كيف تختار منصة «اعرف عميلك» متوافقة مع متطلبات هيئة السوق المالية في السعودية

أبرز النقاط

• لا تعتمد هيئة السوق المالية منصات «اعرف عميلك» ولا تمنحها شهادة. وتبقى الالتزامات كلها على المؤسسة المرخصة، حتى إذا أدت برمجية أو جهة خارجية جزءًا من العمل [3].
• تستمد مؤسسات السوق المالية التزامات «اعرف عميلك» من نظام مكافحة غسل الأموال ولائحته التنفيذية. وقد ألغت الهيئة قواعدها الخاصة بمكافحة غسل الأموال في نوفمبر 2018، وأحالت المؤسسات إلى هذا النظام [1][2][3][4].
• تسمح الهيئة بفتح الحسابات «باستخدام الوسائل التقنية»، مع عناية واجبة تتناسب مع مستوى المخاطر. ولا يسمّي أي نص من نصوص الهيئة خدمة تحقق بعينها [4].
• أربعة عشر بندًا تغطي ما يهم، من التحقق والمستفيدين الحقيقيين إلى الملاءمة وانتهاء الصلاحية والسجلات والاستضافة والخروج من التعاقد.
• تقيّم المؤسسة مخاطر أي تقنية جديدة قبل استخدامها، وتُشعر الهيئة قبل 30 يومًا من إسناد أي وظيفة مهمة إلى جهة خارجية [2][3].

الإجابة المختصرة

منصة «اعرف عميلك» المتوافقة مع متطلبات هيئة السوق المالية هي منصة تمكّن مؤسسة السوق المالية من الوفاء بالتزاماتها، وإثبات ذلك. وهذه الالتزامات واردة في نظام مكافحة غسل الأموال ولائحته التنفيذية، وفي لائحة مؤسسات السوق المالية وتعليمات الحسابات الاستثمارية الصادرتين عن الهيئة، وفي قواعد الهيئة الخاصة بالعقوبات والأشخاص المعرّضين سياسيًا والمستفيدين الحقيقيين [2][3][4][5][6][7]. وتشمل التحقق من العملاء من مصادر موثوقة ومستقلة، وتحديد المستفيدين الحقيقيين، والفحص بحثًا عن الأشخاص المعرّضين سياسيًا والعقوبات، وتصنيف العملاء، وتقييم الملاءمة، وتحديث البيانات بمرور الوقت، وحفظ السجلات عشر سنوات. ولا تعتمد الهيئة المنصات، وتبقى المؤسسة مسؤولة حين تستخدم إحداها [3]. لذلك فالاختبار الحقيقي بسيط: هل تستطيع المنصة أن تُظهر للمفتش كيف نُفّذ كل التزام، لكل عميل؟

من أين تأتي التزامات «اعرف عميلك» لدى مؤسسات السوق المالية

كانت لهيئة السوق المالية قواعد خاصة بمكافحة غسل الأموال وتمويل الإرهاب. وفي 21 نوفمبر 2018 ألغاها مجلس الهيئة عند اعتماده التعديلات على تعليمات الحسابات الاستثمارية [1]. والأدلة التي ما زالت تستشهد بتلك القواعد لم تعد محدّثة.

واليوم تأتي الالتزامات من النصوص الآتية:

• نظام مكافحة غسل الأموال ولائحته التنفيذية. صدر النظام بالمرسوم الملكي رقم (م/20) عام 1439هـ، ويحدد العناية الواجبة تجاه العملاء، والمستفيدين الحقيقيين، والأشخاص المعرّضين سياسيًا، والمراقبة المستمرة، والسجلات [2]. وتربط لوائح الهيئة كل مؤسسة سوق مالية به: فقبل أي عمل في الأوراق المالية مع عميل، يجب أن تفي المؤسسة بجميع التزاماتها بموجب نظام مكافحة غسل الأموال [3]. وتنص تعليمات الحسابات الاستثمارية على الأمر نفسه عند فتح الحساب [4].
• لائحة مؤسسات السوق المالية. عُدّلت في يناير 2026، وتحدد تصنيف العملاء، ونموذج «اعرف عميلك»، والملاءمة، والإسناد إلى جهات خارجية [3].
• تعليمات الحسابات الاستثمارية. عُدّلت أيضًا في يناير 2026، وتحدد كيفية فتح الحسابات، وتحديث بيانات العملاء، وما يحدث عند انتهاء صلاحية الهوية [4].
• أحدث أدوات الهيئة. قواعد تطبيق العقوبات المالية المستهدفة الصادرة في ديسمبر 2025، والدليل الاسترشادي الخاص بالأشخاص المعرّضين سياسيًا، والإرشادات الإشرافية بشأن المستفيد الحقيقي [5][6][7].

ماذا يعني فتح الحساب «باستخدام الوسائل التقنية»

يجوز لمؤسسة السوق المالية فتح الحساب الاستثماري باستخدام الوسائل التقنية، على أن تطبق إجراءات العناية الواجبة بحسب مستوى المخاطر وأي متطلبات تحددها الهيئة [4]. ويجب أن يتم كل تحقق تشترطه التعليمات من خلال وثائق أو بيانات أو معلومات من مصدر موثوق ومستقل [4]. وللعميل السعودي، تحصل المؤسسة على معلومات بطاقة الهوية الوطنية السارية للعميل وتتحقق منها [4].

ولا تحدد نصوص الهيئة قناة بعينها لذلك. وفي التطبيق، تتحقق المؤسسات في المملكة من الهوية عبر خدمات وطنية، مثل «نفاذ»، تطبيق الهوية الرقمية الوطنية من المركز الوطني للمعلومات [8]، و«يقين»، خدمة شركة «علم» للتحقق الإلكتروني من بيانات الهوية، التي سمح البنك المركزي السعودي للبنوك باستخدامها منذ عام 2015 [9]. أما المنشآت، فتستقي المؤسسات بيانات السجل التجاري الرسمية، عبر «واثق» مثلًا. وهذه ممارسات سائدة في السوق، لا متطلبات من الهيئة.

وهناك التزام يسري قبل تشغيل أي منصة. إذ تشترط اللائحة التنفيذية لنظام مكافحة غسل الأموال أن تقيّم المؤسسة مخاطر أي آلية تقديم جديدة أو تقنية جديدة قبل إطلاقها أو استخدامها [2]. وفي قراءتنا، تدخل منصة جديدة لتهيئة العملاء رقميًا ضمن ذلك.

أربعة عشر بندًا تتحقق منها قبل اختيار المنصة

يبيّن كل بند ما تشترطه الأنظمة (متطلب نظامي) وما تضيفه المنصة الجيدة (ممارسة جيدة).

1. التحقق من مصادر موثوقة ومستقلة. متطلب نظامي: التحقق من كل عميل ومن يتصرف نيابة عنه من وثائق أو بيانات أو معلومات موثوقة ومستقلة، قبل بدء العلاقة أو في أثنائها [2][4]. وإذا تعذر إكمال العناية الواجبة، لا تفتح المؤسسة الحساب، وتنظر في رفع بلاغ عن معاملة مشبوهة [2]. ممارسة جيدة: الربط بخدمات وطنية مثل «نفاذ» و«يقين»، وببيانات السجل التجاري الرسمية.
2. تهيئة رقمية مبنية على المخاطر يمكن توثيقها. متطلب نظامي: فتح الحسابات باستخدام الوسائل التقنية مع عناية واجبة بحسب المخاطر [4]، وتقييم مخاطر التقنية الجديدة قبل استخدامها [2]. ممارسة جيدة: مزوّد يقدّم لك مسارات البيانات والضوابط وتفاصيل الاستضافة اللازمة لهذا التقييم.
3. المستفيدون الحقيقيون. متطلب نظامي: للعميل من المنشآت، تحديد الأشخاص الطبيعيين الذين يملكون أو يسيطرون على 25% أو أكثر؛ فإن لم يوجد أحد، أو وُجد شك، فالشخص الذي يسيطر بوسائل أخرى؛ وفي آخر المطاف، المسؤول الإداري الأعلى. واتخاذ خطوات معقولة للتحقق منهم، وفهم هيكل الملكية والسيطرة [2]. وتحسب إرشادات الهيئة الملكية غير المباشرة بضرب النسب على امتداد كل سلسلة، ثم جمع حصص كل شخص [7]. ممارسة جيدة: شجرة ملكية، مع الأدلة الخاصة بكل مستفيد.
4. درجة مخاطر يمكن شرحها وتعديلها. متطلب نظامي: تقييم مكتوب ومحدّث للمخاطر يشمل العملاء والدول والمنتجات والخدمات والمعاملات وقنوات التقديم، وعناية واجبة معززة حيث ترتفع المخاطر، وتدابير معززة للدول عالية المخاطر [2]. ممارسة جيدة: أوزان يستطيع فريق الالتزام تعديلها، وسجل بكل تغيير في درجة المخاطر.
5. فحص الأشخاص المعرّضين سياسيًا. متطلب نظامي: «أنظمة مناسبة» لمعرفة ما إذا كان العميل أو المستفيد الحقيقي شخصًا معرّضًا سياسيًا، أو أصبح كذلك، في المملكة أو خارجها، بما في ذلك المناصب العليا في المنظمات الدولية، وأفراد الأسرة حتى الدرجة الثانية، والمقربون [2]. وللأشخاص المعرّضين سياسيًا من خارج المملكة، ولمن هم داخلها حيث ترتفع المخاطر: موافقة الإدارة العليا، ومعرفة مصدر الثروة ومصدر الأموال، ومراقبة مستمرة معززة [2][6]. ويطرح نموذج «اعرف عميلك» لدى الهيئة هذا السؤال [3].
6. فحص العقوبات. متطلب نظامي: فحص العملاء والمستفيدين الحقيقيين والأطراف ذوي العلاقة مقابل قرارات مجلس الأمن التابع للأمم المتحدة وقوائم العقوبات الوطنية، عند تهيئة العميل، ومع كل تحديث للقائمة، وفي فحص شامل مرة كل ثلاثة أشهر على الأقل. وتكون المطابقة آلية ولحظية، وتلتقط الأسماء المستعارة واختلافات الكتابة والأسماء المنقولة حرفيًا. وتخضع التنبيهات لرقابة مزدوجة، ويحتاج إغلاق التطابق الخاطئ إلى سبب مكتوب [5]. ممارسة جيدة: قوائم عالمية وسعودية أخرى، مثل قائمتي أوامر «نافذ» و«مكّن»، والتقارير الإعلامية السلبية.
7. تصنيف العملاء ونموذج «اعرف عميلك». متطلب نظامي: تصنيف كل عميل في فئة واحدة فقط، عميل اعتيادي أو عميل مؤهل أو عميل مؤسسي، مع تسجيل معلومات كافية تدعم التصنيف، وجمع ما يطلبه نموذج «اعرف عميلك» في الملحق 5.3 (أ) على الأقل. ولا يجوز خدمة العميل الذي يرفض تقديم المعلومات [3].
8. الملاءمة. متطلب نظامي: الحكم على المشورة والمعاملات وفق ثمانية عوامل، منها معرفة العميل ووضعه المالي وأهدافه والمدة المتوقعة للاستثمار، وتسليم العميل تقرير الملاءمة أولًا. وإذا أصر العميل على معاملة غير ملائمة، يراجع إقراره المكتوب شخص مسجل مستقل عن معدّ التقرير [3]. ويحتاج تقييم الملاءمة الآلي إلى موافقة الهيئة، وإلى إجراءات دائمة للتحقق من نتائجه [3].
9. التحديث وانتهاء صلاحية الهوية. متطلب نظامي: إبقاء البيانات محدّثة عبر مراجعات مبنية على المخاطر [2]. وتحديث معلومات العميل عند تغيّرها، أو عند انتهاء صلاحيتها، أو في نهاية مدة تحددها المخاطر، ومراجعة الحاجة إلى التحديث مرة كل خمس سنوات على الأقل [3][4]. وإشعار العملاء قبل 90 يومًا على الأقل من انتهاء صلاحية وثائقهم، وتجميد جميع حساباتهم في تاريخ الانتهاء إذا لم يحدّثوها [4]. ممارسة جيدة: تذكيرات وتنبيهات انتهاء الصلاحية تلقائيًا.
10. اعتماد بين مُدخِل ومُعتمِد. متطلب نظامي: موافقة الإدارة العليا على العلاقات مع الأشخاص المعرّضين سياسيًا [2]، ورقابة مزدوجة على تنبيهات العقوبات [5]، ومراجعة مستقلة لإقرار العميل المُصر على معاملة غير ملائمة [3]. وتطلب إرشادات الأمن السيبراني لدى الهيئة الفصل بين المهام، استنادًا إلى مصفوفة صلاحيات معتمدة [13]. ممارسة جيدة: مُدخِل ومُعتمِد لكل قرار يتعلق بالمخاطر والملاءمة وتهيئة العميل.
11. السجلات والبلاغات وسجل التدقيق. متطلب نظامي: حفظ سجلات العناية الواجبة وملفات الحسابات ونسخ وثائق الهوية، بما فيها أي تحليل، عشر سنوات على الأقل بعد انتهاء العلاقة، بصورة تتيح للجهات المختصة إعادة بناء ما حدث [2]. والاحتفاظ بسجل إلكتروني يربط كل حساب بوثائق فتحه [4]، وبسجل لكل تصنيف ولجميع معلومات «اعرف عميلك» [3]. ممارسة جيدة: سجل مؤرّخ بالوقت لمن فعل ماذا، وسجل إصدارات لا يستبدل أي نسخة سابقة.
12. العربية. متطلب نظامي: يجب أن تتعامل مطابقة العقوبات مع الأسماء المنقولة حرفيًا واختلافات الكتابة [5]. والنصوص الرسمية للوائح الهيئة باللغة العربية [3][4]. ممارسة جيدة: واجهة عربية لفريقك، ومطابقة للأسماء العربية، وتهيئة باللغة العربية لعملائك.
13. الاستضافة وحماية البيانات. متطلب نظامي: يسري نظام حماية البيانات الشخصية على البيانات الشخصية التي تحفظها منصة «اعرف عميلك». ويحتاج نقلها خارج المملكة إلى مسوّغ نظامي أو ضمانة مناسبة، مثل البنود التعاقدية النموذجية الصادرة عن سدايا، وإلى تقييم للمخاطر في بعض الحالات [11]. ولا توجد اليوم قاعدة عامة تُلزم بتخزين البيانات الشخصية داخل المملكة، لكن مسودة تعديلات اللائحة التنفيذية لنظام حماية البيانات الشخصية ستضيف قاعدة كهذه، وهي مطروحة لإبداء المرئيات من 6 أكتوبر إلى 5 نوفمبر 2026 [12]. وقد نقلت الهيئة الوطنية للأمن السيبراني ضوابط توطين البيانات لديها إلى مكتب إدارة البيانات الوطنية في سدايا عام 2024 [10]. ممارسة جيدة: الاستضافة داخل المملكة، وبيئة مستقلة لكل مؤسسة، والتشفير.
14. حوكمة المزوّد والخروج من التعاقد. متطلب نظامي: الإسناد إلى جهة خارجية لا يُنقص التزامات المؤسسة. وعليها تقييم المزوّد، ووضع حدود ومعايير سرية موثقة، والتخطيط لاستمرارية العمل، والقدرة على الحصول على أي معلومات خلال عشرة أيام، واتخاذ الإجراءات التصحيحية عند الحاجة [3]. وعليها إشعار الهيئة قبل 30 يومًا من إبرام ترتيب لإسناد وظيفة مهمة، أو تعديله تعديلًا جوهريًا [3]. ممارسة جيدة: بنود تعاقدية لإعادة بياناتك وحذفها بأمان عند انتهاء الخدمة، كما تطلب ضوابط الهيئة الوطنية للأمن السيبراني من مزوّدي الخدمة الخاضعين لها [10].

ما تطلبه من المزوّد

اطلب من كل مزوّد أن يُريك لا أن يخبرك. فالعرض القصير على بياناتك يجيب عن أكثر مما تجيب عنه قائمة المزايا.

• أن يُريك عميلًا جرى التحقق منه من البداية إلى النهاية، مع مصدر كل تحقق والسجل الذي يتركه.
• أن يُريك شجرة ملكية عميل من المنشآت، وكيف حُدد كل مستفيد حقيقي.
• أن يُريك كيف حُسبت درجة المخاطر لعميل واحد، ومن غيّرها ومتى.
• أن يُريك تنبيه عقوبات من المطابقة حتى الإغلاق، مع الشخصين اللذين تعاملا معه.
• أن يُريك ما يحدث قبل 90 يومًا من انتهاء صلاحية الهوية، وفي يوم انتهائها.
• أن يُريك السجل الذي سيراه المفتش لعميل واحد بعد عشر سنوات.
• أن يُريك أين تُستضاف البيانات، ومن يمكنه الوصول إليها، وكيف تستعيدها إذا غادرت.

كيف تغطي منصة عين كل بند

منصة عين هي منصة الالتزام التي طورتها دال. وبحسب ما يرد في getdal.sa، تغطي البنود على النحو الآتي:

• تهيئة العملاء. بوابة تهيئة تحمل هوية مؤسستك وتعمل على نطاقها الخاص، مع أداة لبناء المسارات دون برمجة، ومسارات تهيئة وقواعد مخاطر ونماذج تقارير متوافقة مع متطلبات هيئة السوق المالية والبنك المركزي السعودي والهيئة العامة للعقار وهيئة التأمين [14][15].
• المنشآت والملاك. تتحقق عين من المنشآت السعودية مباشرة عبر «واثق»، وتُظهر كل مستفيد حقيقي عبر طبقات الملكية، وتغطي المعيارين: ملكية 25% والسيطرة الفعلية [15].
• المخاطر والملاءمة والعناية الواجبة المعززة. يحصل كل عميل على درجة مخاطر في أثناء التهيئة، مع تقييم الملاءمة والتأهيل في المسار نفسه. وتحوّل الإجابات عالية المخاطر العميلَ إلى مسارات العناية الواجبة المعززة تلقائيًا [14]. وتُقيَّم مخاطر الدول تلقائيًا كل أسبوع [15].
• الاعتماد. يعتمد معتمِدون من المستوى الأول والثاني الملفَّ قبل تفعيله [14].
• الفحص. أكثر من 2,700 قائمة مراقبة دولية، و«نافذ» و«مكّن»، والتقارير الإعلامية السلبية من أكثر من 600 ألف مصدر، مع فحص مستمر، وخوارزمية مطابقة للأسماء العربية، وتوصيات مطابقة مدعومة بالذكاء الاصطناعي [15].
• التحديث والسجلات. تصدر تنبيهات انتهاء صلاحية الهوية و«اعرف عميلك» قبل أن تتقادم السجلات. ويحتفظ كل ملف بسجل إصدارات كامل لـ«اعرف عميلك» دون استبدال أي نسخة [14]. وسجلات كاملة قابلة للتدقيق [15].
• البيانات واللغة. جميع البيانات مستضافة في المملكة العربية السعودية، في قاعدة بيانات مستقلة لكل عميل. والمنصة وكل ما يراه العملاء ثنائية اللغة بالكامل، بالعربية والإنجليزية [15].

وتبقى بعض المسؤوليات على فريقك أيًا كان النظام: تحديد مستوى تقبّل المخاطر، والحكم على السيطرة حين لا يبلغ أحد 25%، واعتماد الأشخاص المعرّضين سياسيًا، وتقدير متى تحتاج الحالة إلى بلاغ.

لتشاهد عين وهي تهيئ عميلًا من النموذج الأول حتى الاعتماد، احجز عرضًا تجريبيًا عبر getdal.sa.