لماذا تفشل أربعة من كل خمسة تطبيقات لمكافحة غسل الأموال في أول مراجعة من ساما (وما الذي غيّرناه)
في اثني عشر مشروعاً لمعالجة تطبيقات مكافحة غسل الأموال خلال السنوات الأخيرة، تكرر نمط واحد: المؤسسات المالية تنفق شهوراً وميزانيات كبيرة على أنظمة حديثة، لكنها تواجه ملاحظات جوهرية من البنك المركزي السعودي (ساما) في أول مراجعة رقابية. السبب ليس ضعف التقنية، بل أن أخطاء شائعة تطبيق مكافحة غسل الأموال ساما تتمحور حول فهم خاطئ لطبيعة التوقعات الرقابية: فالمشاريع تركز على ميزات الأنظمة وليس على المتطلبات القائمة على المخاطر التي تنص عليها قواعد مكافحة غسل الأموال وتمويل الإرهاب.
هذا المقال يحدد الفجوات المتكررة التي نراها في القطاع المصرفي والمالي السعودي، والتسلسل التنفيذي الذي يضمن أن التطبيق يعمل من اليوم الأول ويجتاز الفحص الرقابي.
الفجوة الأولى: منطق تصنيف مخاطر العملاء غير الكافي
معظم الأنظمة تأتي بنماذج تصنيف مخاطر جاهزة، لكنها مصممة لأسواق أخرى. في ثلاثة مشاريع لبنوك تجارية، وجدنا أن النموذج الافتراضي يعطي وزناً متساوياً لجميع القطاعات الاقتصادية، بينما تتطلب قواعد البنك المركزي السعودي لمكافحة غسل الأموال وتمويل الإرهاب تصنيفاً يعكس تقييم المخاطر الوطني والقطاعي للمملكة.
النتيجة: عملاء ذوو مخاطر عالية فعلياً يُصنّفون كمخاطر متوسطة، وعملاء منخفضو المخاطر يخضعون لإجراءات عناية مشددة دون مبرر. عندما يراجع البنك المركزي السعودي عينة من ملفات العملاء، يطلب تفسيراً لمنطق التصنيف، وتكتشف المؤسسة أن وثائق النموذج غير موجودة أو أنها نسخة عامة من دليل المورد.
ما الذي غيّرناه: في مرحلة التنفيذ، نبني نماذج المخاطر بناءً على تقييم المخاطر المؤسسي الخاص بالعميل، وليس على الإعدادات الافتراضية للنظام. نوثق كل عامل خطر ووزنه وعتبات التصنيف، ونربطها بالقطاعات والمناطق الجغرافية والمنتجات التي حددها تقييم المخاطر المؤسسي. هذه الوثائق تصبح جزءاً من حزمة الحوكمة التي تُقدّم للمراجعين الداخليين والخارجيين.
الفجوة الثانية: غياب سجلات تدقيق فحص العقوبات
في أربعة مشاريع لشركات تمويل ومؤسسات دفع، كان نظام فحص العقوبات يعمل تقنياً — يفحص الأسماء مقابل القوائم — لكنه لا يحتفظ بسجل تدقيق كامل لكل فحص. القوائم المحلية والدولية (الأمم المتحدة، أوفاك، الاتحاد الأوروبي) تتغير يومياً، ويتطلب البنك المركزي السعودي إثباتاً أن المؤسسة فحصت كل عميل وكل عملية مقابل أحدث إصدار من القوائم.
عندما لا يسجل النظام تاريخ الفحص، والقوائم المستخدمة، ونتيجة المطابقة، ومن راجع التطابقات الإيجابية، تصبح المؤسسة غير قادرة على إثبات الالتزام بأثر رجعي. في حالة واحدة، طُلب من مؤسسة مالية إثبات أنها فحصت جميع العملاء الحاليين بعد تحديث قائمة محلية، ولم تستطع لأن النظام لم يحتفظ بسجل الفحص الدفعي.
ما الذي غيّرناه: في مرحلة التحديد، نحدد متطلبات سجل التدقيق بدقة: تاريخ ووقت الفحص، إصدار القائمة، نتيجة المطابقة، ومستخدم المراجعة. في مرحلة التنفيذ، نتحقق من أن تكامل البيانات يحفظ هذه السجلات لكل فحص — سواء كان فحصاً فورياً عند الإعداد، أو فحصاً دفعياً دورياً، أو إعادة فحص بعد تحديث القوائم. في مرحلة التحقق قبل الإطلاق، نختبر استرجاع السجلات لفترات سابقة ونتأكد من أن التقارير تلبي توقعات المراجعين.
الفجوة الثالثة: ضعف أدلة إغلاق الحالات
أنظمة إدارة الحالات تتيح للمحللين فتح حالة، وإضافة ملاحظات، وإغلاقها. لكن في خمسة مشاريع، وجدنا أن الحقول الحرة والملاحظات غير المنظمة لا تكفي لإثبات أن القرار بإغلاق الحالة دون إبلاغ كان مبرراً ومراجَعاً.
تتطلب قواعد البنك المركزي السعودي لمكافحة غسل الأموال وتمويل الإرهاب أن تحتفظ المؤسسة بسجلات كاملة لكل حالة مشبوهة، بما في ذلك مصادر المعلومات التي استُخدمت، والتحليل، ومبرر القرار، ومن راجعه. عندما يكون كل هذا في ملاحظات نصية غير منظمة، يصعب على المراجع — أو على المؤسسة نفسها بعد ستة أشهر — إعادة بناء مسار القرار.
ما الذي غيّرناه: في مرحلة التحديد، نحدد حقولاً منظمة لكل مرحلة من مراحل الحالة: نوع التنبيه، مصادر المعلومات الإضافية (سجلات داخلية، بحث عبر الإنترنت، طلبات من العميل)، نتيجة التحليل، مبرر القرار (إغلاق أو تصعيد)، واسم المراجع وتاريخ المراجعة. في مرحلة التنفيذ، نصمم سير العمل بحيث لا يمكن إغلاق الحالة إلا بعد ملء هذه الحقول ومراجعة مشرف. في مرحلة التحقق، نختبر عينة من الحالات ونتأكد من أن التقارير تعرض الأدلة بشكل واضح.
الفجوة الرابعة: سيناريوهات المراقبة العامة
معظم الموردين يقدمون مكتبة من سيناريوهات المراقبة الجاهزة: إيداعات نقدية كبيرة، تحويلات إلى دول عالية المخاطر، أنماط تجزئة. هذه السيناريوهات مفيدة كنقطة بداية، لكنها عامة. في مشروعين لبنوك تجزئة، وجدنا أن السيناريوهات الافتراضية تولّد آلاف التنبيهات شهرياً، معظمها إيجابيات كاذبة، لأن العتبات والمعايير لم تُعايَر بناءً على ملف مخاطر المؤسسة وسلوك عملائها الطبيعي.
النتيجة: فريق الالتزام يغرق في التنبيهات، ويبدأ بمراجعتها بشكل سطحي، وتفوت حالات حقيقية. عندما يراجع البنك المركزي السعودي عينة من الحالات المغلقة، يجد أن التحليل غير كافٍ، ويطلب تفسيراً لمنطق السيناريوهات وعتباتها.
ما الذي غيّرناه: في مرحلة التنفيذ، نبدأ بتحليل بيانات العمليات التاريخية لفهم السلوك الطبيعي لكل شريحة من العملاء. نعايِر عتبات السيناريوهات بحيث تولّد تنبيهات ذات جودة عالية — عدد قابل للإدارة من الحالات التي تستحق التحقيق فعلاً. نوثق منطق كل سيناريو، ومبرر العتبات، ومتى يجب مراجعتها. هذه الوثائق تصبح جزءاً من حزمة الحوكمة، وتُحدّث دورياً بناءً على التغيرات في ملف المخاطر أو أنماط العمليات.
الفجوة الخامسة: عدم التحقق قبل الإطلاق
في مشروعين، أطلقت المؤسسة النظام مباشرة بعد اختبار المورد التقني، دون تحقق مستقل من أن النماذج والسيناريوهات والسجلات تلبي المتطلبات الرقابية. بعد أسابيع، اكتشف فريق الالتزام أن بعض السيناريوهات لا تعمل كما هو متوقع، أو أن سجلات التدقيق ناقصة، أو أن التقارير لا تحتوي على الحقول المطلوبة.
إعادة التكوين بعد الإطلاق مكلفة ومعقدة، لأن البيانات الحية بدأت تتراكم، والفريق بدأ يعتمد على النظام، وأي تغيير يتطلب إعادة اختبار وتدريب.
ما الذي غيّرناه: نضيف مرحلة تحقق مستقلة قبل الإطلاق. نختبر عينة من العملاء الحقيقيين (بيانات مجهّلة أو بيئة اختبار) عبر سير العمل الكامل: الإعداد، التصنيف، الفحص، المراقبة، فتح الحالة، المراجعة، الإغلاق. نتحقق من أن كل خطوة تنتج السجلات والتقارير المطلوبة، وأن المنطق يعكس السياسات المعتمدة. نعد تقرير تحقق يوثق النتائج والفجوات، ونعمل مع المورد على إصلاحها قبل الإطلاق. بعد الإطلاق، نسلّم حزمة حوكمة كاملة: وثائق النماذج، وثائق السيناريوهات، أدلة المستخدم، وإجراءات المراجعة الدورية.
التسلسل التنفيذي الذي يجتاز الفحص الرقابي
استناداً لهذه الأنماط، التسلسل الذي يعمل هو:
1. التحديد: المتطلبات القائمة على المخاطر أولاً
قبل أي عرض توضيحي من مورد، نحدد المتطلبات بناءً على قواعد البنك المركزي السعودي لمكافحة غسل الأموال وتمويل الإرهاب، وتوصيات مجموعة العمل المالي، وتقييم المخاطر المؤسسي. نوثق متطلبات تصنيف المخاطر، والفحص، والمراقبة، وإدارة الحالات — ليس كقائمة ميزات تقنية، بل كمتطلبات رقابية يجب أن يلبيها النظام.
2. الاختيار: تقييم عادل ومقاس للموردين
نطلب عروضاً من الموردين، ونجري عروضاً توضيحية، ونختبر إثبات المفهوم باستخدام بيانات حقيقية (مجهّلة). نقيّم كل مورد مقابل المتطلبات المحددة، وليس مقابل قائمة ميزات عامة. نعد تقرير تقييم وتوصية يوضح نقاط القوة والضعف لكل خيار، والتكلفة الإجمالية (الترخيص، التنفيذ، التشغيل)، والمخاطر.
3. التنفيذ: تكامل البيانات والنماذج والسيناريوهات
ينفذ المورد النظام، ونتولى الإشراف والتحقق نيابة عن المؤسسة. نبني نماذج تصنيف المخاطر ونوثقها، ونعايِر سيناريوهات المراقبة بناءً على البيانات التاريخية، ونصمم سير عمل إدارة الحالات بحقول منظمة، ونتأكد من أن تكامل البيانات يحفظ سجلات التدقيق الكاملة. نعد وثائق تصميم السيناريوهات والنماذج التي تشرح المنطق والعتبات ومبررات القرارات.
4. التحقق: اختبار مستقل قبل الإطلاق
قبل الإطلاق، نختبر النظام بشكل مستقل: نمرر عينة من العملاء والعمليات عبر سير العمل الكامل، ونتحقق من أن النتائج تطابق التوقعات، وأن السجلات كاملة، وأن التقارير تلبي المتطلبات الرقابية. نعد تقرير تحقق يوثق النتائج، ونسلّم حزمة حوكمة تحتوي على جميع الوثائق والإجراءات التي يحتاجها فريق الالتزام والمراجعون.
لماذا يحدث هذا؟
السبب الجذري ليس ضعف الموردين أو نقص الميزانية. السبب هو أن معظم المشاريع تُدار كمشاريع تقنية، وليس كمشاريع التزام. فريق تقنية المعلومات يركز على التكامل والأداء، وفريق الالتزام يفترض أن النظام سيلبي المتطلبات الرقابية تلقائياً. لا أحد يتحقق من أن منطق التصنيف يعكس تقييم المخاطر المؤسسي، أو أن السيناريوهات معايَرة، أو أن سجلات التدقيق كاملة، حتى يأتي المراجع الخارجي أو البنك المركزي السعودي ويطلب الأدلة.
الخطوة التالية
إذا كنتم تخططون لتطبيق نظام مكافحة غسل الأموال جديد، أو تواجهون ملاحظات رقابية على النظام الحالي، فالتسلسل الموضح أعلاه يضمن أن التطبيق يعمل من اليوم الأول ويجتاز الفحص الرقابي. نقدم اختيار وتطبيق تقنيات مكافحة غسل الأموال باستقلال عن الموردين: تصنيف مخاطر العملاء وفحص العقوبات ومراقبة العمليات وإدارة الحالات، عبر أربع مراحل — التحديد، الاختيار، التنفيذ، والتحقق — على مدى أربعة إلى تسعة أشهر. ينفذ المورد، ونتولى التحديد والإشراف والتحقق نيابة عنكم لتحصلوا على تأكيد مستقل.
نسلّم وثيقة المتطلبات، وتقرير تقييم الموردين والتوصية، ووثائق تصميم السيناريوهات والنماذج، وتقرير التحقق وحزمة الحوكمة — كل ما تحتاجونه لإثبات الالتزام للمراجعين الداخليين والخارجيين والبنك المركزي السعودي.
للاستفسار عن حلول مكافحة غسل الأموال أو تقييم مستقل لبرنامجكم الحالي، تواصلوا معنا.
