تجمع العديد من المؤسسات المالية السعودية أدلة الاحتيال باستخدام موظفي تقنية المعلومات الذين يلتقطون لقطات شاشة أو يعيدون توجيه رسائل البريد الإلكتروني، دون إدراك أن هذه الطرق تنتهك متطلبات حفظ أدلة الاحتيال وتجعل النتائج غير مقبولة في الإجراءات التأديبية أو القانونية. يتطلب إطار مكافحة الاحتيال والاحتيال المالي الصادر عن البنك المركزي السعودي (ساما) من المؤسسات المالية الحفاظ على سلسلة الحفظ الموثقة للأدلة، وهو مبدأ يستند إليه إطار ساما في متطلباته للتحقيقات الداخلية والإبلاغ عن الحوادث.
المشكلة ليست في غياب الأدلة — بل في كيفية جمعها. عندما يطلب مدير الامتثال من موظف تقنية المعلومات "استخراج رسائل البريد الإلكتروني لهذا الموظف"، فإن الموظف عادة ما يفتح صندوق البريد، ويحدد الرسائل ذات الصلة، ويعيد توجيهها إلى نفسه، ثم يحفظها في ملف PST أو يطبعها. هذه العملية — رغم حسن نيتها — تنتهك كل مبدأ من مبادئ الجمع الجنائي السليم.
لماذا تفشل الطرق التقليدية في استيفاء متطلبات سلسلة الحفظ
سلسلة الحفظ هي السجل الموثق لكل شخص تعامل مع الدليل، ومتى، ولأي غرض، ومع ضمان عدم تغيير الدليل منذ لحظة جمعه. في الإجراءات التأديبية أو القانونية، يجب على المؤسسة إثبات أن الدليل المقدم هو نفسه الدليل الأصلي، دون تعديل أو حذف أو إضافة.
لقطات الشاشة وإعادة توجيه رسائل البريد الإلكتروني تفشل في هذا المعيار لأسباب متعددة:
التعديل غير الموثق: عندما يفتح موظف تقنية المعلومات صندوق بريد الموظف المشتبه به، فإنه يغير البيانات الوصفية — تواريخ الوصول، وحالة القراءة، وأحياناً الطوابع الزمنية. لا يوجد سجل لما كان موجوداً قبل الوصول.
الاختيار الانتقائي: الموظف الذي يجمع الأدلة يقرر ما هو "ذو صلة". هذا الحكم البشري يعني أن الأدلة المجمعة ليست نسخة كاملة، بل عينة تم اختيارها — ويمكن للطرف الآخر أن يزعم أن أدلة مخففة قد تم استبعادها عمداً.
عدم وجود إثبات للسلامة: لا توجد طريقة لإثبات أن لقطة الشاشة أو الملف المعاد توجيهه لم يتم تعديله بعد الجمع. يمكن تحرير لقطات الشاشة، ويمكن تعديل رسائل البريد الإلكتروني المحفوظة، ولا يوجد دليل تقني على عكس ذلك.
انقطاع سلسلة الحفظ: عندما ينسخ موظف ملفاً إلى ذاكرة USB، ثم يسلمها إلى مدير الامتثال، الذي ينسخها إلى جهازه، ثم يرسلها بالبريد الإلكتروني إلى المراجعة الداخلية — كل خطوة هي فرصة للتعديل، وليس هناك سجل موثق لمن تعامل مع الدليل في كل مرحلة.
يتطلب إطار ساما من المؤسسات المالية التحقيق في حوادث الاحتيال والإبلاغ عنها، وضمناً يتطلب أن تكون نتائج هذه التحقيقات قابلة للدفاع عنها. الأدلة التي لا تستوفي معايير السلامة الجنائية تجعل التحقيق بأكمله عرضة للطعن.
الخطوات الأربع للجمع الجنائي السليم للأدلة الرقمية
الجمع الجنائي السليم ليس معقداً، لكنه يتطلب انضباطاً إجرائياً. هناك أربع خطوات أساسية يجب اتباعها في كل عملية جمع أدلة:
1. منع الكتابة (Write Protection)
قبل الوصول إلى أي دليل رقمي، يجب التأكد من أن الوصول لن يغير البيانات. في حالة الأقراص الصلبة أو الأجهزة المحمولة، يتم استخدام أجهزة منع الكتابة (write blockers) التي تسمح بالقراءة فقط. في حالة البريد الإلكتروني أو قواعد البيانات، يتم إنشاء نسخة احتياطية كاملة قبل أي فحص.
الهدف: ضمان أن عملية الجمع نفسها لا تغير الدليل الأصلي.
2. التجزئة التشفيرية (Cryptographic Hashing)
فور جمع الدليل، يتم حساب قيمة التجزئة (hash value) — بصمة رقمية فريدة للبيانات. أي تغيير لاحق — حتى لو كان حرفاً واحداً — سيغير قيمة التجزئة. يتم توثيق هذه القيمة فوراً وإرفاقها بسجل الحفظ.
الخوارزميات الشائعة هي SHA-256 أو MD5. القيمة الناتجة تعمل كختم أمان: إذا كانت قيمة التجزئة في وقت الجمع تطابق قيمة التجزئة في وقت التقديم، فإن الدليل لم يتغير.
3. الطابع الزمني الموثوق (Trusted Timestamping)
يجب توثيق متى تم جمع الدليل، باستخدام طابع زمني من مصدر موثوق (خادم زمن مستقل أو نظام توثيق). هذا يمنع الادعاء بأن الدليل تم جمعه في وقت لاحق أو تم التلاعب بتواريخه.
4. نقل الحفظ الموثق (Documented Chain of Custody)
كل مرة يتم فيها نقل الدليل من شخص إلى آخر، يجب توثيق:
- من سلّم الدليل
- من استلمه
- التاريخ والوقت
- الغرض من النقل
- حالة الدليل (قيمة التجزئة للتأكد من عدم التغيير)
هذا السجل — الذي يُحفظ عادة في نموذج سلسلة الحفظ — يثبت أن الدليل ظل تحت رقابة موثقة طوال الوقت.
كيف يؤثر الحفظ السليم على نتائج التحقيق
الفرق بين الجمع العادي والجمع الجنائي ليس تقنياً فقط — بل قانوني وتشغيلي. التحقيق الذي يستند إلى أدلة تم جمعها بشكل صحيح يمكنه:
دعم الإجراءات التأديبية: عندما تقرر المؤسسة إنهاء خدمة موظف بناءً على نتائج التحقيق، يمكن للموظف الطعن في القرار. إذا كانت الأدلة غير موثقة أو قابلة للتشكيك، فإن القرار يصبح عرضة للإلغاء.
الامتثال للمتطلبات الرقابية: يتطلب إطار ساما الإبلاغ عن حوادث الاحتيال الجوهرية. التقرير المقدم إلى البنك المركزي السعودي يجب أن يستند إلى تحقيق موثوق. الأدلة الضعيفة تعني تقريراً ضعيفاً، مما يعرض المؤسسة لأسئلة رقابية إضافية.
حماية سمعة المؤسسة: التحقيق الذي ينتهي بنتائج غير قابلة للدفاع عنها يضر بمصداقية وظيفة الامتثال والمراجعة الداخلية. الحفظ السليم يحمي سلامة العملية.
تمكين الإجراءات القانونية: في حالات الاحتيال الجسيم، قد ترغب المؤسسة في رفع دعوى جنائية أو مدنية. الأدلة التي لا تستوفي المعايير الجنائية لن تُقبل في المحكمة، مما يجعل الملاحقة القانونية مستحيلة.
الأخطاء الشائعة التي تبطل سلسلة الحفظ
حتى المؤسسات التي تدرك أهمية الحفظ السليم تقع في أخطاء إجرائية تبطل جهودها:
تأخير الحفظ: الانتظار حتى اكتمال التحقيق الأولي قبل حفظ الأدلة. خلال هذا الوقت، يمكن للموظف المشتبه به حذف الملفات أو رسائل البريد الإلكتروني، أو يمكن للأنظمة الآلية أن تستبدل السجلات.
الوصول المباشر إلى الأنظمة الحية: فحص حساب الموظف أو قاعدة البيانات مباشرة، بدلاً من العمل على نسخة محفوظة. كل استعلام يغير السجلات (سجلات الوصول، والذاكرة المؤقتة، والبيانات الوصفية).
الاعتماد على الموظف المشتبه به: طلب من الموظف "تقديم رسائل البريد الإلكتروني ذات الصلة" أو "شرح العمليات". هذا يمنحه فرصة لحذف أو تعديل الأدلة قبل الجمع.
عدم توثيق النقل: تسليم الأدلة شفهياً ("أعطيت الملف لأحمد") دون نموذج سلسلة حفظ موقع. لا يوجد سجل لمن كان لديه الدليل في أي وقت.
استخدام أدوات غير موثوقة: الاعتماد على برامج مجانية أو غير معتمدة لجمع الأدلة، دون توثيق إصدار البرنامج أو طريقة عمله. في حالة الطعن، لا يمكن إثبات أن الأداة لم تغير البيانات.
دور التحقيق المستقل في حماية سلامة الأدلة
عندما تكتشف المؤسسة المالية حادثة احتيال محتملة، فإن القرار الأول — كيفية جمع الأدلة — يحدد مصير التحقيق بأكمله. الاعتماد على موظفي تقنية المعلومات الداخليين أو المراجعة الداخلية دون تدريب جنائي يعرض العملية للخطر.
التحقيق المستقل يبدأ بـتحديد النطاق وحفظ الأدلة وحماية التحقيق، ثم ينتقل إلى تحليل العمليات والسجلات والأدلة الرقمية، يليه المقابلات وتقصي الحقائق، وينتهي بـتقرير يتضمن النتائج والأسباب الجذرية والتوصيات.
المخرجات تشمل تقرير التحقيق الذي يوثق النتائج بشكل قابل للدفاع عنه، وملف الأدلة الذي يحتوي على جميع الأدلة المحفوظة مع سلسلة الحفظ الكاملة، وتوصيات لمنع التكرار تعالج إخفاقات الضوابط التي سمحت بالحادثة.
الميزات الأساسية تشمل تحديد نطاق القضية وحفظ الأدلة، تحليل العمليات والدفاتر، المقابلات وتقصي الحقائق، وتحليل الأسباب الجذرية وإخفاق الضوابط.
المدة تكون حسب الحاجة، مع إمكانية البدء عادة خلال يوم إلى يومي عمل من التعاقد، وأسرع في الحالات العاجلة. التحقيق سري، يقتصر الاطلاع على أشخاص محددين، ولكل دليل سلسلة حيازة موثقة.
متى يجب حفظ الأدلة
الحفظ يجب أن يحدث فوراً — قبل أي تحليل أو مقابلة أو مراجعة. المؤشرات التي تستدعي الحفظ الفوري تشمل:
- شكوى أو بلاغ عن احتيال محتمل
- اكتشاف عمليات غير مصرح بها أو شاذة
- تنبيهات من أنظمة مكافحة الاحتيال أو مراقبة المعاملات
- تقارير داخلية عن سلوك مشبوه
- طلبات رقابية أو قانونية للتحقيق
التأخير في الحفظ — حتى ليوم واحد — يمنح الفرصة لفقدان الأدلة أو تعديلها. الأنظمة الآلية تحذف السجلات، والموظفون يحذفون رسائل البريد الإلكتروني، والذاكرة المؤقتة تُستبدل.
الخلاصة: الحفظ السليم يحمي التحقيق والمؤسسة
الأدلة التي لا تستوفي معايير سلسلة الحفظ تجعل التحقيق — مهما كان دقيقاً — عرضة للطعن. لقطات الشاشة ورسائل البريد الإلكتروني المعاد توجيهها قد تبدو كافية، لكنها لا تستوفي المتطلبات الضمنية في إطار ساما للتحقيقات الموثوقة.
الجمع الجنائي السليم — منع الكتابة، والتجزئة، والطابع الزمني، وسلسلة الحفظ الموثقة — ليس رفاهية تقنية، بل ضرورة قانونية وتشغيلية. يحمي سلامة التحقيق، ويدعم الإجراءات التأديبية والقانونية، ويضمن امتثال المؤسسة لمتطلبات البنك المركزي السعودي.
المؤسسات المالية التي تواجه حوادث احتيال مشتبه بها وتحتاج إلى تحقيق مستقل قائم على أدلة محفوظة بشكل صحيح، يمكنها الاستفادة من خدمة التحقيق في الاحتيال والمحاسبة الجنائية — تحقيق مستقل يبدأ بحفظ الأدلة السليم وينتهي بتقرير قابل للدفاع عنه وتوصيات لمنع التكرار.
