محامو مستندات الامتثال
نبني حزمة سياسات الامتثال التي تحتاجها منشأتك بصياغة قابلة للتطبيق.
نظرة عامة
الامتثال بلا وثائق ادعاء لا أكثر. عند أول تدقيق أو حادثة، السؤال ليس «هل كنتم ملتزمين؟» بل «أروني السياسة والسجل وتاريخهما». الشركات التي تعمل بممارسات جيدة غير مكتوبة تجد نفسها في موقف من لم يلتزم أصلاً، وهو ظلم لكنه واقع إجرائي.
نعدّ وثائق الامتثال بما يطابق نشاطكم الفعلي: سياسات مكافحة غسل الأموال واعرف عميلك، سياسات حماية البيانات وإجراءات التعامل مع الحوادث، مدونة السلوك وتعارض المصالح، سياسات الإبلاغ الداخلي، وإجراءات الاحتفاظ بالسجلات وإتلافها.
نتجنّب الوثائق المنسوخة عمداً. السياسة التي لا تعكس ما تفعله الشركة فعلاً هي دليل مخالفة لا دليل امتثال، لأنها تُظهر فجوة موثقة بين ما التزمتم به كتابة وما ينفّذه فريقكم يومياً.
الإطار النظامي
وثائق الامتثال تُبنى على الأنظمة المنطبقة على نشاط المنشأة:
- نظام مكافحة غسل الأموال وتمويل الإرهاب ولوائحه
- نظام حماية البيانات الشخصية ولائحته التنفيذية
- متطلبات الجهات الرقابية بحسب القطاع
- لائحة حوكمة الشركات وأحكام تعارض المصالح
- الضوابط الأساسية للأمن السيبراني للجهات الخاضعة لها
- نظام العمل في السياسات الداخلية ولوائح تنظيم العمل
حالات نتعامل معها
شركة تدخل نشاطاً منظّماً
السياسات جزء من ملف الترخيص نفسه، ولا تُقبل نماذج عامة غير مكيّفة على النشاط.
استعداد لتدقيق رقابي
التدقيق يطلب السياسة والسجل والتاريخ. الوثيقة بلا سجل تطبيق لا تكفي وحدها.
بناء إجراءات اعرف عميلك
تُبنى كإجراء تشغيلي موثق داخل النظام، لا كخطوة واحدة عند التسجيل.
سياسة استجابة لحوادث البيانات
الساعات الأولى تحدد حجم الأثر. الإجراء المكتوب مسبقاً هو ما يجعل الاستجابة ممكنة.
مدونة سلوك وتعارض مصالح
الإفصاح المنظم يمنع نزاعات الشركاء ويحمي المديرين عند المساءلة لاحقاً.
أخطاء شائعة تكلّف كثيراً
- 1
سياسات منسوخة من شركة أخرى
الوثيقة التي لا تطابق الواقع التشغيلي تُظهر فجوة موثقة وتُستخدم ضدك في التدقيق.
- 2
وثيقة بلا سجل تطبيق
السياسة دون سجل تدريب ومراجعة وتنفيذ تبقى نصاً بلا أثر عند أول سؤال.
- 3
عدم تحديث السياسات بعد التعديلات
السياسة الصحيحة قبل سنتين قد تكون مخالفة اليوم بعد تعديل نظامي في موضوعها.
- 4
تجاهل التدريب
المخالفات تقع من الفريق التشغيلي لا من الإدارة. السياسة غير المدرَّب عليها لا تُنفَّذ.
كيف يسير الإجراء خطوة بخطوة
الامتثال يُثبت بالوثيقة والسجل لا بالنية. عند الفحص أو التحقيق، ما لا يوجد له سجل يُعتبر غير مطبَّق.
- 1
تحديد الالتزامات المنطبقة فعلاً
نحصر ما ينطبق على نشاطك تحديداً: حماية البيانات، مكافحة غسل الأموال، السلامة، الأنظمة القطاعية، والعمل. القائمة العامة تُنتج سياسات لا تُطبَّق، ولذلك نبدأ من نشاطك.
- 2
بناء السياسات القابلة للتطبيق
نصوغ كل سياسة بإجراء واضح ومسؤول ومهلة. سياسة تصف المبادئ دون إجراء تنفيذي هي مستند أرشيفي لا يحمي المنشأة عند المساءلة.
- 3
السجلات وأدلة التطبيق
نُنشئ السجلات المطلوبة: سجل المعالجة، سجل التدريب، سجل الحوادث، وسجل الإفصاح عن تعارض المصالح. السجل هو الدليل، والسياسة وحدها ليست دليلاً.
- 4
التدريب والإقرار
نُعد مواد تدريب وإقراراً موقعاً من الموظفين المعنيين. الإقرار الموقع هو ما ينقل المسؤولية من الكيان إلى المخالف الفردي عند التجاوز.
- 5
المراجعة الداخلية والتحديث
نضع دورة مراجعة تختبر التطبيق فعلياً لا وجود الوثيقة. النظام الذي يُراجع مرة سنوياً يبقى صالحاً، وغير المراجَع يتحول إلى وثائق قديمة لا تطابق العمل.
المستندات التي نطلبها منك
- وصف النشاط والأنظمة المنطبقة
- السياسات والإجراءات الحالية
- الهيكل التنظيمي ومصفوفة الصلاحيات
- سجلات التدريب المتوفرة
- تقارير المراجعة الداخلية أو الخارجية
- أي مخالفة أو ملاحظة سابقة من جهة رقابية
التكلفة والمدة
حزمة وثائق الامتثال تُقدَّم بأتعاب ثابتة بحسب النشاط وعدد السياسات المطلوبة. المراجعة الدورية والتحديث بعد التعديلات النظامية تُقدَّم باتفاق سنوي. التدريب يُسعَّر لكل جلسة أو برنامج.
المدة: الحزمة الأساسية من أسبوعين إلى أربعة أسابيع بحسب حجم النشاط وعدد الجهات الرقابية المعنية. المراجعة والتحديث لسياسات قائمة من أسبوع إلى أسبوعين.
أسئلة متكررة
ما السياسات التي نحتاجها؟
يعتمد على نشاطكم والجهة الرقابية المشرفة. الحد الأدنى العام: حماية البيانات، تعارض المصالح، والاحتفاظ بالسجلات. الأنشطة المالية والصحية والتقنية تضيف سياسات قطاعية إلزامية.
هل يكفي وجود السياسة مكتوبة؟
لا. التدقيق يطلب السياسة وسجل تطبيقها معاً: التدريب، المراجعات، وسجلات التنفيذ. الوثيقة بلا سجل تطبيق تُقرأ كإجراء شكلي لا كامتثال فعلي.
هل يمكن استخدام نماذج جاهزة؟
النموذج نقطة بداية فقط. السياسة التي لا تطابق ما تفعله الشركة فعلاً تُظهر فجوة موثقة بين المكتوب والمنفّذ، وهي أسوأ من عدم وجود سياسة في بعض الحالات.
متى نحدّث السياسات؟
عند أي تعديل نظامي في موضوعها، وعند تغيّر جوهري في النشاط أو الأنظمة التقنية، وبمراجعة دورية سنوية على الأقل حتى دون تغيير.
ما إجراءات اعرف عميلك؟
التحقق من الهوية ومراقبة العمليات وحفظ السجلات والإبلاغ عن العمليات المشبوهة، مبنية كإجراء تشغيلي موثق داخل النظام لا كخطوة واحدة عند التسجيل.
هل تشمل الخدمة التدريب؟
نعم، ونوصي به بشدة: المخالفات تقع عادة من الفريق التشغيلي لا من الإدارة، والسياسة غير المدرَّب عليها لا تُنفَّذ مهما كانت جيدة الصياغة.
ماذا نفعل عند وقوع حادثة؟
نتّبع إجراء الاستجابة المكتوب: الاحتواء، التوثيق، تقييم الأثر، ثم الإبلاغ وفق المتطلبات. الارتجال في الساعات الأولى هو ما يضاعف الأثر النظامي عادة.
هل تراجعون سياساتنا القائمة؟
نعم، بمراجعة تحدد الفجوات بين المكتوب والمطلوب نظاماً وبين المكتوب والمنفّذ فعلياً، مع تعديلات مقترحة جاهزة للاعتماد.
أين نقدّم هذه الخدمة
نخدم موكلين في جميع مناطق المملكة. معظم المراحل تُدار عن بُعد، ونحضر أمام الجهة المختصة في منطقتك عند الحاجة.