المبدأ
| |
يجب على المنظمات الأعضاء تحديد أدوار ومسؤوليات مكافحة الاحتيال والموافقة عليها وتنفيذها عبر خطوط الدفاع الثلاثة، ويجب أن يكون لدى جميع أصحاب المصلحة المعنيين مستوى مناسب من المعرفة لاستيعاب التوقعات المتعلقة بدورهم.
| |
متطلبات الرقابة
| |
| أ. | يجب على المنظمات الأعضاء تحديد واعتماد وتنفيذ أدوار ومسؤوليات مكافحة الاحتيال لجميع أصحاب المصلحة المعنيين والتأكد من تعميمها واستيعابها.
| |
| ب. | يجب أن يكون مجلس الإدارة مسؤولاً عن:
| |
| | 1. | إعداد برنامج مكافحة الاحتيال.
|
| | 2. | تحديد الأسلوب من الإدارة العليا لإرساء ثقافة مكافحة الاحتيال من خلال مدونة قواعد السلوك (أو ما يعادلها).
|
| | 3. | ضمان وضع إطار عمل قوي لإدارة مخاطر الاحتيال والحفاظ عليه لإدارة مخاطر الاحتيال.
|
| | 4. | التأكد من تخصيص ميزانية كافية لمكافحة الاحتيال واستخدامها ومراقبتها.
|
| | 5. | الموافقة على ميثاق لجنة الحوكمة المختصة بمكافحة الاحتيال.
|
| | 6. | المصادقة (بعد الاعتماد من لجنة الحوكمة المختصة بمكافحة الاحتيال):
|
| | | أ. | أدوار ومسؤوليات الإدارة العليا المسؤولة عن برنامج مكافحة الاحتيال.
| |
| | | ب. | استراتيجية مكافحة الاحتيال.
| |
| | | ج. | سياسة مكافحة الاحتيال.
| |
| | | د. | مخرجات تقييم مخاطر الاحتيال.
| |
| | | هـ. | الرغبة في تحمل مخاطر الاحتيال.
| |
| ج. | يجب أن يكون رئيس مكافحة الاحتيال مسؤولاً عن ما يلي:
| |
| | 1. | وضع وتنفيذ وحفظ:
|
| | | أ. | استراتيجية مكافحة الاحتيال.
| |
| | | ب. | سياسة مكافحة الاحتيال.
| |
| | | ج. | تقييم مخاطر الاحتيال.
| |
| | | د. | الرغبة في تحمل مخاطر الاحتيال.
| |
| | | هـ. | مؤشرات المخاطر الرئيسية للاحتيال.
| |
| | 2. | تعزيز واستدامة الأسلوب المتبع من الإدارة العليا لتقديم ثقافة الامتثال لمدونة قواعد السلوك.
|
| | 3. | وضع برنامج مكافحة الاحتيال القائم على المخاطر الذي يتناول الأشخاص والعمليات والتكنولوجيا، بما في ذلك الأنظمة المناسبة لمنع الاحتيال وكشفه والاستجابة له.
|
| | 4. | ضمان وضع معايير وإجراءات مفصلة لمكافحة الاحتيال والموافقة عليها وتنفيذها.
|
| | 5. | ضمان استمرارية فعالية نظم وضوابط مكافحة الاحتيال في ضوء التهديدات المتطورة التي تم تحديدها من خلال المراقبة الاستخبارية.
|
| | 6. | إبلاغ لجنة الحوكمة المختصة بمكافحة الاحتيال دوريًا بآخر التطورات بشأن المبادرات الإستراتيجية لمكافحة الاحتيال وحالة التنفيذ.
|
| | 7. | إنشاء إدارة لمكافحة الاحتيال تتمتع بالموارد الكافية وتتحمل المسؤولية عن المتطلبات الموضحة في المجال الفرعي 3.5.
|
| | 8. | جمع والإشراف على تقارير المعلومات الإدارية على مستوى المنظمة التي يتم إعدادها فيما يتعلق بمخاطر وأداء مكافحة الاحتيال.
|
| | 9. | إخطار البنك المركزي السعودي فورًا بأنواع الاحتيال الجديدة وحوادث الاحتيال الكبيرة بما يتماشى مع متطلبات الإخطار الإشرافي المدرجة في المجال الفرعي 3.7.
|
| | 10. | اتخاذ الإجراء اللازم عند تلقي إخطار بأي حوادث احتيال كبيرة أو تحقيقات أو انتهاكات لسياسة أو معايير مكافحة الاحتيال، وتقديم التقارير إلى مجلس الإدارة أو لجنة الحوكمة المختصة بمكافحة الاحتيال حسب الاقتضاء.
|
| | 11. | تحديد برنامج التوعية المستمرة بالاحتيال في المنظمة بالتنسيق مع الإدارات المعنية (مثل العمليات والاتصالات والموارد البشرية).
|
| د. | كحد أدنى، يجب أن تكون الإدارة العليا مسؤولة عن:
| |
| | 1. | ضمان امتثال الموظفين لمدونة قواعد السلوك وسياسات ومعايير وإجراءات مكافحة الاحتيال.
|
| | 2. | ضمان حصول الموظفين على تدريب يتماشى مع متطلبات برنامج التدريب والتوعية لمكافحة الاحتيال.
|
| | 3. | إعداد ومراجعة تقارير المعلومات الإدارية المنتظمة لمراقبة مخاطر وأداء مكافحة الاحتيال.
|
| | 4. | إخطار لجنة الحوكمة المختصة بمكافحة الاحتيال عندما يكون التصعيد مطلوبًا (على سبيل المثال، النتائج الداخلية السلبية المتعلقة بضوابط مكافحة الاحتيال أو تجاوز الرغبة في تحمل مخاطر الاحتيال).
|
| | 5. | إدارة خسائر الاحتيال من خلال العمليات والضوابط في نطاق المساءلة الخاص ضمن قابلية مخاطر الاحتيال المتفق عليها في المنظمة.
|
| | 6. | الحفاظ على النظم والضوابط المناسبة لمنع الاحتيال وكشفه والاستجابة له.
|
| هـ. | يجب أن يكون المدير (المديرون) المسؤولون عن عمليات الاحتيال (على سبيل المثال، إدارة تنبيهات الاحتيال والاستجابة لحالات الاحتيال المُبلغ عنها والتعامل مع حالات الاحتيال) مسؤولين عن:
| |
| | 1. | التأكد أن جميع عمليات الاحتيال المشتبه بها، بما في ذلك تنبيهات النظام والإحالات اليدوية للموظفين والعملاء يتم تحديد أولوياتها بشكل مناسب والتحقيق فيها وتسجيل النتيجة بشكل مناسب.
|
| | 2. | اتخاذ خطوات فورية لمنع المزيد من المخاطر واتخاذ الإجراء (الإجراءات) التصحيحي عند تحديد عملية احتيال.
|
| | 3. | إخطار الأطراف الخارجية المعنية (مثل سلطات إنفاذ القانون).
|
| و. | يجب أن تكون إدارة المراجعة الداخلية مسؤولة عن:
| |
| | 1. | تحديد مجموعة شاملة من المجالات القابلة للمراجعة فيما يتعلق بمخاطر الاحتيال.
|
| | 2. | تقييم مخاطر الاحتيال وتحديد أولوياتها أثناء التخطيط للمراجعة.
|
| | 3. | إجراء عمليات مراجعة الاحتيال وإعداد تقارير موضوعية مستقلة.
|
| ز. | يجب أن يكون جميع موظفي المنظمة الأعضاء مسؤولين عن:
| |
| | 1. | الامتثال لسياسات ومعايير وإجراءات مكافحة الاحتيال المعمول بها.
|
| | 2. | الإبلاغ عن أي شبهات احتيال في الوقت المناسب.
|
| ح. | يجب على المنظمات الأعضاء التأكد من أن حالات الاحتيال الداخلي المشتبه فيها أو الفعلية يحقق فيها أفراد ذوو أقدمية مناسبة (على سبيل المثال، إذا كان الاحتيال يتعلق بمدير، فيجب أن يتولى فرد ذو أقدمية أعلى مسؤولية الإشراف على التحقيق والموافقة عليه)؛ والاستقلالية (على سبيل المثال، يجب على إدارة المراجعة الداخلية أو إدارة رقابية مماثلة إجراء التحقيق مع المحققين للحيلولة دون حدوث أي تضارب محتمل في المصالح).
| |
| ط | يجب على المنظمات الأعضاء إجراء مراجعة دورية لأدوار ومسؤوليات الموظفين ذوي المسؤوليات المتعلقة بالاحتيال للتأكد من أنها تعكس أفضل الممارسات، وتتناول أنماط الاحتيال الشائعة وتتوافق مع مشهد الاحتيال ونموذج العمل.
| |
| ي. | يجب على المنظمات الأعضاء وضع خطة تعاقب رسمية لمكافحة الاحتيال بالتنسيق مع إدارة الموارد البشرية مع مراعاة الاعتماد على الموظفين الرئيسيين في مكافحة الاحتيال الذين يضطلعون بأدوار ومسؤوليات مهمة للغاية.
| |
