جاءت الموافقة التي أدت إلى فشل عملية التدقيق من فريقك نفسه. إليك كيفية إثبات من اتخذ القرار، ولماذا.

تخيّل عملية التدقيق. يقوم المراجع بسحب أربعين ملف عميل عشوائيًا. الملف رقم 23 يعود لعميل لم تتطابق صورته مع الصورة الموجودة في سجله الحكومي. رُفضت عملية التحقق. ومع ذلك، يبقى الحساب مفتوحًا، ويجري من خلاله تحويل الأموال منذ خمسة أشهر.

وافق أحدهم على ذلك. يطرح المدقق ثلاثة أسئلة: من؟ وعلى أي أساس؟ وهل كان مسموحاً له بذلك؟

يسجل فريقك الدخول إلى النظام الخلفي عبر حساب إداري مشترك واحد، لذا فإن الإجابة الأولى هي "العمليات". لا توجد ملاحظة، لذا فإن الإجابة الثانية مجرد تخمين. يمكن لأي شخص يستخدم هذا الحساب الموافقة على أي شيء، لذا فإن الإجابة الثالثة هي نعم، وهي أسوأ الإجابات الثلاث.

لم يتم اختراق أي شيء. لم ينجح أي محتال في تجاوز إجراءات التحقق. كان نظام الرقابة فعالاً، وقام أحد موظفيك بتعطيله لأحد العملاء. هذا يُعدّ خطرًا داخليًا في عمليات الامتثال، وفي أغلب الأحيان لا يُعتبر جريمة. إنه مجرد خدمة، أو اختصار في يوم جمعة مزدحم، أو هدف كان لا بد من تحقيقه.

لماذا "من قرر؟" هو سؤال المدقق

إن المعايير التي يتم قياسك على أساسها تفترض أن موظفيك جزء من المخاطر. FATF تتطلب التوصية رقم 18 (يفتح في علامة تبويب جديدة) من المؤسسات المالية تشغيل برامج لمكافحة غسل الأموال، وتقول مذكرتها التفسيرية إن هذه البرامج يجب أن تشمل السياسات والإجراءات والضوابط الداخلية، وإجراءات الفحص عند توظيف الموظفين، والتدريب المستمر، و"وظيفة تدقيق مستقلة لاختبار النظام".

تُحدد إرشادات لجنة بازل بشأن الإدارة السليمة لمخاطر غسل الأموال (يفتح في علامة تبويب جديدة) ثلاثة خطوط دفاع، يُعد التدقيق الداخلي ثالثها. ومن بين الأمور التي تتوقع اللجنة من التدقيق تقييمها "فعالية موظفي البنك في تطبيق سياسات البنك وإجراءاته". وتنص الإرشادات نفسها على ضرورة أن تكون السجلات كافية لتوفير مسار تدقيق في حال نشوب نزاعات أو اتخاذ إجراءات قانونية أو إجراء تحقيقات.

لذا، لا يقتصر دور المدقق على اختبار مدى صحة إجراءات التدقيق، بل يتعداه إلى اختبار مدى التزام فريقك بها، وقدرتك على إثبات ذلك. فالقرار الذي لا يمكنك إثبات صحته يُعتبر فاشلاً في هذا الاختبار حتى لو كان القرار صائباً.

توجد بعض الأدلة حول مدى تكرار فشل الضوابط من الداخل، على الرغم من أن الأمر يتعلق بالاحتيال ضد أصحاب العمل وليس بموافقات الامتثال. ACFE استعرض تقرير " الاحتيال الوظيفي 2024: تقرير للأمم" (يفتح في علامة تبويب جديدة) الصادر عن [اسم الجهة المنظمة] 1921 حالة من 138 دولة وإقليمًا. ويعزو التقرير 32% منها إلى نقص الضوابط الداخلية، و19% أخرى إلى تجاوز الضوابط القائمة. وقد استمرت الحالة النموذجية لمدة 12 شهرًا قبل اكتشافها. لم نجد بيانات مماثلة لحالات تجاوز الضوابط في الأسواق الأفريقية، لذا لن نقدمها.

أربعة عناصر تحكم تجيب على ذلك

لا شيء من هذا جديد. NIST يُعدّ SP 800-53 (يفتح في علامة تبويب جديدة) ، وهو دليل الحكومة الأمريكية لضوابط الأمن، مرجعًا مفيدًا بلغة بسيطة حتى لو لم تكن ملزمًا به.

• مبدأ أقل الامتيازات. يطلب منك هذا النظام السماح فقط بالوصول المصرح به والضروري لإنجاز المهام الموكلة. في فريق الامتثال، يعني هذا أن الشخص الذي يقرأ التنبيهات لا يمكنه تغيير القواعد التي تُصدرها.

• شخص ثانٍ في الإجراءات الحساسة. NIST يقول مبدأ فصل المهام إنه "يعالج احتمالية إساءة استخدام الصلاحيات الممنوحة ويساعد على تقليل مخاطر الأنشطة الخبيثة دون تواطؤ". قد يرتكب شخص واحد خطأً أو يقدم معروفًا، ولكن يجب أن يتفق شخصان على ذلك.

• تسجيل دخول واحد لكل شخص، مع عامل تحقق ثانٍ. يطلب منك النظام تحديد هوية كل مستخدم بشكل فريد، واستخدام المصادقة متعددة العوامل للحسابات ذات الصلاحيات الخاصة. يؤدي تسجيل الدخول المشترك إلى تعطيل جميع الضوابط الأخرى، لأن سجل النظام لا يمكنه سوى تحديد اسم الحساب.

• سجل تدقيق يحدد هوية الشخص. يجب أن توضح سجلات التدقيق ما حدث، ومتى، وأين، والنتيجة، وهوية الأفراد المعنيين.

كيف يبدو ذلك في Toden

إليكم كيفية ربط كل عنصر تحكم بالمنتج اليوم.

• الأدوار. لكل شخص دور واحد فقط، والدور عبارة عن مجموعة من الصلاحيات التي يختارها. تتطلب الموافقة على عملية التحقق أو رفضها ما يلي:verifications:review. تجاوز قرار الاحتيال يتطلبfraud_prevention:overrideتغير احتياجات الفحصscreening:manageوتغيير سير العمل يتطلبworkflows:manageأدوار العضو والمشاهد المدمجة هي للقراءة فقط. يتم التحقق من الأذونات على الخادم، ولا يمكن لأحد منح إذن لا يملكه.

• تعديل يبقى مرئيًا. عند موافقة المراجع على عملية التحقق، لا يُعاد كتابتها. يبقى وضع التحقق موضحًا ما تم اكتشافه، ويسجل سجل الحالة كل تغيير مع اسم المُجري وتاريخه. يمكن للمراجع إضافة ملاحظة توضح السبب، تُحفظ في سجل التدقيق وعلى الجدول الزمني.

• تم إيقاف تشغيل عنصر تحكم. سير عمل مع AML إيقاف خاصية الفحص لا يشمل أي شخص، لذا يستحق هذا التغيير تسمية خاصة به. يتم تسجيل نشر سير العمل في سجل التدقيق. أما إيقاف خاصية الفحص على مستوى المؤسسة بأكملها فيتطلب إذنًا خاصًا وإقرارًا صريحًا، ويتم تسجيله أيضًا.

• تسجيل الدخول بخطوتين. يسجل الأعضاء دخولهم باستخدام رموز تطبيق المصادقة أو كلمة مرور. يمكن للمؤسسة اشتراط المصادقة الثنائية على جميع الأعضاء، ويمكن إلغاء أي جلسة فوراً.

• سجل التدقيق. يحتوي كل إدخال على اسم الشخص وبريده الإلكتروني كما كانا عليه في ذلك الوقت، ودوره الوظيفي، والإجراء المتخذ، والسجل المتأثر، وعنوان IP الخاص به. وهو سجل للإضافة فقط: لا توجد طريقة لتعديل أو حذف أي إدخال من وحدة التحكم أو من النظام. API لا يحتوي على أرقام تعريف أو صور أو معلومات سرية، لذا يمكنك تقديمه للمدقق. الإجراءات Toden تظهر طلبات الدعم المتعلقة بحسابك في سجلّك، مع وضع علامة عليها.

• يُطلب من شخصين إعداد تقرير. لا يجوز أن يكون الشخص الذي يُعدّ تقريرًا عن نشاط مشبوه هو نفسه من يُقدّمه. نتناول في قسم " كتابة تقرير عن نشاط مشبوه" عملية إعداد التقرير نفسه ، بالإضافة إلى العمل الذي يسبقه في قسم " فرز التنبيهات وإدارة الحالات ".

ماذا Toden لم يفعل

الحدود أهم من الميزات.

• يُلزم النظام شخصًا ثانيًا بإجراء واحد فقط: تقديم التقرير. أما بالنسبة للموافقات والتجاوزات، فيتم الفصل بينها من خلال الأدوار التي تحددها. فإذا كان شخص واحد يمتلك جميع الصلاحيات، فسيظل بإمكانه القيام بكل شيء.

• هذا لا يمنع شخصًا من الداخل مصممًا على موقفه. يمكن للمراجع الحاصل على الصلاحيات اللازمة الموافقة على فحص فاشل. ماذا؟ Toden ما يفعله هو التأكد من أن الموافقة تحمل اسمهم وأن الفحص الفاشل يبقى مسجلاً.

• لا يمكن للنظام تحديد ما إذا كان شخصان يستخدمان حسابًا واحدًا. يُصعّب اشتراط المصادقة الثنائية عملية المشاركة، لكنه لا يجعلها مستحيلة، والسياسة المتبعة في هذا الشأن من مسؤوليتك.

• القرارات التي يتخذها نظامك الخلفي من خلال API يتم تسجيلها مقابل API المفتاح، وليس الشخص. من ضغط على الزر في نظامك موجود في سجلاتك، وليس في سجلاتنا. انظر إلى ما هو قابل للنشر وما هو سري. API مفاتيح .

• يغطي سجل التدقيق Toden لا يعرف شيئًا عن نظامك المصرفي الأساسي، أو جداول البيانات الخاصة بك، أو التعليمات التي وصلت عبر رسالة الدردشة.

• Toden لا ينطبق SOC 2 أو ISO شهادة ISO 27001 اليوم. هذا ما تؤكده صفحة الأمان الخاصة بنا، والتي تسرد الضوابط الموجودة.

تختلف متطلبات الجهات التنظيمية فيما يتعلق بالضوابط الداخلية، وفحص الموظفين، وحفظ السجلات من بلد لآخر. وقد ذكرنا ذلك في FATF ولجنة بازل و NIST هنا، وليس البنك المركزي النيجيري أو أي جهة تنظيمية وطنية أخرى. هذه ليست استشارة قانونية لحالتك.

خمسة أشياء يجب التحقق منها هذا الأسبوع

• هل يمتلك كل شخص بيانات تسجيل دخول خاصة به؟ احسب عدد الحسابات، ثم احسب عدد الأشخاص.

• هل المصادقة الثنائية مطلوبة للجميع، أم أنها مجرد توصية؟

• من يمكنه الموافقة على شيك فاشل، وهل هذه القائمة أقصر من قائمة الأشخاص الذين يمكنهم الاطلاع عليه؟

• هل يستطيع الشخص الذي يُغيّر قاعدة ما أن يُزيل التنبيهات التي تُصدرها؟

• اختر موافقة واحدة من الشهر الماضي. هل يمكنك تحديد من قام بها، ولماذا، في أقل من خمس دقائق؟

إذا كانت الإجابة الأخيرة بالنفي، فهذا هو الملف الذي سيستخرجه المدقق.

هل تريد معرفة من يستطيع القيام بماذا في مساحة عملك؟ افتح Toden وحدة التحكم (يفتح في علامة تبويب جديدة) أو اقرأ كيفية Toden يتولى شؤون الأمن .