المبدأ
| |
يجب على المنظمات الأعضاء تأسيس وتسيير أعمال إدارة مختصة بمكافحة الاحتيال تتولى مسؤولية التشغيل اليومي لبرنامج مكافحة الاحتيال.
| |
متطلبات الرقابة
| |
| أ. | يجب على المنظمات الأعضاء تأسيس وتسيير أعمال إدارة مختصة بمكافحة الاحتيال تتولى مسؤولية التشغيل اليومي لبرنامج مكافحة الاحتيال، وتشمل مهام الإدارة ما يلي بحد أدنى:
| |
| | 1. | المراقبة والإشراف على الامتثال لسياسات ومعايير وإجراءات مكافحة الاحتيال.
|
| | 2. | تصميم وتنفيذ ضوابط مكافحة الاحتيال المطلوبة على مستوى المنظمة التي تغطي أبعاد الموظفين والعمليات والتكنولوجيا.
|
| | 3. | إجراء تقييم متعمق لمخاطر الاحتيال على مستوى المنظمة.
|
| | 4. | تحليل بيانات مكافحة الاحتيال والمعلومات الاستخبارية لتحديد توجهات الاحتيال بشكل استباقي.
|
| | 5. | مشاركة المعلومات الاستخبارية مكافحة الاحتيال مع البنك المركزي السعودي والمنظمات الأخرى في القطاع.
|
| | 6. | ضبط أنظمة مكافحة الاحتيال بشكل استباقي وتفاعلي.
|
| | 7. | مراقبة عمليات مكافحة الاحتيال.
|
| | 8. | إجراء تحقيقات شاملة في الاحتيال وتحديد الأسباب الجذرية لحوادث الاحتيال وتوثيق الإجراءات التصحيحية.
|
| | 9. | مراقبة تدابير الاستعداد لتحمل مخاطر الاحتيال والانخراط النشط في فريق عمل إدارة الأزمات إذا تم انتهاك الحد المحدد مع التأثير على العملاء (انظر متطلبات الرقابة 3.1.4.د).
|
| | 10. | ضمان مواءمة قدرات مكافحة الاحتيال مع الأمن السيبراني والجرائم المالية.
|
| | 11. | تقديم تقارير دورية إلى الإدارة العليا تغطي على الأقل ما يلي:
|
| | | أ. | نتائج تقييم مخاطر الاحتيال.
| |
| | | ب. | أنواع الاحتيال المُحددة.
| |
| | | ج. | قياس الرغبة في تحمل مخاطر الاحتيال والأداء وفق الحدود والقيود.
| |
| | | د. | خسائر الاحتيال التشغيلي والاحتيال على للعملاء.
| |
| ب. | يجب على المنظمات الأعضاء تقييم التسلسل الإداري الأنسب لإدارة مكافحة الاحتيال استنادًا إلى الهيكل التنظيمي؛ وسلطة اتخاذ القرار؛ واطلاع اللجنة التنفيذية/المجلس؛ ومساءلة الإدارة العليا ومسؤولياتها.
| |
| ج. | يجب على المنظمات الأعضاء تقييم متطلبات التوظيف في إدارة مكافحة الاحتيال على أساس دوري واستجابة للتغييرات الجوهرية في الأعمال والمشهد التشغيلي والاحتيالي أو تقييم مخاطر الاحتيال في المنظمات الأعضاء.
| |
| د. | يجب أن يراعي تقييم متطلبات التوظيف كلاً من القدرة الاستيعابية (عدد الموارد) والقدرات (المهارات والخبرة) المطلوبة.
| |
| هـ. | يجب أن يتمتع رئيس إدارة مكافحة الاحتيال بالمهارات والخبرة، التي تتألف مما يلي على الأقل:
| |
| | 1. | فهم ومعرفة متعمقة بمخاطر الاحتيال في القطاع المالي.
|
| | 2. | معرفة راسخة بتهديدات الاحتيال الرقمي والأنواع الشائعة، إلى جانب التوجهات الناشئة التي تؤثر على مؤسسات القطاع المالي وعملائها.
|
| | 3. | تصميم وتنفيذ التكنولوجيا والضوابط بناءً على حالات الاستخدام لتخفيف حدة مخاطر الاحتيال والتهديدات.
|
| | 4. | استخدام البيانات والتحليلات لمنع الاحتيال بشكل استباقي وحماية العملاء.
|
| و. | يجب أن تضم إدارة مكافحة الاحتيال على الأقل موظفين ذوي مهارات وخبرات في:
| |
| | 1. | مخاطر الاحتيال والأنواع المتعلقة بالمنتجات التي تقدمها المنظمة (على سبيل المثال، الخبرة في الاحتيال في الدفع، وعمليات الاحتيال، والهندسة الاجتماعية).
|
| | 2. | مخاطر الاحتيال والأنواع المتعلقة بقنوات التسليم التي تقدمها المنظمة، ولا سيما القنوات الرقمية مثل الإنترنت والهاتف المحمول.
|
| | 3. | تحليلات بيانات مكافحة الاحتيال لتمكين تحليل كميات كبيرة من المعاملات والتحديد الاستباقي لتهديدات الاحتيال.
|
| | 4. | تكنولوجيا مكافحة الاحتيال لضمان عمل الأنظمة بفعالية مع السيناريوهات ذات الصلة بالمخاطر التي تواجهها المنظمة العضو.
|
| | 5. | تحليل المعلومات الاستخبارية والبيانات لتحديد توجهات الاحتيال والسبب الجذري لحوادث الاحتيال.
|
| | 6. | تحقيقات الاحتيال، بدءًا من الإخطار الأوليّ بحادث محتمل وحتى الانتهاء والإجراءات التصحيحية.
|
| | 7. | إعداد التقارير وإصدار المعلومات الإدارية لمراقبة أداء الاحتيال التنظيمي.
|
| ز. | يجب على المنظمات الأعضاء النظر في تصعيد حالات الاحتيال للأدوار في إدارة مكافحة الاحتيال.
| |
| ح. | يجب على المنظمات الأعضاء وضع خطة تدريب وتوفير تدريب دوري لتطوير والحفاظ على كفاءة الموظفين في إدارة مكافحة الاحتيال.
| |
| ط. | عند استخدام خدمات أو موارد تابعة لجهات خارجية (على سبيل المثال، المتعاقدين أو الخدمات المُدارة) للوفاء بمسؤوليات إدارة مكافحة الاحتيال، يجب على المنظمات الأعضاء التأكد من فحص الموارد ومراقبتها بشكل مناسب.
| |
