مليون دولار عبر “إيميل واحد”: متى تصبح الحوكمة السيبرانية شرطاً للبقاء في الجهاز المصرفي السوداني؟

وليد دليل
خبير مصرفي
تكفي رسالة إلكترونية واحدة، مصاغة بعناية ومرسلة في التوقيت المناسب، لتُخرج من خزينة بنك مبلغاً كان يُفترض أن يصل إلى شريك تقني في الخارج، ليجد طريقه بدلاً من ذلك إلى حساب لا صلة له بالعملية التجارية الأصلية. هذا ما جرى مؤخراً حين تلقى المدير العام لأحد البنوك السودانية العاملة في تمويل الصادرات رسالة تطلب تعديل بيانات التحويل الخاصة بمورّد أجنبي، فاستجاب لها دون العودة إلى القنوات الرسمية للتحقق، لتتكشف لاحقاً حقيقة الرسالة بوصفها عملية احتيال منظمة عرفتها الأدبيات المصرفية الدولية منذ سنوات تحت مسمى اختراق البريد الإلكتروني التجاري. وهذا النمط من الجرائم ليس جديداً على الصناعة عالمياً، فقد رصد المكتب الفيدرالي الأمريكي لمكافحة الجرائم الإلكترونية وحده خسائر بلغت أكثر من ثلاثة مليارات دولار من هذا النوع من الاحتيال خلال عام واحد فقط، ضمن إجمالي خسائر عالمية تجاوز عشرين مليار دولار، ( وبمتوسط خسارة يتجاوز مئة وعشرين ألف دولار في البلاغ الواحد، مع العلم أن الغالبية الساحقة من هذه العمليات تُنفذ عبر التحويل البنكي المباشر لا عبر اختراق تقني معقد. وهو ما يجعل وقوع بنك سوداني ضحية لهذا النمط بالذات مؤشراً لا يمكن تجاوزه بسهولة على حجم الفجوة بين النصوص التنظيمية القائمة والتطبيق الفعلي على أرض الواقع.
غير أن ما يستحق التوقف عنده مطولاً هو الطرف الذي وقعت عليه المسؤولية المباشرة في هذه الواقعة، وهو المدير العام نفسه، إذ إن هذه الوظيفة بالذات ليست منصباً إدارياً عادياً يخضع لتقدير مجلس إدارة البنك وحده، بل هي منصب يشترط بنك السودان المركزي فيمن يشغله مؤهلات محددة سلفاً بموجب ضوابط الحوكمة المصرفية، أبرزها ألا تقل خبرته العملية في العمل المصرفي بعد المؤهل الجامعي عن خمسة عشر عاماً، إلى جانب اشتراطات تتعلق بالنزاهة وعدم الإدانة في جرائم مخلة بالشرف والأمانة، وعدم سبق الإفلاس أو التعثر في سداد الالتزامات. والمنطق الذي تقوم عليه هذه الاشتراطات واضح: حين يمنح البنك المركزي موافقته على تعيين مدير عام، فإنه يفترض ضمنياً توافر كفاءة وظيفية تؤهل هذا الشخص لإدارة مخاطر معقدة، ومن ضمنها مخاطر التحويلات الخارجية الكبيرة، بما يوازي مستوى الثقة الممنوحة له على أموال المودعين والمساهمين. فإذا كانت الاشتراطات الشكلية للتعيين مستوفاة من حيث سنوات الخبرة والسجل النظيف، بينما يتصرف من يشغل هذا المنصب بتفريط واضح في أبسط قواعد التحقق قبل تنفيذ تحويل بمليون دولار، فإن السؤال ينتقل من مربع “هل استوفى الشخص الشروط الشكلية” إلى مربع أكثر جوهرية: هل تقيس معايير التعيين الحالية فعلاً القدرة على بذل العناية الواجبة في إدارة المخاطر التشغيلية والسيبرانية، أم تكتفي بقياس الأقدمية والسجل الوظيفي الخالي من الإدانات؟ فالخبرة الطويلة في العمل المصرفي لا تعني بالضرورة إلماماً بأساليب الاحتيال الحديثة التي تتطور بوتيرة أسرع من تطور برامج التأهيل التقليدية، وهذه فجوة تستحق أن تكون جزءاً من منظومة التعيين نفسها لا أن تُترك لبرامج تدريب لاحقة قد تُنفذ أو لا تُنفذ.
هذا القصور في آلية تعيين مديري البنوك ليس افتراضاً نظرياً، بل تكشفه هذه الحادثة بوضوح: فحين يوقّع المدير العام على قرار تحويل مليون دولار استناداً إلى بريد إلكتروني وحده، دون اتصال هاتفي واحد بالطرف المقابل أو رجوع لقناة تحقق مستقلة، فإنه لا يخفق فقط في إجراء تشغيلي روتيني، بل يخفق في جوهر الأمانة الائتمانية التي يُفترض أن تكون شرطاً ضمنياً ملازماً لمنصبه، وهي واجب “العناية الواجبة” في حفظ أموال الغير التي لا تنتمي له. ومن هنا فإن مسؤولية بنك السودان المركزي، بوصفه الجهة المخوّلة بالموافقة على تعيين القيادات التنفيذية في المصارف، لا تنتهي عند التحقق من استيفاء الشروط الشكلية وقت التعيين، بل تمتد إلى التأكد من أن برامج التقييم الدوري لأداء هذه القيادات تتضمن معايير واضحة لقياس الإلمام بمخاطر الأمن السيبراني وآليات التحقق من التحويلات، بحيث تصبح الكفاءة في هذا الجانب تحديداً شرطاً متجدداً لا شرطاً يُستوفى مرة واحدة عند التعيين ثم يُنسى.
الحادثة لا تقف عند حدود خسارة مالية مباشرة، رغم أن مليون دولار في ظل أزمة سيولة نقد أجنبي تعيشها البلاد يمثل رقماً مؤلماً بأي مقياس، خصوصاً إذا وُضع في سياق أوسع يكشف أن السودان يخسر أصلاً ما بين أربعة وستة مليارات دولار سنوياً نتيجة تحويلات المغتربين التي تسلك قنوات غير رسمية هرباً من ضعف الثقة في القنوات المصرفية وبطء إجراءاتها. فكل حادثة اختراق جديدة، مهما بدت محدودة الأثر المالي المباشر، تغذي هذا الاتجاه وتمنح من يفضّلون القنوات الموازية حجة إضافية. وما يزيد من دلالة هذه الواقعة أنها لا تأتي في فراغ، بل في سياق تصاعد لافت لجرائم الاحتيال الإلكتروني التي تستهدف الجهاز المصرفي السوداني من زوايا متعددة، حيث سجّلت جهات مختصة أكثر من ألفي بلاغ احتيال إلكتروني في الخرطوم وحدها خلال شهرين فقط، فيما تشير تقديرات أخرى إلى أن عدد الضحايا على مستوى البلاد تجاوز خمسة عشر ألف شخص خسروا أموالهم عبر أساليب مشابهة تعتمد على انتحال صفة جهات موثوقة. والمفارقة أن أول ما يفعله المحتالون بعد السيطرة على أي حساب هو تحويل الأموال أو سحبها فوراً، ثم إعادة استخدام الحساب نفسه في تنفيذ عمليات احتيال جديدة تستهدف ضحايا آخرين، بما يضاعف حجم الخسائر تراكمياً ويصعّب على الجهات الرقابية تتبع الشبكات القائمة عليها.
من الناحية التنظيمية، تحرك البنك المركزي في الأشهر الأخيرة على أكثر من محور يتقاطع مع هذا الملف، فألزم جميع المصارف وشركات التقنية المالية بعدم الشروع في أي علاقة تعاقدية أو تشغيلية أو تبادل بيانات دون موافقته المسبقة، في خطوة تستهدف ضبط تعدد الجهات المرخصة كمشغلي محولات مالية وتقليص مخاطر الربط التقني غير المضبوط. كما مدد مهلة تحديث بيانات العملاء وتصنيف الحسابات حتى نهاية العام الجاري، ضمن جهد أوسع لمواءمة قواعد البيانات المصرفية مع متطلبات مكافحة غسل الأموال وتمويل الإرهاب. غير أن هذه الإجراءات، على أهميتها، تبقى موجهة بالدرجة الأولى نحو حماية بيانات العملاء وضبط العلاقات التعاقدية الخارجية، ولا تغطي الثغرة الأعمق التي كشفتها هذه الواقعة، والمتعلقة بمدى كفاية معايير تأهيل واختيار القيادات التنفيذية للمصارف نفسها، وهو ما يستدعي مراجعة لضوابط الحوكمة القائمة بحيث تُدرج فيها معايير صريحة لتقييم الإلمام بمخاطر الأمن السيبراني كشرط تكميلي لشرط سنوات الخبرة، إلى جانب تعميم رقابي مخصص يفرض معايير إلزامية للتحقق المزدوج في التحويلات الخارجية الكبيرة، بصرف النظر عن حجم البنك أو طبيعة نشاطه.
الدرس الذي تحمله هذه الواقعة يتجاوز حدود بنك بعينه ليطال الجهاز المصرفي بأكمله في لحظة حساسة من تاريخه، حيث تتقاطع جهود إعادة بناء الثقة مع المؤسسات المالية الدولية، واستعادة العلاقات المراسلة التي تضررت بفعل سنوات من العقوبات والانقطاع، مع حاجة ملحة لإثبات أن النظام المصرفي المحلي قادر على حماية أصول عملائه وشركائه بمعايير لا تقل عن المعايير الدولية المتعارف عليها. فحين يخسر بنك مليون دولار بسبب رسالة إلكترونية لم تُتحقق منها الإدارة العليا نفسها، رغم أن هذه الإدارة خضعت لموافقة رقابية مسبقة يُفترض أنها تقيس أهليتها لحماية أموال المودعين والمساهمين، فإن الرسالة التي تصل إلى الشركاء الخارجيين ليست فقط أن هناك ثغرة تقنية، بل أن منظومة اختيار وتقييم القيادات المصرفية ذاتها بحاجة إلى مراجعة جذرية تبدأ من لحظة التعيين لا من لحظة وقوع الأزمة. ولعل أفضل ما يمكن أن تنتجه لجنة التحقيق المشكّلة ليس فقط تحديد المسؤوليات الفردية، بل صياغة إطار إلزامي وموحّد للتحقق من التحويلات الخارجية يُعمَّم على كل المصارف العاملة في البلاد، إلى جانب مراجعة معايير تأهيل القيادات التنفيذية بما يضمن أن الكفاءة الوظيفية المفترضة تُقاس بمعايير تواكب طبيعة المخاطر الراهنة، بحيث تتحول هذه الحادثة المؤلمة إلى نقطة انطلاق لبناء منظومة أكثر مناعة، بدلاً من أن تبقى مجرد خسارة عابرة تُنسى مع مرور الوقت.