يتطلب إطار مكافحة الاحتيال الصادر عن البنك المركزي السعودي (ساما) سجلًا موثقًا لمخاطر الاحتيال يتجاوز خرائط الحرارة البسيطة، وهو ما تشير إليه المادة 8.2. وسجل مخاطر الاحتيال ساما ليس جدولًا يُملأ مرة في السنة، بل أداة تُظهر لمجلس الإدارة وللمراجع وللجهة الرقابية أين تقع المخاطر، وما الذي يخفضها، وما الذي بقي منها. يشرح هذا المقال كيف يُبنى هذا السجل خطوة بخطوة.
ما الذي يتطلبه الإطار فعلًا
يتوقع الإطار أن تُوثَّق مخاطر الاحتيال على مستوى السيناريو لا على مستوى الفئة العامة. فعبارة مثل «احتيال خارجي: مرتفع» لا تُمكّن أحدًا من اتخاذ قرار. أما سيناريو محدد بمساره وأصله وأثره فيمكن ربطه بضابط، ومالك، ومؤشر قياس.
والمطلوب كذلك التمييز بين المخاطر الكامنة، وهي المخاطر قبل أثر الضوابط، والمخاطر المتبقية، وهي ما يبقى بعد تطبيقها. هذا الفرق هو الدليل الرقمي على أن الضوابط تعمل.
الأبعاد الستة لكل سيناريو
يُوصف كل سيناريو في السجل بستة أبعاد:
- الجهة المهددة: من يقف خلف التهديد؟ عميل، أو موظف، أو طرف ثالث، أو جهة خارجية منظمة، أو تواطؤ بين أكثر من جهة.
- مسار الهجوم: كيف يتم الاحتيال خطوة بخطوة؟ مثل انتحال هوية عبر قناة رقمية، أو تجاوز صلاحية داخلية، أو تلاعب بمستند داعم.
- الأصل المستهدف: ما الذي يُستهدف؟ حساب، أو عملية دفع، أو بيانات هوية، أو منتج تمويلي، أو نظام داخلي.
- نوع الأثر: مالي مباشر، أو تنظيمي، أو على السمعة، أو تشغيلي، أو على العميل. ويُفضَّل تسجيل أكثر من نوع حين ينطبق.
- محرك الاحتمال: ما الذي يجعل وقوع السيناريو أرجح؟ حجم المعاملات، أو ضغط الأهداف، أو ضعف في التحقق، أو اعتماد على مورد، أو إطلاق منتج جديد.
- طبقة الضوابط: أين يعترض الضابط؟ وقائي، أو كاشف، أو تصحيحي، وعلى أي مستوى: سياسة، أو عملية، أو تقنية.
كيف يتغير العمل داخل المؤسسة
عند اعتماد هذا النموذج تنتقل ملكية السجل من وظيفة المخاطر وحدها إلى شراكة بين المخاطر والاحتيال والعمليات والتقنية والأعمال. فمسار الهجوم يعرفه محققو الاحتيال، والأصل يعرفه مالك المنتج، والضابط التقني يعرفه فريق الأمن. ومن دون هذه المشاركة يبقى السجل نظريًا.
احتساب الفرق بين المخاطر الكامنة والمتبقية
الطريقة العملية تسير على النحو الآتي:
- قيّموا الاحتمال والأثر لكل سيناريو بافتراض غياب الضوابط، وفق مقياس المؤسسة المعتمد. هذه هي المخاطر الكامنة.
- حدّدوا الضوابط القائمة لكل سيناريو، ووزّعوها على طبقاتها: وقائية وكاشفة وتصحيحية.
- قيّموا فعالية تصميم كل ضابط: هل يعالج مسار الهجوم المحدد فعلًا؟
- قيّموا فعالية التشغيل استنادًا إلى أدلة: نتائج اختبار، أو عينات، أو مؤشرات أداء، لا إلى الانطباع.
- أعيدوا تقييم الاحتمال والأثر في ضوء ما سبق. الناتج هو المخاطر المتبقية.
- قارنوا المتبقية بحدود قبول المخاطر المعتمدة، وسجّلوا إجراء المعالجة لكل سيناريو يتجاوزها.
والنقطة الجوهرية أن خفض المخاطر يجب أن يُنسب إلى ضابط بعينه. فإذا انخفض التقييم دون ضابط مسمّى ودليل تشغيل، فهذا ادعاء لا إثبات. وإذا لم يتغير الفرق بين الكامنة والمتبقية فهذا مؤشر على أن الضابط ضعيف أو غير مرتبط بمسار الهجوم.
الثغرات الشائعة
- سيناريوهات عامة لا تحدد مسارًا ولا أصلًا.
- تقييم المخاطر المتبقية بالتقدير الشخصي دون أدلة تشغيل.
- ضوابط مكررة تحت عدة سيناريوهات دون تمييز لطبقتها.
- غياب مالك واضح لكل سيناريو ولكل ضابط.
- إغفال مخاطر الاحتيال المرتبطة بالموردين والأطراف الثالثة.
- سجل لا يُحدَّث عند إطلاق منتج أو قناة جديدة.
ترتيب مقترح للعمل
- اعتماد منهجية التقييم ومقاييس الاحتمال والأثر وحدود القبول.
- حصر السيناريوهات ذات الأولوية بالتعاون مع الأعمال والاحتيال والتقنية.
- وصف كل سيناريو بالأبعاد الستة.
- ربط الضوابط القائمة بالسيناريوهات وتقييم تصميمها وتشغيلها.
- احتساب المخاطر المتبقية ورفع الفجوات إلى خطط معالجة بمالكين وتواريخ.
- تحديد دورة مراجعة دورية، وربط التقارير بلجنة المخاطر ومجلس الإدارة.
كيف يمكن أن نساعد
تقدم سيزو استشارات الحوكمة والمخاطر بصيغة عقد لمدة 12 شهرًا (retainer)، وتغطي أطر الحوكمة والمخاطر والامتثال المصممة وفق المتطلبات التنظيمية السعودية، ومنها SAMA CRFR. وتشمل الخدمة مراجعة السياسات والمستندات، وتقديم مستندات مراجعة مع التوصيات، وتقريرًا استشاريًا شهريًا، ومراجعة ربعية. وتبدأ بالتهيئة لفهم بيئتكم والتزاماتكم وأولوياتكم، ثم الاتفاق على تركيز الربع والساعات الاستشارية. وإن كنتم تعيدون بناء سجل مخاطر الاحتيال، فيمكن أن يكون ذلك محور ربع كامل من هذا الدعم.
