منهجية تقييم مخاطر الاحتيال: دورة الاكتشاف الرباعية

عندما تبدأ المؤسسات المالية تقييم مخاطر الاحتيال، تفتح غالباً إطار مكافحة الاحتيال من البنك المركزي السعودي وتبدأ بقائمة الضوابط: هل لديك قواعد كشف؟ هل تراجع الإنذارات؟ هل تُحدّث السيناريوهات؟ المشكلة أن هذا النهج يفترض أنك تعرف بالفعل أين يمكن أن يضربك الاحتيال. في الواقع، معظم المؤسسات تفوّت سيناريوهات مهمة لأنها لم تسأل مسؤولي المنتجات ومدراء القنوات وفرق العمليات السؤال الصحيح: أين بالضبط في رحلة العميل أو سير العمل يمكن لمحتال أن يستغل ضعفاً؟

منهجية تقييم مخاطر الاحتيال التي نتبعها تعكس هذا الترتيب. قبل أن نقيّم أي ضابط، نُجري دورة اكتشاف رباعية تربط اثنين وثلاثين سيناريو هجوم — تواطؤ داخلي، استيلاء على حسابات، تحويل مدفوعات، تضخيم مطالبات، تلاعب بالحدود، احتيال بطاقات، انتحال هوية — بكل خط إنتاج وشريحة عملاء وقناة. النتيجة مكتبة تهديدات مخصصة تُظهر بالضبط أي فجوات في الضوابط تخلق تعرضاً حقيقياً وأيها نظري. بحيث عندما تُقدّم تقريرك إلى البنك المركزي أو إلى مجلس الإدارة، تعرف أن كل مخاطرة مُقيّمة مربوطة بواقع عملياتك، لا بقائمة عامة.

هذا المقال يشرح كيف نُنفّذ التقييم على مدى أربع مراحل، من النطاق إلى التقرير، وماذا يحصل العميل في كل مرحلة.

لماذا تبدأ معظم التقييمات من المكان الخطأ

التقييمات التقليدية تبدأ بإطار الضوابط — مثلاً إطار مكافحة الاحتيال من البنك المركزي السعودي — وتسأل: هل لديك هذا الضابط؟ هل يعمل؟ المشكلة أن الإطار عام بالضرورة؛ يغطي كل أنواع المؤسسات والمنتجات. لكن الاحتيال لا يحدث في العموم. يحدث في نقاط محددة: عند فتح الحساب، عند تحويل الراتب، عند رفع حد البطاقة، عند معالجة مطالبة تأمين، عند تسوية تاجر.

إذا لم تحدد هذه النقاط أولاً، ستقيّم ضوابط قد لا تغطي السيناريوهات الأكثر خطورة على مؤسستك. قد تكتشف أن لديك قواعد كشف ممتازة لبطاقات الائتمان، لكنك لا تراقب التواطؤ الداخلي في معالجة القروض. أو أن لديك مراجعة يومية للإنذارات، لكن لا أحد يراقب التحويلات الفورية عبر سريع في نهاية الأسبوع.

الدورة الرباعية تحل هذه المشكلة بترتيب مختلف: نبني مكتبة التهديدات أولاً، ثم نقيس الضوابط مقابلها.

المرحلة الأولى: النطاق — الاتفاق على المنتجات والقنوات والإجراءات المشمولة

التقييم يبدأ بتحديد النطاق بدقة. نجتمع مع مدير المخاطر أو مدير مكافحة الاحتيال وممثلين من الأعمال لنتفق على ما سيُغطى:

• أي خطوط منتجات؟ (حسابات جارية، بطاقات ائتمان، قروض شخصية، تمويل عقاري، تأمين، محافظ رقمية)
• أي قنوات؟ (فروع، صرافات آلية، تطبيق جوال، موقع إلكتروني، مركز اتصال، نقاط بيع)
• أي إجراءات؟ (فتح حساب، تحويل أموال، رفع حدود، معالجة مطالبات، تسوية تجار)
• أي شرائح عملاء؟ (أفراد، شركات صغيرة، شركات كبيرة، VIP)

نحدد أيضاً من سنقابل: مسؤولي المنتجات، مدراء القنوات، مدراء العمليات، فريق مكافحة الاحتيال، الأمن السيبراني، الامتثال، التدقيق الداخلي، التقنية.

في نهاية هذه المرحلة، يحصل العميل على وثيقة نطاق تحدد المنتجات والقنوات والإجراءات المشمولة، وجدول المقابلات، وقائمة المستندات المطلوبة (سياسات، إجراءات، تقارير إنذارات، سجلات حوادث، وصف أنظمة الكشف).

المرحلة الثانية: الاستكشاف — بناء مكتبة التهديدات من اثنين وثلاثين سيناريو

هذه المرحلة هي قلب الدورة الرباعية. نُجري مقابلات مع الأعمال والعمليات والتقنية لبناء مكتبة تهديدات مخصصة. لكل منتج وقناة، نسأل:

• كيف يفتح العميل الحساب أو يُنشئ المحفظة؟ أين يمكن لمحتال أن ينتحل هوية؟
• كيف يُرفع الحد أو يُعدّل الملف؟ أين يمكن لموظف متواطئ أن يتلاعب؟
• كيف تُحوّل الأموال؟ أين يمكن لحساب مخترق أن يُستخدم؟
• كيف تُعالج المطالبة أو تُسوّى المعاملة؟ أين يمكن لتاجر أو مقدم خدمة أن يضخّم المبالغ؟
• كيف تُكتشف الإنذارات وتُراجع؟ أين يمكن لإنذار أن يُتجاهل أو يُغلق دون تحقيق كافٍ؟

نستعرض أيضاً الإجراءات الموثقة ونراجع البيانات المتاحة: سجلات حوادث احتيال سابقة، تقارير إنذارات، حالات مرفوضة، شكاوى عملاء. نبحث عن أنماط: هل هناك منتج يظهر فيه احتيال أكثر؟ هل هناك قناة تُستغل أكثر؟ هل هناك وقت من اليوم أو الأسبوع تزيد فيه الحوادث؟

في نهاية الاستكشاف، نبني سجل مخاطر الاحتيال حسب المنتج والقناة يحتوي على اثنين وثلاثين سيناريو نموذجياً، كل واحد مربوط بخط إنتاج أو قناة أو إجراء محدد:

• احتيال خارجي: انتحال هوية عند الفتح، استيلاء على حساب، احتيال بطاقات (بطاقة مفقودة، بطاقة مزورة، معاملة بدون بطاقة)، تحويل مدفوعات احتيالي، احتيال تاجر، تضخيم مطالبات تأمين، هجمات هندسة اجتماعية عبر مركز الاتصال.
• احتيال داخلي وتواطؤ: موظف يفتح حساباً وهمياً، موظف يرفع حداً دون تفويض، موظف يُسرّب بيانات عملاء، موظف يُغلق إنذارات دون تحقيق، تواطؤ مع تاجر أو مقدم خدمة، تلاعب بسجلات أو مستندات.
• احتيال قنوات: استغلال ضعف في التطبيق الجوال، تلاعب بحدود الصراف الآلي، احتيال نقطة بيع، تحويلات فورية عبر سريع أو مدى دون مراقبة كافية.

كل سيناريو يُوصف بوضوح: ما الذي يحدث، من يُنفذه، أي نظام أو إجراء يُستهدف، ما الأثر المالي أو السمعي المحتمل.

المرحلة الثالثة: التقييم — قياس المخاطر الكامنة والمتبقية واختبار الضوابط

الآن بعد أن أصبحت لدينا مكتبة التهديدات، نبدأ قياس المخاطر الكامنة والمتبقية. لكل سيناريو، نُقيّم:

• المخاطر الكامنة: ما احتمال حدوث هذا السيناريو إذا لم يكن هناك أي ضابط؟ ما الأثر المالي أو السمعي أو التنظيمي إذا حدث؟
• الضوابط الموجودة: ما الضوابط الوقائية (مثل مصادقة ثنائية، حدود معاملات، فصل صلاحيات)؟ ما الضوابط الكشفية (مثل قواعد كشف، مراجعة إنذارات، تحليل سلوك)؟ ما الضوابط التصحيحية (مثل تجميد حساب، إلغاء معاملة، تحقيق)؟
• فعالية الضوابط: هل الضابط مُصمم بشكل صحيح؟ هل يعمل فعلاً؟ نختبر الضوابط الرئيسية بعينات: نراجع قواعد الكشف، نفحص عينة من الإنذارات المُراجعة، نتحقق من أن الحدود مُطبقة، نراجع سجلات الصلاحيات.
• المخاطر المتبقية: بعد احتساب الضوابط الموجودة وفعاليتها، ما المخاطر المتبقية؟ هل هي مقبولة أم تحتاج معالجة؟

نربط كل ضابط بإطار مكافحة الاحتيال من البنك المركزي السعودي، بحيث يكون واضحاً أي متطلب تنظيمي يُغطيه الضابط وأي متطلب لا يزال به فجوة.

في نهاية التقييم، يحصل العميل على تحليل فجوات الضوابط يُظهر بالضبط أي سيناريو احتيال لا يُغطى بشكل كافٍ، وأي ضابط ضعيف أو مفقود، وأي متطلب تنظيمي لا يزال غير مُستوفى.

المرحلة الرابعة: التقرير — السجل وتحليل الفجوات وخطة المعالجة

في المرحلة الأخيرة، نُعدّ التقارير والوثائق التي يحتاجها العميل للإدارة وللجهة الرقابية. التقييم يُنتج أربعة مخرجات رئيسية:

تقرير تقييم مخاطر الاحتيال

تقرير شامل يشرح المنهجية، يُلخص النتائج، يُظهر قياس المخاطر الكامنة والمتبقية لكل سيناريو، ويُقدّم توصيات مرتبة حسب الأولوية. التقرير يُكتب بلغة واضحة تناسب مجلس الإدارة ولجنة المخاطر والبنك المركزي.

سجل مخاطر الاحتيال

جدول تفصيلي يحتوي على كل سيناريو احتيال مُحدد، مع وصف، احتمال، أثر، مخاطر كامنة، ضوابط موجودة، فعالية الضوابط، مخاطر متبقية، ومالك المخاطرة. السجل حسب المنتج والقناة بحيث يمكن لمسؤول كل خط إنتاج أن يرى بالضبط ما يخصه.

تحليل فجوات الضوابط

تحليل يُظهر أي ضابط مفقود أو ضعيف، مع ربط الضوابط بإطار مكافحة الاحتيال من البنك المركزي السعودي. لكل فجوة، نُوضح أي متطلب تنظيمي لا يُستوفى وأي سيناريو احتيال يبقى مكشوفاً.

خطة معالجة مرتبة حسب الأولوية

قائمة إجراءات تصحيحية مُرتبة حسب الأولوية: أي فجوة تُعالج أولاً (عالية المخاطر، سهلة التنفيذ)، من المسؤول، ما الإطار الزمني المقترح، ما الموارد المطلوبة. الخطة تُساعد الإدارة على تخصيص الميزانية والأولويات بناءً على تعرض حقيقي، لا على قائمة عامة.

ماذا يحصل العميل في النهاية

عند اكتمال التقييم — الذي يستغرق عادة أربعة إلى ستة أسابيع — يحصل العميل على أربعة مخرجات:

• تقرير تقييم مخاطر الاحتيال
• سجل مخاطر الاحتيال
• تحليل فجوات الضوابط
• خطة معالجة مرتبة حسب الأولوية

هذه المخرجات تُمكّن المؤسسة من:

• تقديم تقرير إلى البنك المركزي السعودي يُظهر أن التقييم شامل ومربوط بإطار مكافحة الاحتيال.
• عرض المخاطر على مجلس الإدارة ولجنة المخاطر بلغة واضحة مربوطة بخطوط الإنتاج والقنوات.
• تخصيص ميزانية المعالجة بناءً على أولويات حقيقية، لا على افتراضات.
• تحديث سياسات وإجراءات مكافحة الاحتيال بناءً على سيناريوهات محددة.
• تدريب الموظفين على السيناريوهات الأكثر خطورة على المؤسسة.

أسئلة شائعة حول التقييم

هل تحتاجون إلى الوصول إلى نظام الاحتيال لدينا؟ يساعدنا الوصول للقراءة فقط أو المستخلصات في اختبار تغطية الكشف، ويمكن أن يبدأ التقييم بالمقابلات والمستندات.

هل التقييم متوافق مع متطلبات البنك المركزي؟ نعم، تُربط كل مخاطرة وضابط بإطار مكافحة الاحتيال، ليدعم التقرير ما تقدمونه للجهة الرقابية.

هل يشمل التقييم الاحتيال الداخلي؟ نعم، تُقيّم سيناريوهات الاحتيال الداخلي والتواطؤ إلى جانب الاحتيال الخارجي.

الخطوة التالية

إذا كنتم تخططون لتقييم وفق إطار مكافحة الاحتيال من البنك المركزي السعودي، أو تستعدون لمراجعة رقابية، أو تريدون أن تعرفوا أين يمكن أن يضربكم الاحتيال قبل وقوعه، تواصلوا معنا لمناقشة نطاق التقييم وجدوله الزمني. التقييم يبدأ بتحديد النطاق والاتفاق على المنتجات والقنوات المشمولة، ثم ننتقل إلى دورة الاكتشاف الرباعية التي تبني مكتبة التهديدات قبل قياس أي ضابط.