مدير إدارة المخاطر لدى الموردين

• إجراء العناية الواجبة على الموردين الجدد قبل توقيع العقود، بما في ذلك فحوصات الصحة المالية، ومراجعة SOC 2 / ISO 27001، وتاريخ الاختراقات، ورسم خرائط المعالجات الفرعية.
• إصدار تصنيف مخاطر واضح لكل مورد محتمل، مع شروط مرفقة بدلاً من مجرد نجاح أو فشل، ويشمل ذلك شركاء التحقق من الهوية، والتحقق من الشخصية، وكشف الاحتيال، والمكاتب الائتمانية، ومعالجة الدفع، وإصدار البطاقات، والخدمات المصرفية، والتحصيل.
• المشاركة في عملية التعاقد مع الفريق القانوني والمشتريات لتأمين البنود المهمة: حقوق التدقيق، ونوافذ الإخطار بالاختراق، والتزامات توطين البيانات، وشروط المساعدة عند الخروج، واتفاقيات مستوى الخدمة المرتبطة بعقوبات حقيقية.
• إدارة تقييمات مخاطر الموردين عبر محفظة الطرف الثالث النشطة، مع إعطاء الأولوية للموردين الحرجين وذوي المخاطر العالية لإجراء مراجعات سنوية متعمقة.
• بناء وتشغيل إيقاعات مراقبة متدرجة — ربع سنوية للموردين الحرجين مثل التحقق من الهوية ومعالجة الدفع والشركاء المصرفيين، وسنوية للباقي — مع تتبع انحراف الضوابط، وتغييرات المعالجات الفرعية، ووسائل الإعلام السلبية.
• الحفاظ على سجل مخاطر التركيز والموردين الحرجين، والاستعداد لشرح نقاط الفشل الفردية، مثل مكتب ائتماني واحد يغطي معظم حجم الاكتتاب، وما هي خطة الطوارئ الفعلية.
• العمل مع المنتج قبل بدء دمج الموردين الجدد — تكون في الغرفة عند تقييم شريك خروج جديد أو مورد نموذج احتيال، وليس بعد توقيع العقد.
• إعداد تقارير مخاطر الموردين للجنة المخاطر ومجلس الإدارة، وترجمة فجوات الضوابط واتجاهات الحوادث إلى قرارات يمكن للقيادة العمل بناءً عليها.
• إدارة عملية إنهاء التعامل مع الموردين الذين تم الخروج منهم، وتأكيد حذف البيانات، وإلغاء الوصول، واستمرارية الانتقال لأي شيء مواجه للعميل.
• ضمان الوفاء بالالتزامات التنظيمية والتعاقدية عند الخروج وتوثيقها، خاصة للموردين المصنفين كحرجين أو مهمين.

المتطلبات

• 3–4 سنوات في إدارة مخاطر الطرف الثالث، أو مخاطر الموردين، أو المخاطر التشغيلية، ويفضل أن يكون ذلك في شركة مدفوعات، أو مقرض، أو بنك، أو شركة تكنولوجيا مالية حيث يكون لفشل المورد عواقب مباشرة على العملاء أو الجهات التنظيمية.
• معرفة عملية بـ NIST CSF وISO 27001 وSOC 2 وأدوات التقييم الموحدة مثل SIG أو CAIQ — تعرف كيف تقرأ تقرير SOC 2 وتكتشف ما هو مفقود، وليس مجرد حفظه في ملف.
• الإلمام بالمشهد التنظيمي الذي تعمل فيه الموردون: قواعد الائتمان الاستهلاكي، والتزامات خصوصية البيانات (GDPR/CCPA حسب النطاق)، وPCI-DSS لأي شيء يتعلق ببيانات البطاقة، وتوقعات الاستعانة بمصادر خارجية والمرونة التشغيلية للأطراف الثالثة الحرجة.
• الراحة في التفاوض مباشرة مع الموردين — لقد اعترضت على اتفاقية الخدمة الرئيسية القياسية لأحد المعالجات، وحصلت على مورد احتيال يلتزم باتفاقية مستوى خدمة حقيقية، وتعرف متى تعني عبارة «سيتابع فريقنا القانوني» أن الصفقة بحاجة إلى الإلغاء.
• القدرة على ترجمة نتائج المخاطر للأشخاص الذين لا يفكرون بمصطلحات المخاطر، بما في ذلك شرح لقائد تجاري لماذا لا يستحق مورد KYC الأرخص عناء التأخير في الاستلام الذي سيسببه بعد ستة أشهر.
• مهارات تحليلية قوية مع القدرة على تفسير بيانات أداء الموردين وبيانات الضوابط لدعم القرارات التشغيلية.
• مهارات ممتازة في التواصل والتعامل مع الآخرين، مع القدرة على التفاعل بفعالية عبر جميع مستويات المؤسسة.
• إتقان مهني كامل للغة الإنجليزية مطلوب؛ والعربية ميزة إضافية.
• خبرة مباشرة في مجال «اشتر الآن وادفع لاحقًا» أو الائتمان الاستهلاكي — لقد عملت مع بيانات المكاتب الائتمانية، أو موردي التصنيف الائتماني البديل، أو وكالات التحصيل تحديدًا.
• خبرة عملية مع منصة GRC مثل OneTrust أو ProcessUnity أو Archer لسير عمل التقييم وإدارة مخزون الموردين.
• شهادة CTPRP أو CRISC أو CISA أو CISM.

المهارات المطلوبة