عندما يُعرض على مجلس الإدارة التقرير السنوي لإطار مكافحة الاحتيال المالي، يركز النقاش عادة على عدد الحالات المكتشفة ونسبة الخسائر المستردة وحالة تطبيق الضوابط الوقائية. لكن سؤالاً أهم نادراً ما يُطرح: هل التحقيقات التي أجريناها في حالات الاحتيال خلال العام تتبع معايير الأدلة والاستقلالية التي تحمي المؤسسة أمام البنك المركزي السعودي (ساما) والجهات القضائية؟
يتطلب إطار مكافحة الاحتيال المالي الصادر عن البنك المركزي السعودي أن تمتلك المؤسسات المالية قدرة على التحقيق في حالات الاحتيال المشتبه بها بطريقة منهجية ومستقلة. لكن الفرق بين أسئلة مجلس الإدارة عن التحقيق في الاحتيال إطار ساما التي تكشف الامتثال الحقيقي وتلك التي تكتفي بالطمأنة السطحية يكمن في التفاصيل: من أجرى التحقيق؟ كيف حُفظت الأدلة؟ وهل أُبلغت الجهات الرقابية بالطريقة الصحيحة وفي الوقت المناسب؟
هذا المقال يحدد ثلاثة أسئلة محددة يجب على أعضاء مجلس الإدارة ورؤساء لجان المراجعة طرحها قبل اعتماد التقرير السنوي، لضمان أن التحقيقات ليست مجرد تمرين داخلي، بل عملية تصمد أمام التدقيق الرقابي والقانوني.
السؤال الأول: هل كانت التحقيقات مستقلة عن الإدارات المعنية؟
الاستقلالية ليست مجرد مبدأ حوكمة، بل شرط عملي لصحة النتائج. عندما تحقق إدارة في حادثة احتيال وقعت ضمن نطاق مسؤوليتها أو شملت أحد موظفيها، تنشأ تضارب مصالح طبيعي يؤثر على جمع الأدلة وتقييم الأسباب الجذرية.
على المجلس أن يسأل: من قاد التحقيق في كل حالة رئيسية خلال العام؟ هل كان فريق التحقيق مستقلاً عن الإدارة التي وقع فيها الاحتيال؟ هل كان لديه صلاحية الوصول إلى جميع السجلات والأنظمة دون قيود؟
في الحالات البسيطة، قد تكفي المراجعة الداخلية أو إدارة الامتثال. لكن عندما يشمل الاحتيال موظفين في مستويات إدارية، أو عندما تتجاوز الخسائر حداً معيناً، أو عندما تكون هناك احتمالية لإجراءات قانونية أو رقابية، فإن الاستقلالية تصبح ضرورة. التحقيق المستقل يعني فريقاً لا يخضع لسلطة الإدارة المعنية، ولا يتأثر بضغوط داخلية لتخفيف النتائج أو تسريع الإغلاق.
الاستقلالية تحمي المؤسسة بطريقتين: أولاً، تضمن أن النتائج موضوعية ويمكن الدفاع عنها أمام الجهات الرقابية. ثانياً، تحمي المؤسسة من اتهامات لاحقة بأنها حاولت التستر على الحادثة أو التلاعب بالأدلة.
السؤال الثاني: كيف حُفظت الأدلة وهل هي صالحة للاستخدام القانوني؟
التحقيق الذي لا ينتج أدلة قابلة للاستخدام في الإجراءات التأديبية أو القضائية أو الرقابية هو تحقيق ناقص، مهما كانت نتائجه مقنعة. الأدلة الرقمية على وجه الخصوص — سجلات الأنظمة، رسائل البريد الإلكتروني، سجلات الدخول، بيانات المعاملات — تفقد قيمتها القانونية إذا لم تُحفظ بطريقة تضمن سلامتها وتوثق سلسلة الحيازة.
على المجلس أن يسأل: هل لكل تحقيق رئيسي ملف أدلة موثق؟ هل حُفظت الأدلة الرقمية فور اكتشاف الحادثة لمنع التعديل أو الحذف؟ هل هناك سجل واضح لمن وصل إلى كل دليل ومتى؟
الخطأ الشائع هو أن الإدارة تبدأ بمراجعة عامة، ثم تكتشف لاحقاً أن السجلات الحاسمة قد حُذفت تلقائياً بسبب سياسات الاحتفاظ، أو أن نسخاً من الأدلة تم تداولها عبر البريد الإلكتروني دون توثيق، مما يفتح الباب للطعن في صحتها.
الحفظ السليم للأدلة يبدأ بمرحلة الاحتواء: تحديد نطاق الحادثة بسرعة، وحفظ جميع السجلات ذات الصلة، وحماية التحقيق من التدخل. ثم يأتي التحليل: فحص العمليات والسجلات والأدلة الرقمية بطريقة منهجية. ثم الإثبات: المقابلات وتقصي الحقائق بطريقة موثقة. وأخيراً التقرير: توثيق النتائج والأسباب الجذرية والتوصيات بطريقة واضحة وقابلة للاستخدام.
عندما يتم التحقيق بهذه الطريقة، تنتج المؤسسة تقرير تحقيق وملف أدلة وتوصيات لمنع التكرار — وكلها قابلة للاستخدام أمام الجهات الرقابية أو في الإجراءات القانونية إذا لزم الأمر.
السؤال الثالث: هل أُبلغت الجهات الرقابية بالطريقة الصحيحة وفي الوقت المناسب؟
التزامات الإبلاغ عن حالات الاحتيال ليست اختيارية. يتطلب البنك المركزي السعودي من المؤسسات المالية الإبلاغ عن حالات الاحتيال الجوهرية ضمن أطر زمنية محددة، وبمستوى من التفاصيل يمكّن الجهة الرقابية من تقييم المخاطر على النظام المالي.
على المجلس أن يسأل: هل جميع الحالات التي تستوجب الإبلاغ قد أُبلغت فعلاً؟ هل كان الإبلاغ في الوقت المناسب؟ هل تضمنت التقارير المعلومات التي يتطلبها الإطار الرقابي، بما في ذلك الأسباب الجذرية وإخفاق الضوابط؟
الخطأ الشائع هو التأخر في الإبلاغ بحجة أن التحقيق لم يكتمل بعد. لكن معظم الأطر الرقابية تتطلب إبلاغاً أولياً سريعاً، يتبعه تقارير تكميلية عند اكتمال التحقيق. التأخير أو عدم الإبلاغ يعرّض المؤسسة لعقوبات رقابية قد تكون أشد من الاحتيال نفسه.
الإبلاغ السليم يعتمد على فهم واضح لتعريفات الاحتيال الجوهري، وعتبات الإبلاغ، والأطر الزمنية، ومحتوى التقارير المطلوبة. كما يعتمد على تنسيق فعال بين فريق التحقيق وإدارة الامتثال والإدارة القانونية، لضمان أن المعلومات المُبلغة دقيقة وكاملة ومتسقة مع نتائج التحقيق.
ماذا يعني الامتثال الحقيقي؟
الامتثال الحقيقي لإطار مكافحة الاحتيال المالي لا يُقاس بعدد السياسات المكتوبة أو الأنظمة المشتراة، بل بجودة التحقيقات عندما تقع الحوادث. التحقيق الجيد يحقق ثلاثة أهداف في وقت واحد:
- يكشف الحقائق ويحدد المسؤوليات بطريقة موضوعية.
- ينتج أدلة صالحة للاستخدام في الإجراءات التأديبية والقانونية والرقابية.
- يحدد الأسباب الجذرية وإخفاق الضوابط، مما يمكّن المؤسسة من منع التكرار.
عندما يطرح المجلس الأسئلة الثلاثة المذكورة أعلاه، فإنه لا يتحقق فقط من الامتثال الشكلي، بل يتحقق من أن المؤسسة تمتلك القدرة الحقيقية على إدارة حوادث الاحتيال بالطريقة التي تحمي سمعتها ومركزها الرقابي ومصالح عملائها.
كيف نساعد
تقدم سيزو خدمة التحقيق في الاحتيال والمحاسبة الجنائية للمؤسسات المالية التي تحتاج إلى تحقيق مستقل في حالات الاحتيال الداخلي أو الخارجي المشتبه بها، مع تعامل مع الأدلة يصلح للإجراءات التأديبية والرقابية والقانونية.
تشمل العملية أربع مراحل: الاحتواء (تحديد النطاق وحفظ الأدلة وحماية التحقيق)، ثم التحليل (العمليات والسجلات والأدلة الرقمية)، ثم الإثبات (المقابلات وتقصي الحقائق)، وأخيراً التقرير (النتائج والأسباب الجذرية والتوصيات).
تشمل المخرجات تقرير التحقيق، وملف الأدلة، وتوصيات لمنع التكرار — كلها موثقة بطريقة تصلح للاستخدام الرقابي والقانوني.
تشمل الخدمة تحديد نطاق القضية وحفظ الأدلة، وتحليل العمليات والدفاتر، والمقابلات وتقصي الحقائق، وتحليل الأسباب الجذرية وإخفاق الضوابط، وفقاً لمتطلبات إطار مكافحة الاحتيال المالي الصادر عن البنك المركزي السعودي.
عادة ما نبدأ خلال يوم إلى يومي عمل من التعاقد، وأسرع في الحالات العاجلة. التحقيق سري، ويقتصر الاطلاع على أشخاص محددين، ولكل دليل سلسلة حيازة موثقة.
