عندما يستعد فريق الالتزام لمراجعة مستقلة أو لتفتيش من البنك المركزي السعودي، يبدأ كثيرون بسؤال واحد: هل العتبات مضبوطة جيدًا؟ غير أن هذا السؤال سابق لأوانه. فعند التحقق من صحة نموذج مراقبة معاملات مكافحة غسل الأموال ساما يتحدد معنى أي نتيجة بمدى سلامة البيانات التي دخلت السيناريو. إذا كانت الحقول ناقصة أو درجات مخاطر العملاء فارغة، فسيبدو السيناريو ضعيفًا بسبب مدخلاته لا بسبب منطقه.
هذا المقال قائمة فحص من خمس خطوات، مرتبة بحيث يمكن البدء بها في اليوم نفسه. هدفها أن تعكس نتائج التحقق الثغرات الحقيقية في النموذج، لا المدخلات المفقودة.
لماذا تسبق جودة البيانات اختبار العتبات
تتوقع ضوابط مكافحة غسل الأموال وتمويل الإرهاب الصادرة عن البنك المركزي السعودي (ساما) أن تكون المراقبة فعّالة ومبنية على المخاطر، وأن تكون قابلة للإثبات. ولا يمكن إثبات فاعلية سيناريو يعمل على بيانات غير مكتملة. وإذا اختُبرت العتبات أولًا، فقد تُخفَّض أو تُرفع لتعويض نقص لا علاقة له بالمنطق، فتنشأ ضبطات خاطئة تبقى في النموذج لسنوات.
لذلك نقترح قاعدة بسيطة: لا يبدأ اختبار العتبات قبل إغلاق الفحوص الخمسة التالية وتوثيق نتائجها.
المجموعة الأولى: تسلسل البيانات واكتمال الحقول
- تتبّع مسار البيانات من النظام المصدر إلى محرك السيناريو. قارنوا عدد السجلات في النظام المصرفي الأساسي بعددها عند دخول محرك المراقبة. لماذا يهم؟ لأن الفقد أثناء النقل يعني معاملات لا تراها المراقبة أصلًا.
- قيّموا اكتمال الحقول التي يستهلكها كل سيناريو. حدّدوا لكل سيناريو الحقول التي يعتمد عليها فعلًا، ثم قيسوا نسبة الحقول المعبأة فيها. لماذا يهم؟ لأن اكتمال الجدول ككل لا يعني اكتمال الحقول التي يحتاجها السيناريو.
لتحويل الفحص الثاني إلى معيار قابل للتنفيذ، استخدموا ثلاثة معايير لاكتمال الحقول:
- معيار التعبئة: هل الحقل غير فارغ وغير معبأ بقيمة افتراضية مثل صفر أو «غير معروف»؟
- معيار الصلاحية: هل القيمة ضمن النطاق والصيغة المتوقعين، كرمز الدولة أو العملة أو نوع القناة؟
- معيار الاتساق: هل القيمة نفسها تتطابق بين النظام المصدر ومحرك المراقبة وسجل العميل؟
المجموعة الثانية: درجات مخاطر العملاء
- قيسوا تعبئة درجات مخاطر العملاء. احسبوا العملاء بلا درجة، والعملاء بدرجة افتراضية موحدة، والعملاء بدرجة قديمة لم تُحدَّث منذ مراجعتهم الأخيرة. لماذا يهم؟ لأن كثيرًا من السيناريوهات تستخدم الدرجة لاختيار العتبة المناسبة أو لتصنيف التنبيه، فغيابها يدفع العميل إلى شريحة عامة قد لا تناسبه.
- اختبروا أثر الدرجات المفقودة على مخرجات السيناريو. أعيدوا تشغيل عينة من السيناريوهات مرتين: مرة بالبيانات كما هي، ومرة بعد استكمال الدرجات المفقودة، ثم قارنوا عدد التنبيهات ونوعيتها. لماذا يهم؟ لأن هذا الفرق هو ما يكشف إن كان جزء معتبر من ضعف الأداء المشاهد سببه درجات مفقودة لا منطق السيناريو. ولا تفترضوا حجم هذا الأثر مسبقًا، بل قيسوه في بياناتكم.
المجموعة الثالثة: دقة سمات المعاملات
- تحقّقوا من دقة سمات المعاملات المستخدمة في المنطق. افحصوا المبلغ والعملة والتاريخ والطرف المقابل والبلد وقناة التنفيذ ونوع المنتج، وقارنوا عينة منها بالمستندات المصدرية. لماذا يهم؟ لأن سمة خاطئة، مثل بلد مرسل خاطئ أو عملة غير محوّلة، قد تُخرج معاملة من نطاق السيناريو أو تُدخل أخرى إليه بلا مبرر.
كيف توثّقون النتائج
لكل فحص من الخمسة، سجّلوا العناصر التالية:
- نطاق العينة وتاريخ استخراجها ومصدرها.
- النتيجة المقاسة والحد المقبول الذي اعتمدتموه مسبقًا.
- الفجوات المكتشفة ومالك المعالجة وموعدها.
- ما إذا كانت الفجوة تمنع اختبار العتبات أو تسمح به مع تحفظ مكتوب.
هذا التوثيق هو ما يقدّمه فريق التحقق للمفتش أو للمراجع المستقل ليُظهر أن ترتيب العمل كان سليمًا، وأن نتائج اختبار العتبات اللاحق بُنيت على بيانات مفهومة الحدود.
أخطاء شائعة تستحق التجنب
- اعتماد نسبة اكتمال إجمالية للجدول بدلًا من اكتمال الحقول التي يستخدمها كل سيناريو.
- معاملة القيمة الافتراضية على أنها قيمة صحيحة.
- إجراء الفحوص مرة واحدة ثم تجاهلها بعد تغيير في النظام المصدر أو في التكامل بين الأنظمة.
- ضبط العتبات قبل إغلاق الفجوات، ثم اعتبار النتيجة دليلًا على فاعلية النموذج.
كيف تساعد سيزو
تعمل سيزو على التحقق المستقل من سيناريوهات مراقبة العمليات وأدوات فحص الأسماء. وتبدأ منهجيتنا بالبيانات: اختبار تسلسل البيانات واكتمالها وجودتها، ثم ربط السيناريوهات بتقييم المخاطر، ثم اختبار الحدود وجودة المطابقة، وأخيرًا تقرير التحقق وتوثيق النماذج.
يشمل التحقق اختبار تسلسل البيانات واكتمالها، وضبط الحدود والسيناريوهات، واختبار جودة المطابقة في الفحص، وتوثيق حوكمة النماذج. وتتكون المخرجات من تقرير التحقق، وتوصيات الضبط مع الأدلة، وسجل النماذج وحزمة الحوكمة. ويستغرق المشروع عادة من ٦ إلى ١٠ أسابيع.
نعمل على مستخلصات داخل بيئتكم أو على نسخة آمنة، ولا تخرج البيانات عن سيطرتكم. ويتضمن التحقق توصيات ضبط مبنية على الأدلة، ويمكننا دعم التنفيذ إن رغبتم.
إذا كنتم تستعدون لتحقق مستقل أو لتفتيش من ساما، فابدأوا بالفحوص الخمسة أعلاه، ثم تواصلوا معنا لمراجعة نتائجها وتحديد ما يلزم قبل اختبار العتبات.
