عندما يطلب البنك المركزي السعودي (ساما) من المؤسسات المالية الامتثال لإطار مكافحة الاحتيال والجرائم المالية (CRFR)، فإن أول سؤال يطرحه المدير المالي أو مسؤول المخاطر هو: أين نحن الآن بالضبط؟ وما الفجوات التي يجب أن نعالجها قبل الفحص الرقابي؟ تقييم إطار ساما لمكافحة الاحتيال ليس مجرد قائمة مراجعة، بل عملية منهجية تفحص الحوكمة والسياسات ومنهجيات تقييم المخاطر والضوابط التقنية والعمليات التشغيلية والتدريب — ثم تنتج سجل فجوات واضح يمكن عرضه على مجلس الإدارة ومناقشته مع الفاحص.
هذا المقال يشرح كيف ننجز تقييم امتثال شامل لإطار ساما لمكافحة الاحتيال في ستة أسابيع، من الاستكشاف الأولي إلى تسليم سجل فجوات الضوابط وخارطة طريق المعالجة. ستفهم ما يحدث في كل أسبوع، والأدلة التي نطلبها، ومن يشارك من فريقك، والمخرجات التي تتلقاها في النهاية.
لماذا ستة أسابيع؟
إطار ساما لمكافحة الاحتيال يغطي ثمانية مجالات رئيسية: الحوكمة، وتقييم مخاطر الاحتيال، والضوابط الوقائية، والكشف والرصد، والتحقيق والاستجابة، والإبلاغ، والتدريب والتوعية، والتحسين المستمر. كل مجال يحتوي على متطلبات تفصيلية تتطلب مراجعة مستندات وإجراء مقابلات وفحص أنظمة وتقييم فعالية الضوابط.
ستة أسابيع توفر الوقت الكافي لمراجعة كل مجال بعمق دون إرهاق الفرق الداخلية. كل أسبوع يركز على مجموعة محددة من المتطلبات، مما يسمح لمالكي الضوابط بجمع الأدلة والمشاركة في ورش العمل دون تعطيل العمليات اليومية.
الأسبوع الأول: مراجعة الحوكمة والسياسات
نبدأ بفهم إطار الحوكمة الذي يدعم برنامج مكافحة الاحتيال. يتطلب إطار ساما تعيين مسؤوليات واضحة على مستوى مجلس الإدارة والإدارة التنفيذية، ووجود سياسات وإجراءات موثقة ومعتمدة، وآليات للإشراف والمساءلة.
الأدلة المطلوبة
نطلب في الأسبوع الأول:
- ميثاق لجنة المخاطر أو لجنة التدقيق ومحاضر اجتماعاتها الأخيرة
- سياسة مكافحة الاحتيال والإجراءات المرتبطة بها
- الهيكل التنظيمي لوظائف الامتثال والمخاطر ومكافحة الاحتيال
- مصفوفة المسؤوليات (RACI) لأدوار مكافحة الاحتيال
- سجل السياسات ودورة المراجعة السنوية
ورشة العمل
نعقد ورشة عمل مدتها ساعتان مع المدير المالي أو مسؤول المخاطر ومسؤول الامتثال ورئيس وحدة مكافحة الاحتيال (إن وجدت). نناقش:
- من يملك برنامج مكافحة الاحتيال؟
- كيف يُبلَّغ المجلس بحوادث الاحتيال والمخاطر الناشئة؟
- هل السياسات محدثة وتعكس جميع متطلبات ساما؟
- ما آليات التنسيق بين الامتثال والمخاطر والتدقيق الداخلي والأمن السيبراني؟
المخرج
في نهاية الأسبوع الأول، تتلقى مذكرة أولية تلخص حالة الحوكمة وأي فجوات واضحة في السياسات أو الأدوار أو الإشراف.
الأسبوع الثاني: منهجية تقييم مخاطر الاحتيال
يتطلب إطار ساما من المؤسسات المالية إجراء تقييم دوري لمخاطر الاحتيال يغطي جميع المنتجات والقنوات والعمليات. نفحص في هذا الأسبوع كيف تحدد المؤسسة مخاطر الاحتيال وتقيّمها وتوثقها.
الأدلة المطلوبة
- آخر تقييم لمخاطر الاحتيال أو سجل المخاطر
- منهجية تقييم المخاطر (المعايير، المقاييس، التصنيفات)
- خرائط رحلة العميل أو مخططات العمليات للمنتجات الرئيسية
- سجل حوادث الاحتيال للاثني عشر شهرًا الماضية
- تقارير الاتجاهات أو التحليلات التي تدعم تحديد المخاطر الناشئة
ورشة العمل
نجتمع مع فريق المخاطر ومالكي المنتجات ومسؤولي الأمن السيبراني. نستعرض:
- هل تغطي منهجية تقييم المخاطر الاحتيال الداخلي والخارجي؟
- كيف تُدمج البيانات التشغيلية (الحوادث، الشكاوى، التنبيهات) في التقييم؟
- هل يُحدَّث سجل المخاطر بانتظام؟
- كيف تُترجم المخاطر المحددة إلى ضوابط؟
المخرج
مصفوفة مخاطر الاحتيال محدثة تربط كل خطر بالضوابط الحالية، مع تحديد أي مخاطر غير مغطاة أو ضوابط غير موثقة.
الأسبوع الثالث: ضوابط المنع والكشف
الآن ننتقل إلى الضوابط الفعلية التي تمنع الاحتيال أو تكتشفه. يشمل ذلك الضوابط التقنية (أنظمة الكشف عن الاحتيال، قواعد المعاملات، المصادقة متعددة العوامل) والضوابط الإدارية (الفصل بين الواجبات، الموافقات، المراجعات).
الأدلة المطلوبة
- قائمة بأنظمة الكشف عن الاحتيال والقواعد المفعّلة
- سجل الضوابط التقنية والإدارية لكل منتج أو قناة
- تقارير التنبيهات والحالات الإيجابية الكاذبة
- سياسات إدارة الهوية والوصول
- سجلات اختبار الضوابط (إن وجدت)
ورشة العمل
نجتمع مع فريق العمليات وفريق تقنية المعلومات ومسؤولي الأمن السيبراني. نناقش:
- ما الضوابط المطبقة على كل قناة (فروع، صراف آلي، تطبيق جوال، إنترنت)؟
- كيف تُضبط قواعد الكشف؟ وكم مرة تُراجع؟
- هل الضوابط موثقة ومختبرة؟
- ما نسبة التنبيهات التي تُحقق فيها؟ وما متوسط وقت الاستجابة؟
المخرج
سجل فجوات الضوابط الأولي يحدد الضوابط المفقودة أو غير الفعالة أو غير الموثقة، مع تصنيف كل فجوة حسب الخطورة.
الأسبوع الرابع: عمليات التحقيق والإبلاغ
يتطلب إطار ساما وجود عمليات واضحة للتحقيق في حوادث الاحتيال المشتبه بها، وتصعيدها، وإبلاغ الجهات التنظيمية والداخلية. نفحص في هذا الأسبوع مدى وضوح هذه العمليات وتوثيقها وتطبيقها.
الأدلة المطلوبة
- إجراءات التحقيق في الاحتيال
- نماذج التصعيد وسجلات الحوادث
- تقارير الاحتيال المقدمة إلى ساما أو الجهات الأخرى
- سجل الحالات المغلقة والإجراءات المتخذة
- سياسة الإبلاغ عن المخالفات (whistleblowing)
ورشة العمل
نجتمع مع فريق التحقيقات (أو الامتثال إذا لم يكن هناك فريق مخصص) والشؤون القانونية. نستعرض:
- كيف تُصنف الحوادث؟ وما معايير التصعيد؟
- هل يُحتفظ بأدلة رقمية كافية لكل تحقيق؟
- كيف تُبلَّغ ساما بالحوادث الجوهرية؟ وفي أي إطار زمني؟
- هل يُجرى تحليل للأسباب الجذرية بعد كل حادثة؟
المخرج
تقرير حالة عمليات التحقيق يحدد الفجوات في التوثيق أو التصعيد أو الإبلاغ، مع توصيات لتحسين سير العمل.
الأسبوع الخامس: التحقق من التدريب والتوعية
يتطلب إطار ساما أن يكون جميع الموظفين — وخاصة الذين يتعاملون مع العملاء أو يعالجون المعاملات — مدربين على التعرف على الاحتيال والإبلاغ عنه. نفحص في هذا الأسبوع برامج التدريب ومحتواها وتغطيتها وفعاليتها.
الأدلة المطلوبة
- خطة التدريب السنوية على مكافحة الاحتيال
- محتوى التدريب (عروض تقديمية، وحدات تعليم إلكتروني، اختبارات)
- سجلات الحضور ونتائج الاختبارات
- مواد التوعية (نشرات، بريد إلكتروني، ملصقات)
- برامج توعية العملاء (إن وجدت)
ورشة العمل
نجتمع مع فريق الموارد البشرية أو التدريب ومسؤول الامتثال. نناقش:
- هل يتلقى الموظفون الجدد تدريبًا على مكافحة الاحتيال عند التوظيف؟
- كم مرة يُحدّث المحتوى ليعكس المخاطر الناشئة؟
- هل يُقاس أثر التدريب (مثلاً، عدد البلاغات من الموظفين)؟
- هل يتلقى العملاء رسائل توعية حول أنواع الاحتيال الشائعة؟
المخرج
تقرير تقييم التدريب يحدد الفجوات في التغطية أو المحتوى أو القياس، مع توصيات لتحسين البرنامج.
الأسبوع السادس: ترتيب أولويات الفجوات وخارطة طريق المعالجة
في الأسبوع الأخير، نجمع كل النتائج من الأسابيع الخمسة السابقة ونرتبها حسب الأولوية. ليست كل فجوة متساوية: بعضها يشكل خطرًا تنظيميًا فوريًا، وبعضها يتطلب استثمارًا تقنيًا كبيرًا، وبعضها يمكن إغلاقه بسرعة بتحديث سياسة أو إجراء.
ورشة العمل النهائية
نعقد ورشة عمل مدتها نصف يوم مع الإدارة العليا (المدير المالي، مسؤول المخاطر، مسؤول الامتثال، رئيس تقنية المعلومات). نستعرض:
- سجل الفجوات الكامل
- تصنيف كل فجوة حسب الخطورة والجهد المطلوب
- المالكين المقترحين لكل إجراء معالجة
- الإطار الزمني الواقعي للإغلاق
- الموارد (ميزانية، أفراد، أنظمة) المطلوبة
المخرجات النهائية
في نهاية الأسبوع السادس، تتلقى:
- تقرير تقييم الامتثال الشامل يغطي جميع مجالات إطار ساما لمكافحة الاحتيال، مع تقييم لكل متطلب (ممتثل، ممتثل جزئيًا، غير ممتثل، غير قابل للتطبيق).
- سجل فجوات الضوابط مرتب حسب الأولوية، يحتوي على: وصف الفجوة، المتطلب التنظيمي المرتبط، الخطورة، الإجراء الموصى به، المالك المقترح، الإطار الزمني.
- خارطة طريق المعالجة تقسم الفجوات إلى ثلاث موجات: فورية (0–3 أشهر)، قصيرة الأجل (3–6 أشهر)، متوسطة الأجل (6–12 شهرًا).
- عرض تقديمي للمجلس يلخص النتائج الرئيسية والفجوات الحرجة والخطوات التالية، جاهز للعرض على لجنة المخاطر أو مجلس الإدارة.
- دليل الأدلة يوثق جميع المستندات والمقابلات والملاحظات التي استندت إليها النتائج، جاهز لتقديمه إلى الفاحص عند الطلب.
من يشارك من فريقك؟
طوال الأسابيع الستة، ستحتاج إلى مشاركة:
- مسؤول الامتثال أو مدير المخاطر: نقطة الاتصال الرئيسية، يوفر الوثائق وينسق الاجتماعات.
- مسؤول الأمن السيبراني أو رئيس تقنية المعلومات: يشرح الضوابط التقنية والأنظمة.
- مالكو المنتجات أو رؤساء الأقسام: يوضحون العمليات والمخاطر الخاصة بكل منتج أو قناة.
- فريق التحقيقات أو الشؤون القانونية: يقدمون سجلات الحوادث ويشرحون عمليات التحقيق.
- الموارد البشرية أو التدريب: يوفرون بيانات التدريب والتوعية.
لا نحتاج إلى تفرغ كامل من أي شخص، لكن نتوقع توفر كل مشارك لورشة عمل واحدة أو اثنتين ومراجعة الوثائق بين الاجتماعات.
ماذا بعد التقييم؟
سجل فجوات الضوابط وخارطة الطريق ليسا نهاية العمل، بل بدايته. بعد التقييم، تحتاج المؤسسة إلى برنامج معالجة منظم لإغلاق الفجوات وبناء الأدلة التي تثبت الامتثال.
نحن نقدم خدمة مخصصة لإدارة برنامج المعالجة: ترتيب الفجوات حسب الأولوية، وتنسيق المالكين، وتطبيق الضوابط، وبناء الأدلة التي تغلق كل ملاحظة — من الملاحظات إلى الإغلاق، بأدلة يقبلها المراجع.
إذا كنت تخطط لأول تقييم لإطار ساما لمكافحة الاحتيال، أو تستعد لفحص رقابي قادم، فنحن مستعدون لمساعدتك. تواصل معنا لمناقشة احتياجاتك وجدولة التقييم.
