يطرح كثير من مسؤولي المخاطر في شركات التأمين السؤال نفسه: هل تكفي القواعد التي نعمل بها لتلبية ما يتوقعه البنك المركزي السعودي؟ وفي سياق إطار مكافحة الاحتيال ساما مطالبات التأمين تتضح الإجابة عند اختبار القواعد أمام سيناريوهات خاصة بالقطاع، لا عند مراجعة السياسات وحدها. يعرض هذا المقال لماذا تترك القواعد المقتبسة من القطاع المصرفي نقاطًا عمياء في التأمين، وكيف يساعد تحليل الشبكات على كشف ما لا تراه القواعد التعاملية.
لا يتضمن المقال أرقامًا عن نتائج محددة، وما يرد فيه من حالات هو أنماط عامة مجهّلة لا تعرّف بأي جهة.
لماذا لا ينتقل احتيال المصارف إلى التأمين كما هو
بُنيت معظم قواعد الكشف الجاهزة حول العملية الواحدة: مبلغ غير معتاد، أو جهاز جديد، أو سرعة في التنفيذ، أو تغيّر في سلوك العميل. هذا منطق مناسب للبطاقات والمدفوعات الفورية والقنوات الرقمية، حيث يمكن الحكم على العملية لحظة وقوعها.
أما احتيال التأمين فله خصائص مختلفة:
- الحدث يقع قبل المطالبة: الاحتيال قد يكون في حادث مفتعل أو تضخيم خسارة، ولا تظهر المطالبة إلا بعد وقوعه.
- تتعدد الأطراف: مؤمَّن له، ومطالِب، وورشة، ومنشأة صحية، وخبير تقدير، ووسيط، وكل طرف قد يكون جزءًا من الحلقة.
- الزمن طويل: تمتد المطالبة أسابيع أو أشهرًا، وتمر بمراحل تقدير وموافقة وسداد، فلا تنفع قاعدة تنظر إلى لحظة واحدة.
- الإشارة في العلاقات: الدليل على التواطؤ كثيرًا ما يكمن في تكرار الأطراف نفسها عبر مطالبات ووثائق متفرقة، لا في مطالبة بعينها.
لذلك تبدو القاعدة المكيَّفة من القطاع المصرفي سليمة على الورق، لكنها تقيس شيئًا آخر غير ما يحدث فعلًا في المطالبات.
ما الذي تختبره ورش السيناريوهات
يطلب إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي من المؤسسة أن تفهم مخاطر الاحتيال التي تواجهها وأن تُظهر ضوابط تعالجها. ولا يتحقق ذلك بمطابقة الوثائق مع بنود الإطار فحسب، بل بالسؤال العملي: إذا وقع هذا السيناريو غدًا، أي قاعدة أو ضابط سيكشفه، ومن سيتولى التحقيق؟
تقوم الورشة على هذا السؤال. يُصاغ سيناريو واقعي لكل خط أعمال، ثم تُطابَق عليه القواعد القائمة وسير العمل والأدوار، ويُسجَّل ما يُكشف وما لا يُكشف. وفي الحالات الثلاث الآتية، وهي مجهّلة ومركّبة من أنماط عامة، ظهرت الفجوات في الموضع نفسه: قواعد تنظر إلى المطالبة منفردة بينما يقع الاحتيال في العلاقات.
ثلاث حالات مجهّلة
مطالبات السيارات: الحادث المفتعل
اعتمدت إحدى الشركات على حدود للمبالغ وتنبيهات لتكرار المطالبات من المؤمَّن له نفسه. لكن الحوادث المفتعلة لا تتكرر عادة عند الشخص نفسه، بل تُوزَّع على وثائق مختلفة. وعند اختبار السيناريو تبيّن أن القواعد لا تربط بين الورشة المنفذة للإصلاح وخبير التقدير والأطراف المتكررة في حوادث تبدو منفصلة.
مطالبات الصحة: المنشأة والمستفيد
في الحالة الثانية كانت قواعد المراجعة تركز على قيمة المطالبة الفردية. أما أنماط مثل تجزئة الفواتير، أو تكرار إجراءات لا تتناسب مع التشخيص، أو تركز المطالبات عند منشأة أو طبيب محدد، فتحتاج إلى مقارنة على مستوى مقدّم الخدمة لا المطالبة. وقد كشف السيناريو أن لا قاعدة تراقب هذا المستوى.
مطالبات الممتلكات: الخسارة المضخَّمة
في الحالة الثالثة جاءت الفجوة من المسار الزمني. فالقواعد تفحص المطالبة عند تسجيلها، بينما تظهر الإشارات المهمة بعد ذلك: تعديل متكرر لقيمة الخسارة، أو وثيقة أُصدرت أو رُفعت تغطيتها قبل الحادث بمدة قصيرة، أو مستندات متشابهة بين مطالبات مختلفة.
القاسم المشترك بين الحالات الثلاث أن الضعف لم يكن في غياب القواعد، بل في أن القواعد صُممت لمنطق عملية مصرفية ثم طُبقت على منتج طبيعته مختلفة.
تحليل الشبكات: رؤية العلاقات لا العمليات
تعامل القواعد التعاملية كل مطالبة على حدة، أما تحليل الرسوم البيانية فيمثل الكيانات عقدًا والصلات بينها روابط. ويمكن بناء هذه الصلات من بيانات تملكها الشركة أصلًا:
- المؤمَّن له والمطالِب والمستفيد.
- الورشة أو المنشأة الصحية أو خبير التقدير.
- أرقام الهواتف والعناوين وحسابات السداد والمركبات.
- الوسيط أو قناة البيع التي صدرت منها الوثيقة.
عندما تُجمع هذه الروابط عبر خطوط الوثائق المختلفة، تظهر تجمعات يتكرر فيها الأطراف نفسها بنمط غير طبيعي. قد تكون كل مطالبة فيها صغيرة ومقبولة منفردة، لكن الصورة الكلية تشير إلى حلقة منظمة. وهذا ما لا يمكن لقاعدة تعاملية أن تراه.
وينبغي التعامل مع مخرجات التحليل بحذر: الارتباط ليس إثباتًا. والتجمع المشبوه يُحال إلى المحققين للتحقق والتوثيق، ويجب ألا يترتب عليه رفض آلي للمطالبات. أما الجودة فتعتمد على سلامة البيانات، وتوحيد هوية الأطراف عبر الأنظمة، وصلاحيات الاطلاع المنضبطة وفق متطلبات حماية البيانات الشخصية.
ما الذي ينبغي أن تفعله شركة التأمين
- ابدأ بسيناريوهات القطاع: ضع سيناريوهات لكل خط أعمال تعكس كيف يقع الاحتيال فعلًا، لا كيف تعرفه القواعد الحالية.
- ميّز بين ما يُكشف وما لا يُكشف: سجّل لكل سيناريو القاعدة المسؤولة والجهة المحققة وزمن الاكتشاف المتوقع.
- أضف طبقة العلاقات: اربط الأطراف عبر الوثائق والخطوط قبل الاكتفاء بضبط حدود المبالغ.
- اربط النتائج بالحوكمة: يجب أن تصل الفجوات إلى لجنة مكافحة الاحتيال وإلى مجلس الإدارة بلغة واضحة، مع أصحاب وخطط معالجة.
- كرّر الاختبار: تتغير أساليب الاحتيال، فالاختبار ممارسة دورية لا فعالية لمرة واحدة.
ويفيد هنا الرجوع إلى معيار ISO 37001 لإدارة مكافحة الرشوة، فهو يعالج جانبًا ذا صلة بالتواطؤ مع أطراف داخلية أو خارجية، ويدعم ضوابط العناية الواجبة تجاه الوسطاء ومقدمي الخدمات.
من السيناريو إلى برنامج متكامل
الاختبار وحده لا يكفي ما لم يُبنَ عليه برنامج حوكمة يبقى بعد انتهاء الورشة. وفي هذا المجال نصمم وننفذ الحوكمة والسياسات والأدوار والإجراءات والتقارير التي تحتاجها المؤسسة للالتزام بإطار مكافحة الاحتيال.
يبدأ العمل بخط أساس يقيّم الفجوات مقابل الإطار، ثم التصميم الذي يشمل الحوكمة والسياسة ونموذج التشغيل والتقارير، ثم التطبيق بالإطلاق والتدريب وتبني الإجراءات، وأخيرًا التأكيد بتقييم ذاتي وجاهزية لمراجعة الجهة الرقابية.
ومن المخرجات استراتيجية وخارطة طريق لمكافحة الاحتيال، ومجموعة السياسات والإجراءات، ومصفوفة المسؤوليات ونموذج التشغيل، وتقييم ذاتي للالتزام بالإطار.
الخلاصة
نجاح شركة التأمين في تطبيق إطار مكافحة الاحتيال لا يقاس بعدد القواعد التي لديها، بل بمدى مطابقتها لطريقة وقوع الاحتيال في منتجاتها. فإذا كانت قواعدكم مستمدة من القطاع المصرفي، فالأجدر أن تختبروها أمام سيناريوهات التأمين قبل أن تختبرها الجهة الرقابية أو الواقع.
إذا كنتم تخططون لتطبيق الإطار أو لمراجعة جاهزيتكم له، فخدمة تطبيق إطار مكافحة الاحتيال من البنك المركزي تستغرق عادة من ثلاثة إلى ستة أشهر حسب نقطة البداية وحجم المؤسسة. تواصلوا معنا لمناقشة نقطة البداية المناسبة لمؤسستكم.
