض وسير عمل التخلص من النتائج. التحقق المستقل يكشف هذه الفجوات ويقدم الأدلة التي يحتاجها الفاحص: أن المؤسسة اختبرت الأداة، وعايرتها، ووثقتها، وتعرف بالضبط ما تفحص مقابله ومتى.

إذا كنتم تحضرون لفحص رقابي، أو نفذتم أداة جديدة، أو تريدون التأكد من أن الفحص لديكم يعمل فعلًا، فإن التحقق من نماذج المراقبة والفحص لمكافحة غسل الأموال يوفر لكم التقرير والتوثيق والتوصيات التي تطمئن الفاحص وتحمي المؤسسة.