من التنبيه إلى اتخاذ القرار: تشغيل قائمة انتظار للتحقيقات تواكب التطورات
Charles Archibong, المؤسس المشارك
احتفظ بقائمتين للانتظار مع مهمتين. قم بفرز التنبيهات بسرعة وقم بتصنيف كل منها؛ افتح تحقيقًا فقط عندما تحتاج الأدلة إلى مسؤول، وقم بتجميعها حسب العميل، ورتبها حسب الأولوية بناءً على المخاطر والموعد النهائي، وأغلقها مع تسجيل النتيجة والأساس المنطقي.
أهم النقاط
- التنبيهات والتحقيقات وظيفتان مختلفتان: الفرز سريع ومصنف، أما التحقيق فهو مملوك وموثق بالأدلة.
- العمل الجماعي حسب العميل، بحيث يقوم شخص واحد بمراجعة سلوك عميل واحد بدلاً من عشر تذاكر.
- حدد الأولويات حسب المخاطر والمواعيد النهائية، وراقب المواعيد النهائية قبل انقضائها، وليس بعدها.
- لا ينبغي إغلاق أي تنبيه أو تحقيق دون تحديد نتيجة وسبب مكتوب.
قم بتشغيل قائمتي انتظار بمهام مختلفة. قائمة التنبيهات مخصصة للفرز السريع: اطّلع على الأدلة، وحدّد ما إذا كانت تتطلب مزيدًا من العمل، ثم صنّف النتيجة. أما قائمة التحقيق فهي مخصصة للحالات الفردية: شخص واحد، عميل واحد، موعد نهائي، ونتيجة مسجلة مع ذكر السبب.
تتأخر معظم قوائم الانتظار بسبب تداخل المهام. يتحول كل تنبيه إلى تحقيق مصغر، ويُراجع العميل نفسه من قبل ثلاثة أشخاص في اليوم نفسه، ولا يوجد سجل لأسباب إغلاق التنبيه. إن فصل المهام، وتجميعها حسب العميل، وجعل النتائج إلزامية هو ما يُبقي الفريق الصغير متماسكًا مع حجم العمل.
ما الفرق بين التنبيه والتحقيق؟
التنبيه هو إشارة تستدعي التقييم الأولي. فهو يوضح ما حدث وسبب قيام النظام بإثارته. أما التحقيق ( الذي يُسمى غالبًا بالقضية) فهو سجل العمل: الجهة المسؤولة، والأدلة، والقرار، والأساس المنطقي.
يُحذًِر | تحقيق | |
|---|---|---|
تم إنشاؤه بواسطة | يقوم نظام المراقبة، عندما يحصل حدث ما على درجة تساوي أو تتجاوز عتبة المراجعة، | الشخص، عندما يحتاج التنبيه إلى مالك أو مزيد من الأدلة |
نِطَاق | سلوك | عميل واحد، وربما عدة تنبيهات |
وقت معالجة الهدف | دقائق | من ساعات إلى أيام، حسب الأولوية |
وينتهي بـ | التصنيف: إيجابي حقيقي، إيجابي خاطئ، أو غير حاسم | نتيجة، ومبررات، وربما تقرير |
Toden حالات & SAR يتبع هذا التقسيم عملية تقديم الملفات (سير عمل التحقيق وصياغة التقارير التنظيمية). تُفتح التنبيهات تلقائيًا من نظام مراقبة المعاملات ، ويُفتح تحقيق من تنبيه واحد أو أكثر عندما تتطلب الأدلة تحديد جهة مسؤولة أو نتيجة. وتصف وثائق التحقيقات كلا السجلين. (يفتح في علامة تبويب جديدة)
كيف ينبغي تجميع التنبيهات؟
يتم تجميعها بطريقتين: عمليات الإطلاق المتكررة في تنبيه واحد، والتنبيهات في تحقيق واحد لكل عميل.
تجميع عمليات الإطلاق المتكررة. عندما يتم إطلاق نفس القاعدة على نفس العميل خمس مرات في اليوم، يحتاج المحلل إلى تنبيه واحد مع عدد مرات الحدوث، وليس خمس تذاكر. Toden يقوم هذا النظام بدمج عمليات إطلاق نفس القواعد المتكررة على نفس العميل في تنبيه واحد، ويزيد من عدد مرات حدوثها، والذي يتم تضمينه أيضًا فيalert.updatedرابط الويب.
ركز على كل عميل على حدة، وليس على كل تنبيه على حدة. عادةً ما يخالف حساب الوسيط عدة معايير: السرعة، والحركة السريعة، وتعدد المُرسلين. عند مراجعة كل تنبيه على حدة، يبدو أنه على حافة الخلل. أما عند مراجعته معاً، فيتضح النمط. Toden يمكن تجميع عدة تنبيهات في تحقيق واحد طالما أنها تخص نفس العميل، ويمكن إضافة المزيد من تنبيهات هذا العميل أثناء فتح التحقيق. كما أن تخصيص عميل واحد لكل تحقيق يحافظ على سجل نظيف لأي تقرير لاحق.
مثال عملي: يُفعّل أحد عملاء المحفظة الإلكترونية في أبوجا تنبيهًا لسرعة التحويل في الساعة 9:10، وتنبيهًا آخر لعملية تحويل سريعة في الساعة 11:40، وتنبيهًا ثالثًا لحركة سريعة في الساعة 14:05، حيث يُظهر كل تنبيه منها أموالًا من عدة مُرسلين تُحوّل خلال دقائق إلى حساب واحد. يقوم أول محلل يُلاحظ أيًا من هذه التنبيهات الثلاثة بفتح تحقيق واحد، وربطها جميعًا، ثم يُسندها لنفسه. أما التنبيهان الآخران فيُغادران قائمة الفرز فورًا.
كيف ينبغي تحديد أولويات العمل؟
ينبغي أن تُحدد الأولوية بناءً على مستوى المخاطر، وليس على ترتيب الوصول. ويضمن وجود معيار بسيط اتساق القرارات بين المحللين.
أولوية | المحفزات النموذجية (على سبيل المثال) |
|---|---|
شديد الأهمية | أ BLOCK قرار، طرف مقابل مدرج على قائمة الحظر، احتمال التعرض للعقوبات |
عالي | تتفاعل عدة قواعد معًا، مما يُمثل قيمة كبيرة بالنسبة للعميل، ونمطًا معروفًا مثل التمرير المباشر. |
واسطة | قاعدة واحدة ذات درجة متوسطة وبعض السياق الداعم |
قليل | إشارة واحدة ذات وزن منخفض مع سياق ضئيل |
حدد موعدًا نهائيًا لكل أولوية وانشر هذه المواعيد داخليًا. تكمن أهمية الموعد النهائي في تمكين الفريق من إدراك المخاطر قبل فوات الأوان. Toden يسجل أولوية ( LOW ، MEDIUM ، HIGH أو CRITICAL ) وموعد نهائي لكل تحقيق، ويرسلcase.sla_at_riskعندما يقترب الموعد المحدد وcase.overdueبعد انقضاء المدة المحددة، وجّه الإشعار الأول إلى قائد الفريق، وليس إلى القناة بأكملها، وذلك لتسهيل إعادة التعيين بدلاً من إحداث إزعاج. يُدرج مرجع Webhook الخاص بالتنبيهات والتحقيقات (يفتح في علامة تبويب جديدة) الأحداث والحقول.
هناك عادتان تساعدان الطابور على البقاء نزيهاً:
قم بالتخصيص عند بدء التحقيق. التحقيق غير المخصص لا يتبع لأحد. اجعل التخصيص جزءًا من بدء التحقيق.
قم بتصعيد الحالات حسب الحالة، وليس حسب الرسالة. إذا كانت الحالة تتطلب مراجعة من مسؤول أعلى، فانقلها إلى حالة مُصعّدة ليظهر ذلك في السجل. رسالة الدردشة لا تترك أي أثر في الملف.
كيف يبدو قرار الفرز الجيد؟
يجب أن تجيب عملية الفرز على سؤال واحد في غضون دقائق: هل يحتاج هذا إلى مسؤول؟ زوّد المحللين بتسلسل محدد:
اقرأ الأسباب. ما هي القواعد التي تم تفعيلها، وما هي التفاصيل (على سبيل المثال، "المبلغ 48000 > 10000")؟
تحقق من سجل العميل الأخير وأي تحقيق جارٍ.
قرر: قم بمسحها، أو ألحقها بتحقيق مفتوح، أو افتح تحقيقًا جديدًا.
سجل اسم الشركة المصنعة وسببًا موجزًا في سطر واحد.
يُعدّ التصفية قرارًا حقيقيًا، وليس اختصارًا. يُعتبر تصنيف الإنذار الخاطئ مع ذكر السبب ("دفعة رواتب عادية لحسابات موظفين معروفة") دليلًا مفيدًا لتعديل القاعدة لاحقًا. أما إغلاق التنبيه دون تصنيف فيُعدّ معلومة مفقودة.
كيف ينبغي إغلاق التحقيق؟
يجب الفصل بين عملية الحل وعملية الإغلاق، مع اشتراط وجود مبرر لكليهما.
حلّ السجلات بناءً على النتائج المدعومة بالأدلة. Toden يستخدم أربع نتائج:
حصيلة | استخدمه عندما |
|---|---|
تمت الموافقة | لهذا النشاط تفسير مشروع، مدعوم بالأدلة. |
مؤكد | النشاط مشبوه أو احتيالي |
تصاعدت الأمور | مراجع أقدم أو MLRO يجب أن يقرر |
غير حاسم | لا تدعم الأدلة أيًا من الاستنتاجين |
يُنهي إغلاق الملف العمليات التشغيلية: الإجراءات المتخذة على الحساب، والتواصل مع العميل، وإعداد التقرير عند الحاجة. يُمكّن الفصل بين العمليتين المدير من الاطلاع على الحالات التي تم البت فيها ولكنها لا تزال بحاجة إلى متابعة.
في Toden تُسجّل نتيجة التحقيق في سجل مخاطر العميل، وبالتالي، يؤدي تأكيد التحقيق إلى رفع مستوى المخاطر المسجلة ضد ذلك العميل. وتبقى المبررات والجهة الفاعلة والطوابع الزمنية ضمن التسلسل الزمني للتحقيق، ويمكن إعادة فتح تحقيق مغلق عند ظهور أدلة جديدة. ويُسجّل كل تعديل في سجل تدقيق المؤسسة.
احذر من أن يصبح تصنيف "غير حاسم" هو الوضع الافتراضي. صحيح أنه نتيجة محتملة، ولكن إذا انتهت نسبة كبيرة من التحقيقات بهذه الطريقة، فإما أن الأدلة المتاحة للمحللين قليلة أو أن القواعد التي تُصدر التنبيهات ليست دقيقة بما فيه الكفاية.
كيف تستطيع مواكبة الارتفاعات المفاجئة في حجم البيانات؟
عادةً ما تنتج الزيادات المفاجئة عن تغيير في القواعد، أو إطلاق منتج جديد، أو هجوم حقيقي. يجب التعامل مع كل حالة على حدة.
بعد تغيير القواعد، تحقق مما إذا كانت إحدى القواعد مسؤولة عن الارتفاع المفاجئ في عدد الحالات. إذا كان الأمر كذلك، فراجع تلك القاعدة بدلاً من محاولة تطبيقها بشكل عشوائي.
بعد الإطلاق، توقع أن تكون القواعد القائمة على البيانات الأساسية غير دقيقة حتى يكتسب العملاء الجدد سجلًا. لذا، يُنصح بتطبيق وزن أقل مؤقتًا، مع تسجيله بتاريخ مراجعة.
أثناء الهجوم، يجب على الفريق العمل بشكل جماعي وفعال. إن التوزيع الجماعي للحالات ذات الصلة الواضحة والمشروعة بشكل جماعي يبقي الفريق مركزاً على القضايا المهمة. Toden يدعم الإجراءات الجماعية بشأن التحقيقات، ولكن كل عنصر لا يزال يحمل نتيجته وسجله الخاص.
قائمة التحقق من الطابور
التنبيهات والتحقيقات عبارة عن قوائم انتظار منفصلة ذات أهداف منفصلة.
يتم تجميع عمليات إطلاق النار المتكررة في تنبيه واحد؛ ويتم التعامل مع كل تحقيق على حدة مع عميل واحد.
تُحدد الأولويات من خلال معايير مكتوبة، ولكل أولوية موعد نهائي.
لكل تحقيق مالك منذ لحظة بدء التحقيق.
تصل تنبيهات المواعيد النهائية إلى قائد الفريق قبل أن يتأخر موعد تسليم القضية.
لا يتم إغلاق أي تنبيه بدون تسمية؛ ولا يتم حل أي تحقيق بدون مبرر.
تُساهم النتائج في تقييم مخاطر العملاء وفي ضبط القواعد.
إذا استطعت الإجابة على سؤال "من يملك هذا، ومتى، ولماذا تم إغلاقه" لكل عنصر في قائمة الانتظار، فإن قائمة الانتظار تحت السيطرة.
المصادر
Charles Archibong
المؤسس المشارك
شارك تشارلز أرتشيبونغ في تأسيس شركة Toden. وهو يكتب عن التحقق من الهوية، والتكنولوجيا المالية، والعمل العملي لبناء خدمات رقمية موثوقة.
