تدقيق الذكاء الاصطناعي في ضوء متطلبات البنك المركزي السعودي

يبدأ تدقيق الذكاء الاصطناعي المرتبط بمتطلبات البنك المركزي السعودي بتحديد الجهة الخاضعة للتنظيم والنشاط والمتطلبات المنطبقة. عبارة «ذكاء اصطناعي ملتزم بمتطلبات ساما» أوسع من أن تكون استنتاجاً مفيداً. تختلف خدمة فحص جودة المكالمات عن نموذج كشف الاحتيال وعن نموذج يستخدم لأغراض رأس المال التنظيمي في غرضها وآثارها وأدلتها. لذلك يسبق تحديد الالتزامات اختيار الاختبارات وصياغة النتائج.

يساعد الدليل فرق الالتزام والأمن السيبراني والتدقيق الداخلي ومسؤولي الموردين في البنوك السعودية على بناء خريطة للانطباق والأدلة. ويستخدم خدمة افتراضية يديرها مورد لفحص مكالمات العملاء بحثاً عن مؤشرات تحتاج مراجعة جودة. ترتب الخدمة المكالمات لمراجعتها بشرياً من أشخاص مخولين؛ ولا تقرر حقوق العميل أو تعتمد معاملة مالية أو تحدد إجراءً تأديبياً على موظف بصورة مستقلة.

استبدل وصف الالتزام العام بسؤال قابل للتدقيق

قد يكون السؤال المفيد: «هل انعكست متطلبات الأمن السيبراني المنطبقة على المورد في الترتيب المحدد لهذا البنك وهذه الخدمة والفترة، وهل تؤيدها أدلة تشغيلية؟». وقد يسأل فحص آخر عما إذا كان مسار مراجعة الجودة يحافظ على القرار البشري المطلوب وسجل أدلته. هذه الأسئلة أضيق من ادعاء التزام شامل، لكنها تنتج معلومات تستطيع الإدارة استخدامها لاتخاذ إجراء.

حدد الكيان القانوني وصفته التنظيمية والنشاط والسجلات والأشخاص المتأثرين ومزودي الخدمة وفترة المراجعة. وضّح ما إذا كان النظام يدعم نشاطاً منظماً مباشرة أو يؤدي وظيفة تشغيلية داخلية. يفيد هذا التفريق في التقييم، لكنه لا يستبعد الأداة الداخلية تلقائياً من اعتبارات الأمن السيبراني أو الخصوصية أو إسناد المهام إلى طرف خارجي.

سجّل مسؤولية تفسير المتطلبات المنطبقة. تحدد وظيفة الالتزام الأدوات التنظيمية الحالية ذات الصلة وأي توجيهات خاصة بالجهة، بينما يشرح مختصو التقنية والأعمال الخدمة الفعلية. يقيم المدقق الأدلة مقابل المعايير المتفق عليها. إذا بقي تفسير غير محسوم، فأظهره في النطاق بدلاً من السماح لقائمة تقنية بحسمه ضمناً.

لا ينبغي أن يحدد عرض المبيعات أو شهادة المورد أو اسم النموذج الداخلي الحدود النظامية. فقد يضبط البنك أداة يوفرها طرف خارجي، وقد يعتمد تطبيق داخلي على خدمات خارجية متعددة. يلزم فهم الترتيب كما يعمل، بما في ذلك الدعم والإدارة والمعالجة المسندة إلى أطراف أخرى، قبل تقييم ضوابطه.

أنشئ سجل متطلبات بمصادر ومسؤولين واضحين

يتناول القسم 3.4.1 من إطار ساما للأمن السيبراني متطلبات الأمن في العقود وإدارة الموردين، ومنها حقوق المراجعة والتدقيق. ويتضمن قسم الإسناد الخارجي 3.4.2 موافقة ساما قبل إسناد المهام الجوهرية. ويحدد البنك الترتيب والمتطلبات المنطبقة؛ فلا تصنف هذه الإشارات كل شراء لتقنية ذكاء اصطناعي على أنه إسناد جوهري.

أنشئ بنداً لكل التزام ذي صلة أو معيار داخلي معتمد. أدرج المصدر الرسمي وإصداره أو تاريخ سريانه ومبرر الانطباق والمسؤول والدليل المتوقع والإجراء المخطط. افصل المتطلبات الملزمة عن اختيارات المخاطر الداخلية ووعود المورد. قد يكون الحد الداخلي أشد من متطلب عام، لكن ينبغي أن يوضح التقرير مصدره.

سجل انطباق مقترح لخدمة فحص جودة المكالمات في بنك

السؤال	القرار المسؤول	الأدلة المرتبطة	خطأ شائع في التدقيق
ما الجهة والنشاط المشمولان؟	تحدد وظيفة الالتزام الحدود التنظيمية	سجل الجهة ووصف الخدمة ومذكرة الانطباق الحالية	تطبيق قاعدة تخص نوعاً آخر من المؤسسات دون فحص نطاقها
كيف صُنّف ترتيب المورد؟	يقيمه مسؤولو الإسناد والالتزام	قرار الجوهرية والموافقات المنطبقة ونطاق الخدمة الموقع	معاملة جميع الاشتراكات بوصفها ترتيباً واحداً
أي مسؤوليات أمنية تبقى لدى البنك؟	يوزع مالكو الأمن والخدمة الضوابط	مصفوفة المسؤوليات والإعدادات وأدلة المورد ذات الصلة	افتراض أن تقرير المورد يغطي صلاحيات العميل
ما الذي يجوز أن يؤثر فيه مخرج الذكاء الاصطناعي؟	يعتمد مالكو الأعمال والمخاطر الاستخدام المسموح	سياسة المراجعة وقواعد الطابور وسجلات القرار البشري	فحص التوصية وتجاهل الإجراء الذي يترتب عليها
ما قواعد المعالجة الإضافية؟	يوثق مختصو الخصوصية والاختصاصات ذات الصلة تقييمهم	تدفق البيانات وقرارات المعالجة وأدلتها	استخدام نتيجة أمنية لاستنتاج شامل عن الخصوصية

يجب أن يكون السجل قابلاً للمراجعة قبل العمل الميداني. إذا استُبدل مصدر، فاحتفظ بإصداره التاريخي حين يفسر الفترة المفحوصة، واستخدم الإصدار الحالي للالتزامات الراهنة. لا تغير المعايير أثناء الاختبار دون توثيق الأثر. وتزداد أهمية ذلك عند مقارنة أدلة تشغيل قديمة بعقد مورد حُسّن حديثاً.

أبقِ الأطر المتخصصة ضمن نطاقها الفعلي

يتناول القسم 3.8 من إطار مكافحة الاحتيال لدى ساما قابلية تدقيق استخدام الذكاء الاصطناعي وتعلم الآلة في هذا السياق. يكون ذلك ذا صلة عندما يكون النشاط مكافحة الاحتيال، ولا يثبت انطباق الحكم نفسه على كل نموذج لجودة المكالمات أو التسويق. احتفظ بحدود النشاط واضحة في سجل الانطباق.

كذلك قد يخضع التحقق من صلاحية نماذج الائتمان لمتطلبات متخصصة وأدلة إحصائية. لا تعوض مراجعة وصول المورد التحقق من تقديرات النموذج، ولا يثبت تقرير التحقق جميع الضوابط الأمنية التشغيلية. راجع التحقق من صلاحية النماذج في البنوك لهذا السؤال المتخصص، وتدقيق الذكاء الاصطناعي للقطاع المصرفي لمسار التشغيل الأوسع.

لا تستنتج وجود تدقيق سنوي عام لكل ذكاء اصطناعي من دورية تخص نشاطاً أو تقريراً أو ضابطاً آخر. حدد المراجعة المطلوبة والنظام المعني ودوريتها بدقة. وإذا اختار البنك مراجعات إضافية وفق المخاطر، فصفها بأنها جزء من برنامجه. تسهّل النسبة الصحيحة إلى المصدر الدفاع عن التدقيق، وتمنع عملاً غير لازم ناتجاً عن تفسير أوسع من النص.

تتبع الخدمة من استقبال المكالمة إلى نتيجة المراجعة

في الترتيب الافتراضي، تدخل التسجيلات المصرح بها إلى عملية استقبال يضبطها البنك. تنشئ خدمة المورد نصاً مفرغاً وتحدد مؤشرات محتملة لمراجعة الجودة. تدخل المكالمات المختارة طابوراً، ويفحص موظف مخول الأدلة الأصلية قبل تسجيل قراره. ينبغي رسم كل انتقال، بما في ذلك المعالجة غير الناجحة والنتائج منخفضة الثقة وإعادة المعالجة والتجاوزات اليدوية.

افصل مؤشر الفحص عن القرار النهائي. لا تمثل علامة الذكاء الاصطناعي مخالفة مؤكدة للإجراء. ولا يصبح القرار البشري موثوقاً لمجرد ظهور اسم في المسار. يحتاج المراجع إلى المصدر ومعيار الجودة المنطبق ووسيلة لتصحيح المؤشر أو رفضه. ويجب حفظ ما يكفي لمعرفة المعلومات التي كانت متاحة عند اتخاذ القرار.

افحص استخدام النتيجة بعد المراجعة. فقد تجمع لوحة المؤشرات العلامات في درجات للفرق، أو يستورد مسار آخر مؤشراً لم يراجعه أحد. تغير هذه الاستخدامات آثار الخطأ. إذا استُبعدت من المهمة، فاذكر ذلك؛ وإلا فأدرج الواجهات ومالكي القرارات ذات الصلة. قد يفوّت الاقتصار على مخرج المورد النقطة التي يتحول عندها احتمال أولي إلى حقيقة تشغيلية.

بالنسبة إلى المكالمات العربية والإنجليزية، سجل شروط اللغة المدعومة وآلية التفريغ وكفاءة المراجعين. قد يؤثر الكلام المختلط والأسماء والضجيج والتسجيل الناقص في الأدلة. هذه أبعاد اختبار مقترحة، وليست ادعاء بإخفاق مورد معين فيها. افحص مجتمع الاستخدام الفعلي وتجنب التعميم من عرض صغير أُعد بعناية.

اختبار عملي: تحديث المورد يغير معنى المؤشر

افترض أن قاعدة الجودة المعتمدة تميز بين إغفال إفصاح وبين تقديمه لاحقاً في المكالمة نفسها. يبدأ تحديث افتراضي للمورد بوضع العلامة نفسها على الحالتين. يسأل التدقيق عما إذا كان البنك يكتشف التغيير ويقيّمه مقابل القاعدة المعتمدة ويمنع معاملة المؤشرات غير المراجعة بوصفها نتائج مؤكدة. يفحص ذلك التقاء إدارة تغييرات المورد برقابة البنك.

1. احصل على إصدار القاعدة المعتمدة ومعايير قبول البنك لوظيفة الفحص.
2. أنشئ نصوص مكالمات مصطنعة ومصرحاً بها تمثل الإغفال والإفصاح المتأخر وسجلاً ناقصاً ملتبساً.
3. سجّل إصدار النموذج أو الخدمة وإعداد العميل وإعدادات تجهيز المدخلات.
4. نفّذ الاختبارات المسموحة واحفظ المؤشر وشرحه والأدلة التي يعرضها للمراجع.
5. تتبّع الحالات في الطابور البشري والتقارير اللاحقة المشمولة.
6. قارن السلوك بإشعار تغيير المورد وتقييم أثره لدى البنك وأدلة الموافقة.

إذا لم يكشف المورد معرف النموذج الدقيق، فوثّق أقوى أدلة الإصدار المتاحة، مثل معرف إصدار مؤرخ وتصدير للإعدادات. لا تدّعِ إمكانية إعادة التنفيذ إذا لم تتوافر شروطها. قد يثبت التقرير سلوكاً لوحظ في يوم محدد دون إثبات أن النموذج غير المكشوف نفسه عالج جميع الطلبات السابقة. يؤثر هذا القيد في مدى المراجعة التاريخية اللازمة.

قد ينتج التغيير عدة نتائج: خطأ قاعدة الفحص، أو قصور إشعار المورد، أو وصول الإشعار إلى البنك دون تقييمه. هذه إخفاقات رقابية مختلفة. احفظ أدلة كل منها، ولا تنسب السبب إلى النموذج لمجرد ظهور العرض المرئي في مخرج ذكاء اصطناعي. يفيد هذا الفصل في إسناد المعالجة إلى صاحب القدرة الفعلية على التصحيح.

قيّم أدلة المورد ومسؤوليات العميل

اطلب وصف الخدمة والالتزامات الأمنية التعاقدية وحقوق الاطلاع لأغراض التدقيق ونموذج الدعم وترتيبات الحوادث وأدلة الضوابط ذات الصلة. افحص فترة تقارير التأكيد الخارجية وحدودها واستبعاداتها ومسؤوليات العميل. قد لا يغطي تقرير عن الاستضافة جهة فرعية للتفريغ الصوتي أو إعداد فحص خاصاً بالبنك.

ميّز وجود الوثيقة عن كفاية الدليل. قد يقدم المورد سياسة حالية دون أدلة تشغيلية. وقد يبين عرض بحضور المراجع عمل ضابط واحد في بيئة اختبار دون إثبات عمله في الإنتاج. سجل نوع الدليل والاستنتاج الذي يمكنه دعمه. يقدم تقييم أدلة المورد منهجاً أكثر تفصيلاً لهذا الحكم.

اطلب أدلة البنك للضوابط التي يملكها. إذا اشترط المورد تقييد الأدوار الإدارية، فافحص التعيينات الفعلية وسجلات مراجعتها. وإذا وجب على البنك اعتماد مسار معالجة جديد، فابحث عن القرار والإعداد المحددين. يجب أن تتلاقى الضوابط الموروثة والمسؤوليات المحلية عند حدود صريحة، حتى لا يفترض كل طرف أن الآخر أدى المهمة.

عندما يرفض المورد الوصول، حدد ما إذا كان شكل آخر من الأدلة يجيب عن السؤال. قد يكفي تصدير تحت الإشراف أو تقرير مستقل لهدف معين ولا يكفي لآخر. اذكر السؤال غير المحسوم وأثره. ولا تُنتج نتيجة خالية من التحفظات بإخراج كل مكون غير متاح من النطاق بعد بدء المهمة.

افحص التشغيل خلال الفترة المتفق عليها

حدد مجتمعات مثل إصدارات المورد وتغييرات الوصول واستثناءات الفحص والمراجعات المكتملة وإشعارات الحوادث. طابقها مع سجلات موثوقة قبل اختيار العينات. قد تستبعد قائمة مالك الخدمة الحالات الفاشلة أو المتروكة، رغم أهميتها للسؤال الرقابي. اطلب منطق الاختيار وفسّر البنود المفقودة والمعلقة والمكررة.

في ربع افتراضي شهد تسعة إصدارات للمورد، قد يفحص المدقق جميع الإصدارات التي غيرت معالجة اللغة، مع اختيار مبرر من الإصدارات الأخرى. اشرح هذا الاختيار دون وصفه بأنه ممثل إحصائياً بلا سند. إذا أمكن إعادة بناء إصدارين فقط، فاعرض قيد التغطية الناتج. لا يعوض عدد لقطات الشاشة مجتمعاً ناقصاً.

في المراجعة البشرية، ميّز اكتمال حالة الطابور عن الدليل على مراجعة موضوعية. افحص إتاحة المصدر وصلاحية المراجع وتناول التبرير المسجل للمسألة ووصول التصحيح إلى السجلات اللاحقة. قد تكون الموافقة السريعة مناسبة لحالة بسيطة؛ ولا يثبت التوقيت وحده ضعف الرقابة. اعتمد على أدلة القرار نفسه.

وفي الأداء، حدد الحكم المرجعي بصورة مستقلة عن النظام المفحوص. إذا صنف المورد حالات الاختبار ثم قيّم مخرجاته بنفسه، فقيّم أثر هذا الاعتماد. سجّل اختلاف المراجعين المؤهلين وآلية حسمه. لا تكون نسبة دقة الفحص مفيدة دون تعريف المهمة والمقام وتوازن الفئات وطريقة التعامل مع المكالمات الملتبسة.

اختبر التصعيد والتقييد والخروج من الخدمة

ينبغي أن يعرف البنك ما يحدث إذا أنتجت الخدمة مؤشرات غير موثوقة أو توقفت. يمكن للتدقيق مشاهدة تمرين آمن يوضح تقييد الوظيفة المتأثرة، ومن يقرر المراجعة اليدوية، وكيف تظل الحالات المعلقة ظاهرة. حافظ على سير العمليات المصرفية واستخدم حالات مصرحاً بها؛ لا يحتاج الاختبار المقترح إلى تعطيل مكالمات العملاء.

افحص مسار التصعيد بين تشغيل المورد ومالك الخدمة والأمن السيبراني والالتزام ووظيفة المخاطر المعنية. لا يفيد عنوان الإبلاغ التعاقدي إلا إذا وصلت الرسائل إلى قناة تُراقب وتضمنت معلومات كافية للعمل. اختبر التواصل وفق القواعد المتفق عليها، وميّز التمرين المحاكى عن أدلة حادثة فعلية.

عند مراجعة الخروج، افحص قدرة البنك على استلام السجلات المطلوبة بصيغة قابلة للاستخدام، وإنهاء الوصول، وحصر البيانات التي يحتفظ بها المورد. لا يثبت بند يتيح التصدير أن الملف يشمل سجل المراجعات أو معلومات الإصدارات. وقد يكشف تصدير تجريبي مخفي البيانات حقولاً ناقصة قبل الحاجة إليها عند الإنهاء أو النزاع.

اجعل الاستنتاج مفيداً للالتزام والإدارة

نظم النتائج بحسب السؤال الذي تجيب عنه: الانطباق، أو اعتماد الترتيب، أو تصميم الضابط، أو فاعلية التشغيل، أو سلوك النموذج، أو قيد الأدلة. تجنب نسبة واحدة تخلط هذه الفئات. قد يحتاج قرار جوهرية غير محسوم وإخفاق وصول ملحوظ إلى إجراء، لكنهما يختلفان في نوع الدليل والمسؤول عن المعالجة.

قد تبين نتيجة افتراضية أن إصداراً للمورد غيّر سلوك الفحص المختبر، مع عدم توافر تقييم أثر لدى البنك لذلك الإصدار. اربطها بأدلة النسخة والقاعدة المعتمدة وحالات الاختبار والسجلات المطلوبة. لا تقل إن ساما رفضت الخدمة، أو إن كل المؤشرات السابقة خاطئة، أو إن مخالفة تنظيمية ثبتت، ما لم تؤيد الأدلة والتفسيرات المخولة ذلك.

اتفق على دليل المعالجة قبل إغلاق النتيجة. قد يحتاج تصحيح إعداد الفحص إلى اختبار مكرر، بينما يحتاج تحسين إشعار المورد إلى تمرين لمسار التغيير. لا يثبت تحديث السياسة وحده الأمرين. تحدد خطة إعادة الاختبار كل ادعاء إغلاق وتحتفظ بأي قيد متبق على الاستخدام.

يحدد تقرير الإدارة القرار المطلوب الآن، مثل تقييد مخرج غير متحقق منه، أو استكمال أدلة المورد، أو حسم الانطباق. وضّح من يملك قبول الخطر المتبقي والمسائل التي تحتاج مختصاً أو تواصلاً تنظيمياً. قبول الخطر لا يجيز تجاهل متطلب منطبق، وتقرير المدقق ليس موافقة من الجهة التنظيمية.

حافظ على حدود الجهات عند مشاركة الخدمة

قد يتيح عقد مورد على مستوى المجموعة أدلة مشتركة مفيدة، لكنه لا يلغي الاختلاف بين الجهات المشاركة. قد تستخدم وحدة مصرفية الخدمة لاختيار المكالمات للمراجعة فقط، بينما تنقل أخرى المؤشرات إلى لوحة أداء الموظفين. سجّل الاستخدام الفعلي والموافقات المحلية لكل جهة مشمولة. لا تمدد استنتاج الترتيب الأول إلى الثاني لمجرد اشتراكهما في حساب المورد.

حدد في سجل الضوابط المشتركة الأدلة التي تنطبق فعلياً على النسخ المنشورة، ثم أرفق أدلة الإعداد والتشغيل المحلية. إذا أخفق ضابط مركزي، فحدد الخدمات التي يحتمل تأثرها دون افتراض تعرضها جميعاً للنتيجة نفسها. وإذا أخفق ضابط محلي، فتجنب وصف منصة المورد كلها بأنها معيبة. يدعم هذا التفريق تصعيداً متناسباً ويمنع تكرار اختبارات لا حاجة إليها.

اتفق على مستلمي النتائج المشتركة وكيفية مشاركة الأدلة المقيدة. يستطيع ملخص مركزي الإحالة إلى دليل يحتفظ به المالك المعني دون نسخ تسجيلات العملاء إلى مجلد عام للمجموعة. ينبغي أن يحافظ تصميم التقرير على السرية، مع تمكين المراجعين المخولين من فهم أساس الاستنتاج المشترك وحدوده.

جهز موجز تدقيق مركزاً على المتطلبات المنطبقة

قبل التكليف، اجمع وصف الجهة والنشاط وسجل الانطباق الحالي وقرار تصنيف المورد والعقود والتغييرات الحديثة وشروط الوصول إلى الأدلة. أضف مثالاً مخفي البيانات لسجل كامل يمتد من الفحص إلى المراجعة. وضح الجمهور المقصود: التدقيق الداخلي أو الإدارة أو لجنة المشتريات أو مستلم مخول آخر، لأن شكل التقرير والأدلة المطلوبة قد يختلفان.

افصل هذه المهمة عن أعمال مجاورة تحتاج نطاقاً خاصاً، ومنها مراجعة المعالجة في ضوء حماية البيانات والتحقق المتخصص من نماذج البنوك وتقييم استقلالية التدقيق. الهدف تغطية منسقة بمسؤوليات صريحة. تستطيع مهمة تدقيق الذكاء الاصطناعي جمع الأدلة مع الحفاظ على استقلال هذه الاستنتاجات عن بعضها.

اطلب مناقشة نطاق مراجعة خدمة ذكاء اصطناعي مرتبطة بمتطلبات ساما، ووضح غرض الخدمة وحدود المورد والقرار الذي يحتاج البنك إلى اتخاذه. تحدد المهمة القابلة للدفاع ما سيُختبر والمعايير المنطبقة ومن سيجري الفحص وصلاحياته. بذلك تحصل الإدارة على أساس عملي للعمل دون وعد بشهادة التزام شاملة.