بنك X · بيانات توضيحية
بنك X · بيانات توضيحية جهة افتراضية. وجميع الأرقام الواردة أدناه مُفترضة لأغراض التوضيح. English

موجز قرار في مخاطر التقنية: الصلاحيات الهامة والحساسة في منظومة المدفوعات والأنظمة المصرفية الأساسية

بنك X · بنك متوسط الحجم خاضع لرقابة البنك المركزي السعودي «ساما» (نموذج توضيحي) · أعدّه رئيس إدارة مخاطر التقنية (خط الدفاع الثاني)

إلىلجنة المخاطر المنبثقة عن مجلس الإدارة
بند جدول الأعمال4 (ب): مطلوب قرار
تاريخ الاجتماع12 أغسطس 20X1
البيانات كما في30 يونيو 20X1 (إقفال الربع الثاني)

1بيان المخاطر والموقف من الرغبة في تحمّل المخاطر

بيان المخاطر يستطيع 14 حساباً ذا صلاحيات هامة وحساسة في الأنظمة المصرفية الأساسية ومحوّل المدفوعات (payment switch) تغيير تهيئة بيئة الإنتاج دون تسجيل للجلسات، وبذلك قد يمرّ تغيير غير مصرّح به أو خاطئ دون اكتشاف لمدة تتجاوز يوم عمل واحد.
الموقف من الرغبة في تحمّل المخاطر مخاطر متبقية 12 مقابل سقف 8 حدّدته اللجنة لمخاطر سلامة المدفوعات: خارج حدود الرغبة في تحمّل المخاطر لربعين متتاليين، دون أي تحرّك بينهما (الربع الأول: 12، الربع الثاني: 12).

2ملخص وضع الضوابط

مجال الضوابط داخل النطاق فعّال فعّال جزئياً غير فعّال الاتجاه (6 أشهر) ما الذي تغيّر
هويات الدخول والصلاحيات الهامة والحساسة 342662 ▲ يتحسّن إلغاء صلاحيات الموظفين المغادرين أصبح يُنفّذ في اليوم نفسه. ويبقى غياب تسجيل الجلسات هو الفجوة القائمة.
إدارة التغيير والإصدارات 211920 ◀ مستقر ضابط الاعتماد المسبق قائم. والمسار الطارئ هو نقطة الضعف (KRI-2).
الأطراف الخارجية والاستضافة المُسندة خارجياً 181152 ▼ يتراجع انتهت صلاحية شهادتَي تحقّق من الضوابط بعد تقرير الربع الأول. ولم تُرصد حالات إخفاق جديدة في الضوابط: التغطية هي التي انخفضت، لا الأداء.

نطاق هذه الورقة: 73 ضابطاً في ثلاثة مجالات، اختيرت لأنها تقع على مسار المخاطر المذكورة أعلاه. أما مجموعة ضوابط التقنية الكاملة فتُعرض في لوحة المعلومات ربع السنوية.

3تفسير مؤشرات المخاطر الرئيسة (KRI)

KRI-1 حسابات ذات صلاحيات هامة وحساسة بلا تسجيل جلسات 14 من 212 (6.6%) حد التحمّل 2% (4 حسابات) · الربع الأول: 11 حساباً

ما يعنيه: يستطيع 14 من مسؤولي الأنظمة، محدّدين بأسمائهم، تغيير إعدادات بيئة الإنتاج في الأنظمة المصرفية الأساسية ومحوّل المدفوعات دون سجل يتيح إعادة بناء ما حدث. وارتفع العدد بمقدار 3 حسابات خلال ترقية النظام المصرفي الأساسي في الربع الثاني: حسابان لدعم المورّد، وحساب واحد لمسؤول قاعدة بيانات.

ما يترتب على ذلك: هذا المؤشر وحده يُبقي المخاطر المتبقية عند 12 (الاحتمالية 3 × الأثر 4 على مقياس السجل من 1 إلى 25). وتسجيل الجلسات على الحسابات الداخلية الـ 12 هو ما يُعيد تصنيف الاحتمالية إلى 2، فتعود المخاطر المتبقية إلى 8، أي عند السقف لا تحته. أما حسابا دعم المورّد فلا يغيّران نطاق التصنيف بمفردهما، لكن يجب إغلاق فجوة التسجيل المتعلقة بهما كي تثبت إعادة الاختبار اكتمال المعالجة، وكي لا يرتفع العدد مجدداً خلال الترقية التالية. ولا يمكن إغلاق هذه الفجوة إلا بتعديل تعاقدي؛ لذلك يشمل الطلب أدناه تجديدات الربع الرابع، ولا يقتصر على العمل الفني وحده.
KRI-2 التغييرات الطارئة كنسبة من تغييرات بيئة الإنتاج 43 من 457 (9.4%) حد التحمّل 5% · الاعتماد اللاحق خلال 3 أيام: 32 من 43 (74%) مقابل معيار 95%

ما يعنيه: قرابة تغيير واحد من كل عشرة تغييرات في بيئة الإنتاج يتجاوز الاعتماد المسبق، وربع تلك التغييرات لا يُوثَّق داخل المدة المحددة. فالمسار الطارئ يعمل كطريق للتجاوز، لا كضابط يُنتج دليلاً.

ما يترتب على ذلك: الفجوتان تتضافران: فالتغييرات الطارئة تُنفَّذ عبر هذه الحسابات ذات الصلاحيات الهامة والحساسة نفسها، ومن ثمّ فإن أي نشاط يفوته موعد اعتماده يكون في الوقت نفسه غير معتمد وغير مسجَّل. وأي موقف قائم على «القبول والمراقبة» سيستند إلى انتظامٍ في تطبيق الإجراءات لا يتجاوز أداؤه هو نفسه 74%. وقد سُجّل ذلك هنا حتى يُرفض الخيار (أ) بناءً على الدليل لا على التفضيل.
KRI-3 مقدّمو الخدمات الخارجية ذوو الأهمية الجوهرية الحاصلون على شهادة سارية للتحقّق من الضوابط 4 من 11 متوسط عمر شهادات التحقّق 16 شهراً · المعيار 12 شهراً

ما يعنيه: في حالة سبعة من مقدّمي الخدمات، ومنهم الاثنان اللذان يوفّران سعة التعافي من الكوارث لمحوّل المدفوعات، يُفصح البنك عن فاعلية ضوابط لم يتحقق منها بصورة مستقلة هذا العام.

ما يترتب على ذلك: هذا هو السهم المتراجع في القسم 2، وهو ما يحدد توقيت القرار. فثلاثة من العقود السبعة تُجدَّد بين أكتوبر وديسمبر؛ وبنود حقوق التدقيق وتسجيل الجلسات قابلة للتفاوض عند التجديد لا بعده. والقرار الذي يُتخذ في فبراير يأتي بعد إغلاق تلك النافذة.

4القرار المطلوب

المطلوب: قرار واحد

الموافقة على 1.4 مليون ريال سعودي من احتياطي الطوارئ التقني المعتمد للسنة المالية (وهو داخل حد الصرف المفوَّض لهذه اللجنة والبالغ 2.0 مليون ريال سعودي) لإغلاق فجوة تسجيل الصلاحيات الهامة والحساسة، على أن يُنفَّذ الجزء الخاص بدعم المورّد من خلال تجديدات العقود في الربع الرابع. المستهدف: خفض المخاطر المتبقية من 12 إلى 8 بحلول 15 ديسمبر 20X1.

الخيار (أ): غير موصى به

قبول المخاطر المتبقية عند 12 حتى مراجعة نهاية السنة المالية (10 فبراير 20X2)

  • التكلفة: لا شيء في هذه السنة المالية.
  • التعرّض للمخاطر دون تغيير لنحو 6 أشهر.
  • يبقى النشاط غير المسجَّل للحسابات ذات الصلاحيات الهامة والحساسة مغطّى بمراجعات لاحقة فقط، وانتظام إجراءات إدارة التغيير التي تقوم عليها تلك المراجعات لا يتجاوز 74% (KRI-2).
  • تمرّ نافذة التجديد في الربع الرابع؛ ويبقى حسابا دعم المورّد بلا تسجيل حتى السنة المالية المقبلة، دون أي وسيلة تعاقدية إلى حين التجديد الذي يليه.
الخيار (ب): موصى به

تمويل المعالجة الآن

  • 1.4 مليون ريال سعودي: مهندسان متعاقدان لمدة 5 أشهر (0.90)، وزيادة سعة ترخيص إدارة الصلاحيات الهامة والحساسة لتشمل 90 حساباً (0.35)، وإعادة اختبار يجريها خط الدفاع الثاني (0.15).
  • تسجيل 12 من 14 حساباً بحلول 30 نوفمبر 20X1.
  • توقيع التعديلات التعاقدية عند التجديد؛ ثم تمكين التسجيل على حسابي دعم المورّد وتأكيده في إعادة الاختبار.
  • مخاطر متبقية 8، أي عند السقف، بدليل إعادة الاختبار في 15 ديسمبر 20X1.

ما لا يُطلب هنا: لا تغيير في سقف الرغبة في تحمّل المخاطر؛ ولا شراء أدوات جديدة (فزيادة السعة تُطبَّق على الترخيص القائم)؛ ولا وظائف دائمة جديدة، إذ ستُستخدم موارد تعاقدية محددة المدة. والمخاطر المتبقية عند 8 تقع عند السقف، لا تحته بمسافة مطمئنة، وخفضها دون ذلك يتوقف على أعمال تقسيم شبكة محوّل المدفوعات المدرجة أصلاً في خطة السنة المالية 20X2، وهي ليست ضمن هذا القرار.

المسؤوليةالمالكالتاريخ
القرارلجنة المخاطر المنبثقة عن مجلس الإدارة12 أغسطس 20X1 (هذا الاجتماع)
تنفيذ تسجيل الجلساتالرئيس التنفيذي لتقنية المعلومات30 نوفمبر 20X1
بنود حقوق التدقيق والتسجيل عند التجديدرئيس إدارة المشترياتعند كل تجديد، وبحدٍّ أقصى 15 ديسمبر 20X1
إعادة الاختبار وإعادة تقييم المخاطر المتبقيةرئيس إدارة مخاطر التقنية (خط الدفاع الثاني)15 ديسمبر 20X1
الرفع بالنتائج إلى اللجنةرئيس إدارة مخاطر التقنية20 يناير 20X2

5مصادر الأدلة ومسارها

المعطىالنظام المصدركما في / الفترةجهة الإعداد وجهة المراجعة الرقابية
212 حساباً ذا صلاحيات هامة وحساسة؛ 14 منها بلا تسجيلمنصة إدارة الصلاحيات الهامة والحساسة: تصدير الحسابات، ومطابقته بمستخرج الموارد البشرية للتعيينات وإنهاء الخدمات30 يونيو 20X1خط الدفاع الأول (عمليات الهويات)؛ ومطابقة من خط الدفاع الثاني في 9 يوليو 20X1
73 ضابطاً؛ توزيع الفاعلية (القسم 2)سجل المخاطر في أداة الحوكمة وإدارة المخاطر والالتزام (GRC): نتائج اختبارات خط الدفاع الثانيالربع المنتهي في 30 يونيو 20X1خط الدفاع الثاني؛ بالعيّنة، لا على مجتمع البيانات الكامل
457 تغييراً في بيئة الإنتاج؛ 43 منها طارئةأداة إدارة الخدمات: وحدة إدارة التغييرمن 1 أبريل إلى 30 يونيو 20X1خط الدفاع الأول (إدارة التغيير)
الاعتماد اللاحق 32 من 43 (74%)أداة إدارة الخدمات: جميع سجلات التغييرات الطارئة الـ 43اختُبرت في الفترة من 8 إلى 12 يوليو 20X1خط الدفاع الثاني؛ فحص كامل بلا عيّنات
11 من مقدّمي الخدمات ذوي الأهمية الجوهرية؛ 4 شهادات تحقّق سارية؛ متوسط العمر 16 شهراًسجل المورّدين ومستودع العقود30 يونيو 20X1إدارة المورّدين؛ والجوهرية بحسب سياسة الإسناد الخارجي
مخاطر متبقية 12، و8 بعد المعالجةنموذج التقييم في سجل المخاطر، الإصدار 3.1 (الاحتمالية × الأثر، من 1 إلى 25)قُيّم في 3 يوليو؛ وراجعه خط الدفاع الثاني في 15 يوليو 20X1قيّمه خط الدفاع الأول؛ وراجعه خط الدفاع الثاني مراجعة رقابية؛ ولا خلاف قائم
تكلفة 1.4 مليون ريال سعوديتقدير تخطيطي من الرئيس التنفيذي لتقنية المعلومات؛ وجدول الأسعار اليومية للمورّدجدول الأسعار بتاريخ 2 يوليو 20X1تقدير تخطيطي بهامش ±15%؛ وليس سعراً ناتجاً عن طرح منافسة

قيد معلن: شهادتا التحقّق المنتهية صلاحيتهما، وهما الشهادتان اللتان تغطيان سعة التعافي من الكوارث، مأخوذتان من تقارير مقدّمي الخدمات للسنة السابقة. أما الشهادة السارية فهي أحد مخرجات تجديدات الربع الرابع، لا من مخرجات هذه الورقة.

نموذج توضيحي. جميع البيانات افتراضية. البناء والصياغة: محمد اليحيى، وهي الطريقة التي أصوغ بها قرارات مخاطر التقنية للعرض على لجنة المخاطر.