مدير مخاطر الموردين

العناية الواجبة والتأهيل

• إجراء العناية الواجبة على الموردين الجدد قبل توقيع العقود، بما في ذلك فحوصات الصحة المالية، ومراجعة SOC 2 / ISO 27001، وتاريخ الاختراقات، ورسم خرائط المعالجات الفرعية.
• إصدار تصنيف مخاطر واضح لكل مورد محتمل، مع شروط مرفقة بدلاً من مجرد نجاح أو فشل، ويشمل ذلك شركاء التحقق من الهوية، والتحقق من الشخصية، وكشف الاحتيال، والمكاتب الائتمانية، ومعالجة الدفع، وإصدار البطاقات، والخدمات المصرفية، والتحصيل.
• المشاركة في عملية التعاقد مع الإدارة القانونية والمشتريات لتأمين الشروط المهمة: حقوق التدقيق، ونوافذ الإخطار بالاختراق، والتزامات توطين البيانات، وشروط المساعدة في الخروج، واتفاقيات مستوى الخدمة المرتبطة بعقوبات حقيقية.

تقييم المخاطر والمراقبة المستمرة

• إدارة تقييمات مخاطر الموردين عبر محفظة الطرف الثالث النشطة، مع إعطاء الأولوية للموردين ذوي المخاطر العالية والحرجة لإجراء مراجعات سنوية متعمقة.
• بناء وتشغيل إيقاعات مراقبة متدرجة — ربع سنوية للموردين الحرجين مثل شركاء التحقق من الهوية ومعالجة الدفع والخدمات المصرفية، وسنوية للباقي — مع تتبع انحراف الضوابط، وتغييرات المعالجات الفرعية، ووسائل الإعلام السلبية.
• الحفاظ على سجل تركيز المخاطر والموردين الحرجين، والاستعداد لشرح نقاط الفشل الفردية، مثل مكتب ائتماني واحد يغطي معظم حجم الاكتتاب، وما هي خطة الطوارئ الفعلية.

الشراكة عبر الوظائف

• العمل مع المنتج قبل تشغيل عمليات تكامل الموردين الجدد — تكون في الغرفة عند تقييم شريك دفع جديد أو مورد نموذج احتيال، وليس بعد توقيع العقد.
• إعداد تقارير مخاطر الموردين للجنة المخاطر ومجلس الإدارة، وترجمة فجوات الضوابط واتجاهات الحوادث إلى قرارات يمكن للقيادة العمل بناءً عليها.

إنهاء التعامل وإدارة الخروج

• إدارة عملية إنهاء التعامل مع الموردين المنتهية خدماتهم، والتأكد من حذف البيانات، وإلغاء الوصول، واستمرارية الانتقال لأي شيء موجه للعملاء.
• ضمان الوفاء بالالتزامات التنظيمية والتعاقدية للخروج وتوثيقها، خاصة للموردين المصنفين كحرجين أو مهمين.

المتطلبات

• 3–4 سنوات في إدارة مخاطر الطرف الثالث، أو مخاطر الموردين، أو المخاطر التشغيلية، ويفضل أن يكون ذلك في شركة مدفوعات، أو مقرض، أو بنك، أو شركة تكنولوجيا مالية حيث يكون لفشل المورد عواقب مباشرة على العملاء أو الجهات التنظيمية.
• معرفة عملية بـ NIST CSF وISO 27001 وSOC 2 وأدوات التقييم الموحدة مثل SIG أو CAIQ — تعرف كيف تقرأ تقرير SOC 2 وتكتشف ما هو مفقود، وليس مجرد حفظه.
• الإلمام بالمشهد التنظيمي الذي تعمل فيه الموردون: قواعد الائتمان الاستهلاكي، والتزامات خصوصية البيانات (GDPR/CCPA حسب النطاق)، وPCI-DSS لأي شيء يتعلق ببيانات البطاقة، وتوقعات الاستعانة بمصادر خارجية والمرونة التشغيلية للأطراف الثالثة الحرجة.
• الراحة في التفاوض المباشر مع الموردين — لقد ضغطت من أجل تعديل اتفاقية الخدمة الرئيسية لمعالج دفع، وحصلت على مورد احتيال يلتزم باتفاقية مستوى خدمة حقيقية، وتعرف متى تعني عبارة «فريقنا القانوني سيتابع» أن الصفقة تحتاج إلى الإلغاء.
• القدرة على ترجمة نتائج المخاطر للأشخاص الذين لا يفكرون بمصطلحات المخاطر، بما في ذلك شرح لقائد تجاري لماذا لا يستحق مورد التحقق من الهوية الأرخص عناء التأخير في التأهيل الذي سيسببه بعد ستة أشهر.
• مهارات تحليلية قوية مع القدرة على تفسير أداء الموردين وبيانات الضوابط لدعم القرارات التشغيلية.
• مهارات ممتازة في التواصل والتعامل مع الآخرين، مع القدرة على التفاعل بفعالية عبر جميع مستويات المؤسسة.
• إتقان مهني كامل للغة الإنجليزية مطلوب؛ والعربية ميزة إضافية.

ميزة إضافية

• خبرة مباشرة في مجال «اشتر الآن وادفع لاحقًا» أو الائتمان الاستهلاكي — لقد عملت مع بيانات المكاتب الائتمانية، أو موردي التصنيف الائتماني البديل، أو وكالات التحصيل على وجه التحديد.
• خبرة عملية مع منصة GRC مثل OneTrust أو ProcessUnity أو Archer لسير عمل التقييم ومخزون الموردين.
• شهادة CTPRP أو CRISC أو CISA أو CISM.

المهارات المطلوبة