إدارة مخاطر الاحتيال: بناء إطار للوقاية والاكتشاف

تجد استطلاعات الاحتيال باستمرار النمط نفسه غير المريح: تُكتشف نسبة كبيرة من الاحتيال أولاً عبر تلميح — غالباً من موظف — لا عبر الضوابط المصممة خصيصاً لالتقاطه. هذا ليس حجة ضد الضوابط. إنه حجة ضد معاملة الوقاية كإجابة كاملة، في حين أن المنشآت ذات النتائج الأفضل تبني الاكتشاف بتعمد بدلاً من الاعتماد على الصدفة.

ابدأ بتقييم مخاطر الاحتيال، لا بقائمة ضوابط

قائمة ضوابط عامة — حدود موافقة هنا، فصل مهام هناك — تُفوّت الهدف إذا لم تُبنَ من تقييم فعلي لأين يُرجَّح وقوع الاحتيال في هذا العمل تحديداً. تعرّض شركة تداول للاحتيال يختلف عن تعرّض شركة خدمات مهنية؛ وعملية تجزئة كثيفة النقد تختلف عن كليهما. يجب أن يمر التقييم بكل عملية رئيسية — المشتريات، الرواتب، الاعتراف بالإيرادات، سداد المصروفات — ويسأل تحديداً كيف يستطيع شخص في تلك العملية ارتكاب احتيال دون اكتشاف تحت الضوابط الحالية.

يكشف هذا التمرين عادة نتائج غير مريحة، وهذا هو الهدف. إذا لم يحدد التقييم على الأقل بضع فجوات حقيقية، فربما لم يكن دقيقاً بما يكفي.

مثلث الاحتيال، مُطبَّقاً عملياً

مثلث الاحتيال الكلاسيكي — الضغط، والفرصة، والتبرير — مفيد كأداة تشخيصية أكثر منه كنظرية. تستطيع الضوابط حقاً معالجة ضلع واحد فقط مباشرة: الفرصة. لا يمكنك بسهولة التحكم في الضغط المالي الشخصي لأحد أو كيف يبرر قراراً، لكن يمكنك التحكم في ما إذا كانت الفرصة موجودة أصلاً — ما إذا كان بإمكان شخص واحد بدء دفعة والموافقة عليها معاً، وما إذا كان أحد يراجع إضافات الموردين غير المعتادة، وما إذا كان الوصول للأنظمة يُمنَح بحسب الحاجة أم بشكل افتراضي.

ضوابط الاحتيال التي تعالج الفرصة فقط ليست حلاً وسطاً — فالفرصة هي الضلع الوحيد من المثلث الذي تستطيع المنشأة التحكم فيه فعلياً.

ضوابط الوقاية مقابل ضوابط الاكتشاف

ضوابط الوقاية — الفصل بين المهام، وتسلسلات الموافقة، وتقييد الوصول للأنظمة — توقف الاحتيال قبل تحرك الأموال. إنها خط الدفاع الأول، وهي أبداً ليست كاملة؛ فالشخص الداخلي المُحفَّز والمُطّلع بما يكفي يستطيع عادة إيجاد فجوة، خاصة في المنشآت الأصغر حيث يصعب تحقيق الفصل بشكل حقيقي.

لماذا تهم كلتا الطبقتين

ضوابط الاكتشاف تفترض أن الوقاية ستفشل أحياناً، وتلتقط ما تجاوزها: تسويات حسابات يُجريها شخص خارج المعاملة الأصلية، وتحليل انحرافات يرصد أنماطاً غير معتادة، ومراجعات تحليل بيانات دورية تقارن المعاملات بالمعايير المتوقعة. الإطار الذي يستثمر بالكامل في الوقاية ويعامل الاكتشاف كفكرة لاحقة يراهن على كمال الوقاية — رهان يخسر باستمرار.

أين يتناسب الإبلاغ عن المخالفات في الاكتشاف

بالنظر إلى مدى تكرار ظهور الاحتيال عبر تلميح لا عبر ضابط، فإن قناة إبلاغ عن المخالفات موثوقة ليست متطلب امتثال هامشياً — بل واحدة من أكثر آليات اكتشاف الاحتيال فعالية المتاحة، شريطة أن يثق الناس بها بما يكفي لاستخدامها فعلياً. تعتمد تلك الثقة على كون السرية حقيقية، وحماية عدم الانتقام مُطبَّقة عملياً، ورؤية الموظفين أن البلاغات تقود لتحقيق فعلي بدلاً من الاختفاء في صندوق لا يفتحه أحد.

الاستجابة: ماذا يحدث عند اكتشاف الاحتيال

يحتاج إطار إدارة مخاطر الاحتيال إلى مسار استجابة محدد قبل الحاجة إليه، لا مُرتجَل في اللحظة. يعني ذلك: احتواء التعرض الفوري، والتحقيق وفق ضوابط إثبات تصمد إذا وصلت المسألة لإجراء قانوني، وتحديد كيف سمح بيئة الضبط بوقوعها، ورفع النتائج إلى لجنة المراجعة، والأهم — إغلاق الفجوة المحددة التي سمحت بوقوعها بدلاً من معاملة فصل الفرد كنهاية للاستجابة. الفجوة نفسها المتروكة مفتوحة تدعو الشخص التالي لإيجادها.

لا إطار يُلغي مخاطر الاحتيال تماماً — هذا ليس هدفاً واقعياً لأي بيئة ضبط. الهدف الواقعي هو تقليص الفجوة الزمنية بين بدء الاحتيال واكتشافه، والتأكد أن المنشأة، عند اكتشافه، تتعلم ما يمنع التالي بدلاً من مجرد إغلاق الملف.