عندما يظهر مؤشر على احتيال داخلي، يتجه الانتباه عادة إلى سؤال من فعل ماذا. أما سؤال كيف سنثبت ذلك فيتأخر، وهنا تضيع قضايا كثيرة. تتناول هذه المقالة حفظ أدلة التحقيق في الاحتيال وفق إطار ساما، أي ما ينبغي أن يفعله فريق التحقيق في المؤسسة المالية حتى تبقى الأدلة الرقمية سليمة ومقبولة أمام لجان التأديب والجهات الرقابية والقضائية.
لماذا تفشل القضايا عند الدليل لا عند الوقائع
قد تكون الوقائع واضحة، ثم يُطعن في الدليل: هل فُحص الجهاز الأصلي مباشرة فتغيرت بياناته؟ من وصل إلى الملفات ومتى؟ هل يمكن إثبات أن النسخة المقدمة مطابقة لما جُمع أول مرة؟ إذا لم توجد إجابة موثقة، تضعف النتائج مهما كانت قوية.
ويتوقع إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي (ساما) من المؤسسة أن تتعامل مع الأدلة بطريقة تحفظ قيمتها في الإجراءات اللاحقة. ولن نذكر هنا رقم مادة بعينها، لأن المهم هو المنهج الذي تعكسه المتطلبات: سلسلة حفظ موثقة من لحظة الجمع حتى التسليم. وتتلخص هذه السلسلة في أربع خطوات.
الخطوة الأولى: التصوير الجنائي مع التحقق بالتجزئة
لا يُفحص الجهاز الأصلي إلا في أضيق الحدود. المطلوب إنشاء نسخة جنائية طبق الأصل من القرص أو الهاتف أو صندوق البريد أو بيئة الخادم، ثم العمل على النسخة.
- احسب قيمة التجزئة (Hash) للمصدر قبل النسخ وللصورة بعده، وسجّل الخوارزمية المستخدمة.
- استخدم أداة تمنع الكتابة على الوسيط الأصلي.
- وثّق وقت الجمع ومكانه وحالة الجهاز (قيد التشغيل أو مطفأ) ومن نفّذ العملية.
- أعد حساب التجزئة عند كل انتقال للصورة، وقارنها بالقيمة الأولى.
تطابق التجزئة هو ما يثبت أن ما يُعرض لاحقًا هو ما جُمع أولًا.
الخطوة الثانية: سجلات وصول لكل فاحص
كل شخص يلمس الدليل يجب أن يظهر اسمه في السجل، ولا يكفي أن يُقال إن الفريق اطلع عليه.
- سجّل اسم الفاحص ودوره وتاريخ الوصول ومدته والغرض منه.
- اجعل الوصول بتفويض مسبق، ومقتصرًا على أشخاص محددين.
- امنع استخدام الحسابات المشتركة عند فحص الصور أو تخزينها.
- اربط كل إجراء على الصورة بسجل زمني يمكن مراجعته.
ويفيد هنا تحييد أي شخص له صلة بالواقعة عن الدائرة التي تتعامل مع الأدلة، حفاظًا على استقلال التحقيق وعلى سريته.
الخطوة الثالثة: تخزين مقاوم للعبث
تُحفظ الصورة الأصلية في مكان لا يمكن تعديله دون أن يظهر أثر ذلك.
- خزّن نسخة أصلية للحفظ ونسخة عمل للفحص، ولا تُفتح الأولى إلا لإعادة التحقق.
- استعمل وسائط أو أنظمة تدعم الكتابة لمرة واحدة أو تمنع التعديل، مع ضبط صلاحيات صارم.
- احفظ الوسائط المادية في خزنة مقفلة وبسجل دخول وخروج.
- شفّر الصور أثناء التخزين والنقل، وافصل مفاتيح التشفير عن الوسيط.
- أجرِ فحص تجزئة دوريًا وسجّل نتيجته.
الخطوة الرابعة: تسليم موثق للسلطات القانونية أو الرقابية
تنتهي السلسلة بالتسليم، وهو الحلقة التي يغفلها كثيرون.
- أعدّ محضر تسليم يبيّن الأدلة المسلّمة وقيم التجزئة ومن سلّم ومن استلم والتاريخ.
- سلّم نسخة موثقة، واحتفظ بالأصل وفق التعليمات القانونية.
- أرفق سجل الوصول الكامل ليُرى مسار الدليل من الجمع إلى التسليم.
- استشر الإدارة القانونية قبل التسليم في الجهة المختصة وطريقته، ونسّق مع الجهة الرقابية عند الحاجة.
ثغرات تتكرر
- فتح الجهاز المشتبه به وتصفحه قبل تصويره.
- بدء الاحتواء بإعادة ضبط الحسابات أو حذف الصلاحيات دون حفظ السجلات أولًا.
- تداول الدليل عبر البريد أو وسائط غير موثقة.
- غياب محضر يربط الدليل بمن جمعه ومتى.
- إشراك أطراف داخل المؤسسة بلا حاجة، فتتسع دائرة المطلعين وتضعف السرية.
كيف نعمل في هذا النوع من التحقيقات
نقدّم تحقيقًا مستقلًا في حالات الاحتيال الداخلي أو الخارجي المشتبه بها، مع تعامل مع الأدلة يصلح للإجراءات التأديبية والرقابية والقانونية. ويبدأ العمل بمرحلة الاحتواء: تحديد النطاق وحفظ الأدلة وحماية التحقيق، ثم التحليل للعمليات والسجلات والأدلة الرقمية، ثم الإثبات بالمقابلات وتقصي الحقائق، وأخيرًا التقرير بالنتائج والأسباب الجذرية والتوصيات. وتقتصر إتاحة المعلومات على أشخاص محددين، ولكل دليل سلسلة حيازة موثقة. وتتسلم المؤسسة في نهاية العمل تقرير التحقيق وملف الأدلة وتوصيات لمنع التكرار.
أما إن كانت مؤسستكم تحتاج إلى بناء الحوكمة والإجراءات التي تجعل هذه الممارسات جزءًا ثابتًا من برنامج مكافحة الاحتيال، فنصمم وننفذ الحوكمة والسياسات والأدوار والإجراءات والتقارير اللازمة للالتزام بإطار مكافحة الاحتيال.
خلاصة
قوة التحقيق تُقاس بقدرته على الصمود أمام الطعن. والخطوات الأربع واضحة: تصوير جنائي يتحقق منه بالتجزئة، وسجل وصول لكل فاحص، وتخزين يقاوم العبث، وتسليم موثق. وأهم ما فيها أن تبدأ قبل أن يلمس أحد الدليل.
إذا كانت لديكم حالة مشتبه بها أو تريدون مراجعة جاهزية مؤسستكم للتعامل مع الأدلة، فيمكن لفريقنا في التحقيق في الاحتيال والمحاسبة الجنائية أن يبدأ عادة خلال يوم إلى يومي عمل من التعاقد، وأسرع في الحالات العاجلة.
