مراقبة المعاملات لمكافحة غسل الأموال وتمويل الإرهاب: كيف يعمل الكشف القائم على القواعد والكشف السلوكي

يخبرك تقييم مخاطر العملاء بمن تتعامل معه. ويخبرك الفحص بما إذا كان العميل مدرجًا في إحدى القوائم. غير أن أيًّا منهما لا يرصد ما يفعله العميل فعلًا بعد فتح الحساب. وهذه هي مهمة مراقبة المعاملات: التخصص الذي يرصد المدفوعات والتحويلات والإيداعات والسحوبات لحظة حدوثها، ويُطلق تنبيهًا حين يبدو السلوك أقرب إلى غسل الأموال أو تمويل الإرهاب أو التهرب من العقوبات منه إلى النشاط التجاري الاعتيادي.

مراقبة المعاملات في برامج مكافحة غسل الأموال وتمويل الإرهاب هي الموضع الذي يؤدي فيه الكشف القائم على القواعد والكشف السلوكي عملهما، وهي الجزء من البرنامج الذي تتفحصه الجهات الرقابية بأشد تدقيق، لأنه الجزء الأكثر عرضة لأن يكون إما صامتًا صمتًا ينمّ عن الإهمال، وإما صاخبًا صخبًا لا علاج له. فإذا أحكمت منطق الكشف، كشفت مخاطر حقيقية لا تستطيع ضوابطك الأخرى رؤيتها. وإذا أخطأت فيه، فإما أن يفوتك غسل الأموال، وإما أن تُغرق محلليك تحت آلاف الإنذارات الكاذبة. يشرح هذا المقال كيف تعمل المراقبة من البداية إلى النهاية — نمطا الكشف، وكيف تُقيَّم المعاملات على دفعات وفي الوقت الفعلي، وكيف تُكتب القواعد وتُضبط، وكيف يتحول التنبيه إلى حالة خاضعة للتحقيق. وهو فصل من القصة الأوسع التي يرويها الدليل الشامل لمنصة مكافحة غسل الأموال وتمويل الإرهاب.

موقع المراقبة في برنامج مكافحة غسل الأموال وتمويل الإرهاب

مراقبة المعاملات هي الطبقة المستمرة من ضوابطك لمكافحة الجرائم المالية، أي طبقة العناية الواجبة المستمرة. أما قبول العملاء والفحص فهما فحصان يُنفَّذان في لحظة محددة، عند بدء العلاقة أو عند تغيّر إحدى القوائم. والمراقبة دائمة: فهي تعمل على تدفق النشاط طوال عمر كل حساب، وهي الضابط الأرجح لاكتشاف أن عميلًا بدا منخفض المخاطر عند قبوله قد بدأ يتصرف كوسيط لتمرير الأموال غير المشروعة (money mule).

ومُخرَج المراقبة ليس قرارًا، بل إشارة. فقاعدة المراقبة لا تجمّد حسابًا ولا تقدّم تقريرًا — بل تُطلق تنبيهًا يتولى إنسانٌ التحقيق فيه. وهذا التمييز يحدد معيار المراقبة الجيدة: فالهدف ليس أن تنطلق القاعدة بأكبر قدر ممكن من التكرار، ولا بأقل قدر ممكن، بل أن تنطلق عند الأنماط التي يتفق محلل مدرَّب، لو أُتيحت له البيانات نفسها، على أنها جديرة بالفحص. وكل ما يلي — تصميم القواعد، والضبط، والاختبار الرجعي — غايته تقريب النظام من هذا المعيار. ويعتمد ذلك كله على البيانات التي يقوم عليها، وهي نقطة نعود إليها في الختام.

الكشف القائم على القواعد: الحدود، والتجزئة، والسرعة، ومجموعات الأقران

الكشف القائم على القواعد هو النواة الراسخة لمراقبة المعاملات. فالقاعدة تُحوِّل مؤشرًا معروفًا على السلوك المشبوه إلى شرط صريح قابل للاختبار. وعندما يتحقق الشرط، تنطلق القاعدة. وتغطي أربع فئات من القواعد معظم الحالات.

• قواعد الحدود تنطلق حين تتجاوز معاملة منفردة، أو مجموع معاملات خلال نافذة زمنية، قيمة معينة. ومن أمثلتها الكلاسيكية إيداع نقدي يفوق حد الإبلاغ، أو إجمالي تحويلات واردة يتجاوز حجم التعاملات الشهري المتوقع للعميل.
• قواعد التجزئة (smurfing) تبحث عن التقسيم المتعمَّد — معاملات كثيرة تقل قيمة كل منها بقليل عن حد الإبلاغ، موزعة على أيام أو فروع أو قنوات، ويبلغ مجموعها مبلغًا كبيرًا. وهي تكشف العميل الذي يعرف حد الإبلاغ ويتحايل عليه.
• قواعد السرعة ترصد وتيرة النشاط ونمطه لا مبلغه: حساب خامل يُجري فجأة عشرات المعاملات في يوم واحد، أو تمرير سريع للأموال تتساوى فيه الأموال الداخلة مع الخارجة في غضون ساعات، أو تغيّر حاد عن خط الأساس المستقر لسلوك العميل.
• قواعد مجموعات الأقران تقارن العميل بغيره ممن يشاركونه ملف المخاطر نفسه أو نوع النشاط نفسه أو المنتج نفسه. فالحساب الذي يبدو سلوكه طبيعيًا بمعزل عن غيره، لكنه شاذ بوضوح قياسًا بمجموعة أقرانه، هو بالضبط نوع الشذوذ الذي يفوت الحدَّ الثابت.

تكمن قوة الكشف القائم على القواعد في أنه صريح وقابل للتفسير. فحين تنطلق قاعدة تجزئة، يمكنك أن تعرض على المفتش الشرط الدقيق، والمعاملات التي استوفته، والحد الذي كان مضبوطًا. أما نقطة ضعفه فهي أن القواعد لا تكشف إلا ما تعرف مسبقًا أن عليك البحث عنه. فنمط غسل أموال مستجد لا تصفه أي قاعدة يمر دون أن يُلحظ إلى أن يكتب أحدهم قاعدة له. ولهذا تقرن البرامج الناضجة القواعدَ بالكشف السلوكي.

الكشف السلوكي والإحصائي

ينطلق الكشف السلوكي — أو الإحصائي — من نقطة معاكسة. فبدلًا من أن يسأل: «هل تطابق هذه المعاملة نمطًا سيئًا معروفًا؟» يسأل: «هل هذا السلوك طبيعي لهذا العميل، ولهذه الشريحة، وفي هذا التوقيت؟» فهو يبني خط أساس للنشاط المتوقع، ويرصد الانحرافات الملموسة عنه: حساب راتب يبدأ في تلقي حوالات دولية كبيرة، أو تاجر لم يعد نمط إيداعاته متسقًا مع النشاط الذي أعلنه، أو تغيّر مفاجئ ومنسَّق عبر مجموعة من الحسابات المترابطة.

تكمن قيمة النهج السلوكي في أنه يكشف نشاطًا مشبوهًا لم تتوقعه أي قاعدة، لأنه قائم على رصد الشذوذ لا على مطابقة الأنماط. أما ثمنه فهو قابلية التفسير: إذ يحتاج المحلل، ومن ثم الجهة الرقابية في نهاية المطاف، إلى فهم سبب رصد أمر ما. وهنا تبرز أهمية الذكاء الاصطناعي القابل للتفسير. فواجهات الذكاء الاصطناعي في Creodata تحمل وسمًا باسم النموذج وإصداره، ونسبة مئوية للثقة، وأهم ثلاثة أسباب على نمط SHAP لكل درجة، مع أداة تحكم بشرية للقبول أو التعديل أو الرفض (Accept / Modify / Reject)، ويُسجَّل كل قرار مع إصدار النموذج ومدخلاته. فالكشف السلوكي ينبغي أن يوسّع ما تستطيع رؤيته، لا أن يتحول أبدًا إلى صندوق أسود لا تستطيع الدفاع عنه.

والنمطان في الممارسة متكاملان لا متنافسان. فالقواعد توفر تغطية يمكن الدفاع عنها لأنماط غسل الأموال المعروفة؛ والكشف السلوكي يمدّ النظر إلى المجهول. والبرنامج الجاد للمراقبة يشغّل الاثنين معًا، ويترك لكل منهما أن يعوّض النقاط العمياء لدى الآخر.

التقييم على دفعات مقابل التقييم بالتدفق المستمر

لا بد لمنطق الكشف من أن يُطبَّق على المعاملات بطريقة ما، وثمة وضعان لذلك — وهما ليسا بديلين بقدر ما هما مهمتان مختلفتان.

التقييم على دفعات يعالج المعاملات المتراكمة وفق جدول زمني، عادةً في نهاية اليوم أو نهاية الفترة. وهو الوضع المناسب للقواعد التي تحتاج بطبيعتها إلى نافذة من البيانات التاريخية: التجميعات، وأنماط التجزئة الممتدة على عدة أيام، ومقارنات مجموعات الأقران التي تتطلب مجموعة مستقرة من العملاء. والمعالجة على دفعات هي أيضًا الطريقة التي تُعاد بها معالجة البيانات التاريخية عند تغيّر قاعدة ما.

التقييم بالتدفق المستمر يقيّم المعاملات لحظة وصولها، في الوقت الفعلي أو قريبًا منه. وهو ضروري حيث يجب أن تكون الاستجابة فورية — كالاعتراض المتصل بالعقوبات، أو القنوات عالية السرعة مثل الأموال عبر الهاتف المحمول (mobile money) والمدفوعات الفورية، حيث يمكن لمخطط تمرير سريع أن يُخرج الأموال قبل أن تُشغَّل أي دفعة ليلية. وتستفيد تدفقات الأموال عبر الهاتف المحمول في الوقت الفعلي على وجه الخصوص من المراقبة بالتدفق المستمر، وهو نمط نتناوله بمزيد من التفصيل في مذكرتنا حول أنماط المراقبة في قنوات الأموال عبر الهاتف المحمولEN.

وتدعم خدمة مراقبة المعاملات من Creodata التقييم على دفعات والتقييم بالتدفق المستمر انطلاقًا من تعريفات القواعد نفسها، فالقاعدة التي تكتبها وتضبطها مرة واحدة يمكن أن تعمل ليلًا على البيانات المجمَّعة أو أن تستجيب في اللحظة نفسها، بحسب ما يقتضيه نمط غسل الأموال.

كتابة القواعد: لغة DSL، وحزمة القواعد الأولية، ومكتبة الأنماط

إن ترميز منطق الكشف في شيفرة لا يستطيع تغييرها إلا المهندسون وصفةٌ لمراقبة بطيئة وهشّة. لذلك تتيح خدمة مراقبة المعاملات من Creodata بدلًا من ذلك لغة DSL لكتابة القواعد — وهي لغة خاصة بالمجال (domain-specific language) تضم محللًا (parser) ومخطِّطًا (planner) ومنفِّذًا (executor) — لتتمكن فرق الامتثال من التعبير عن منطق الكشف في صورة قواعد مقروءة وقابلة للاختبار، بدلًا من شيفرة تطبيقية مدفونة. فالمحلل يتحقق من صحة القاعدة، والمخطِّط يحدد كيفية تقييمها بكفاءة، والمنفِّذ يشغّلها على دفعات أو بالتدفق المستمر.

ولن تبدأ من صفحة بيضاء. فالخدمة تأتي مع حزمة أولية تضم أكثر من 30 قاعدة متوافقة مع أنماط غسل الأموال، تغطي الأنماط المهمة في التجزئة، والسرعة، وتمرير الأموال، والحركة السريعة للأموال، والممرات عالية المخاطر، ليحظى المستأجر الجديد بتغطية موثوقة منذ اليوم الأول. وتُنظَّم هذه القواعد في مكتبة أنماط مدمجة تربط كل قاعدة بأسلوب غسل الأموال الذي صُممت لكشفه، ما يُبقي مجموعة القواعد مفهومة: إذ ترى بنظرة واحدة الأنماط التي تغطيها وتلك التي لا تغطيها.

وفهم الأساليب الكامنة وراء القواعد موضوع قائم بذاته. فالأنماط التي تكشفها هذه القواعد — الإيداع والتمويه والدمج، والمخططات المحددة التي تظهر في مؤسسات شرق أفريقيا — نتناولها في دليلنا حول أنماط غسل الأموال التي تقوم عليها قواعد المراقبة. أما المؤسسات التي تقدّم تقاريرها أيضًا عبر goAML، فتجد رموز المؤشرات التي تربط الأنماط المشبوهة بالتقارير المهيكلة في مكتبة مؤشرات تقارير المعاملات المشبوهة (STR) في كينياEN.

الاختبار الرجعي والضبط والترقية مع تتبع الإصدارات

القاعدة التي لم تختبرها قط مجرد تخمين. فقبل أن تقترب قاعدة جديدة أو معدَّلة من تنبيهات بيئة الإنتاج، تحتاج إلى معرفة كيف كانت ستتصرف في مواجهة بيانات تاريخية حقيقية — كم تنبيهًا كانت ستُطلق، وبشأن أي العملاء، وكم منها كان سيكون مجرد ضجيج.

وتوفر خدمة مراقبة المعاملات بيئة للاختبار الرجعي لهذا الغرض تحديدًا: إذ تشغّل القاعدة المرشحة على بيانات المعاملات التاريخية، وترى نمط نتائجها قبل أن تنطلق فعليًا ولو مرة واحدة. ويغذّي ذلك مختبر الضبط، حيث تُعدَّل الحدود والنوافذ الزمنية والشروط لتحقيق التوازن بين التغطية وحجم التنبيهات. والضبط ليس عملية تُجرى مرة واحدة؛ فسلوك العملاء ينجرف، وتُطرح منتجات جديدة، والحدود التي كانت معقولة في العام الماضي تُفرط في إطلاق التنبيهات هذا العام، ولذا فالضبط مستمر.

والأهم أن تغييرات القواعد لا تُحرَّر مباشرةً في بيئة التشغيل. فالخدمة تعتمد ترقية القواعد مع تتبع الإصدارات: إذ تُكتب القاعدة وتُختبر رجعيًا وتُضبط في حالة خاضعة للرقابة، ثم تُرقّى إلى بيئة الإنتاج بوصفها إصدارًا جديدًا، تاركةً سجلًا كاملًا لما تغيّر، ومتى، وعلى أساس أي أدلة. وحين يسأل المفتش عن سبب ضبط حدٍّ ما عند مستواه الحالي، يمكنك أن تعرض الاختبار الرجعي الذي برّره وسجل الإصدارات لكل تعديل. وقابلية التدقيق هذه هي الفارق بين قرار ضبط تستطيع الدفاع عنه وقرار تكتفي بادعائه.

والغاية من كل هذا الضبط تقليل الإنذارات الكاذبة دون التسبب في نتائج سلبية كاذبة — وهو توازن يستحق معالجة مستقلة نقدّمها في الحد من الإنذارات الكاذبة التي تولّدها المراقبة.

من التنبيه إلى الحالة الخاضعة للتحقيق

تنبيه المراقبة بداية عملية لا نهايتها. فحين تنطلق قاعدة، يجب أن يصل التنبيه إلى محلل، وأن يُسنَد إليه، وأن يُحقَّق فيه في ضوء السياق الكامل للعميل، وأن ينتهي بقرار موثَّق — إما إغلاقه باعتباره إنذارًا كاذبًا، أو تصعيده إلى العناية الواجبة المعززة، أو المضي به نحو تقرير عن معاملة مشبوهة.

وفي منصة Creodata، تسلّم المراقبة التنبيهات مباشرةً إلى إدارة الحالات، حيث تدخل قائمة انتظار للتنبيهات تتضمن الإسناد، ومؤقِّتًا لاتفاقية مستوى الخدمة (SLA) يمكن إيقافه مؤقتًا واستئنافه خلال دورة طلب المعلومات، ومخططًا للحالات المرتبطة، ومسارًا للتصعيد. ولأن المراقبة ومعالجة الحالات تتشاركان مستأجرًا واحدًا ونموذج هوية واحدًا وسجل تدقيق واحدًا غير قابل للتغيير، يرى المحلل التنبيه، والمعاملات التي أطلقته، وتصنيف مخاطر العميل، وأي حالات ذات صلة، في واجهة واحدة، بدلًا من المطابقة يدويًا بين ثلاثة أنظمة. ونتناول دورة حياة التحقيق كاملةً في كيف تتحول التنبيهات إلى حالات خاضعة للتحقيق.

وهذا التسليم هو أيضًا سبب كون ضبط الإنذارات الكاذبة غير اختياري. فكل تنبيه ضعيف يصل إلى إدارة الحالات يستهلك من وقت المحلل ما ينبغي أن يُصرف على المخاطر الحقيقية. والمراقبة غير المضبوطة كما ينبغي لا تولّد الضجيج فحسب، بل تُضعف جودة كل تحقيق بإغراق الإشارات الحقيقية في الكمّ.

الاعتماد على البيانات الذي لا يمكنك تجاوزه

لا شيء من هذا يعمل على بيانات رديئة. فقاعدة السرعة تحتاج إلى طوابع زمنية موثوقة؛ وقاعدة التجزئة تحتاج إلى مبالغ وقنوات دقيقة؛ وقاعدة مجموعات الأقران تحتاج إلى سمات سليمة لشرائح العملاء. فإذا وصلت المعاملات ناقصة أو مكررة أو مربوطة بحقول خاطئة، فإن أكثر مجموعات القواعد إحكامًا في الضبط تُنتج نتائج لا معنى لها وإن بدت واثقة.

ولهذا تأتي المراقبة في مرحلة لاحقة لاستيعاب منضبط للبيانات. إذ توفر خدمة استيعاب البيانات من Creodata موصلات لـ REST وSFTP وKafka وCDC وISO 20022، مع ضمان عدم تكرار المعالجة (idempotency)، وإعادة التشغيل (replay)، وقائمة انتظار للرسائل غير القابلة للتسليم (dead-letter queue)، وواجهة لربط الحقول، واعتماد المصادر، في حين تقيس خدمة متطلبات البيانات جاهزية كل قاعدة على حدة، فتعرف ما إذا كانت كل قاعدة تملك السمات التي تحتاج إليها لتعمل. تعامل مع جودة البيانات بوصفها شرطًا مسبقًا للمراقبة، لا أمرًا ثانويًا يُلتفت إليه لاحقًا، وعندئذ يمكن الوثوق بأن القواعد التي تكتبها تعني ما تقوله.

الأسئلة الشائعة

ما الفرق بين مراقبة المعاملات القائمة على القواعد والمراقبة السلوكية؟

تحوّل المراقبة القائمة على القواعد المؤشرات المعروفة إلى شروط صريحة — الحدود، وأنماط التجزئة، والسرعة، والحالات الشاذة قياسًا بمجموعات الأقران — تنطلق عند تحققها، وهي قابلة للتفسير بالكامل. أما المراقبة السلوكية فتبني خط أساس إحصائيًا للنشاط الطبيعي وترصد الانحرافات الملموسة عنه، ما يمكّنها من التقاط أنماط مستجدة لم تتوقعها أي قاعدة. والاثنتان متكاملتان: فالقواعد توفر تغطية يمكن الدفاع عنها لأنماط غسل الأموال المعروفة، والكشف السلوكي يمدّ النظر إلى المجهول. والبرامج الناضجة تشغّل الاثنتين معًا.

هل أحتاج إلى مراقبة المعاملات في الوقت الفعلي (بالتدفق المستمر)، أم تكفي المعالجة على دفعات؟

يتوقف ذلك على نمط غسل الأموال وعلى القناة. فالتقييم على دفعات يناسب القواعد التي تحتاج إلى نافذة من البيانات التاريخية — التجميعات، والتجزئة الممتدة على عدة أيام، ومقارنة مجموعات الأقران. أما التدفق المستمر فضروري حيث يجب أن تكون الاستجابة فورية، كاعتراض المعاملات المتصلة بالعقوبات، أو القنوات عالية السرعة مثل الأموال عبر الهاتف المحمول، حيث يمكن أن تخرج الأموال قبل تشغيل الدفعة الليلية. وتشغّل خدمة مراقبة المعاملات من Creodata الوضعين كليهما انطلاقًا من تعريفات القواعد نفسها، ولذا تستخدم معظم المؤسسات مزيجًا منهما.

كيف أمنع مراقبة المعاملات من توليد عدد مفرط من الإنذارات الكاذبة؟

بضبط منضبط تسنده الأدلة. استخدم بيئة الاختبار الرجعي لترى كيف كانت القاعدة المرشحة ستتصرف في مواجهة البيانات التاريخية، وعدّل الحدود والنوافذ الزمنية في مختبر الضبط، ورقِّ التغييرات بوصفها قواعد ذات إصدارات متتبَّعة، ليُسجَّل كل تعديل ويكون قابلًا للتدقيق. والضبط مستمر لأن سلوك العملاء ينجرف. ونتناول هذا بالتفصيل في الحد من الإنذارات الكاذبة التي تولّدها المراقبة.

ماذا يحدث بعد أن تُطلق قاعدة المراقبة تنبيهًا؟

يُسلَّم التنبيه إلى إدارة الحالات، حيث يوضع في قائمة الانتظار، ويُسنَد إلى محلل، ويُحقَّق فيه في ضوء السياق الكامل للعميل — المعاملات، وتصنيف المخاطر، والحالات المرتبطة — مع مؤقِّت لاتفاقية مستوى الخدمة ومسار للتصعيد. وينتهي التحقيق بقرار موثَّق: إما الإغلاق باعتباره إنذارًا كاذبًا، أو التصعيد إلى العناية الواجبة المعززة، أو المضي نحو تقرير عن معاملة مشبوهة. ولأن المراقبة ومعالجة الحالات تتشاركان سجل تدقيق واحدًا، تكون السلسلة بأكملها قابلة للتتبع.

لا تكون مراقبة المعاملات أفضل من القواعد التي تقف وراءها، والبيانات التي تقوم عليها، وعملية التحقيق التي تليها — وهي تعمل على أفضل وجه حين تجتمع العناصر الثلاثة في نظام واحد لا في ثلاثة أنظمة. ولترى كيف تجمع برمجيات مراقبة المعاملات من Creodata حزم القواعد المتوافقة مع أنماط غسل الأموال، والتقييم على دفعات وبالتدفق المستمر، والاختبار الرجعي، وتسليم التنبيهات إلى إدارة الحالات، في سير عمل واحد قابل للتدقيق — تدعمه عند الحاجة خدماتنا الاستشارية في الامتثال لمكافحة الجرائم المالية، ويتكامل مع منصة تقارير goAML — احجز عرضًا توضيحيًا وسنعرض عليك المراقبة مطبَّقةً على سيناريوهاتك الخاصة.