# ربط ISO 37001 بإطار مكافحة الاحتيال لساما: دليل تطبيق بند ببند
يواجه مسؤولو الامتثال ومدراء مكافحة الاحتيال في البنوك وشركات المدفوعات السعودية تحدياً مزدوجاً: تلبية متطلبات إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي، وبناء برنامج فعلي قابل للتشغيل والقياس. إطار ساما يحدد ماذا يجب تحقيقه، لكنه لا يفصّل كيف تبنى الحوكمة، أو كيف تُوزع المسؤوليات، أو كيف تُصمم الإجراءات. هنا يأتي دور ربط ISO 37001 إطار مكافحة الاحتيال ساما: المعيار الدولي ISO 37001 يوفر هيكلاً مختبراً للحوكمة والأدوار والعمليات، وعند ربطه ببنود إطار ساما المحددة، تحصل المؤسسة على برنامج واحد يلبي المتطلبات الرقابية والمعايير الدولية معاً، دون ازدواجية أو إعادة عمل خلال مراجعات البنك المركزي.
يقدم هذا الدليل خريطة تطبيق عملية: كل بند من ISO 37001 مربوط بمتطلبات إطار ساما المقابلة، مع توضيح أي ضوابط تلبي أي توقعات رقابية، وأين تحتاج المؤسسة إضافات سعودية خاصة لضمان الامتثال الكامل.
لماذا ISO 37001 مع إطار ساما؟
إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي يحدد متطلبات واضحة في مجالات الحوكمة، والسياسات، وإدارة المخاطر، والرصد، والإبلاغ، والتدريب. لكنه لا يصف بالتفصيل كيف تُبنى لجنة مكافحة الاحتيال، أو كيف تُوثق المسؤوليات عبر خطوط الدفاع الثلاثة، أو كيف تُصمم إجراءات التحقيق والإبلاغ.
ISO 37001 معيار دولي لأنظمة إدارة مكافحة الرشوة، لكن بنيته قابلة للتطبيق على مكافحة الاحتيال: حوكمة واضحة، تقييم مخاطر منهجي، إجراءات عناية واجبة، ضوابط مالية وغير مالية، تدريب، إبلاغ، تحقيق، ومراجعة مستمرة. عند ربط بنود ISO 37001 ببنود إطار ساما، تحصل المؤسسة على:
- هيكل تنفيذي: أدوار ومسؤوليات محددة لكل طرف، من مجلس الإدارة إلى الخط الأول.
- إجراءات موثقة: كيف تُجرى العناية الواجبة، كيف تُرصد المعاملات، كيف يُحقق في الحوادث.
- تقارير قياسية: ما يُرفع للجنة، ما يُرفع للمجلس، ما يُبلغ للبنك المركزي.
- قابلية المراجعة: سجلات وأدلة تُظهر الامتثال عند طلب الجهة الرقابية.
خريطة الربط: بنود ISO 37001 ومتطلبات إطار ساما
السياق والقيادة (البنود 4 و5 من ISO 37001)
ISO 37001 يطلب فهم سياق المؤسسة، وتحديد الأطراف المعنية، وإظهار التزام القيادة بالبرنامج.
إطار ساما يطلب أن يعتمد مجلس الإدارة استراتيجية مكافحة الاحتيال، وأن يُنشئ لجنة مستقلة، وأن تُحدد المسؤوليات عبر خطوط الدفاع الثلاثة.
الربط العملي:
- بند 4.1 من ISO 37001 (فهم السياق) يُترجم إلى تحليل بيئة المؤسسة: نوع المنتجات (حسابات، مدفوعات، تمويل)، القنوات (فروع، تطبيقات، وكلاء)، والأطراف الخارجية (موردو خدمات، وسطاء).
- بند 5.1 (القيادة والالتزام) يُلبي متطلب ساما بأن يعتمد المجلس الاستراتيجية ويراجعها سنوياً، وأن يُوثق هذا الاعتماد في محاضر الاجتماعات.
- بند 5.3 (الأدوار والمسؤوليات) يُبنى عليه ميثاق لجنة مكافحة الاحتيال الذي يحدد التشكيل، التكرار، الصلاحيات، وخطوط الرفع—وهو ما يتوقعه البنك المركزي صراحة.
الإضافات السعودية الخاصة: إطار ساما يطلب أن تكون اللجنة مستقلة عن الخط الأول، وأن تضم ممثلين من المخاطر والامتثال والتدقيق الداخلي. هذا التفصيل يُضاف إلى بند 5.3 عند التطبيق في المملكة.
التخطيط (البند 6 من ISO 37001)
ISO 37001 يطلب تقييم مخاطر الرشوة والاحتيال، ووضع أهداف قابلة للقياس.
إطار ساما يطلب إجراء تقييم دوري لمخاطر الاحتيال، يغطي كل منتج وقناة وعملية، وأن يُحدث التقييم سنوياً أو عند إطلاق منتجات جديدة.
الربط العملي:
- بند 6.1 (تقييم المخاطر) يُصمم ليشمل سيناريوهات الاحتيال الخاصة بالسوق السعودي: احتيال الهوية، احتيال المدفوعات الفورية، احتيال القروض، الاحتيال الداخلي.
- يُربط كل سيناريو بمنتج أو قناة، ويُقيّم الاحتمال والأثر، ويُحدد الضوابط الحالية والفجوات.
- بند 6.2 (الأهداف) يُترجم إلى مؤشرات أداء رئيسية: عدد الحوادث المكتشفة، زمن الاستجابة، نسبة الاسترداد، نسبة إتمام التدريب—وهي ما يُطلب رفعها للجنة وللمجلس وفق إطار ساما.
الإضافات السعودية الخاصة: البنك المركزي يتوقع أن يُوثق التقييم في تقرير مكتوب، يُعتمد من اللجنة، ويُحفظ لمدة خمس سنوات على الأقل.
الدعم (البند 7 من ISO 37001)
ISO 37001 يغطي الموارد، الكفاءات، الوعي، الاتصال، والمعلومات الموثقة.
إطار ساما يطلب تدريباً دورياً لجميع الموظفين، وتدريباً متخصصاً للأدوار الحساسة، وتوعية مستمرة للعملاء.
الربط العملي:
- بند 7.2 (الكفاءات) يُحدد المهارات المطلوبة لكل دور: محلل احتيال، محقق، ضابط امتثال، مدير مخاطر.
- بند 7.3 (الوعي) يُترجم إلى برنامج تدريب يشمل: تعريف بالإطار، سيناريوهات الاحتيال الشائعة، كيفية الإبلاغ، عواقب عدم الامتثال.
- بند 7.4 (الاتصال) يُبنى عليه قناة إبلاغ مستقلة (خط ساخن، بريد إلكتروني محمي، نظام إلكتروني) تضمن السرية وعدم الانتقام—وهو ما يطلبه إطار ساما صراحة.
- بند 7.5 (المعلومات الموثقة) يُحدد ما يُوثق: السياسات، الإجراءات، محاضر اللجنة، سجلات التدريب، تقارير الحوادث، نتائج التحقيقات.
الإضافات السعودية الخاصة: إطار ساما يطلب أن تكون السياسات والإجراءات بالعربية، وأن تُراجع وتُعتمد سنوياً، وأن تُنشر داخلياً بطريقة يسهل الوصول إليها.
العمليات (البند 8 من ISO 37001)
ISO 37001 يصف الضوابط التشغيلية: العناية الواجبة، الضوابط المالية وغير المالية، إدارة الأطراف الثالثة، الإبلاغ والتحقيق.
إطار ساما يطلب ضوابط وقائية (منع)، كشفية (رصد)، واستجابة (تحقيق وإبلاغ).
الربط العملي:
- بند 8.2 (العناية الواجبة) يُطبق على الأطراف الثالثة: موردو خدمات الدفع، وكلاء، شركاء تقنية. يُجرى فحص قبل التعاقد، ومراجعة دورية، ويُوثق في ملف الطرف الثالث.
- بند 8.5 (الضوابط المالية) يُترجم إلى قواعد الموافقات: حدود الصلاحيات، الفصل بين الواجبات، مراجعة المعاملات عالية المخاطر.
- بند 8.6 (الضوابط غير المالية) يشمل الرصد الآلي: قواعد كشف الاحتيال، تنبيهات الوقت الفعلي، مراجعة يومية للحالات المشبوهة.
- بند 8.7 (الإبلاغ والتحقيق) يُبنى عليه إجراء التحقيق: من يستلم البلاغ، كيف يُصنف، من يُحقق، كيف تُجمع الأدلة، كيف يُوثق، متى يُبلغ البنك المركزي أو الجهات الأمنية.
الإضافات السعودية الخاصة: إطار ساما يطلب الإبلاغ الفوري للبنك المركزي عن الحوادث الجوهرية (عادة خلال 24 ساعة)، وتقريراً ربع سنوياً عن جميع الحوادث. هذا يُضاف إلى بند 8.7 كمتطلب إلزامي.
تقييم الأداء (البند 9 من ISO 37001)
ISO 37001 يطلب رصد وقياس وتحليل ومراجعة داخلية.
إطار ساما يطلب تقارير دورية للجنة وللمجلس، ومراجعة مستقلة من التدقيق الداخلي.
الربط العملي:
- بند 9.1 (الرصد والقياس) يُترجم إلى تقارير شهرية وربع سنوية: عدد الحوادث، التصنيف، الخسائر، الاسترداد، الحالات المفتوحة، زمن الإغلاق.
- بند 9.2 (المراجعة الداخلية) يُنفذ من قبل التدقيق الداخلي (الخط الثالث)، يراجع فعالية الضوابط، الالتزام بالسياسات، ودقة التقارير—ويُرفع تقريره مباشرة للجنة التدقيق ومجلس الإدارة.
- بند 9.3 (مراجعة الإدارة) يُعقد سنوياً على مستوى اللجنة، يُراجع فيه أداء البرنامج، نتائج التقييم، التغييرات في المخاطر، ويُحدث الاستراتيجية والخطة.
الإضافات السعودية الخاصة: البنك المركزي يتوقع أن يُرفع للمجلس تقرير سنوي شامل يتضمن: ملخص الحوادث، فعالية الضوابط، نتائج التدريب، توصيات التحسين، والخطة للعام القادم.
التحسين (البند 10 من ISO 37001)
ISO 37001 يطلب معالجة عدم المطابقة واتخاذ إجراءات تصحيحية ووقائية.
إطار ساما يطلب أن تُحلل أسباب الحوادث، وأن تُتخذ إجراءات لمنع التكرار، وأن تُحدّث الضوابط بناءً على الدروس المستفادة.
الربط العملي:
- بند 10.1 (عدم المطابقة والإجراءات التصحيحية) يُطبق على كل حادثة احتيال: تُحلل الأسباب الجذرية، تُحدد الفجوات في الضوابط، تُتخذ إجراءات تصحيحية (تحديث قاعدة، تدريب إضافي، تعديل إجراء)، ويُتابع التنفيذ.
- بند 10.2 (التحسين المستمر) يُترجم إلى دورة تحسين ربع سنوية: مراجعة الحوادث، تحديث سيناريوهات المخاطر، تحسين القواعد، تطوير التدريب.
الإضافات السعودية الخاصة: البنك المركزي يتوقع أن تُوثق الإجراءات التصحيحية، وأن تُرفع للجنة، وأن تُراجع فعاليتها في المراجعة التالية.
الفجوات الشائعة وكيفية سدها
عند تطبيق ISO 37001 لتلبية إطار ساما، تظهر فجوات نموذجية:
الفجوة الأولى: غياب التوثيق بالعربية. ISO 37001 لا يحدد لغة، لكن إطار ساما يطلب السياسات والإجراءات بالعربية. الحل: كتابة السياسات والإجراءات بالعربية أصلاً، مع نسخة إنجليزية للمراجعة الدولية إن لزم.
الفجوة الثانية: عدم تحديد متطلبات الإبلاغ للبنك المركزي. ISO 37001 يطلب إبلاغاً داخلياً، لكن إطار ساما يطلب إبلاغاً خارجياً فورياً وربع سنوياً. الحل: إضافة بند في إجراء الإبلاغ يحدد الحوادث الجوهرية، والمهلة الزمنية، والنموذج المستخدم.
الفجوة الثالثة: عدم ربط الأدوار بخطوط الدفاع الثلاثة. ISO 37001 يحدد أدواراً عامة، لكن إطار ساما يطلب توزيعاً واضحاً عبر الخطوط الثلاثة. الحل: بناء مصفوفة المسؤوليات (RACI) تربط كل مهمة بخط الدفاع المسؤول.
الفجوة الرابعة: غياب الضوابط الخاصة بالمنتجات السعودية. ISO 37001 عام، لكن إطار ساما يتوقع ضوابط خاصة بالمدفوعات الفورية، المحافظ الرقمية، التمويل الاستهلاكي. الحل: إضافة ملحق لكل منتج يحدد السيناريوهات والضوابط والقواعد الخاصة به.
كيف يُبنى البرنامج عملياً
بناء برنامج مكافحة احتيال يربط ISO 37001 بإطار ساما يمر بأربع مراحل:
المرحلة الأولى: خط الأساس. تقييم الفجوات مقابل الإطار: ما موجود، ما ناقص، ما يحتاج تحديث. يُراجع الحوكمة الحالية، السياسات، الإجراءات، الأنظمة، التقارير، ويُقارن ببنود إطار ساما وبنود ISO 37001.
المرحلة الثانية: التصميم. بناء الحوكمة (ميثاق اللجنة، مصفوفة المسؤوليات)، السياسة الرئيسية، الإجراءات التفصيلية، نموذج التشغيل (من يفعل ماذا ومتى)، والتقارير (شهرية، ربع سنوية، سنوية، للبنك المركزي).
المرحلة الثالثة: التطبيق. إطلاق البرنامج: اعتماد السياسات من المجلس، تشكيل اللجنة، تدريب الفرق، تفعيل الإجراءات، تشغيل القنوات (خط ساخن، نظام إبلاغ)، وبدء الرصد والإبلاغ.
المرحلة الرابعة: التأكيد. إجراء تقييم ذاتي للالتزام بالإطار، مراجعة داخلية من التدقيق، وإعداد حزمة الجاهزية لمراجعة البنك المركزي (السياسات، الإجراءات، محاضر اللجنة، تقارير الحوادث، سجلات التدريب، نتائج المراجعة).
كيف تساعد سيزو
سيزو تقدم خدمة تطبيق إطار مكافحة الاحتيال من البنك المركزي، تصمم وتنفذ الحوكمة والسياسات والأدوار والإجراءات والتقارير التي تحتاجها المؤسسة للالتزام بإطار مكافحة الاحتيال.
العملية تتبع أربع مراحل: خط الأساس (تقييم الفجوات مقابل الإطار)، التصميم (الحوكمة والسياسة ونموذج التشغيل والتقارير)، التطبيق (الإطلاق والتدريب وتبني الإجراءات)، التأكيد (تقييم ذاتي وجاهزية لمراجعة الجهة الرقابية).
المخرجات تشمل: استراتيجية وخارطة طريق مكافحة الاحتيال، مجموعة السياسات والإجراءات، مصفوفة المسؤوليات ونموذج التشغيل، تقييم ذاتي للالتزام بالإطار.
الخدمة تغطي: حوكمة مكافحة الاحتيال وميثاق اللجنة، سياسة ومعايير وإجراءات مكافحة الاحتيال، نموذج تشغيل خطوط الدفاع الثلاثة، تقارير مجلس الإدارة والجهة الرقابية.
المدة عادة من ثلاثة إلى ستة أشهر حسب نقطة البداية وحجم المؤسسة. السياسات تُكتب بالعربية والإنجليزية، ومصممة لمنتجات المؤسسة ومعتمدة عبر حوكمتها.
للمؤسسات التي تحتاج تحقيقاً في حوادث مشتبه بها، سيزو تقدم خدمة التحقيق في الاحتيال والمحاسبة الجنائية، تحقيق مستقل قائم على الأدلة يصلح للإجراءات التأديبية والرقابية والقانونية. وللمؤسسات التي تبحث عن نظام لإدارة الاحتيال، سيزو تقدم خدمة حلول إدارة الاحتيال، اختيار وتطبيق نظام باستقلال عن الموردين، يشمل المتطلبات وتقييم الموردين والقواعد والنماذج والتكامل والتشغيل.
للاستفسار أو طلب عرض مفصل، تواصل مع فريق سيزو.
