تقلب از تقلب آغاز نمیشود؛ از ریسکهای مدیریتنشده آغاز میشود
در بسیاری از سازمانها، هنگامی که سخن از تقلب به میان میآید، ذهن مدیران و کارشناسان بلافاصله به کشف متخلف، بررسی خسارت، شناسایی عاملان و جلوگیری از تکرار حادثه معطوف میشود. این رویکرد اگرچه ضروری است، اما تنها به آخرین حلقه از زنجیرهای توجه میکند که مدتها قبل از وقوع تقلب آغاز شده است. واقعیت این است که هیچ تقلبی بهصورت ناگهانی و بدون مقدمه رخ نمیدهد. هر تقلب، نتیجه مجموعهای از ضعفهای مدیریتی، فرآیندی، کنترلی و فرهنگی است که به مرور زمان شکل گرفتهاند و در نهایت بستری مناسب برای سوءاستفاده ایجاد کردهاند. به همین دلیل، سازمانهای پیشرو دیگر تقلب را صرفاً یک رویداد امنیتی یا مالی نمیدانند، بلکه آن را شاخصی برای سنجش کیفیت حاکمیت سازمانی، بلوغ مدیریت ریسک و اثربخشی کنترلهای داخلی تلقی میکنند.
در دنیای امروز که سازمانها با حجم عظیمی از دادهها، فناوریهای نوین، زنجیرههای تأمین پیچیده، خدمات دیجیتال و تهدیدهای سایبری مواجه هستند، نگاه سنتی به مدیریت تقلب دیگر پاسخگوی نیازها نیست. هرچه فرآیندها دیجیتالیتر میشوند، فرصتهای سوءاستفاده نیز پیچیدهتر و پنهانتر خواهند شد. در چنین شرایطی، تمرکز صرف بر کشف متقلبان، بدون توجه به دلایل شکلگیری تقلب، مانند درمان علائم یک بیماری بدون شناسایی علت اصلی آن است.
تقلب معمولاً از جایی آغاز میشود که نظارت کافی وجود ندارد. زمانی که مسئولیتها بهدرستی تعریف نشدهاند، فرآیندها مبهم هستند، کنترلهای داخلی ناقص عمل میکنند یا فرهنگ پاسخگویی در سازمان ضعیف است، احتمال وقوع تخلف به شکل قابل توجهی افزایش مییابد. افراد متخلف معمولاً نخستین کسانی نیستند که ضعفهای سازمان را کشف میکنند؛ بلکه آنها تنها از ضعفهایی استفاده میکنند که مدتها قبل ایجاد شدهاند و کسی برای اصلاح آنها اقدام نکرده است.
سازمانهایی که آیندهنگر هستند، مدیریت تقلب را نه یک فعالیت واکنشی، بلکه بخشی از استراتژی مدیریت ریسک، حاکمیت شرکتی و تحول دیجیتال میدانند.
یکی از مهمترین عوامل شکلگیری بستر تقلب، ضعف در حاکمیت سازمانی است. حاکمیت سازمانی تنها به معنای وجود هیئتمدیره یا تدوین آییننامهها نیست، بلکه مجموعهای از سیاستها، مسئولیتها، فرآیندهای تصمیمگیری و سازوکارهای نظارتی است که جهت حرکت سازمان را تعیین میکند. زمانی که مدیران ارشد نسبت به مدیریت ریسک بیتفاوت باشند، گزارشهای کنترلی را جدی نگیرند یا فرهنگ شفافیت را تقویت نکنند، پیام غیرمستقیمی به کارکنان ارسال میشود؛ اینکه کنترلها اهمیت چندانی ندارند و رعایت اصول اخلاقی در اولویت سازمان نیست.
فرهنگ سازمانی نیز نقش تعیینکنندهای در پیشگیری از تقلب دارد. در سازمانهایی که کارکنان احساس امنیت نمیکنند، امکان گزارش تخلفات وجود ندارد یا مدیران به هشدارهای کارکنان توجهی ندارند، بسیاری از مشکلات تا زمان تبدیل شدن به بحران پنهان باقی میمانند. برعکس، در سازمانهایی که فرهنگ صداقت، شفافیت و پاسخگویی نهادینه شده است، احتمال شناسایی سریع ریسکها و جلوگیری از سوءاستفاده بسیار بیشتر خواهد بود.
شکافهای فرآیندی، مرحله بعدی شکلگیری تقلب هستند. فرآیندهای پیچیده، غیرشفاف یا قدیمی، زمینه مناسبی برای دور زدن کنترلها ایجاد میکنند. اگر یک فرآیند بهگونهای طراحی شده باشد که اجرای آن وابسته به تصمیم فردی باشد، یا مسئولیتها بهدرستی تفکیک نشده باشند، احتمال سوءاستفاده افزایش مییابد. بسیاری از پروندههای بزرگ تقلب نشان دادهاند که متخلفان از فناوریهای پیشرفته استفاده نکردهاند، بلکه تنها از ضعف طراحی فرآیندها بهره بردهاند.
در بسیاری از سازمانها، فرآیندها در طول سالها و بهصورت تدریجی توسعه یافتهاند. تغییر قوانین، افزایش حجم فعالیتها، ورود سامانههای جدید و تغییر ساختار سازمانی باعث شده است که برخی فرآیندها دیگر با شرایط فعلی همخوانی نداشته باشند. همین موضوع باعث ایجاد مسیرهای غیررسمی، راهکارهای موقت و میانبرهایی میشود که در نهایت به نقاط آسیبپذیر سازمان تبدیل خواهند شد.
پس از ایجاد شکافهای فرآیندی، آسیبپذیریها شکل میگیرند. آسیبپذیریها میتوانند فنی، عملیاتی، مالی یا انسانی باشند. ضعف در کنترلهای دسترسی، نبود ثبت مناسب فعالیت کاربران، فقدان نظارت بر تراکنشها، نبود کنترلهای چندمرحلهای، ضعف در اعتبارسنجی دادهها یا حتی آموزش ناکافی کارکنان، همگی نمونههایی از آسیبپذیریهایی هستند که میتوانند زمینه وقوع تقلب را فراهم کنند.
در عصر تحول دیجیتال، آسیبپذیریها دیگر محدود به سیستمهای اطلاعاتی نیستند. الگوریتمهای هوش مصنوعی، سامانههای ابری، APIها، خدمات آنلاین و حتی دستگاههای اینترنت اشیا نیز میتوانند به نقاط جدید حمله تبدیل شوند. به همین دلیل، مدیریت ریسک باید همواره با تحول فناوری همگام باشد.
وقتی آسیبپذیریها شناسایی و اصلاح نشوند، به فرصتهای تقلب تبدیل میشوند. فرصت تقلب به این معناست که فرد یا گروهی بتواند بدون احتمال بالای کشف شدن، از ضعفهای موجود برای دستیابی به منافع شخصی استفاده کند. نظریه مشهور «مثلث تقلب» بیان میکند که وقوع تقلب معمولاً نتیجه ترکیب سه عامل است: انگیزه، فرصت و توجیه. از میان این سه عامل، تنها عاملی که سازمان میتواند بهطور مستقیم کنترل کند، فرصت است.
کاهش فرصتهای تقلب از طریق طراحی مناسب فرآیندها، تفکیک وظایف، افزایش شفافیت، کنترلهای داخلی مؤثر، نظارت مستمر و تحلیل دادهها امکانپذیر است. هرچه فرصت سوءاستفاده کمتر باشد، احتمال وقوع تقلب نیز کاهش مییابد.
در نهایت، اگر فرصتهای ایجادشده نیز مدیریت نشوند، سازمان با رخداد تقلب مواجه خواهد شد. اما تقلب پایان مسیر نیست؛ بلکه آغاز زنجیرهای از خسارتهاست. نخستین پیامد، زیان مالی است. این زیان ممکن است بهصورت مستقیم از طریق سرقت داراییها یا درآمدها ایجاد شود یا بهصورت غیرمستقیم از طریق هزینههای تحقیق، رسیدگی قضایی، جبران خسارت و اصلاح سامانهها به سازمان تحمیل شود.
پیامد دوم، آسیب به اعتبار سازمان است. در بسیاری از صنایع، اعتماد مشتریان مهمترین دارایی سازمان محسوب میشود. انتشار اخبار مربوط به تقلب میتواند این اعتماد را بهشدت کاهش دهد. مشتریانی که احساس کنند اطلاعات یا سرمایه آنها در معرض خطر قرار دارد، بهسرعت به سمت رقبا حرکت خواهند کرد.
سومین پیامد، فشارهای قانونی و رگولاتوری است. بسیاری از صنایع مانند بانکداری، بیمه، مخابرات، سلامت و انرژی تحت نظارت شدید نهادهای قانونگذار قرار دارند. وقوع تقلب میتواند منجر به جریمههای سنگین، محدودیتهای عملیاتی، افزایش الزامات نظارتی و حتی تعلیق برخی مجوزها شود.
در سالهای اخیر، سازمانها به این نتیجه رسیدهاند که بهترین راه مقابله با تقلب، سرمایهگذاری بر پیشگیری است. هزینه ایجاد کنترلهای مؤثر، توسعه سامانههای هوشمند، آموزش کارکنان و بهبود فرآیندها بهمراتب کمتر از هزینههای ناشی از یک تقلب بزرگ خواهد بود.
هوش مصنوعی یکی از مهمترین ابزارهای تحول در این حوزه است. برخلاف سامانههای سنتی که بر قوانین ثابت متکی هستند، الگوریتمهای هوش مصنوعی قادرند رفتارهای غیرعادی را شناسایی کنند، ارتباطات پنهان میان دادهها را کشف کنند و حتی قبل از وقوع تقلب هشدارهای لازم را ارائه دهند. تحلیل رفتار کاربران، تحلیل شبکه ارتباطات، یادگیری ماشین، تحلیل گراف و تحلیل پیشگویانه تنها بخشی از فناوریهایی هستند که امروز در مدیریت ریسک و تقلب مورد استفاده قرار میگیرند.
با این حال، هوش مصنوعی جایگزین حاکمیت سازمانی نخواهد شد. بهترین الگوریتمها نیز نمیتوانند ضعف در فرهنگ سازمانی یا نبود مسئولیتپذیری مدیران را جبران کنند. فناوری زمانی مؤثر است که در کنار فرآیندهای صحیح، کنترلهای مناسب و فرهنگ سازمانی سالم بهکار گرفته شود.
امروزه فناوریهایی مانند هوش مصنوعی، تحلیل رفتاری، تحلیل گراف، یادگیری ماشین و تحلیل پیشگویانه به سازمانها کمک میکنند تا قبل از وقوع خسارت، الگوهای پرریسک را شناسایی کنند. اما حتی پیشرفتهترین فناوریها نیز نمیتوانند جایگزین حاکمیت مؤثر، فرهنگ سازمانی سالم و کنترلهای داخلی کارآمد شوند.
حمید کریمی
سازمانهای موفق آینده، دیگر تقلب را صرفاً یک مسئله واحد حسابرسی یا امنیت اطلاعات نخواهند دانست. آنها مدیریت تقلب را بخشی از استراتژی کلان مدیریت ریسک، حاکمیت داده، تحول دیجیتال و تابآوری سازمانی در نظر خواهند گرفت. در این رویکرد، واحدهای مالی، فناوری اطلاعات، منابع انسانی، امنیت، حسابرسی داخلی، مدیریت ریسک و مدیریت ارشد همگی در ایجاد یک اکوسیستم مقاوم در برابر تقلب نقش دارند.
در صنایع فناوریمحور مانند مخابرات، اهمیت این موضوع دوچندان است. اپراتورهای مخابراتی روزانه میلیاردها رکورد داده تولید میکنند و کوچکترین ضعف در کنترلها میتواند به سوءاستفادههایی مانند SIM Box Fraud، تقلب در رومینگ، سوءاستفاده از خدمات ارزش افزوده یا نشت درآمد منجر شود. در چنین محیطی، مدیریت تقلب دیگر یک فعالیت واکنشی نیست؛ بلکه بخشی از هوش عملیاتی شبکه محسوب میشود.
در نهایت باید پذیرفت که هیچ سازمانی نمیتواند وقوع تقلب را بهطور کامل حذف کند، اما هر سازمانی میتواند احتمال وقوع آن را به میزان قابل توجهی کاهش دهد. این هدف زمانی محقق میشود که تمرکز از کشف متقلبان به مدیریت ریسکهای مولد تقلب تغییر کند. سازمانهایی که تنها پس از وقوع تقلب وارد عمل میشوند، همواره یک گام از متخلفان عقب خواهند بود. اما سازمانهایی که ریسکها را شناسایی، فرآیندها را اصلاح، کنترلها را تقویت و فرهنگ پاسخگویی را نهادینه میکنند، نهتنها احتمال وقوع تقلب را کاهش میدهند، بلکه اعتماد ذینفعان، پایداری کسبوکار و مزیت رقابتی خود را نیز تقویت خواهند کرد.
به همین دلیل، مهمترین درس مدیریت تقلب در دنیای امروز این است که تقلب از تقلب آغاز نمیشود؛ از ریسکهای مدیریتنشده آغاز میشود. هرچه سازمانها زودتر این واقعیت را بپذیرند و نگاه خود را از «واکنش به تقلب» به «مدیریت ریسکهای ایجادکننده تقلب» تغییر دهند، آیندهای امنتر، پایدارتر و قابل اعتمادتر برای کسبوکار خود رقم خواهند زد.