من تقييم المخاطر إلى ضوابط يمكن للجهة الرقابية تتبّعها

أن يكون لديك تقييم مخاطر، وأن تستطيع إظهار الخط الواصل منه إلى الضوابط التي تُشغّلها فعلًا، أمران مختلفان. والثاني هو ما تبحث عنه الجهة الرقابية، واللائحة صريحة فيه على نحو غير معتاد.

الالتزام هو تحديد وفهم وإدارة وتقييم مخاطر الجريمة في عملك، بما يتناسب مع طبيعته وحجمه، مع مراعاة المنهج القائم على المخاطر ونتائج التقييم الوطني للمخاطر — وتوثيق عمليات التحديد والتقييم، والاحتفاظ بالدراسة، وتحديثها بشكل مستمر، وتقديمها للجهات المعنية عند الطلب.

واقرأ الأفعال. اثنان منها فقط تحليليان. أما «التوثيق» و«الاحتفاظ» و«التحديث» و«التقديم» فكلها عن بقاء العمل صامدًا حين يسأل عنه أحد.

تقييم المخاطر مستند، لا حالة ذهنية

ولأنه يجب الاحتفاظ به وتقديمه عند الطلب، فإن تقييم مخاطر يعيش في جدول لم يفتحه أحد منذ إنشائه، أو في خبرة شخص واحد، لا يستوفي هذه الجملة. والاختبار بسيط: لو سألت جهتك الرقابية بعد ظهر اليوم، فما الذي ستسلّمه، وهل سيكون محدَّثًا؟

و«التحديث المستمر» هو الموضع الذي يتقادم فيه التقييم دون أن يقرر أحد ذلك. فتقييم مؤرخ قبل عامين يصف منشأة لم تعد قائمة. والمنتجات والأسواق والقنوات وأنواع الأطراف المقابلة الجديدة كلها تغيّر الصورة، ولا شيء منها يحدّث المستند من تلقائه. واللائحة تجعل هذا ملموسًا في موضع واحد: فمخاطر المنتجات والممارسات وآليات التقديم والتقنيات الجديدة يجب تحديدها وتقييمها قبل إطلاق المنتج أو التقنية أو استخدامها، لا بعده.

يجب أن تصل المخاطر إلى الضوابط

تربط اللائحة بين الأمرين بترتيب: مراعاة كافة عوامل المخاطر ذات العلاقة — العملاء، والدول والمناطق الجغرافية، والمنتجات والخدمات والعمليات وقنوات تقديمها — قبل تحديد مستوى المخاطر الإجمالي والمستوى الملائم لإجراءات خفضها. تقييم المخاطر أولًا، وتصميم الضوابط ثانيًا، والثاني يتفرّع عن الأول.

وتقييمٌ يصنّف شريحة عملاء بأنها مرتفعة المخاطر، تقابله مجموعة ضوابط تعامل كل العملاء معاملة واحدة، ليسا في الحقيقة مشكلتين. إنهما مشكلة واحدة: التقييم لم يصل إلى الضوابط. واللائحة تجعل الصلة صريحة، فالبرنامج الذي لا يستقيم فيه الأمران يصعب شرحه بالترتيب الذي تطلبه اللائحة.

والشكل العملي لهذه الصلة خريطة: لكل خطر حددته، ما الضابط الذي يعالجه، ومن يشغّله، وبأي وتيرة، وما الذي ينتجه. وحيث لا يقابل خطرًا ضابط، فتلك فجوة اخترت تحمّلها وكان ينبغي تسجيلها كذلك. وحيث يعالج ضابط خطرًا لم يُحدَّد، فأنت تنفق جهدًا لم تبرّره.

الحوكمة منصوص عليها لا مفترضة

تُعتمد السياسات والضوابط والإجراءات الداخلية من الإدارة العليا، ويجب أن تُمكّن من إدارة المخاطر المحددة والحد منها، وأن تُراجَع وتُحدَّث بشكل مستمر. ويترتب على ذلك أمران: أن يكون الاعتماد مؤرخًا ومنسوبًا — نسخة واسم، لا فهم عام بأن الإدارة داعمة. وأن تكون السياسات متناسبة مع طبيعة العمل وحجمه، وهو ما يعمل في الاتجاهين: فالمنشأة الصغيرة التي تشغّل دليل مصرف لم تمتثل أكثر من الكبيرة التي تشغّل قالبًا جاهزًا.

ولا تكتفي اللائحة بكتابة السياسات. فهي تشترط متابعة تنفيذها، وتقييم فعاليتها، وتعزيزها إذا لزم الأمر — وتشترط وظيفة تدقيق مستقلة مهمتها اختبار فعالية وكفاية السياسات والضوابط والإجراءات الداخلية. والبرنامج الذي لم يفحصه قط أحد سوى من يشغّلونه ينقصه مكوّن منصوص عليه، لا مجرد تحسين مستحسن.

الدليل متطلب تصميمي

يجب الاحتفاظ بالسجلات مدة لا تقل عن خمس سنوات وإتاحتها فورًا للجهات المعنية عند الطلب. وبقراءة ذلك مع الالتزام بالمخاطر، يصير الدليل خاصية في الضابط لا مهمة بعده.

فالضابط المصمَّم بلا مُخرَج — دورة فحص لا تترك سجلًا، أو مراجعة بلا أثر — قد يكون أدّى عمله فعلًا، لكن لا شيء يُظهر ذلك. وتذهب اللائحة إلى ما هو أبعد من اشتراط وجود السجلات: فهي تشترط تنظيمها بما يسمح بإعادة تكوين العمليات الفردية وتتبّع التدفقات المالية. وهذه تعليمة تصميم، لا تعليمة أرشفة.

وثمة أمر آخر يقع هنا طبيعيًا: فحين يراجع مسؤول الامتثال حالة معاملة مشبوهة ويقرر عدم إبلاغ الوحدة، تشترط اللائحة ذكر الأسباب. فقرار عدم الإبلاغ قرار مسجَّل، لا غياب قرار. والبرنامج الذي يوثّق ما صعّده فقط لديه نصف الأثر.

ويجدر تذكّر أن الجهات الرقابية تُجري تقييمات مخاطرها الخاصة للفئات التي تشرف عليها، وتحدد وتيرة الرقابة وكثافتها بحسب هيكل المخاطر الخاص بكل منشأة. فملفك يُقرأ في مقابل تصوّر عن قطاعك قائم سلفًا. وأن تكون عاديًا في قطاع مرتفع المخاطر ليس كأن تكون منخفض المخاطر.

ثلاثة اختبارات قبل أن تعدّه منتهيًا

هذه طريقة ZLORYX في العمل، وليست اختبارًا تشريعيًا. وقد صمدت جيدًا، ونستخدمها قبل أن نَعُدّ برنامجًا منتهيًا:

هل تستطيع تسليم تقييم المخاطر اليوم، وهل هو محدَّث؟ وهل تستطيع تتبّع أي ضابط رجوعًا إلى خطر في ذلك المستند، وأي خطر محدَّد تقدّمًا إلى ضابط؟ وهل يترك كل ضابط أثرًا يستطيع قراءته شخص غير مشغّله؟

البرنامج الذي يجيب عن هذه الثلاثة تستطيع الجهة الرقابية تتبّعه. وأما الذي لا يجيب فقد يظل برنامجًا جيدًا — لكنه سيُقيَّم بما يستطيع إظهاره.