تنص المادة 4.2 من إطار البنك المركزي السعودي لمكافحة الاحتيال على ضرورة إجراء تقييم مخاطر الاحتيال إطار ساما بشكل سنوي، وتحديثه كلما طرأت تغييرات جوهرية على بيئة العمل أو المنتجات أو القنوات. لكن الإطار لا يحدد تصنيفاً موحداً للسيناريوهات التي يجب تغطيتها، ولا يرسم خريطة واضحة لأنواع الاحتيال التي ينبغي أن يشملها التقييم.
هذا الغموض يضع فرق المخاطر والامتثال في البنوك ومؤسسات الدفع والشركات المالية أمام سؤال عملي: ما السيناريوهات التي يتوقع الفاحصون رؤيتها في التقييم السنوي؟ وكيف نبني مصفوفة مخاطر شاملة تغطي كامل سطح التهديد دون أن نفوّت فئة رئيسية قد يسأل عنها المدقق أو عضو مجلس الإدارة؟
الممارسة الفضلى التي تظهر في المؤسسات المالية المنضبطة — والتي يبحث عنها الفاحصون — هي تصنيف السيناريوهات إلى سبع فئات رئيسية تغطي مصادر الاحتيال المختلفة وأساليبه وقنواته. هذا المقال يستعرض هذه الفئات السبع بالتفصيل، مع أمثلة عملية من بيئة الدفع والإقراض، ليتمكن فريق المخاطر من هيكلة تقييمه بطريقة منهجية ترضي الجهة الرقابية ومجلس الإدارة.
لماذا التصنيف مهم
التقييم السنوي لمخاطر الاحتيال ليس قائمة عشوائية من السيناريوهات المحتملة. هو خريطة منهجية لكل الطرق التي قد يُستهدف بها رأس المال أو الأصول أو البيانات أو السمعة. التصنيف الواضح يحقق ثلاثة أهداف:
الشمولية: يضمن عدم إغفال فئة كاملة من التهديدات — مثل التواطؤ بين الموظفين والعملاء، أو الاحتيال عبر موردي الطرف الثالث — التي قد لا تظهر في تقييم يركز فقط على الاحتيال الخارجي.
الوضوح أمام الإدارة: يسهّل عرض المخاطر على مجلس الإدارة واللجان التنفيذية بطريقة مفهومة، حيث يمكن لكل فئة أن تُعرض بمستوى المخاطر الإجمالي والضوابط القائمة والفجوات.
التوافق مع توقعات الجهة الرقابية: الفاحصون يبحثون عن دليل على أن المؤسسة قد فكرت في كل مصدر محتمل للاحتيال، وليس فقط في الحوادث التي وقعت بالفعل.
الفئات السبع لسيناريوهات الاحتيال
1. الاحتيال الداخلي
يشمل أي فعل احتيالي يقوم به موظف أو مقاول أو مستشار داخلي بهدف تحقيق منفعة شخصية أو إلحاق ضرر بالمؤسسة. هذه الفئة تغطي:
- التلاعب بسجلات القروض أو الحسابات لصالح أطراف معينة
- سرقة بيانات العملاء أو بيعها
- إنشاء حسابات وهمية أو معاملات صورية
- تجاوز الضوابط الداخلية باستخدام الصلاحيات الممنوحة
الأمثلة الشائعة في بيئة الدفع تشمل موظف عمليات يعدّل حدود المعاملات لحساب معين، أو مسؤول نظام يستخرج بيانات بطاقات العملاء. في الإقراض، قد يوافق موظف ائتمان على قرض لعميل غير مؤهل مقابل عمولة خارجية.
2. الاحتيال الخارجي
يشمل الهجمات والمحاولات التي ينفذها أطراف خارجية ليس لهم علاقة تعاقدية أو وظيفية بالمؤسسة. تشمل هذه الفئة:
- الاحتيال عبر الهوية المزيفة أو المسروقة عند فتح الحسابات
- هجمات الهندسة الاجتماعية والتصيد الاحتيالي الموجهة للعملاء
- الاختراق السيبراني بهدف سرقة الأموال أو البيانات
- استخدام بطاقات مسروقة أو مزورة في المعاملات
مثال نموذجي: مجموعة منظمة تفتح حسابات باستخدام هويات مزورة لتنفيذ عمليات غسل أموال، أو مهاجم يستخدم برمجيات خبيثة لاعتراض رموز التحقق الثنائي من هواتف العملاء.
3. التواطؤ مع العملاء
هذه الفئة تغطي السيناريوهات التي يتعاون فيها موظف داخلي مع عميل أو طرف خارجي لتنفيذ عملية احتيالية. التواطؤ يجمع بين الوصول الداخلي والدافع الخارجي، ما يجعله أصعب في الكشف. الأمثلة تشمل:
- موظف فرع يساعد عميلاً على تزوير مستندات الدخل للحصول على قرض أكبر
- مسؤول خدمة عملاء يشارك بيانات حساب عميل آخر مع محتال خارجي
- موظف عمليات يوافق على معاملة مشبوهة مقابل رشوة
التواطؤ غالباً ما يُكتشف متأخراً لأن الضوابط التقليدية تفترض أن الموظف يعمل بحسن نية.
4. الاحتيال عبر الطرف الثالث
يشمل المخاطر الناتجة عن الموردين والشركاء والوكلاء والوسطاء الذين تتعامل معهم المؤسسة. هذه الفئة تغطي:
- مزود خدمة دفع يسرّب بيانات المعاملات
- وكيل تحصيل يحتفظ بمبالغ محصّلة دون تسجيلها
- شريك تقني يدخل باباً خلفياً في النظام
- مورد خدمات سحابية يتعرض لاختراق يؤثر على بيانات المؤسسة
المادة 4.2 من إطار ساما تشير صراحة إلى ضرورة تقييم مخاطر الاحتيال المرتبطة بالأطراف الثالثة، لأن المؤسسة تبقى مسؤولة أمام الجهة الرقابية حتى لو كان المصدر خارجياً.
5. الاحتيال عبر القنوات الرقمية
تغطي هذه الفئة السيناريوهات المرتبطة بالقنوات الإلكترونية: التطبيقات المصرفية، المحافظ الرقمية، بوابات الدفع، الصرافات الآلية، والخدمات عبر الإنترنت. الأمثلة تشمل:
- الاستيلاء على الحساب (Account Takeover) عبر سرقة بيانات الدخول
- هجمات الروبوتات (Bots) لاختبار بطاقات مسروقة
- التلاعب بواجهة برمجة التطبيقات (API) لتنفيذ معاملات غير مصرح بها
- استغلال ثغرات في تطبيق الهاتف المحمول لتجاوز ضوابط المصادقة
هذه الفئة تتطور بسرعة مع ظهور قنوات جديدة وأساليب هجوم متقدمة، ما يتطلب تحديثاً دورياً للسيناريوهات.
6. إساءة استخدام المنتجات والخدمات
تشمل الحالات التي يُستخدم فيها منتج أو خدمة مشروعة بطريقة تخالف الغرض المصمم له، بهدف تحقيق منفعة غير مشروعة أو إخفاء نشاط إجرامي. الأمثلة تشمل:
- فتح حسابات متعددة باستخدام هويات حقيقية لكن بأسماء مستعارة لتفتيت المعاملات
- استخدام القروض الاستهلاكية لتمويل أنشطة تجارية محظورة
- استغلال برامج المكافآت أو النقاط لتحقيق أرباح وهمية
- استخدام خدمات التحويل السريع في عمليات غسل أموال
هذه الفئة تتطلب فهماً عميقاً لكيفية عمل كل منتج، والسلوكيات الطبيعية مقابل الشاذة.
7. التهديدات الناشئة والسيناريوهات المستقبلية
الفئة الأخيرة تغطي المخاطر التي لم تتحقق بعد في المؤسسة لكنها ظهرت في السوق أو في مؤسسات مماثلة، أو التي قد تنشأ نتيجة تغييرات تنظيمية أو تقنية. الأمثلة تشمل:
- الاحتيال باستخدام الذكاء الاصطناعي لتزوير الصوت أو الصورة (Deepfakes)
- استغلال العملات الرقمية أو الأصول المشفرة في عمليات احتيالية
- هجمات سلسلة الإمداد السيبرانية التي تستهدف مكونات البرمجيات مفتوحة المصدر
- التلاعب بأنظمة التعلم الآلي المستخدمة في الكشف عن الاحتيال
هذه الفئة تُظهر للجهة الرقابية أن المؤسسة لا تكتفي بالنظر إلى الماضي، بل تستشرف المستقبل وتستعد له.
كيف تبني مصفوفة المخاطر
بعد تحديد الفئات السبع، الخطوة التالية هي بناء مصفوفة تقييم لكل سيناريو داخل كل فئة. المصفوفة تتضمن عادة:
- وصف السيناريو: ما الذي يحدث بالضبط، ومن الفاعل، وما القناة أو المنتج المستهدف.
- الاحتمالية: ما مدى احتمال وقوع هذا السيناريو، بناءً على الحوادث السابقة والاتجاهات في السوق وضعف الضوابط الحالية.
- الأثر: ما الخسارة المالية المحتملة، والأثر على السمعة، والعواقب التنظيمية.
- الضوابط القائمة: ما الضوابط الوقائية والكشفية الموجودة حالياً.
- المخاطر المتبقية: ما مستوى المخاطر بعد احتساب الضوابط.
- خطة المعالجة: ما الإجراءات المطلوبة لتخفيض المخاطر إلى مستوى مقبول.
المصفوفة يجب أن تُحدّث سنوياً على الأقل، وكلما أُطلق منتج جديد أو قناة جديدة أو حدثت واقعة احتيال جوهرية.
الفجوات الشائعة في التقييمات
عند مراجعة تقييمات مخاطر الاحتيال في المؤسسات المالية، تظهر عدة فجوات متكررة:
التركيز على الاحتيال الخارجي فقط: كثير من التقييمات تغفل الاحتيال الداخلي أو التواطؤ، رغم أن الخسائر الناتجة عنهما قد تكون أكبر.
عدم تغطية الطرف الثالث: المؤسسة تقيّم أنظمتها وموظفيها، لكنها لا تقيّم المخاطر الناتجة عن الموردين والشركاء.
السيناريوهات عامة جداً: بدلاً من سيناريوهات محددة مثل "موظف فرع يعدّل حد السحب النقدي لحساب عميل"، التقييم يذكر "احتيال داخلي" دون تفصيل.
عدم ربط السيناريوهات بالمنتجات والقنوات: التقييم لا يوضح أي المنتجات أو القنوات أكثر عرضة لأي نوع من الاحتيال.
غياب التهديدات الناشئة: التقييم يعتمد فقط على الحوادث السابقة، دون النظر إلى ما يحدث في السوق أو التقنيات الجديدة.
ترتيب العمل المنطقي
لبناء تقييم شامل يغطي الفئات السبع، الترتيب المنطقي هو:
- جمع البيانات: مراجعة الحوادث السابقة، وتقارير التدقيق الداخلي، وتقارير الاحتيال من الجهات الرقابية والسوق، وقوائم المنتجات والقنوات.
- تحديد السيناريوهات: لكل فئة من الفئات السبع، حدد السيناريوهات المحتملة بناءً على طبيعة العمل والمنتجات والقنوات.
- تقييم الاحتمالية والأثر: لكل سيناريو، قدّر الاحتمالية والأثر باستخدام مقياس موحد (مثل منخفض، متوسط، عالٍ، أو مقياس رقمي).
- مراجعة الضوابط: حدد الضوابط القائمة لكل سيناريو، وقيّم فعاليتها.
- حساب المخاطر المتبقية: بعد احتساب الضوابط، ما مستوى المخاطر المتبقي.
- بناء خطة المعالجة: للسيناريوهات ذات المخاطر المتبقية العالية، حدد الإجراءات المطلوبة والمسؤوليات والمواعيد.
- العرض على الإدارة: قدّم التقييم إلى الإدارة التنفيذية ومجلس الإدارة، مع التركيز على المخاطر الرئيسية وخطة المعالجة.
كيف نساعد في بناء التقييم
تقييمات الامتثال التي نقدمها تشمل تقييمات شاملة للفجوات والاستعداد وفق أطر SAMA وNCA ونظام حماية البيانات وISO 27001، بما في ذلك إطار ساما لمكافحة الاحتيال.
عملية التقييم تبدأ بتحديد النطاق والأطر والجهات والأنظمة المشمولة، ثم جمع المعلومات عبر الاستبيان والمقابلات والأدلة، يليها التقييم الفعلي من خلال اختبار الضوابط وتقييم النضج، وأخيراً إعداد التقرير الذي يتضمن الملاحظات وخارطة الطريق والعرض على الإدارة.
المخرجات تشمل تقرير التقييم ودرجات النضج، وسجل الفجوات مع الأدلة، وخارطة المعالجة، وملخص لمجلس الإدارة والإدارة.
التقييم يتم ضابطاً ضابطاً، مع اختبار الأدلة والعينات، وتقييم النضج لكل مجال، وربط النتائج بين الأطر المختلفة، وتقديم خطة معالجة مرتبة الأولويات. المدة الزمنية تتراوح بين 4 إلى 8 أسابيع.
بالنسبة لمخاطر الطرف الثالث — وهي إحدى الفئات السبع — نقدم خدمة متخصصة لتأسيس برنامج مخاطر الأطراف الثالثة السيبرانية وإدارة تشغيله، تشمل تصنيف الموردين، واستبيانات العناية الواجبة، والبنود التعاقدية، والتقييمات، والمراقبة المستمرة.
كما نعدّ السياسات والمعايير والإجراءات الخاصة بمكافحة الاحتيال أو نحدّثها، مع ربطها بإطار ساما لمكافحة الاحتيال وكتابتها بالعربية والإنجليزية، لتكون مجموعة مستندات كاملة ومعتمدة مكتوبة لتُطبّق لا لتُحفظ.
