الأرشفة الإلكترونية في البنوك السعودية والمؤسسات المالية: متطلبات الاختيار

هذا الدليل لمدير الامتثال، ومدير أمن المعلومات، ومدير تقنية المعلومات، ومدير العمليات في بنك أو شركة تمويل أو مؤسسة مالية مرخّصة. وهو لا يشرح القواعد الرقابية نفسها، فتلك مسؤولية فريق الامتثال ومصدرها وثائق الجهات الرقابية. هدفه أن يحول تلك القواعد إلى أسئلة يُختبر بها نظام إدارة الوثائق (DMS) قبل التعاقد.

أين يقف نظام الوثائق من الأنظمة المصرفية الأساسية؟

النظام المصرفي الأساسي (Core Banking) ونظام الإقراض ونظام مراقبة المعاملات تُنتج البيانات والقرارات. نظام الوثائق يحفظ المستندات التي تسند تلك البيانات: نموذج فتح الحساب الموقّع، ووثائق هوية العميل، وعقد التمويل، وتقرير التقييم، ومذكرة لجنة الائتمان. والفصل بين الدورين يمنع خطأين: أن يُطلب من نظام الوثائق ما هو من عمل النظام الأساسي، أو أن تبقى المستندات مرفقاتٍ مبعثرة داخل أنظمة متعددة بلا صلاحيات موحدة ولا سجل تدقيق.

الإطار الرقابي: ما يمكن قوله بثقة وما يُقرأ من مصدره

القطاع المالي منظم بكثافة، والخطأ الشائع في مقالات الموردين أن تُنسب إلى البنك المركزي السعودي (SAMA) مدد أو مهل أو اشتراطات دون مرجع. وهذه نقاط لها نصوص رسمية يمكن الرجوع إليها:

• ضوابط الأمن السيبراني للبيانات (DCC-1:2022): أصدرتها الهيئة الوطنية للأمن السيبراني لحماية البيانات طوال دورة حياتها. وقد ألزم البنك المركزي السعودي المؤسسات المالية باستكمال تطبيقها بنهاية سبتمبر 2023 (تعميم 31/1/2023)، وهي منشورة ضمن دليل قواعد البنك المركزي. نظام الوثائق هو أحد الأنظمة التي تُطبَّق عليها هذه الضوابط، فاطلب من فريق الامتثال مطابقة متطلباتها مع قدرات النظام بندًا بندًا.
• الضوابط الأساسية للأمن السيبراني (ECC-2:2024): تسري على الجهات الحكومية وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها. ومن ضوابطها: المصادقة متعددة العناصر للحسابات ذات الصلاحيات الهامة، والحد الأدنى من الصلاحيات، واختبار استعادة النسخ، والاحتفاظ بسجلات الأحداث مدة لا تقل عن 12 شهرًا.
• نظام حماية البيانات الشخصية: ينطبق على بيانات العملاء والموظفين. ومن أحكامه ذات الصلة: التدابير الأمنية، والإشعار بالحوادث خلال مدة لا تتجاوز 72 ساعة إذا كان من شأنها الإضرار بالبيانات أو بصاحبها، وضوابط نقل البيانات خارج المملكة، وشمول الإتلاف للنسخ الاحتياطية.

أما مدد الاحتفاظ بوثائق العملاء والعمليات، ومتطلبات الإسناد والحوسبة السحابية، ومهل الرد على طلبات الجهات الرقابية، فتُقرأ من نصوصها الرسمية لدى البنك المركزي ومن أنظمة مكافحة غسل الأموال، ويحددها فريق الامتثال. ولا تُؤخذ من عرض مورد أو مقال.

مصفوفة المتطلبات: السؤال وطريقة الاختبار

ملفات الامتثال ومكافحة غسل الأموال: الحساسية قبل السرعة

ملفات التحقيق في المعاملات المشبوهة من أكثر وثائق المؤسسة حساسية، ولا ينبغي أن يعلم بوجودها إلا من يعمل عليها. ودور نظام الوثائق هنا محدد: مجلد مقيّد بأسماء فريق الامتثال، ومسار اعتماد داخلي لمذكرة القرار يوثق من راجع ومن اعتمد، وسجل تدقيق يكشف أي محاولة وصول، وحفظ الملف بعد إغلاقه وفق المدة المعتمدة.

أما رصد المعاملات وتوليد البلاغات وإرسالها إلى الجهة المختصة فمن عمل أنظمة مراقبة المعاملات وإجراءات المؤسسة، لا من عمل نظام الوثائق. وأي وعد بأن «يُفتح ملف تحقيق تلقائيًا» أو «يُجهَّز التقرير بنقرة» يحتاج نطاقًا واختبارًا، لأنه يعني ربطًا مع نظام آخر.

مثال توضيحي: ملف عميل منشأة من الفتح إلى المراجعة الدورية

خطة تقييم على أربع مراحل

1. مطابقة المتطلبات. يملأ فريق الامتثال وأمن المعلومات مصفوفة المتطلبات أعلاه بالمراجع الرقابية المطبقة على المؤسسة، ويحددون ما هو إلزامي وما هو مفضل.
2. قرار الاستضافة. يُحسم نموذج النشر قبل مقارنة العروض: خوادم المؤسسة أم سحابة خاصة داخل المملكة. فهو يغير نطاق المسؤولية والتكلفة.
3. إثبات مفهوم محدود. مجموعة وثائق واحدة، مثل ملفات KYC لفرع واحد بعد إخفاء البيانات أو باستعمال بيانات اختبار. يُختبر فيها الدخول والصلاحيات وسجل التدقيق والبحث في الممسوح.
4. الاستلام. لا يُستلم النظام قبل اختبار استعادة موثق، وتصدير سجل تدقيق، ومراجعة أمنية وفق إجراءات المؤسسة.

ما يقدمه وثيقة للمؤسسات المالية

وثيقة نظام سعودي لإدارة الوثائق يُقدَّم على خوادم المؤسسة نفسها (On-Premise) أو في سحابة خاصة بخيار خوادم داخل المملكة أو بنشر هجين، إضافة إلى السحابة المشتركة، مع توافر عالٍ على أكثر من خادم. وهو حاصل على شهادة ISO/IEC 27001، ومتوافق مع ضوابط الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية. ويوفر صلاحيات مبنية على الأدوار حتى مستوى المستند المنفرد، وتكاملًا مع Active Directory وLDAP ودخولًا موحدًا عبر SAML/OIDC، ومصادقة ثنائية، وتشفيرًا أثناء النقل والتخزين بمفاتيح يمكن أن تديرها المؤسسة (BYOK)، وسجل تدقيق محميًا من التلاعب، وجداول احتفاظ بإتلاف آلي مع تعليق الإتلاف. ويوفر أيضًا OCR عربيًا وإنجليزيًا وبحثًا داخل النص، ومسارات موافقة متعددة المراحل. وتكاملاته مع SAP وOracle ضمن الباقة المؤسسية، ويُربط بغيرهما عبر REST API.

تفاصيل التشفير والتدقيق في صفحة الأمان والحوكمة، وما يقدمه للشركات الكبرى والقطاعات المنظمة في صفحة القطاعات.

الخطوة التالية

اطلب جلسة استيعاب متطلبات يحضرها الامتثال وأمن المعلومات وتقنية المعلومات معًا، ومعهم مصفوفة المتطلبات مملوءة. وللتعمق: إدارة الوثائق المحتوية على بيانات شخصية حساسة، والنسخ الاحتياطي والتعافي من الكوارث في عرض نظام الأرشفة، وما هو سجل التدقيق ولماذا تحتاجه. وللقطاع المالي القريب: أرشفة شركات التأمين.