تكليف التدقيق السيبراني للقطاع المصرفي في الجزائر: من يجب أن يلتزم وكيف يبدو المدققون

كيف تجمّع نظام التدقيق

لم يظهر نظام التدقيق السيبراني المصرفي في الجزائر بين عشية وضحاها. إنه التقاء ثلاثة محاور تنظيمية:

1. مسار التحديث الخاص بـ Bank of Algeria. قانون 23-09 بشأن النقد والائتمان، الذي تلاه النظام 24-04 المؤرخ في 13 أكتوبر 2024 بشأن البنوك الرقمية، أدخل متطلبات إيداع وضمان رسمية للأمن السيبراني لأي بنك يسعى إلى ترخيص للعمل في قطاع البنوك الرقمية.
2. الاستراتيجية الوطنية للأمن السيبراني 2025-2029. قنّن المرسوم الرئاسي 25-321 المؤرخ في 30 ديسمبر 2025 استراتيجية ذات خمس ركائز تفرض صراحة عمليات تدقيق أمنية للبنية التحتية الحيوية وتنظيمات أمن سيبراني خاصة بقطاعات البنوك والصحة والطاقة.
3. المرسوم التشغيلي. شرّع المرسوم الرئاسي 26-07 المؤرخ في 7 يناير 2026 هيكل حوكمة الأمن السيبراني — وحدات أمن سيبراني مخصصة، وخطوط إبلاغ CISO، وجدولة التدقيق التي تُدار تحت توجيه ASSI (وكالة أمن نظم المعلومات).

تشكل هذه الأدوات معاً الآن تكليفاً للتدقيق متماسكاً لقطاع البنوك الجزائري. تحل محل بيئة سابقة كانت فيها عمليات التدقيق السيبراني متفرقة، تُجرى أحياناً وفقاً لتقدير الإدارة، ونادراً ما كانت متوافقة مع إطار وطني.

من يجب أن يلتزم

النطاق أوسع مما يدركه العديد من المسؤولين التنفيذيين في البداية. يغطي:

• جميع البنوك العمومية — BNA، CPA، BADR، BEA، BDL، CNEP — كمشغلين أساسيين للبنية التحتية المعلوماتية الحيوية بموجب الاستراتيجية.
• جميع البنوك الخاصة العاملة في الجزائر — Société Générale Algérie، AGB، Trust Bank، Natixis Algérie، Fransabank El Djazaïr، HSBC Algeria، Gulf Bank Algeria، وغيرها. الملكية الخاصة لا تعفي من تصنيف CII عندما تمس الخدمات سكك الدفع النظامية.
• مشغلو البنية التحتية للدفع — SATIM (شركة أتمتة المعاملات بين البنوك والمدفوعات الإلكترونية) وGIE Monétique (التجمع الاقتصادي بين البنوك المسؤول عن تنظيم الدفع الإلكتروني). تقع هاتان المؤسستان في قلب المعاملات بدون نقد في الجزائر؛ لم يكن إدراجهما في نظام التدقيق موضع شك.
• المتقدمون لترخيص البنوك الرقمية. وفقاً للنظام 24-04، يجب على أي كيان يتقدم للحصول على ترخيص بنك رقمي تقديم تقرير أمن سيبراني من شركة مستقلة ذات مراجع موثوقة، يصف ضمانات الأمن لأنظمة المعلومات والتكنولوجيا المستخدمة لحماية العملاء.
• شركات Fintech العاملة ككيانات مالية منظمة. الشركات الناشئة fintech النشطة في الجزائر التي تُقدّر بـ 30-35 — تغطي المدفوعات الرقمية والبنوك المتنقلة والبنية التحتية المالية وخدمات الدعم — تدخل تدريجياً المحيط مع حصولها على تراخيص أو شراكتها مع بنوك مرخصة.

كيف يبدو التدقيق

ASSI هي المرجع التقني الرئيسي لنطاق التدقيق؛ Bank of Algeria هي السلطة القطاعية للإنفاذ. يغطي نطاق التدقيق الأساسي الناشئ:

• مراجعة نظام إدارة أمن المعلومات (ISMS)، عادة ما يتم تعيينها على ضوابط ISO/IEC 27001، مع إضافات خاصة بالجزائر حول إقامة البيانات السيادية وإبلاغ الحوادث.
• اختبار الاختراق التقني للأنظمة المواجهة للإنترنت والأنظمة الداخلية، بما في ذلك تطبيقات البنوك المتنقلة، وبوابات العملاء، ووحدات تحكم الإدارة الخلفية.
• ضوابط خاصة بنظام الدفع — فحوصات متوافقة مع PCI DSS لاكتساب البطاقات وإصدار البطاقات وشبكات أجهزة الصراف الآلي ومحوّلات الدفع. تحظى الأنظمة المتصلة بـ SATIM وGIE Monétique بتدقيق خاص.
• مراجعة مخاطر الأطراف الثالثة والموردين — مقدمو السحابة، وموردو نظام البنوك الأساسي، ومقدمو الخدمات المُدارَة كلهم يدخلون محيط التدقيق.
• استمرارية الأعمال والتعافي من الكوارث — تقييمات RTO/RPO وتمرين حقيقي لإجراءات التعافي.
• جاهزية الاستجابة للحوادث وإبلاغها، بما في ذلك القدرة على إخطار ASSI ضمن النوافذ التي يتم تحديدها في توجيهاتها، إلى جانب إخطارات الإشراف من Bank of Algeria.
• مراجعة الحوكمة — تعيين CISO، والاستقلالية عن إدارة تكنولوجيا المعلومات، وإبلاغ مستوى مجلس الإدارة، ونضج السياسات.
• الامتثال لحماية البيانات بالقانون 18-07 بشأن حماية البيانات الشخصية.

التواتر متدرج. من المتوقع أن تخضع البنوك ذات الأهمية النظامية ومشغلي الدفع لعمليات تدقيق كاملة سنوياً، مع اختبارات تقنية مرحلية أكثر تواتراً (اختبار الاختراق، تقييمات الثغرات). قد تعمل المؤسسات الأصغر بوتيرة تدقيق كامل كل سنتين أو ثلاث سنوات مع مراجعات مرحلية أخف.

من يتأهل كمدقق

من أكثر العناصر أهمية في النظام الناشئ سؤال من يمكنه فعلياً توقيع تقرير تدقيق أمن سيبراني تقبله Bank of Algeria. تشير الاستراتيجية والتوجيه القطاعي إلى عدة معايير تأهيل:

• الاستقلالية. يجب أن تكون شركة التدقيق مستقلة تنظيمياً وتجارياً عن الكيان الخاضع للتدقيق — لا توجد عقود تنفيذ متزامنة على نفس الأنظمة.
• مراجع قابلة للإثبات. يُتوقع وجود عمل سابق على برامج الأمن السيبراني للقطاع المالي. بالنسبة للمتقدمين للبنوك الرقمية، فإن متطلب “المراجع الموثوقة” صريح.
• المؤهلات التقنية للمدققين الرئيسيين. الاعتمادات المعترف بها دولياً (CISA، ISO 27001 Lead Auditor، CISSP، CEH/OSCP للعمل التقني) هي المعيار الفعلي. يُتوقع أن تنشر ASSI قائمتها الخاصة بالشركات المؤهلة والحد الأدنى من اعتمادات المدققين.
• الحضور المحلي. الشركات المسجلة في الجزائر، أو الشركات الدولية العاملة من خلال كيان محلي، مفضلة — لأسباب عملية ولمواءمة توقعات إقامة البيانات السيادية.

تعمل Big Four والمتخصصون الدوليون في الأمن السيبراني (EY، KPMG، Deloitte، PwC، Mazars) في الجزائر. تشمل الشركات المحلية ذات العمق القطاعي EKSec وArchipels وEdgia وعدة متخصصين ناشئين. توقع نشاط توحيد وشراكة مع تشريع سوق التدقيق.

العقوبات والإنفاذ

جداول العقوبات العامة لم تُحدد بالكامل بعد في النص المنشور. وفقاً للوائح الأمن السيبراني العامة وسلطات الإشراف لـ Bank of Algeria، يمكن أن تتراوح عواقب عدم الامتثال المادي من:

• خطابات إشراف رسمية وخطط معالجة إلزامية ذات مواعيد نهائية محددة.
• تقييد التراخيص لبعض الأنشطة (البنوك الرقمية، إطلاق منتجات جديدة) حتى اكتمال المعالجة.
• غرامات إدارية تتناسب مع طبيعة الانتهاك ونطاقه.
• في الحالات الأشد خطورة — لا سيما حيث تكون بيانات العملاء معرضة للخطر ولا يتم الوفاء بالتزامات الإبلاغ — الإحالة إلى الإجراءات الجنائية.

العقوبة الأخف لكنها الأكثر فورية هي السمعة. سيكون البنك الذي يفشل في تدقيق في 2026 في وضع تنافسي غير مؤات بشكل واضح في السباق لتقديم خدمات البنوك الرقمية.

خارطة طريق امتثال عملية

بالنسبة لـ CISO بنكي أو مسؤول امتثال يقرأ هذا في أبريل 2026، خطة العمل الواقعية للأشهر الـ 12 القادمة:

1. أكد حالة CII كتابياً مع Bank of Algeria وASSI. الغموض ليس دفاعاً.
2. اطلب تقييم فجوة قبل التدقيق مقابل ISO 27001 وPCI DSS وأساس ASSI الناشئ. افعل ذلك مع شركة لن تدير معالجتك لاحقاً.
3. أنشئ وحدة الأمن السيبراني وفقاً للمرسوم 26-07 — مستقلة عن تكنولوجيا المعلومات، ترفع تقاريرها مباشرة إلى رئيس التنفيذ.
4. عزّز قاعدة أدلة التدقيق — السياسات الموثقة، السجلات، سجلات الحوادث، سجلات التدريب، عقود الموردين بشروط أمنية.
5. قم بتمرين tabletop للحوادث يتضمن محاكاة الإخطار لـ ASSI وBank of Algeria.
6. جدول التدقيق الخارجي الأول مع شركة مؤهلة قبل أن يجدوله المشرف لك.

إلى أين يتجه هذا

قطاع البنوك الجزائري في منتصف الطريق نحو تحول رقمي — المدفوعات المتنقلة، التحويلات الفورية، إطلاق البنوك الرقمية فقط، شراكات fintech — كان من غير المتصور قبل عقد من الزمن. تكليف التدقيق هو العمود الفقري التنظيمي الذي يسمح لذلك التحول بالاستمرار دون تعريض الاستقرار النظامي للخطر. إنه صارم، لكنه متوافق مع كيفية الإشراف على الأنظمة المالية الحديثة في أوروبا والخليج وأماكن أخرى. بالنسبة للبنوك الجزائرية، الفرصة هي استخدام الامتثال كمحفز للنضج الأمني الحقيقي — وليس مجرد تمرين شكلي.

المصادر والقراءات الإضافية

• Algeria Rolls Out New Digital Banking Rules — LaunchBase Africa
• Introduction to Regulation 24-04 of 13 October 2024 — Algeria Invest
• Algeria Strengthens Cybersecurity Framework to Protect National Infrastructure — TechAfrica News
• An Overview of Cybersecurity Regulations in Algeria: Compliance, Reporting, and Penalties — Generis Online
• Algeria’s Fintech Ecosystem in 2026 by Building Momentum — The Fintech Times