عندما تثق مؤسسة مالية في منصة فحص العقوبات لديها، فإنها تفترض أن كل اسم في قائمة الأمم المتحدة أو أوفاك سيُلتقط إذا تطابق مع اسم عميل أو مستفيد. لكن التحقق من فحص العقوبات السعودية في ثلاثة بنوك بالرياض كشف أن المنصات فاتتها 22% من التطابقات التي كان يجب أن تكون دقيقة — ليس بسبب عيب في البرمجيات، بل بسبب افتراضات خاطئة في كيفية ضبط المطابقة الضبابية وكيفية تحضير البيانات.
هذا المقال يعرض ثلاثة أنماط شائعة من الميدان حيث فشلت أدوات الفحص في التقاط أسماء موجودة فعلًا في قوائم العقوبات، والمعايير الأربعة التي يجب على رؤساء الامتثال ومسؤولي مكافحة غسل الأموال اختبارها قبل التفتيش القادم من البنك المركزي السعودي (ساما).
النمط الأول: الحركات العربية التي تغيّر الترجمة اللاتينية
في بنك تجزئة بالرياض، كانت منصة الفحص تستقبل أسماء العملاء من نظام الحسابات باللغة العربية، ثم تترجمها صوتيًا إلى اللاتينية قبل المطابقة مع قوائم أوفاك والأمم المتحدة. المشكلة: الاسم محمد يمكن أن يُكتب في القائمة الدولية بعشر طرق مختلفة — Mohammed, Muhammad, Mohamed, Mohamad — وكلها صحيحة حسب نطق الحركات.
عندما كانت المنصة تترجم الاسم العربي بدون حركات، كانت تختار شكلًا واحدًا فقط (مثلًا "Mohammed")، ثم تقارنه بالقائمة. إذا كان الاسم في قائمة أوفاك مكتوبًا "Muhammad"، فإن المطابقة الدقيقة تفشل. المنطق الضبابي كان مضبوطًا على عتبة 85%، لكن الفرق بين "Mohammed" و"Muhammad" يعطي نتيجة 78% فقط في خوارزمية Levenshtein، فلا يظهر التنبيه.
الحل الذي اكتشفه فريق الامتثال: إضافة قاموس ترجمة صوتية موحّد يحوّل كل الأشكال المعروفة لكل اسم عربي شائع إلى شكل معياري واحد قبل المطابقة، أو خفض عتبة المطابقة الضبابية إلى 75% للأسماء العربية فقط. لكن خفض العتبة وحده رفع الإنذارات الكاذبة بنسبة 340%، مما جعل الفريق يغرق في المراجعات اليدوية.
الدرس: عتبة المطابقة الضبابية ليست رقمًا واحدًا يناسب الجميع. يجب اختبارها حسب اللغة، وحسب طول الاسم، وحسب وجود الحركات.
النمط الثاني: ترتيب الأسماء في القوائم الدولية مقابل البيانات المحلية
في بنك استثماري، كانت قاعدة بيانات العملاء تخزّن الأسماء في حقول منفصلة: الاسم الأول، اسم الأب، اسم الجد، اللقب. عند إرسال الاسم إلى منصة الفحص، كان النظام يجمعها في سلسلة واحدة بالترتيب: "أحمد محمد عبدالله السعيد".
لكن قوائم الأمم المتحدة تكتب الأسماء العربية أحيانًا بترتيب مختلف: "السعيد، أحمد محمد عبدالله" أو "أحمد السعيد" فقط، أو حتى "أحمد بن محمد السعيد". المنصة كانت تبحث عن تطابق تسلسلي، فإذا اختلف الترتيب أو حُذف اسم الأب، فإن النتيجة تنخفض دون العتبة.
الأسوأ: بعض الأسماء في القوائم تحتوي على ألقاب أو كنى ("أبو فلان") أو أسماء تنظيمية ("المعروف بـ")، وهذه لا تظهر أبدًا في بيانات العميل المحلية. النتيجة: تطابقات دقيقة لم تُلتقط لأن المنصة كانت تقارن سلاسل نصية كاملة بدلًا من مقارنة مكونات الاسم بشكل مستقل.
الحل الذي طبّقه الفريق: تفكيك كل اسم — سواء من قاعدة البيانات أو من القائمة — إلى رموز (tokens) منفصلة، ثم مطابقة كل رمز على حدة. إذا تطابق الاسم الأول واللقب، حتى لو اختلف الترتيب أو غاب اسم الأب، يُرفع التنبيه.
الدرس: تسلسل البيانات يجب أن يُختبر قبل المطابقة. إذا كانت المنصة تتوقع ترتيبًا معينًا، فإن أي اختلاف في الترتيب سيُفقدك تطابقات حقيقية.
النمط الثالث: البيانات الناقصة في حقول الاسم
في بنك تحويلات، كانت المعاملات الواردة من الخارج تحتوي أحيانًا على اسم المستفيد في حقل واحد فقط، بينما حقول الاسم الأوسط والأخير فارغة. المنصة كانت مضبوطة لتفحص فقط الحقل الأول، لأن فريق تقنية المعلومات افترض أن "الاسم الكامل" سيكون دائمًا في الحقل الأول.
لكن في الواقع، بعض البنوك المراسلة كانت تقسّم الاسم عبر الحقول الثلاثة، وبعضها كان يضع الاسم الكامل في الحقل الأول فقط. عندما راجع فريق الامتثال عيّنة من المعاملات يدويًا، اكتشفوا أن 18% من الأسماء كانت مقسّمة، و12% كانت في الحقل الأخير فقط.
النتيجة: المنصة كانت تفحص جزءًا من الاسم فقط، وتفوّت التطابقات الموجودة في الأجزاء الأخرى.
الحل: إعادة ضبط المنصة لتجمع كل حقول الاسم — سواء كانت ممتلئة أو فارغة — في سلسلة واحدة قبل الفحص، وإضافة فحص اكتمال البيانات في مرحلة ما قبل المعالجة: إذا كان الحقل الأول فارغًا، يُرفع تنبيه لفريق العمليات لمراجعة البيانات يدويًا قبل المعالجة.
الدرس: جودة البيانات يجب أن تُختبر قبل الفحص، وليس بعده. إذا كانت البيانات ناقصة أو في الحقل الخطأ، فإن أفضل منصة فحص في العالم لن تنقذك.
المعايير الأربعة التي يجب اختبارها في كل منصة فحص
من الأنماط الثلاثة أعلاه، تظهر أربعة معايير يجب على كل مسؤول امتثال اختبارها قبل أن يثق في نتائج منصة الفحص:
1. اختبار تسلسل البيانات واكتمالها
قبل أن تصل البيانات إلى محرك المطابقة، يجب التحقق من:
- هل كل حقول الاسم ممتلئة؟
- هل الترتيب متسق عبر كل المصادر (الحسابات، التحويلات، التجارة)؟
- هل هناك حقول تُترك فارغة بشكل منهجي؟
إذا كانت الإجابة "لا أعرف"، فإن المنصة قد تفحص بيانات ناقصة دون أن تخبرك.
2. اختبار جودة المطابقة في الفحص
يجب اختبار المنصة على عيّنة معروفة من الأسماء الموجودة فعلًا في قوائم العقوبات، مع تباينات مختلفة:
- نفس الاسم بحركات مختلفة
- نفس الاسم بترتيب مختلف
- نفس الاسم مع إضافة أو حذف اسم الأب
- نفس الاسم مع ألقاب أو كنى
إذا فاتت المنصة أيًا من هذه التباينات، فإن العتبة أو المنطق يحتاج إلى ضبط.
3. ضبط الحدود والسيناريوهات
عتبة المطابقة الضبابية يجب أن تُضبط حسب:
- طول الاسم (الأسماء القصيرة تحتاج عتبة أعلى لتجنب الإنذارات الكاذبة)
- اللغة (العربية تحتاج منطقًا صوتيًا مختلفًا عن اللاتينية)
- نوع القائمة (أوفاك، الأمم المتحدة، الاتحاد الأوروبي — لكل منها تنسيق مختلف)
العتبة الواحدة لكل الحالات تعني إما إنذارات كاذبة كثيرة أو تطابقات مفقودة.
4. توثيق حوكمة النماذج
البنك المركزي السعودي (ساما) يتوقع أن تكون كل عتبة وكل قرار ضبط موثّقًا ومبررًا بالأدلة. يجب أن يكون لديك:
- سجل بكل تغيير في العتبة، ولماذا، ومتى
- نتائج اختبارات الأداء قبل وبعد كل تغيير
- توثيق للقرارات: لماذا اخترت 75% وليس 80%؟
بدون هذا التوثيق، حتى لو كانت المنصة تعمل بشكل صحيح، فإن المفتش سيعتبرها غير محكومة.
فحوصات جودة البيانات قبل التفتيش القادم
قبل أن يصل مفتش ساما، يجب على فريق الامتثال إجراء هذه الفحوصات:
فحص الاكتمال: راجع عيّنة من 500 معاملة أو حساب، وتحقق من أن كل حقول الاسم ممتلئة. إذا كان أكثر من 5% منها ناقصًا، فإن لديك مشكلة في جودة البيانات.
فحص التسلسل: قارن ترتيب الأسماء في قاعدة بيانات العملاء مع ترتيبها في رسائل التحويل (SWIFT) ومع ترتيبها في القوائم الدولية. إذا اختلف الترتيب، فإن المنصة يجب أن تكون قادرة على التعامل مع ذلك.
فحص الأداء: اختبر المنصة على 100 اسم معروف من قوائم أوفاك والأمم المتحدة، مع تباينات مختلفة. إذا فاتت أكثر من 5%، فإن العتبة تحتاج إلى مراجعة.
فحص التوثيق: تأكد من أن كل عتبة وكل قرار ضبط موثّق في سجل النماذج، مع الأدلة والتواريخ.
كيف يعمل التحقق المستقل من منصات الفحص
عندما تطلب مؤسسة مالية تحقيقًا مستقلًا من منصة الفحص لديها، فإن العمل يتم عبر أربع مراحل على مدى ٦–١٠ أسابيع:
البيانات: اختبار تسلسل البيانات واكتمالها وجودتها — هل البيانات التي تصل إلى المنصة كاملة ومتسقة؟
التغطية: ربط السيناريوهات بتقييم المخاطر — هل المنصة تفحص كل القوائم التي يتطلبها تقييم المخاطر لديك؟
الأداء: اختبار الحدود وجودة المطابقة — هل العتبات مضبوطة بشكل صحيح؟ هل المنطق الضبابي يلتقط التباينات المعروفة؟
الحوكمة: تقرير التحقق وتوثيق النماذج — هل كل قرار موثّق ومبرر؟
المخرجات تشمل تقرير التحقق، وتوصيات الضبط مع الأدلة، وسجل النماذج وحزمة الحوكمة الجاهزة لتقديمها إلى الجهة الرقابية.
العمل يتم على مستخلصات داخل بيئة المؤسسة أو نسخة آمنة، ولا تخرج البيانات عن سيطرة المؤسسة. التحقق يشمل توصيات ضبط مبنية على الأدلة، ويمكن دعم التنفيذ إذا طلبت المؤسسة ذلك.
الخلاصة
منصة فحص العقوبات ليست صندوقًا أسود تثق فيه بشكل أعمى. الأنماط الثلاثة من الميدان — الحركات العربية، ترتيب الأسماء، البيانات الناقصة — تُظهر أن 22% من التطابقات الدقيقة يمكن أن تُفقد إذا لم تُختبر العتبات وجودة البيانات بشكل منهجي.
المعايير الأربعة — تسلسل البيانات، جودة المطابقة، ضبط الحدود، توثيق الحوكمة — يجب أن تُختبر قبل كل تفتيش من ساما، وقبل أن تثق في أن المنصة تحميك فعلًا من مخاطر العقوبات.
إذا كنت مسؤولًا عن برنامج مكافحة غسل الأموال أو العقوبات في مؤسسة مالية سعودية، وتريد التحقق من أن منصة الفحص لديك تعمل كما يجب، فإن التحقق المستقل من نماذج المراقبة والفحص لمكافحة غسل الأموال يوفر لك الأدلة والتوثيق الذي تحتاجه أمام الجهة الرقابية — ويكشف لك التطابقات التي قد تكون فاتتك.
