مصرف الإمارات المركزي يفعّل لائحة جديدة لإدارة المخاطر التشغيلية للبنوك والمؤسسات المالية

فعّل مصرف الإمارات المركزي لائحة إدارة المخاطر التشغيلية في 14 سبتمبر 2026، مقدماً متطلبات أكثر صرامة للبنوك والمؤسسات المالية المرخصة لحماية استمرارية الخدمات. وتستهدف اللائحة المخاطر الناجمة عن انقطاعات التكنولوجيا والهجمات السيبرانية والاحتيال وفشل النظم الداخلية واضطرابات مقدمي الخدمات الخارجيين الذين تعتمد عليهم المؤسسات بشكل متزايد. وذكرت غلف نيوز أن اللائحة جرى توزيعها على فرق إدارة البنوك، وهي تحل محل المعيار السابق الصادر عام 2018 مع تركيز أقوى على نتائج المرونة القابلة للقياس.

ويجب على كل مؤسسة تحديد عملياتها الحرجة بناء على نموذج أعمالها، وفق ما أوضح مصرف الإمارات المركزي. وتشمل هذه العمليات عادة الدفعات وتحويلات الأموال، والوصول إلى الحسابات ومعالجة الرواتب، وعمليات البطاقات وغيرها من الخدمات الأساسية للعملاء التي قد يسبب انقطاعها ضرراً كبيراً. كما يتعين على المؤسسات تحديد مستويات صريحة للتسامح مع الاضطرابات تحدد كلاً من الحد الأقصى المقبول لمدة الانقطاع وعتبة التأثير لكل عملية من هذا القبيل.

ووجد تقييم أجرته كرو الإمارات للائحة أن القواعد تحول التركيز من مجرد التأكد من وجود الضوابط إلى إثبات قدرة العمليات الحرجة على الاستمرار ضمن التسامحات المحددة أثناء الاضطرابات. ويتوقع مصرف الإمارات المركزي من مجالس الإدارة والمديرين التنفيذيين الكبار الحفاظ على الإشراف المباشر بدلاً من تفويض الموضوع حصرياً إلى فرق تكنولوجيا المعلومات. ويشكل هذا المستوى من الحوكمة جزءاً من نهج متكامل يربط بين إدارة المخاطر واستمرارية الأعمال والاعتماد على الجهات الخارجية.

وتفرض اللائحة إدارة قوية لمخاطر تكنولوجيا المعلومات والاتصالات إلى جانب برامج الأمن السيبراني التي تشمل حماية النظم والبيانات، ورصد الثغرات، واختبارات منتظمة لخطط استمرارية الأعمال واستعادة الكوارث. ويجب على المؤسسات المالية المرخصة الاحتفاظ بسجل رئيسي للنظم داخل الدولة بشكل مستمر، حتى في حال الاستعانة بمصادر خارجية، مع استثناءات محدودة وموافقة مسبقة. وأشارت كرو الإمارات إلى أنه يتعين الإبلاغ عن الأحداث الكبيرة للمخاطر التشغيلية التي تؤثر على العمليات الحرجة إلى مصرف الإمارات المركزي خلال أربع ساعات.

وتبني المتطلبات الجديدة على مبادرات سابقة لمصرف الإمارات المركزي، بما في ذلك إطلاق مركز عمليات مكافحة الاحتيال في مايو 2026 الذي صُمم للمراقبة في الوقت الفعلي والاستجابة السريعة للأنشطة الاحتيالية. وجاءت هذه المنصة مصحوبة بتوجيهات تحث على تقليل الاعتماد على طرق المصادقة أحادية العامل مثل كلمات المرور لمرة واحدة المعتمدة على الرسائل النصية القصيرة، لصالح ضوابط أقوى متعددة الطبقات. وتشير التحليلات القانونية لقانون البنوك الأوسع الصادر عام 2025 الذي تدعمه اللائحة إلى أن الحد الأقصى للعقوبات على المخالفات ارتفع إلى مليار درهم، مما يعكس ارتفاع توقعات الرقابة.

وقد تصاعدت التهديدات السيبرانية الإقليمية في السنوات الأخيرة، مما دفع مصرف الإمارات المركزي إلى دمج معايير المرونة هذه عبر القطاع المالي. كما تتماشى القواعد مع المرسوم بقانون اتحادي رقم 6 لسنة 2025 بشأن مصرف الإمارات المركزي والمؤسسات المالية، الذي وسع النطاق التنظيمي ليشمل مزودي خدمات التكنولوجيا الذين يسهلون الأنشطة المالية. ويسمح إطار انتقالي لمدة عام واحد بموجب القانون للكيانات بمواءمة عملياتها، فيما باتت إجراءات المخاطر التشغيلية تشكل أولوية امتثال فورية للمؤسسات.