LMS للبنوك والمؤسسات المالية: الامتثال ومكافحة غسل الأموال والشهادات المهنية

ما الذي يجعل منصة التعلم في البنوك مختلفة؟

في أغلب الشركات يُسأل مدير التدريب: كم موظفًا تدرب؟ في البنك يُسأل سؤالًا آخر: أثبت أن هذا الموظف تحديدًا تدرب على هذا الموضوع قبل أن يباشر هذه المهمة، وأنه اختُبر، وأن السجل لم يُعدّل بعد ذلك. السؤال يأتي من الامتثال، ومن التدقيق الداخلي، ومن المراجع الخارجي، ومن الجهة الرقابية، وكل منهم يريد الدليل بصيغته.

ولهذا تفشل في البنوك المنصات التي صُممت لإتاحة المحتوى فقط. المحتوى في البنك متوفر عادة: مواد مكافحة غسل الأموال تُحدّثها إدارة الالتزام، ومواد الشهادات المهنية من مصادرها، والتوعية الأمنية من إدارة الأمن السيبراني. الصعوبة في ثلاثة أشياء: ربط كل برنامج بالفئة الملزمة به بدقة، وإثبات الإكمال والاختبار بسجل موثوق، ومتابعة ما يحدث خارج المنصة (الشهادات المهنية) في التقرير نفسه.

هذه المقالة تبني متطلبات المنصة من النصوص الرقابية نفسها، ثم تحولها إلى إعدادات وأدلة. وهي مكتوبة للبنوك ومؤسسات التمويل ومراكز التحويل؛ أما شركات التأمين فلها اعتباراتها في دليل LMS لشركات التأمين.

خريطة التدريب الإلزامي المصرفي ومصادره

ابدأ بجدول يربط كل برنامج بمصدره ومن يلزمه. المصادر التنظيمية أدناه من سجل قواعد البنك المركزي السعودي (ساما) كما اطلعنا عليها، أما البرامج الداخلية فتحددها سياسات المؤسسة. وتبقى إدارة الالتزام هي المرجع في تفسير النصوص وتحديث الجدول.

لاحظ أن الفئات في العمود الثالث ليست «كل الموظفين» بالتساوي. هذا ما يجعل الإسناد بحسب الوظيفة والمستوى والإدارة شرطًا لا ميزة إضافية: موظف العناية الواجبة يحتاج تدريبًا أعمق من موظف الدعم الإداري، وفريق الالتزام والتدقيق المستقل يحتاج برنامجًا تخصصيًا.

مكافحة غسل الأموال: من النص الرقابي إلى إعداد المنصة

القسم 11 من دليل مكافحة غسل الأموال وتمويل الإرهاب الصادر من البنك المركزي يصلح أساسًا لمتطلبات المنصة، لأن بنوده عملية: تدريب للموظفين الجدد قبل مباشرة العمل وتكراره، وتدريب أشمل لمن ينفذون العناية الواجبة، وتدريب تخصصي لوظيفة الالتزام والتدقيق المستقل، واستطلاع رأي المتدربين عند الاستعانة بجهات تدريب، واختبارات دورية للمعرفة لا تقل عن مرة سنويًا، وسجلات تتضمن وثائق التدريب وبيانات الحضور وتاريخه. حوّل كل بند إلى إعداد ودليل:

الإعدادات في العمود الثاني تعمل في المنصة بالإعداد: الإسناد بالقواعد والصلاحية وإعادة الإسناد في التدريب الإلزامي، والسحب العشوائي ودرجة النجاح والمحاولات في الاختبارات الإلكترونية، والاستبيان المشروط قبل الشهادة في الاستبيانات وقياس الأثر. ما يحتاج قرارًا من البنك لا من المنصة: مستوى التفصيل لكل فئة، ودرجة النجاح، وعدد المحاولات، وماذا يحدث لمن يستنفدها.

الشهادات المهنية: متابعة ما لا تصدره المنصة

الشهادات المهنية للوظائف الأمامية في البنوك لا تصدرها منصة التدريب الداخلية؛ لها اختباراتها وموادها لدى الجهة المختصة. لكن متابعة استيفائها تقع على البنك. وينص تعميم البنك المركزي رقم 44029338 على الحصول على الشهادة خلال سنة من تاريخ التعيين، وألا تقل نسبة الاستيفاء عن 90٪ من الموظفين المعنيين بالشهادة، وتشمل الفئات المعنية المتعاقدين عبر طرف ثالث.

هذا يحول المتطلب إلى سؤال تقارير تجيب عنه المنصة إن أُعدت صحيحًا:

• من المعني؟ كل وظيفة أمامية مصنفة بالشهادة المطلوبة لها، فيُحسب الموظف معنيًا بمجرد إضافته بتلك الوظيفة، موظفًا كان أو متعاقدًا.
• أين يقف؟ الشهادة الخارجية تُسجل في ملف الموظف بتاريخها ومرفقها، ومسار التحضير الداخلي (مراجعة المادة، اختبارات تجريبية) يُتابع بالإكمال.
• من يقترب من المهلة؟ تقرير بالموظفين الذين اقتربوا من سنة على تعيينهم دون شهادة، يصل لمدير الفرع أو مركز الاتصال.
• ما النسبة الآن؟ نسبة الاستيفاء لكل فئة وفرع، مقابل الحد المطلوب.

انتبه إلى أن ربط المنصة آليًا بنتائج الجهة التي تمنح الشهادات ليس أمرًا تفترضه؛ اسأل عنه بوصفه تكاملًا يُدرس في التحليل بحسب ما تتيحه تلك الجهة، وإلا فالتسجيل يتم بإرفاق الشهادة أو باستيراد دوري.

الأدلة للتدقيق: ما الذي يطلبه المراجع من السجل؟

المراجع لا يكتفي بتقرير «نسبة الإكمال 97٪». يختار عينة، ويطلب لكل فرد فيها: متى أُسند إليه البرنامج، ومتى أكمله، وما نتيجته، وأي إصدار من المادة درسه، وهل عُدّلت النتيجة بعد ذلك ومن عدّلها. السؤال الأخير هو ما يفصل منصة البنوك عن غيرها.

في سجل العمليات في المنصة يُسجل كل دخول وإضافة وتعديل وحذف باسم المستخدم ووقته وعنوان IP، مع القيمة قبل التغيير وبعده، ولا يمكن تعديل السجل أو حذفه من واجهة المنصة، والاطلاع عليه صلاحية تُمنح لأدوار محددة كمدير النظام والمدقق الداخلي، ويُصدَّر بعد تصفيته. ومدة الاحتفاظ تُحدد وفق سياسة الجهة ومتطلباتها التنظيمية، فاكتبها في المتطلبات بالرقم الذي تقرره إدارة الالتزام.

وأكثر ما يُغفل في البنوك: إصدار المادة. حين تُحدّث إدارة الالتزام برنامج مكافحة غسل الأموال بعد تعميم جديد، يجب أن يظهر في السجل أن من تدرب قبل التحديث درس الإصدار السابق، وأن يُعاد إسناد الجديد لمن يلزمه. اطلب أن يُرى هذا في العرض التوضيحي. وتفاصيل ما يقبله التدقيق وطريقة عرضه في دليل إثبات التدريب الإلزامي للمراجعين.

الأمن والاستضافة: أسئلة الأمن السيبراني في البنك

منصة التدريب تحفظ بيانات كل موظفي البنك وهيكله الإداري ونتائج اختبارات الالتزام، فستمر بتقييم فريق الأمن السيبراني وإدارة المخاطر، وغالبًا بإجراءات الأطراف الثالثة في البنك؛ وإطار الأمن السيبراني للبنك المركزي يفرد مجالًا للأمن السيبراني لدى الأطراف الثالثة. حضّر لذلك من البداية:

1. نموذج الاستضافة: في خيارات الاستضافة ثلاثة نماذج بالوظائف نفسها: سحابة مشتركة داخل المملكة، وسحابة خاصة ببيئة مستقلة ونوافذ تحديث متفق عليها، وتشغيل على خوادم الجهة بترخيص دائم وعقد صيانة. القرار بينها لسياسات البنك ومتطلبات الإسناد الخارجي والحوسبة السحابية التي يطبقها، لا لتفضيل المزود.
2. الهوية: الدخول الموحد مع نظام هوية البنك والتحقق متعدد العوامل من نظام الهوية نفسه، وحسابات منفصلة للمتعاقدين إن لم يكونوا في نظام الهوية.
3. الصلاحيات: نطاق بيانات بالفرع والإدارة، وفصل صلاحيات الإدارة عن التشغيل، وصلاحية مستقلة للاطلاع على السجل للتدقيق.
4. الوثائق: وصف الضوابط المطبقة، والإجابة عن استبيان التقييم الأمني للبنك، وتفاصيل النسخ الاحتياطي والاسترجاع، والتنسيق لأي اختبار أمني يجريه البنك؛ وكلها مذكورة في صفحة أمن المعلومات مع التزام صريح بعدم الوعد بحماية مطلقة.

توفر المنصة ضوابط تساعد البنك على تطبيق متطلباته، ويبقى تقييم الامتثال مسؤولية البنك. والوثائق والأسئلة التي يطلبها فريق الأمن من أي مورد مفصلة في دليل التقييم الأمني لمورد LMS.

الفروع ومراكز الاتصال والمتعاقدون

الهيكل المصرفي يضيف تعقيدات لا تظهر في الشركات العادية:

• الفروع: مدير الفرع يرى موظفي فرعه ومتأخريهم، والمنطقة ترى فروعها، والإدارة العامة تقارن. هذا يعمل في تعدد الفروع بإدارة مركزية ومسؤول لكل فرع.
• مراكز الاتصال بالورديات: التدريب في وحدات قصيرة يكملها الموظف في وقت مخصص ضمن الوردية، لا في جلسة طويلة تسحب الموظفين من الخط.
• المتعاقدون عبر طرف ثالث: معنيون بالشهادات المهنية وبالتوعية الأمنية للأطراف الثالثة. يحتاجون حسابات في المنصة بفئة واضحة، وإيقاف عند انتهاء العقد مع بقاء السجل، وتقريرًا يميزهم عن الموظفين.
• التنقل الداخلي: موظف ينتقل من العمليات إلى خدمة العملاء تتغير برامجه الإلزامية وشهادته المهنية المطلوبة. الإسناد بالقواعد يلتقط ذلك إن حُدّثت وظيفته في المصدر.

سيناريو: مصرف تجزئة يحسب نسبة الاستيفاء

مثال افتراضي للتوضيح مصرف تجزئة بنحو 4,600 موظف في 68 فرعًا ومركزي اتصال، منهم 2,050 في وظائف أمامية معنية بشهادة أساسيات المصرفية للأفراد، بينهم 310 متعاقدون عبر طرف ثالث.

• الحد الأدنى للمستوفين بنسبة 90٪: 2,050 × 0.90 = 1,845 موظفًا.
• المستوفون حاليًا بحسب السجل: 1,790، أي أن الفجوة 1,845 − 1,790 = 55 موظفًا على الأقل.
• من غير المستوفين (260 موظفًا): 140 عُينوا منذ أقل من سنة وما زالوا ضمن المهلة، و120 تجاوزوها، منهم 70 متعاقدون.

بدون منصة كان هذا الحساب يتطلب جمع ملفات من 68 فرعًا ومن مزود التعاقد. بعدها صار تقريرًا يصل شهريًا لكل مدير منطقة بأسماء من تجاوزوا المهلة في فروعه، ويصل لمسؤول عقد التعاقد قائمة المتعاقدين غير المستوفين. المثال لا يقول إن المنصة ترفع النسبة؛ يقول إنها تجعل الفجوة مرئية بالأسماء في وقت يسمح بمعالجتها.

بنود تضعها في كراسة منصة التدريب لمؤسسة مالية

تُسند البرامج الإلزامية آليًا بحسب الوظيفة والإدارة والفرع والمستوى الوظيفي فور إضافة الموظف أو تغيير وظيفته، بما في ذلك المتعاقدون عبر طرف ثالث، ويُعرض في العرض التوضيحي إسناد برنامج مكافحة غسل الأموال ومسار العناية الواجبة لموظف جديد.

• اختبار دوري بسحب عشوائي من بنك أسئلة، ودرجة نجاح ومحاولات يحددها البنك، ونتيجة محفوظة بتاريخها.
• طريقة إثبات إصدار المادة التي درسها كل موظف، وإعادة الإسناد عند تحديث المادة.
• تسجيل الشهادات المهنية الخارجية بتاريخها ومرفقها، وتقرير نسبة الاستيفاء لكل فئة وفرع مقابل الحد المطلوب.
• سجل عمليات بالقيمة قبل التغيير وبعده، لا يُعدّل من الواجهة، بصلاحية اطلاع مستقلة وتصدير مصفى.
• تحديد نموذج الاستضافة ومكانها ومزودها في العرض الفني، والإجابة عن استبيان التقييم الأمني للبنك.
• استبيان تقييم مرتبط بالبرامج المقدمة من جهات تدريب خارجية.

الأسئلة الشائعة

الخلاصة: ابنِ المتطلبات من النص الرقابي

LMS للبنوك يُختار بالدليل الذي ينتجه: إسناد دقيق بحسب الفئة قبل مباشرة العمل، واختبار دوري، وسجلات بالحضور والتاريخ والإصدار، ومتابعة للشهادات المهنية ومنها المتعاقدون، وسجل عمليات لا يُعدّل، واستضافة يقرها فريق الأمن. ابدأ بجدول البرامج ومصادرها، وحوّل كل بند إلى إعداد ودليل، ثم اطلب أن يُرى ذلك على فئاتكم في العرض التوضيحي.

وإن أردت أن ترى كيف تعمل المنصة التعليمية للشركات والمؤسسات المالية على هيكل مؤسستك، فأرسل جدول برامجك الإلزامية وفئاتها مع طلب العرض. وخطوات بناء برنامج التوعية الأمنية القابل للقياس في دليل تدريب الأمن السيبراني للموظفين.