يعتمد عدد متزايد من شركات التقنية المالية والبنوك الرقمية في المملكة على منصة نفاذ الوطنية للتحقق من هوية العملاء الأفراد خلال عملية التأهيل الرقمي. تصادق نفاذ على أن الشخص الذي يفتح الحساب هو فعلاً من يدّعي أنه، وتوفر بيانات موثوقة من الهوية الوطنية ورقم الجوال المسجل. لكن عندما يفتح ذلك الفرد حساباً نيابةً عن عميل مؤسسي — شركة أو مؤسسة — فإن مصادقة نفاذ وحدها لا تجيب على السؤال الذي تطرحه توصية فاتف 24 والإطار التنظيمي لمكافحة غسل الأموال وتمويل الإرهاب الصادر عن البنك المركزي السعودي (ساما): من يملك هذا العميل المؤسسي فعلياً؟ ومن يسيطر عليه؟
هذه الفجوة بين التحقق من الملكية الفعلية نفاذ ساما والمتطلبات التنظيمية الكاملة تظهر بوضوح في تقارير الفحص الميداني. يشير فاحصو البنك المركزي السعودي إلى ثلاث فجوات متكررة في مسارات التأهيل الرقمي للعملاء المؤسسيين، وهي فجوات تتعلق بالتحقق من المستفيد الحقيقي (beneficial owner) وليس بمصادقة الفرد الذي يمثل الشركة. في هذا المقال، نشرح هذه الفجوات الثلاث، ونوضح لماذا لا تغطيها نفاذ، ونصف كيف كيّفت مؤسستان للتقنية المالية في الرياض مسار العناية الواجبة الرقمي لديهما لالتقاط بيانات الملكية الفعلية دون إضافة خطوات يدوية أو إبطاء تجربة العميل.
الفرق بين مصادقة الفرد والتحقق من الملكية الفعلية
تصادق نفاذ على الفرد الذي يفتح الحساب: اسمه، رقم هويته الوطنية، صورته، رقم جواله. هذه المصادقة ضرورية وتفي بمتطلبات العناية الواجبة بالعميل للأفراد الطبيعيين. لكن عندما يكون العميل شركة أو مؤسسة، فإن الإطار التنظيمي لمكافحة غسل الأموال وتمويل الإرهاب الصادر عن البنك المركزي السعودي — والمبني على معايير مجموعة العمل المالي (FATF) — يتطلب أن تحدد المؤسسة المالية المستفيد الحقيقي للعميل المؤسسي وتتحقق من هويته.
المستفيد الحقيقي هو الشخص الطبيعي الذي يملك أو يسيطر في نهاية المطاف على العميل المؤسسي. عادةً، يُعرّف بأنه الشخص الذي يملك بشكل مباشر أو غير مباشر أكثر من 25% من رأس مال الشركة أو حقوق التصويت، أو الذي يمارس السيطرة الفعلية على إدارة الشركة بطريقة أخرى.
نفاذ لا تقدم هذه البيانات. هي تصادق على الفرد الذي يقف أمام الكاميرا أو يدخل رمز التحقق، لكنها لا تخبرك من يملك الشركة التي يمثلها. هذه مسؤولية المؤسسة المالية، وهي مسؤولية منصوص عليها في توصية فاتف 24 وفي الإطار التنظيمي السعودي.
الفجوات الثلاث التي يشير إليها فاحصو البنك المركزي السعودي
عند مراجعة برامج اعرف عميلك في شركات التقنية المالية والبنوك الرقمية، يشير فاحصو البنك المركزي السعودي إلى ثلاث فجوات متكررة في التحقق من الملكية الفعلية للعملاء المؤسسيين الذين تم تأهيلهم رقمياً عبر نفاذ:
الفجوة الأولى: عدم المطابقة مع سجلات الملكية الفعلية الرسمية
وزارة التجارة السعودية تحتفظ بسجلات الملكية الفعلية للشركات المسجلة في المملكة، وفقاً لنظام مكافحة غسل الأموال ولائحته التنفيذية. المؤسسات المالية مطالبة بالتحقق من أن بيانات المستفيد الحقيقي التي يقدمها العميل تطابق ما هو مسجل رسمياً.
في مسارات التأهيل الرقمي، تعتمد بعض المؤسسات على إقرار ذاتي من الفرد الذي يفتح الحساب — يملأ نموذجاً إلكترونياً يذكر فيه أسماء المستفيدين الحقيقيين ونسب ملكيتهم — دون مطابقة هذا الإقرار مع السجلات الرسمية. هذا لا يفي بمتطلبات التحقق. الفاحصون يتوقعون أن تحصل المؤسسة على وثيقة رسمية من وزارة التجارة أو أن تستخدم واجهة برمجية (API) للوصول إلى سجلات الملكية الفعلية، وأن تطابق البيانات المقدمة مع البيانات المسجلة.
الفجوة الثانية: عدم جمع الإقرارات الذاتية للهياكل المعقدة
ليست كل هياكل الملكية بسيطة. في بعض الحالات، يملك العميل المؤسسي شركات أخرى في سلسلة الملكية، أو يكون مملوكاً من قبل صناديق أو ترتيبات قانونية أخرى. عندما تتجاوز نسبة الملكية غير المباشرة عتبة 25%، يجب على المؤسسة المالية أن تتتبع سلسلة الملكية حتى تصل إلى الشخص الطبيعي النهائي.
سجلات وزارة التجارة قد لا تغطي كل طبقات الملكية، خاصة عندما تمر سلسلة الملكية عبر كيانات أجنبية. في هذه الحالات، يجب على المؤسسة المالية أن تطلب من العميل إقراراً ذاتياً يوضح الهيكل الكامل، مع وثائق داعمة (مثل عقود التأسيس أو شهادات الملكية من الولايات القضائية الأجنبية).
الفجوة تظهر عندما يقتصر مسار التأهيل الرقمي على طلب اسم واحد أو اثنين من المستفيدين الحقيقيين دون السؤال عن الهيكل الكامل أو دون توفير حقول لإدخال معلومات الملكية غير المباشرة. الفاحصون يتوقعون أن يحتوي ملف العميل على خريطة واضحة لسلسلة الملكية، وليس فقط أسماء.
الفجوة الثالثة: عدم تطبيق العناية الواجبة المعززة عندما تمر سلاسل الملكية عبر ولايات قضائية عالية المخاطر
عندما يكون أحد المستفيدين الحقيقيين مقيماً في ولاية قضائية عالية المخاطر — بلد مدرج على قوائم مجموعة العمل المالي أو على قوائم العقوبات — أو عندما تمر سلسلة الملكية عبر كيان مسجل في ولاية قضائية عالية المخاطر، فإن الإطار التنظيمي لمكافحة غسل الأموال وتمويل الإرهاب يتطلب تطبيق العناية الواجبة المعززة.
العناية الواجبة المعززة تشمل: الحصول على معلومات إضافية عن مصدر الأموال ومصدر الثروة، مراجعة إضافية من قبل الإدارة العليا، ومراقبة معززة للعمليات. في مسارات التأهيل الرقمي، يجب أن يكون هناك منطق آلي يكتشف هذه الحالات — بناءً على جنسية المستفيد الحقيقي أو بلد تسجيل الكيان في سلسلة الملكية — ويوجه الطلب إلى مسار معزز بدلاً من الموافقة التلقائية.
الفجوة تظهر عندما يعتمد مسار التأهيل الرقمي على نموذج موحد لكل العملاء المؤسسيين، دون تصنيف للمخاطر بناءً على بيانات الملكية الفعلية. الفاحصون يتوقعون أن يروا قواعد تصنيف المخاطر مطبقة على بيانات المستفيد الحقيقي، وليس فقط على بيانات الشركة نفسها.
كيف عالجت مؤسستان للتقنية المالية هذه الفجوات دون إضافة خطوات يدوية
في عام 2024، كيّفت مؤسستان للتقنية المالية في الرياض مسار التأهيل الرقمي لديهما لالتقاط بيانات الملكية الفعلية بطريقة تفي بمتطلبات البنك المركزي السعودي دون إبطاء تجربة العميل أو إضافة خطوات يدوية. النهج الذي اتبعتاه يتلخص في ثلاث تعديلات على مسار التأهيل:
أولاً، أضافتا خطوة آلية للحصول على وثيقة الملكية الفعلية من وزارة التجارة أو من واجهة برمجية متصلة بسجلات الوزارة. عندما يدخل العميل رقم السجل التجاري للشركة، يسترجع النظام تلقائياً أسماء المستفيدين الحقيقيين المسجلين ونسب ملكيتهم، ويعرضها على الشاشة للمراجعة والتأكيد. هذا يلغي الحاجة إلى إدخال يدوي ويضمن المطابقة مع السجلات الرسمية.
ثانياً، أضافتا حقولاً ديناميكية في النموذج الرقمي تظهر عندما يكون أحد المستفيدين الحقيقيين كياناً قانونياً وليس شخصاً طبيعياً. في هذه الحالة، يُطلب من العميل تحميل وثيقة تثبت ملكية ذلك الكيان (مثل شهادة تسجيل أو عقد تأسيس)، ويُطلب منه إدخال أسماء الأشخاص الطبيعيين الذين يملكون ذلك الكيان. هذا يسمح بتتبع سلسلة الملكية حتى الوصول إلى الشخص الطبيعي النهائي.
ثالثاً، أضافتا قواعد تصنيف المخاطر تعمل تلقائياً على بيانات المستفيد الحقيقي. عندما يكون أحد المستفيدين الحقيقيين مقيماً في ولاية قضائية عالية المخاطر، أو عندما يكون أحد الكيانات في سلسلة الملكية مسجلاً في ولاية قضائية عالية المخاطر، يصنف النظام الطلب على أنه مخاطر مرتفعة ويوجهه إلى مسار العناية الواجبة المعززة. هذا المسار يتضمن حقولاً إضافية لمصدر الأموال ومصدر الثروة، ويتطلب موافقة من مدير الامتثال قبل فتح الحساب.
النتيجة: مسار تأهيل رقمي يفي بمتطلبات التحقق من الملكية الفعلية دون إضافة خطوات يدوية للعملاء ذوي المخاطر المنخفضة، ويطبق العناية الواجبة المعززة تلقائياً على العملاء ذوي المخاطر المرتفعة.
متى تعرف أن برنامج اعرف عميلك لديك يحتاج إلى مراجعة
إذا كان مسار التأهيل الرقمي لديك يعتمد على نفاذ للتحقق من هوية الفرد الذي يفتح الحساب، لكنه لا يطابق بيانات المستفيد الحقيقي مع سجلات وزارة التجارة، فأنت معرض لملاحظة من فاحصي البنك المركزي السعودي.
إذا كان النموذج الرقمي لديك يطلب اسم المستفيد الحقيقي لكنه لا يسأل عن الهيكل الكامل للملكية أو لا يوفر حقولاً لإدخال معلومات الملكية غير المباشرة، فأنت لا تفي بمتطلبات توصية فاتف 24.
إذا كان مسار التأهيل الرقمي لديك لا يصنف مخاطر العميل بناءً على جنسية المستفيد الحقيقي أو بلد تسجيل الكيانات في سلسلة الملكية، فأنت لا تطبق العناية الواجبة المعززة عندما يكون ذلك مطلوباً.
العلامات التي تشير إلى أن الوقت قد حان لمراجعة برنامج اعرف عميلك:
- تلقيت ملاحظة من فاحصي البنك المركزي السعودي بشأن التحقق من الملكية الفعلية.
- تعتمد على إقرارات ذاتية من العملاء دون مطابقة مع سجلات رسمية.
- لا يوجد لديك قواعد تصنيف مخاطر تعمل على بيانات المستفيد الحقيقي.
- تستخدم نموذج موحد لكل العملاء المؤسسيين، بغض النظر عن تعقيد هيكل الملكية أو الولاية القضائية.
- تخطط لإطلاق منتج جديد للعملاء المؤسسيين وتريد أن تتأكد من أن مسار التأهيل الرقمي يفي بمتطلبات البنك المركزي السعودي من اليوم الأول.
ماذا تتوقع من مراجعة برنامج اعرف عميلك
المراجعة المستقلة لبرنامج اعرف عميلك تفحص السياسات وتصنيف المخاطر ورحلات التسجيل للتأكد من أنها تفي بمتطلبات الإطار التنظيمي لمكافحة غسل الأموال وتمويل الإرهاب الصادر عن البنك المركزي السعودي ومعايير مجموعة العمل المالي.
تشمل المراجعة اختبار عينة من ملفات العملاء عبر الشرائح — عملاء أفراد، عملاء مؤسسيون، عملاء عاليو المخاطر — للتحقق من أن العناية الواجبة والعناية المعززة والتحقق من المستفيد الحقيقي تم تطبيقها بشكل صحيح.
تقيّم المراجعة الفجوات في العناية الواجبة والمعززة والمستفيد الحقيقي، وتحدد الملفات التي تحتاج إلى معالجة، وتقدم خطة لتحسين البرنامج ومعالجة الملفات.
المخرجات تشمل تقرير تقييم برنامج اعرف عميلك، توصيات نموذج تصنيف المخاطر، وخطة معالجة ملفات العملاء.
المدة المعتادة للمراجعة هي أربعة إلى ستة أسابيع.
المراجعة تشمل عملاء الشركات، بما في ذلك المستفيد الحقيقي والهياكل المعقدة. إذا احتجت إلى مساعدة في معالجة الملفات بعد المراجعة، يمكن تصميم برنامج لمعالجة الملفات وتنفيذه.
الخطوة التالية
إذا كنت تعتمد على نفاذ للتحقق من هوية العملاء وتريد أن تتأكد من أن مسار التأهيل الرقمي لديك يفي بمتطلبات التحقق من الملكية الفعلية، أو إذا تلقيت ملاحظة من فاحصي البنك المركزي السعودي بشأن المستفيد الحقيقي، فإن مراجعة برنامج اعرف عميلك والعناية الواجبة والتحقق الرقمي تساعدك على تحديد الفجوات وتصميم خطة لمعالجتها.
المراجعة تفحص السياسات وتصنيف المخاطر ورحلات التسجيل، وتختبر عينة من ملفات العملاء عبر الشرائح، وتقيّم الفجوات في العناية الواجبة والمعززة والمستفيد الحقيقي، وتقدم خطة لتحسين البرنامج ومعالجة الملفات. المخرجات تشمل تقرير تقييم برنامج اعرف عميلك، وتوصيات نموذج تصنيف المخاطر، وخطة معالجة ملفات العملاء. المدة المعتادة أربعة إلى ستة أسابيع.
