يصل التقرير السنوي لإطار مكافحة الاحتيال إلى لجنة التدقيق مرتبًا ومكتملًا: عدد الحوادث، والمبالغ، وحالة الإجراءات التصحيحية. لكن هذه الأرقام تصف ما وقع فعلًا، ولا تجيب عن سؤال أهم: هل يعكس تقييم المخاطر الذي بُني عليه البرنامج تعرض المؤسسة الحقيقي؟ يعرض هذا المقال ثلاثة أسئلة عملية في مجال تقييم مخاطر الاحتيال ISO 37001 لجنة التدقيق، تساعد اللجنة على التمييز بين ضمان حقيقي ومسرح امتثال، قبل اعتماد التقرير الموجه إلى البنك المركزي السعودي (ساما).
لماذا لا يكفي ملخص الحوادث
الحوادث المسجلة هي ما اكتُشف وأُبلغ عنه. أما ما لم يُكتشف فلا يظهر في التقرير. مؤسسة تسجل حوادث قليلة قد تكون محكمة الضوابط، وقد تكون ضعيفة الكشف. والتقرير وحده لا يفرّق بين الحالتين.
يقوم المعيار ISO 37001 على فكرة تناسب هذا الموقف: يُبنى النظام على تقييم مخاطر منتظم يحدد أين يمكن أن تقع المخالفة، ثم تُصمم الضوابط وتُراجع وفق ذلك التقييم. ومع أن المعيار موجه أساسًا إلى مكافحة الرشوة، فإن منطقه في ربط الضوابط بالمخاطر والمراجعة المستمرة يصلح مرجعًا لأسئلة اللجنة. وإطار مكافحة الاحتيال لدى ساما يتوقع حوكمة واضحة ومساءلة للإدارة العليا، وهذا ما تختبره الأسئلة التالية.
السؤال الأول: متى حُدّث تقييم المخاطر، وما الذي تغيّر بسببه؟
تقييم المخاطر الذي لم يتغير منذ سنة أو أكثر، في مؤسسة أطلقت منتجات أو قنوات جديدة، مؤشر تحذير. اطلبوا من الإدارة أن تبيّن:
- تاريخ آخر تحديث للتقييم، ومن شارك فيه.
- المنتجات والقنوات والشراكات التي أُضيفت منذ التحديث السابق.
- المخاطر التي ارتفع تصنيفها أو انخفض، وسبب كل تغيير.
- المصادر التي بُني عليها التقييم: الحوادث، ونتائج التدقيق، والبلاغات، ومعلومات من خارج المؤسسة.
كيف تقرؤون الإجابة: الإجابة الجيدة تحمل أمثلة محددة لتغييرات حدثت وأسبابها. أما عبارة «لم يطرأ ما يستدعي التحديث» فتستحق سؤالًا إضافيًا: من قرر ذلك، وعلى أي أساس؟
السؤال الثاني: أين تقع المخاطر العالية، وما الضابط المقابل لكل منها؟
التقييم الذي يضع معظم المخاطر في خانة «متوسطة» لا يساعد على اتخاذ قرار. اطلبوا قائمة المخاطر العالية، وبجوار كل خطر الضابط المصمم لمعالجته، ومالك الضابط، وتاريخ آخر اختبار لفعاليته.
ثم قارنوا القائمة بالواقع. إذا كانت الحوادث المسجلة تتركز في قناة لا تظهر ضمن المخاطر العالية، فالتقييم لا يعكس التعرض. وإذا كان خطر مصنف عاليًا بلا ضابط مقابل، أو بضابط لم يُختبر، فالفجوة ظاهرة أمامكم.
ما الذي تموّلونه: اختبار فعالية الضوابط المقابلة للمخاطر العالية أولًا. اختبار الضوابط منخفضة الأثر يستهلك الموارد دون أن يزيد الضمان.
السؤال الثالث: من اختبر التقييم، وهل كان مستقلًا عن واضعيه؟
في نموذج خطوط الدفاع الثلاثة، يضع الخط الأول والثاني التقييم والضوابط، ويأتي الخط الثالث ليختبر. اسألوا:
- هل راجع التدقيق الداخلي أو جهة مستقلة منهجية التقييم، لا نتائجه فقط؟
- هل كُلّف أحد بالتشكيك في الافتراضات، كأن يُسأل: ماذا لو كان احتمال هذا الخطر أعلى؟
- هل رُفعت إلى اللجنة ملاحظات المراجعة المستقلة كما هي، أم بعد تلخيصها؟
كيف تقرؤون الإجابة: ضمان حقيقي يعني أن لدى اللجنة ملاحظات لم تكن مريحة للإدارة. وتقرير بلا أي ملاحظة لا يعني بالضرورة سلامة البرنامج، بل قد يعني أن الاختبار لم يكن عميقًا بما يكفي.
كيف تميّزون الضمان الحقيقي من مسرح الامتثال
بعد الأسئلة الثلاثة، يمكن للجنة أن تنظر في الأمور التالية:
- هل الأدلة محددة (تواريخ، أسماء، قرارات) أم عامة؟
- هل تغيّر شيء في البرنامج بسبب نتائج التقييم؟ التقييم الذي لا يغيّر قرارًا هو وثيقة لا أداة إدارة.
- هل تتضمن مقاييس التقرير مؤشرات استباقية، مثل زمن الكشف ونسبة الضوابط المختبرة، وليس عدد الحوادث فقط؟
- هل يقبل الحاضرون من الإدارة الأسئلة الصعبة، أم يُجاب عنها بالإحالة إلى المستندات؟
وإذا لم تكتمل الإجابات، فتأجيل الاعتماد حتى تكتمل أفضل من اعتماد تقرير لا يستند إلى اختبار.
ما الذي تطلبونه من الإدارة بعد الاجتماع
اطلبوا خطة قصيرة بتواريخ ومسؤولين: تحديث التقييم إن لزم، وربط كل خطر عالٍ بضابط مختبر، وتحديد جهة مستقلة تراجع المنهجية. ثم اجعلوا متابعة هذه الخطة بندًا ثابتًا في جدول أعمال اللجنة حتى تُغلق.
من الأسئلة إلى برنامج يمكن الدفاع عنه
إذا كشفت الأسئلة فجوات في الحوكمة أو في تصميم البرنامج، فالمعالجة تبدأ بخط أساس واضح. نقدّم في سيزو خدمة تطبيق إطار مكافحة الاحتيال من البنك المركزي، ونصمم وننفذ الحوكمة والسياسات والأدوار والإجراءات والتقارير التي تحتاجها مؤسستكم للالتزام بإطار مكافحة الاحتيال. يبدأ العمل بتقييم الفجوات مقابل الإطار، ثم تصميم الحوكمة والسياسة ونموذج التشغيل والتقارير، ثم التطبيق والتدريب، وينتهي بتقييم ذاتي وجاهزية لمراجعة الجهة الرقابية. وتستغرق الخدمة عادة من ثلاثة إلى ستة أشهر حسب نقطة البداية وحجم المؤسسة.
وإذا رغبتم في أن تصلكم تقارير المجلس وهي مبنية على أساس يمكن اختباره، فنرحب بمناقشة وضع مؤسستكم.
