أصل عملي للشركات من ضليع

دليل الشركات للاستجابة الأولية للاشتباه بالاحتيال الداخلي في السعودية

عندما تظهر معاملة غير معتادة، تحويل غير مبرر، فاتورة مشكوك فيها، استخدام غير مصرح به لحساب أو صلاحية، أو فارق مالي يحتاج تفسيرًا، فإن أخطر خطأ هو القفز مباشرة من الاشتباه إلى الإدانة. هذا الدليل ينظم الساعات والأيام الأولى: وقف الضرر بشكل متناسب، حفظ الأدلة، حماية البيانات، تحديد فريق القرار، وفصل الوقائع عما لم يثبت بعد.

الغرض ليس إجراء تحقيق جنائي خاص بدل الجهات المختصة، ولا إعطاء إجابات جاهزة للموظفين أو توجيه لإخفاء مستندات. هو Playbook أولي يساعد الشركة على حماية الدليل واستمرارية العمل حتى يتضح المسار القانوني أو التقني المناسب.

مهم: تقسيم «أول 24 ساعة» و«24–72 ساعة» في هذه الصفحة هو إطار إداري لتنظيم الاستجابة، وليس مهلة نظامية عامة.

الخريطة المختصرة في 10 خطوات

ثبّت الواقعة الأولية كما ظهرت دون اتهام أو استنتاج زائد.
أوقف الخسارة المستمرة بإجراء متناسب لا يتلف الدليل.
احفظ الأدلة الأصلية والسجلات والمراسلات قبل تعديل الأنظمة أو الأجهزة.
عيّن مالكًا للحادث وفريق قرار صغيرًا وفق مبدأ الحاجة إلى المعرفة.
افصل الوقائع عن الفرضيات في سجل زمني واحد.
احصر البيانات الشخصية ولا تجمع أكثر مما يحتاجه غرض الاستجابة.
حدد المسار الفني والقانوني دون حسم الوصف الجرمي داخليًا قبل فحص الملف.
وثق سلسلة الوصول إلى الدليل ومن نسخ الملف أو نقله أو فحصه.
قرر الحاجة إلى مختصين: محامٍ، محاسب جنائي، أو استجابة سيبرانية.
حافظ على استمرارية العمل وافصل احتواء الحادث عن تعطيل النشاط بلا ضرورة.

أول 24 ساعة: الاحتواء قبل الاتهام

1. اكتب «واقعة أولية» لا «حكمًا»

ابدأ بجملة يمكن إثباتها، مثل: «ظهر تحويل بقيمة كذا بتاريخ كذا من حساب الشركة إلى مستفيد غير معروف لفريق الخزينة». لا تبدأ بعبارة مثل «الموظف سرق المال» إذا كانت هذه نتيجة لم تُثبت بعد.

☐ من اكتشف الواقعة؟
☐ متى ظهرت؟
☐ ما النظام أو الحساب أو العملية المتأثرة؟
☐ ما الخسارة المؤكدة وما الخسارة المقدرة فقط؟

2. أوقف الضرر بطريقة تحفظ الدليل

قد يكون من المناسب تعليق صلاحية محددة، إيقاف دفعة، تغيير اعتماد مالي، أو فصل جلسة وصول نشطة. لكن لا تمسح الجهاز، لا تهيئ الحساب، ولا تحذف الرسائل أو السجلات التي قد تكون لازمة لفهم ما حدث.

إذا كان الاشتباه تقنيًا، راجع دليل الوقاية والاستجابة الأولية للحوادث الإلكترونية.

3. جمّد «المعلومة» لا الشخص

المقصود هو تثبيت البيانات ذات الصلة: سجل المعاملة، الموافقات، البريد، سجلات الدخول، ملفات النظام، النسخ الأصلية من المستندات، وسياسات الصلاحيات التي كانت نافذة وقت الواقعة. لا يعني ذلك اتخاذ إجراء وظيفي أو اتهامي تلقائي ضد شخص بعينه؛ فالإجراء المتعلق بالموظف يحتاج إلى سند واختصاص ومراجعة مستقلة بحسب الظروف.

لا تفعل هذه الأشياء

لا تحذف محادثة أو ملفًا بعد أخذ لقطة شاشة.
لا تدخل إلى حساب شخصي أو جهاز خارج صلاحيات الشركة بحجة جمع الدليل.
لا تعدل المستند الأصلي لتوضيح ملاحظة؛ أنشئ نسخة عمل واترك الأصل كما هو.
لا تنشر اسم المشتبه به في مجموعات الشركة أو خارجها قبل وجود حاجة مشروعة.
لا تطلب من الشهود «توحيد الرواية» أو حذف رسائل محرجة.
لا تجعل صاحب المصلحة المباشر هو الشخص الوحيد الذي يقرر نطاق الفحص.

4. شكّل فريق استجابة صغيرًا

في الشركات المتوسطة والكبيرة، يفيد تحديد أدوار واضحة بدل توزيع الملف على كل الإدارات. يمكن أن يتكون الفريق بحسب طبيعة الحادث من الشؤون القانونية، الامتثال، المراجعة الداخلية، المالية، الموارد البشرية، والأمن السيبراني. لا يلزم إشراك الجميع في كل حادث؛ المعيار هو الحاجة الفعلية للمعلومة.

الدور	المسؤولية الأولية	ما الذي لا يفعله منفردًا؟
مالك الحادث	جمع الخيوط وتحديث سجل الحالة	حسم المسؤولية الجنائية
الشؤون القانونية	تحديد المخاطر النظامية ونطاق التعامل	تغيير الأدلة أو توجيه شاهد لما يقول
المراجعة/المالية	تتبع المعاملات والموافقات والتسويات	افتراض أن كل فرق مالي احتيال
الأمن السيبراني	حفظ السجلات واحتواء الوصول غير المشروع	اختراق حساب خارجي أو الانتقام تقنيًا
الموارد البشرية	تنسيق الإجراءات الوظيفية عند الحاجة	نشر الاتهام أو الضغط على الشهود

5. أنشئ سجلًا زمنيًا واحدًا

بدل خمس روايات في خمس مجموعات، أنشئ Timeline مركزيًا يفرق بين أربعة أنواع من المعلومات: واقعة مؤكدة، مستند داعم، استنتاج يحتاج تحققًا، وسؤال مفتوح. هذا الفصل البسيط يقلل أخطاء التحقيق الداخلي ويجعل مراجعة المحامي أو الخبير أسرع.

نموذج سجل الحدث

☐ التاريخ والوقت
☐ الحدث كما ظهر في النظام أو المستند
☐ المصدر الأصلي للمعلومة
☐ الشخص الذي جمعها
☐ هل هي واقعة أم استنتاج؟
☐ الإجراء المتخذ ولماذا
☐ ما السؤال الذي ما زال مفتوحًا؟

6. Incident Pack: الحزمة التي يجب أن تكون جاهزة للمراجعة

الجانب المالي

☐ قائمة المعاملات محل الاشتباه
☐ الحسابات والمستفيدون والتواريخ
☐ أوامر الدفع والفواتير والعقود
☐ سلسلة الموافقات ومنشئ كل معاملة
☐ أي تسوية أو رد مبلغ لاحق

الجانب التقني

☐ سجلات الدخول ذات الصلة
☐ الأجهزة أو الحسابات المرتبطة
☐ تواريخ تغيير الصلاحيات
☐ نسخ أصلية من الرسائل أو الملفات
☐ مؤشرات الاختراق إن كان هناك اشتباه سيبراني

الحوكمة والصلاحيات

☐ مصفوفة الصلاحيات وقت الواقعة
☐ السياسات المالية والتقنية ذات الصلة
☐ الاستثناءات المعتمدة إن وجدت
☐ من كان يملك حق الإنشاء/الاعتماد/التنفيذ؟

المستند القانوني

☐ العقد أو الوكالة أو الشراكة ذات الصلة
☐ وصف الصفة الوظيفية
☐ أي بلاغ أو مطالبة أو مراسلة رسمية قائمة
☐ قائمة بالوقائع التي تحتاج رأيًا متخصصًا

7. حافظ على الدليل الرقمي في صورته الأصلية

نظام الإثبات السعودي يضع إطارًا للدليل الرقمي، ويشمل السجلات والمحررات والتوقيعات والمراسلات ووسائل الاتصال والوسائط الرقمية. لذلك لا يكفي أحيانًا الاحتفاظ بلقطة شاشة منفردة إذا كان الأصل أو السجل الكامل متاحًا. راجع دليل ضليع لحفظ وتوثيق الأدلة الرقمية قبل قص الملفات أو نقلها أو حذف السياق.

سلسلة التعامل مع الدليل

لا تحتاج الشركة إلى اختراع مصطلحات معقدة؛ يكفي أن تستطيع الإجابة: من حصل على الملف؟ من أين؟ متى؟ هل نُسخ أم عُدل؟ أين النسخة الأصلية؟ ومن اطلع عليه؟ كلما كانت هذه الإجابات أوضح، كان تقييم سلامة الدليل أسهل.

8. تقليل البيانات ليس عائقًا للتحقيق

الاستجابة للحادث لا تبرر نسخ كل بريد الموظفين أو جمع بيانات لا صلة لها بالواقعة. مبادئ حماية البيانات الشخصية السعودية تؤكد تحديد الغرض، تقليل البيانات، وعدم الاحتفاظ بأكثر مما يلزم للغرض. لذلك حدد نطاقًا واضحًا: فترة زمنية، حسابات، أنظمة، أشخاص وصلاحيات مرتبطة بالواقعة فقط، ثم وسّع النطاق إذا ظهرت حاجة موثقة.

9. متى يكون الحادث تقنيًا أيضًا؟

قد يكون الاشتباه المالي مرتبطًا باختراق حساب، انتحال مستخدم، تسريب بيانات اعتماد، أو تغيير صلاحيات. الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني تتناول إدارة سجلات الأحداث ومراقبتها، كما تتناول إدارة حوادث وتهديدات الأمن السيبراني وخطط الاستجابة والتصعيد. عندما تظهر مؤشرات تقنية، يجب أن يسير المسار الفني بجانب المسار القانوني لا بعده.

24–72 ساعة: من الاحتواء إلى التقييم

اختبر فرضيات متعددة

قد يكون سبب الفارق احتيالًا متعمدًا، خطأ محاسبيًا، سوء صلاحيات، اختراقًا خارجيًا، إجراءً غير موثق، أو نزاعًا تعاقديًا. احتفظ بأكثر من فرضية حتى تصبح الأدلة كافية للاستبعاد.

حدد «خريطة المال»

تتبع المصدر، الحركة، المستفيد، الاعتماد، ومن يملك السيطرة الفعلية على كل خطوة. لا تخلط بين من أنشأ العملية ومن اعتمدها ومن استفاد منها.

راجع الصلاحيات الفعلية

ليس المهم ما تقوله السياسة فقط، بل ما كانت تسمح به الأنظمة فعلًا وقت الحادث: من كان يملك كلمة المرور؟ هل هناك حساب مشترك؟ هل توجد موافقات خارج النظام؟

حدد قرار التصعيد

إذا اتسع الاشتباه أو ظهر ضرر مستمر أو تعقيد في الأدلة، يصبح إشراك محامٍ أو خبير محاسبة جنائية أو فريق استجابة سيبرانية خطوة تنظيمية مهمة.

10. لا تحسم الوصف القانوني داخل الشركة قبل فحص الملف

نظام مكافحة الاحتيال المالي وخيانة الأمانة يميز بين الاستيلاء بطريق الاحتيال وبين الاستيلاء أو التصرف بسوء نية في مال سُلّم بحكم العمل أو الشراكة أو الوديعة أو الوكالة ونحوها. لكن وجود خسارة أو مخالفة سياسة داخلية لا يكفي وحده لتحديد الوصف الجنائي؛ الوقائع والقصد وطبيعة التسليم وطريق الحصول على المال والأدلة كلها تؤثر في التكييف.

للفهم الموضوعي راجع بوابة الاحتيال وخيانة الأمانة وشرح خيانة الأمانة. وعند وجود ملف يحتاج تمثيلًا قانونيًا راجع صفحة محامي الاحتيال واسترداد الأموال.

متى تحتاج إلى محاسب جنائي أو خبير تقني؟

المؤشر	الاختصاص المرجح	الهدف
عدد كبير من المعاملات أو شركات/حسابات متعددة	محاسبة جنائية	بناء حركة الأموال وربطها بالمستندات
نزاع حول مستخدم الحساب أو وقت الدخول	تحليل جنائي رقمي	فحص السجلات والأجهزة والسياق التقني
اختراق أو انتحال أو بيانات اعتماد مسروقة	استجابة سيبرانية	الاحتواء والحفظ وتحديد مؤشرات الاختراق
غموض في الوصف النظامي أو البلاغ أو الحق الخاص	محامٍ مختص	تقييم الملف والإجراء القانوني المناسب

قبل أي بلاغ أو تواصل خارجي

☐ هل لدينا واقعة موثقة أم مجرد افتراض؟
☐ هل حُفظت الأدلة الأصلية قبل أي تعديل؟
☐ هل السجل الزمني واضح؟
☐ هل حددنا الأشخاص والأنظمة ذات الصلة دون جمع مفرط للبيانات؟
☐ هل نعرف ما هو مؤكد وما هو غير مؤكد؟
☐ هل توجد خسارة مستمرة تحتاج احتواءً عاجلًا؟
☐ هل يحتاج الملف خبيرًا فنيًا أو محاسبًا جنائيًا؟
☐ هل تمت مراجعة الأثر على العقود أو الموظفين أو العملاء؟
☐ هل يحتاج القرار إلى تقييم محامٍ مرخص قبل اتخاذ خطوة خارجية؟

أسئلة شائعة

هل اكتشاف عجز مالي يعني تلقائيًا وجود احتيال؟

لا. العجز أو الفرق المالي نقطة بداية للتحقق، وقد يكون سببه خطأ أو ضعف ضوابط أو نزاع أو فعل متعمد. الوصف يتحدد من الوقائع والأدلة.

هل الأفضل إيقاف الموظف فورًا؟

لا توجد قاعدة عامة تصلح لكل حالة. يجب التمييز بين حماية الأصول وحفظ الدليل وبين الإجراء الوظيفي الذي قد تكون له متطلبات وآثار مستقلة. يحتاج القرار إلى تقييم بحسب الواقعة والسياسات والأنظمة المنطبقة.

هل تكفي لقطات الشاشة؟

قد تكون مفيدة، لكنها لا تغني دائمًا عن الأصل والسياق الكامل والسجلات المرتبطة به. احتفظ بالأصل متى كان متاحًا.

هل يجب نسخ بريد الموظف بالكامل؟

الأصل هو ربط الجمع بغرض محدد ونطاق لازم. التوسع غير المبرر يزيد مخاطر الخصوصية ويصعب المراجعة بدل أن يحسنها.

متى يدخل الأمن السيبراني في الملف؟

عند وجود اختراق محتمل، حسابات مخترقة، سجلات دخول غير معتادة، أجهزة أو ملفات رقمية تحتاج حفظًا فنيًا، أو خطر مستمر على الأنظمة.

هل هذا الدليل بديل عن محامي أو خبير تحقيق داخلي؟

لا. هو إطار تنظيم أولي. الملفات الكبيرة أو الحساسة تحتاج مراجعة فردية من المختصين بحسب طبيعة الواقعة.

مصادر رسمية للتحقق

نسخة الإدارة: اجتماع 15 دقيقة

إذا احتجت إلى اختصار الصفحة لاجتماع أولي، ابدأ بخمسة أسئلة فقط: ماذا نعرف؟ ماذا لا نعرف؟ هل الضرر مستمر؟ ما الدليل الذي يمكن أن يضيع؟ ومن يحتاج أن يعرف الآن؟ ثم عيّن مالك الحادث وحدث السجل الزمني حتى تتضح الخطوة التالية.

آخر مراجعة: 27 سبتمبر 2026. هذا الدليل أصل توعوي وتشغيلي عام للشركات، ولا يمثل تحقيقًا قانونيًا أو محاسبيًا أو سيبرانيًا ولا يقرر وجود جريمة في واقعة محددة.

مركز أدوات وخرائط ضليع

استكشف الخرائط وقوائم التحقق والأدلة العملية الأخرى في مكتبة ضليع القابلة للاستخدام والاستشهاد.