عندما يتجاوز حجم التنبيهات الاحتيالية طاقة الفريق، يلجأ كثير من مدراء مكافحة الاحتيال إلى رفع العتبات العامة: زيادة حد المبلغ، تقليل حساسية الدرجات، أو تعطيل بعض القواعد. هذه التعديلات السريعة تخفف الضغط مؤقتاً، لكنها تنقل المشكلة من مكان لآخر دون معالجة السبب الجذري. في كثير من الحالات، المشكلة ليست في العتبات نفسها، بل في منطق القواعد الذي لا يميز بين أنماط العملاء، أو في غياب التقسيم الديناميكي للمخاطر حسب القناة أو السلوك. هذا ما واجهه معالج مدفوعات في الرياض عندما قرر ضبط مراقبة الاحتيال وفق متطلبات إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي (ساما).
توثق دراسة الحالة هذه المنهجية الثلاثية التي اتبعها المعالج لخفض التنبيهات الخاطئة بنسبة 63% خلال أربعة أشهر، مع الحفاظ على قدرة الكشف الصحيح للحالات الإيجابية وفقاً للمادة 3.2 من الإطار.
الوضع الأولي: إجهاد التنبيهات وضغط الامتثال
كان فريق مكافحة الاحتيال في المعالج يستقبل ما يزيد عن 4,200 تنبيه أسبوعياً من نظام المراقبة الذي يغطي معاملات البطاقات ومدى وسريع والمدفوعات الفورية. من هذا العدد، كانت نسبة الإصابة الحقيقية (التنبيهات التي تؤكد كحالات احتيال فعلية) لا تتجاوز 4.1%. بعبارة أخرى، أكثر من 95% من التنبيهات كانت نتائج خاطئة تستهلك وقت المحللين وتؤخر المعاملات المشروعة.
المشكلة لم تكن في غياب القواعد، بل في طريقة بنائها. كانت القواعد تعتمد على عتبات ثابتة لجميع العملاء بغض النظر عن تاريخهم أو نمط سلوكهم. على سبيل المثال، قاعدة واحدة كانت تُطلق تنبيهاً عند أي عملية شراء دولية تتجاوز 500 ريال، سواء كان العميل مسافراً بانتظام أو لم يسبق له إجراء معاملة خارجية. قاعدة أخرى كانت تراقب عدد المحاولات الفاشلة دون التمييز بين محاولات من جهاز معروف ومحاولات من أجهزة جديدة.
في الوقت نفسه، كان المعالج تحت ضغط امتثال متزايد. المادة 3.2 من إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي تتطلب من المؤسسات المالية أن تحافظ على قدرة كشف فعالة لأنماط الاحتيال المعروفة والناشئة، مع توثيق فاعلية الضوابط وقياسها بانتظام. رفع العتبات العامة كان سيخفض التنبيهات، لكنه كان سيعرض المعالج لخطر تفويت حالات احتيال حقيقية وعدم الامتثال للمتطلبات التنظيمية.
علامات الحاجة إلى ضبط شامل
عندما يواجه مدير مكافحة الاحتيال أياً من العلامات التالية، يكون الوقت قد حان لمراجعة شاملة لنظام المراقبة:
نسبة إصابة منخفضة باستمرار: عندما تقل نسبة التنبيهات الحقيقية عن 5% لعدة أشهر متتالية، فهذا يعني أن القواعد واسعة جداً أو غير دقيقة في استهدافها.
تراكم التنبيهات غير المعالجة: عندما يتجاوز متوسط وقت معالجة التنبيه مستويات الخدمة المحددة، أو عندما تتراكم التنبيهات في قائمة الانتظار لأيام، فهذا يشير إلى أن الحجم يفوق الطاقة.
شكاوى العملاء من الحظر الخاطئ: عندما تزداد شكاوى العملاء من حظر معاملات مشروعة، خاصة في أنماط متكررة مثل السفر أو المشتريات الموسمية.
فجوات في تغطية الأنماط الحديثة: عندما تكتشف حالات احتيال بعد وقوعها دون أن يطلق النظام تنبيهاً مسبقاً، خاصة في أنماط مثل الاحتيال بالدفع المأذون أو الاستيلاء على الحسابات.
ضغط تنظيمي أو مراجعة داخلية: عندما تشير مراجعة الامتثال الداخلية أو طلب من الجهة التنظيمية إلى ضرورة توثيق فاعلية الضوابط أو تحسين تغطية الكشف.
في حالة المعالج في الرياض، كانت جميع هذه العلامات حاضرة. كان الفريق يعمل بطاقة زائدة، وكانت شكاوى العملاء في ازدياد، وكانت مراجعة داخلية قد أشارت إلى فجوات في تغطية أنماط الاحتيال الناشئة.
المنهجية الثلاثية للضبط
بدلاً من التعديلات السطحية، اتبع المعالج منهجية ثلاثية تعالج الأسباب الجذرية لإجهاد التنبيهات:
المحور الأول: إعادة كتابة منطق القواعد
بدأ العمل بمراجعة كل قاعدة على حدة. لم يكن الهدف رفع العتبات فقط، بل إعادة صياغة المنطق نفسه ليعكس السلوك الفعلي للاحتيال. تم تحليل كل قاعدة من حيث:
- حجم التنبيهات التي تولدها: كم تنبيهاً تطلق القاعدة شهرياً؟
- نسبة الإصابة: كم منها يؤكد كحالة احتيال فعلية؟
- الخسائر المرتبطة: ما حجم الخسائر التي تكتشفها القاعدة مقارنة بالخسائر الإجمالية؟
- التداخل مع قواعد أخرى: هل تكتشف القاعدة حالات فريدة أم أنها تكرر ما تكتشفه قواعد أخرى؟
على سبيل المثال، قاعدة "الشراء الدولي فوق 500 ريال" كانت تولد 620 تنبيهاً أسبوعياً بنسبة إصابة 1.8%. بعد التحليل، تبين أن 89% من التنبيهات الخاطئة كانت لعملاء لديهم تاريخ سفر أو معاملات دولية منتظمة. تم إعادة كتابة القاعدة لتستثني العملاء الذين أجروا ثلاث معاملات دولية ناجحة على الأقل خلال الستة أشهر الماضية، وتم رفع العتبة إلى 1,500 ريال للعملاء الجدد فقط. هذا التعديل وحده خفض التنبيهات من هذه القاعدة بنسبة 71% دون أن يفوت أي حالة احتيال حقيقية عند اختباره على البيانات السابقة.
المحور الثاني: التصنيف الديناميكي للعملاء
بدلاً من تطبيق نفس العتبات على جميع العملاء، تم إدخال تصنيف ديناميكي يقسم العملاء إلى شرائح مخاطر بناءً على سلوكهم الفعلي:
- عملاء منخفضو المخاطر: لديهم تاريخ طويل من المعاملات المنتظمة، أجهزة معروفة، ولم يسبق لهم تنبيهات إيجابية. تطبق عليهم عتبات أعلى ومراقبة أقل تدخلاً.
- عملاء متوسطو المخاطر: حسابات جديدة نسبياً أو ذات نشاط متقطع. تطبق عليهم العتبات القياسية.
- عملاء مرتفعو المخاطر: حسابات جديدة جداً، أو سبق لها تنبيهات إيجابية، أو تظهر تغيرات مفاجئة في السلوك. تطبق عليهم عتبات أقل ومراقبة أكثر صرامة.
هذا التصنيف لم يكن ثابتاً؛ كان يُحدّث تلقائياً كل أسبوع بناءً على سلوك العميل الأخير. عميل منخفض المخاطر يمكن أن ينتقل إلى شريحة أعلى إذا ظهر نمط غير معتاد، والعكس صحيح.
المحور الثالث: العتبات الخاصة بالقنوات
تبين أن أنماط الاحتيال تختلف بشكل كبير حسب القناة. معاملات البطاقات في نقاط البيع لها ملف مخاطر مختلف عن المدفوعات الفورية عبر التطبيق، والتي تختلف بدورها عن التحويلات عبر الإنترنت.
تم بناء عتبات ومنطق خاص لكل قناة:
- البطاقات في نقاط البيع: تركيز على الموقع الجغرافي والتسلسل الزمني (مثل معاملات متتالية في مدن بعيدة خلال وقت قصير).
- المدفوعات الفورية (سريع): تركيز على المستفيدين الجدد والمبالغ غير المعتادة.
- التحويلات عبر الإنترنت: تركيز على الأجهزة الجديدة وتغيرات عنوان IP.
كل قناة حصلت على مجموعة قواعد مخصصة تعكس أنماط الاحتيال الفعلية فيها، بدلاً من تطبيق نفس المنطق على جميع القنوات.
كيف تم تنفيذ الضبط
استغرق المشروع أربعة أشهر من بدايته حتى الترسيخ الكامل. المنهجية التي اتُبعت تتكون من أربع مراحل:
القياس: تم جمع بيانات تفصيلية عن أحجام التنبيهات ونسب الإصابة والخسائر لكل قاعدة على حدة، مع تحليل توزيعها حسب القناة وشريحة العملاء.
التحليل: تم تحديد الفجوات مقابل الأنماط والقنوات الحالية، ومقارنة تغطية القواعد الموجودة مع أنماط الاحتيال المعروفة والناشئة.
الضبط: تم تعديل الحدود والمنطق وإضافة سيناريوهات جديدة، مع اختبار كل تغيير على البيانات السابقة للتأكد من أنه يخفض الإنذارات الخاطئة دون أن يفوت حالات احتيال حقيقية.
الترسيخ: تم توثيق الإجراءات والمؤشرات وتسليمها لفريق العمليات، مع تدريب المحللين على القواعد الجديدة ومؤشرات الأداء المحدثة.
في نهاية المشروع، تسلم المعالج أربع مخرجات رئيسية:
- خريطة تغطية الكشف: وثيقة تربط كل نمط احتيال معروف بالقواعد التي تكتشفه، مع تحديد أي فجوات متبقية.
- مجموعة قواعد مضبوطة مع المبررات: كل قاعدة موثقة بمنطقها ومبرر العتبات المختارة.
- خط أساس لمؤشرات جودة التنبيهات: مؤشرات أداء رئيسية لقياس نسبة الإصابة، وقت المعالجة، وتغطية الأنماط.
- إجراءات تشغيل لفريق الاحتيال: دليل عمل محدث يوضح كيفية معالجة كل نوع تنبيه ومتى يتم التصعيد.
النتائج والامتثال
بعد أربعة أشهر من بدء المشروع، انخفض حجم التنبيهات الأسبوعية من 4,200 إلى 1,550 تنبيه، أي بنسبة 63%. في الوقت نفسه، ارتفعت نسبة الإصابة من 4.1% إلى 11.3%، مما يعني أن كل تنبيه أصبح أكثر احتمالاً لأن يكون حالة حقيقية.
الأهم من ذلك، لم تزد الخسائر الاحتيالية. عند اختبار القواعد الجديدة على بيانات الأشهر الستة السابقة، تبين أن جميع حالات الاحتيال الحقيقية التي اكتُشفت بالقواعد القديمة كانت ستُكتشف أيضاً بالقواعد الجديدة، بالإضافة إلى 14 حالة إضافية لم تكن القواعد القديمة تغطيها (أنماط احتيال بالدفع المأذون واستيلاء على حسابات).
من ناحية الامتثال، أصبح المعالج قادراً على توثيق فاعلية ضوابطه بشكل واضح أمام البنك المركزي السعودي. خريطة تغطية الكشف وخط أساس المؤشرات وفرا الأدلة المطلوبة لإثبات الامتثال للمادة 3.2 من إطار مكافحة الاحتيال، التي تتطلب قياس وتوثيق فاعلية الضوابط.
متى تحتاج مؤسستك إلى هذا النوع من الضبط
إذا كانت مؤسستك تواجه أياً من الحالات التالية، فقد حان الوقت لمراجعة شاملة لنظام مراقبة الاحتيال:
- نسبة إصابة التنبيهات أقل من 8% لعدة أشهر متتالية.
- تراكم التنبيهات غير المعالجة يتجاوز مستويات الخدمة المحددة.
- شكاوى متكررة من العملاء بسبب حظر معاملات مشروعة.
- اكتشاف حالات احتيال بعد وقوعها دون تنبيه مسبق من النظام.
- طلب من الجهة التنظيمية أو المراجعة الداخلية لتوثيق فاعلية الضوابط.
- إطلاق منتجات أو قنوات جديدة تحتاج إلى قواعد مخصصة.
النتيجة المرجوة من الضبط الشامل ليست مجرد خفض عدد التنبيهات، بل تحسين جودة التنبيهات: كل تنبيه يجب أن يكون أكثر احتمالاً لأن يكون حالة حقيقية، وكل نمط احتيال معروف يجب أن يكون مغطى بقاعدة فعالة، وكل قناة يجب أن يكون لها منطق مراقبة يعكس ملف مخاطرها الفعلي.
كيف تعمل سيزو مع المؤسسات على ضبط المراقبة
تقدم سيزو خدمة تحسين كشف الاحتيال ومراقبة العمليات لمراجعة وضبط القواعد والدرجات وسير العمل في نظام مراقبة الاحتيال عبر البطاقات ومدى وسريع والمدفوعات الفورية والقنوات الرقمية.
تتبع الخدمة منهجية من أربع مراحل: القياس لأحجام التنبيهات ونسب الإصابة والخسائر لكل قاعدة، ثم التحليل لتحديد الفجوات مقابل الأنماط والقنوات الحالية، ثم الضبط للحدود والمنطق والسيناريوهات الجديدة مع اختبارها على البيانات السابقة، وأخيراً الترسيخ من خلال توثيق الإجراءات والمؤشرات والتسليم.
تشمل مخرجات الخدمة خريطة تغطية الكشف، ومجموعة قواعد مضبوطة مع المبررات، وخط أساس لمؤشرات جودة التنبيهات، وإجراءات تشغيل لفريق الاحتيال.
تغطي الخدمة مراجعة فاعلية القواعد والسيناريوهات، وخفض الإنذارات الخاطئة، وتغطية أنماط الاحتيال الحديثة مثل الاحتيال بالدفع المأذون والاستيلاء على الحسابات، بالإضافة إلى سير عمل معالجة التنبيهات ومستويات الخدمة.
تعمل سيزو مع أي نظام قائم على القواعد أو الدرجات، وتتعاون مع المورد عندما يكون الوصول للإعدادات مقيدًا. يُختبر كل تغيير أولاً على بيانات المؤسسة السابقة، ويُوازن خفض الإنذارات الخاطئة مع قدرة الكشف.
تستغرق الخدمة من ستة إلى عشرة أسابيع، وتغطي متطلبات إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي ومعايير أمن بيانات صناعة بطاقات الدفع.
إذا كانت مؤسستك تواجه إجهاد التنبيهات أو ضغط امتثال في مراقبة الاحتيال، فإن الضبط الشامل للقواعد والمنطق والتصنيف هو الطريق لتحقيق كشف أفضل بجهد أقل.
