تعليمات بنك الكويت المركزي — شركات المعلومات الائتمانية — قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

۲ _ قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

أ- تعليمات قواعد ونظم الحوكمة لشركات المعلومات الائتمانية.

الباب الثالث : التعليمات والضوابط الإشرافية والرقابية وتنظيم العمل بشركات المعلومات الائتمانية

المحافظ

التاريخ: 8 ذو القعدة 1446هـ

الموافق: 6 ما يـو 2025م

السيد رئيس مجلس الإدارة المحترم

شركة شبكة الكويت للمعلومات الائتمانية (Ci-Net)

تحية طيبة وبعد،

في إطار مواكبة نظم الحوكمة السليمة والفعالة للشركات التي تعمل في مجال التصنيف الائتماني وتبادل المعلومات الائتمانية، فقد قرر مجلس إدارة بنك الكويت المركزي في جلسته المنعقدة بتاريخ 2025/5/6 إصدار التعليمات المرفقة بشأن "قواعد ونظم الحوكمة لشركات المعلومات الائتمانية".

ويتعيّن على شركتكم اتخاذ ما يلزم لتطبيق هذه التعليمات وبدء العمل بها اعتباراً من بداية عام 2026، مع تزويد بنك الكويت المركزي بتقرير ربع سنوي، اعتباراً من نهاية يونيو 2025، يتضمن السياسات والإجراءات والخطوات التي اتخذتها الشركة في سبيل تطبيق هذه التعليمات، وعلى أن يصلنا هذا التقرير، موقعاً من رئيس مجلس الإدارة، في مدة أقصاها عشرة أيام عمل من نهاية الفترة التي يتم عنها تقديم هذا التقرير.

مع أطيب التمنيات،،،

المحافظ

باسل أحمد الهارون

2- قواعد ونظم الحوكمة لشركات المعلومات الائتمانية.

أ- تعليمات بشأن قواعد ونظم الحوكمة لشركات المعلومات الائتمانية.

1

تعليمات بشأن

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

مايو 2025

المحتويات

المقدمة ............................................................................................ 2

التعريفات ......................................................................................... 3

المحور الأول: مجلس الإدارة .......................................................................... 5

أولاً: المسؤوليات العامة لمجلس الإدارة ................................................................ 5

ثانياً: الإشراف على الإدارة التنفيذية ................................................................... 7

ثالثاً: تكوين المجلس ............................................................................... 8

رابعاً: اللجان المنبثقة عن مجلس الإدارة .............................................................. 9

المحور الثاني: الإدارة التنفيذية العليا ................................................................. 10

المحور الثالث: نظم الرقابة الداخلية وإدارة المخاطر .................................................... 11

أولاً: نظم الرقابة الداخلية ......................................................................... 11

ثانياً: إدارة المخاطر ............................................................................... 12

المحور الرابع: سرية وأمن المعلومات الائتمانية ........................................................ 14

أولاً: سرية المعلومات الائتمانية ................................................................... 14

ثانياً: أمن المعلومات الائتمانية ..................................................................... 15

المحور الخامس: شكاوى العملاء وإجراءات التصفية .................................................. 16

أولاً: شكاوى العملاء وإجراءات حل النزاع .......................................................... 16

ثانياً: إجراءات الإفلاس والتصفية ................................................................... 17

المحور السادس: قواعد وضوابط تنظيم علاقة الشركة بأطراف أخرى ...................................... 18

أولاً: علاقة الشركة بمقدمي المعلومات والبيانات ..................................................... 18

ثانياً: علاقة الشركة بمستخدمي البيانات والمعلومات (المستعلمين) .................................... 18

ثالثاً: علاقة الشركة بالعملاء (المستعلم عنهم) ....................................................... 20

رابعاً: علاقة الشركة بشركات المعلومات الائتمانية الأخرى ........................................... 20

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

المقدمة

في إطار تعزيز وتطوير البيئة التشريعية والتنظيمية لعمليات تبادل المعلومات الائتمانية وتنظيم أعمال الشركات التي تعمل في مجال التصنيف الائتماني وتبادل المعلومات الائتمانية، وفي ضوء طبيعة وأهمية نشاط هذه الشركات وما تقدمه من خدمات ومعلومات مهمة للنظام المصرفي والمالي والاقتصادي، تم إصدار هذه القواعد بهدف وضع حد أدنى لنظم الحوكمة السليمة والفعالة، والتي جاءت في إطار القانون رقم (9) لسنة 2019 بشأن تنظيم تبادل المعلومات الائتمانية ولائحته التنفيذية، الذي تخضع بموجبه شركات المعلومات الائتمانية لرقابة وإشراف بنك الكويت المركزي، حيث نص القانون في المادة (11) منه على أن "تخضع أنشطة شركات المعلومات الائتمانية لرقابة البنك المركزي بغرض متابعة التزامها بالقانون ولائحته التنفيذية وما يصدره البنك المركزي من قواعد وضوابط وتعليمات، وللبنك في سبيل ذلك الاطلاع والتفتيش على أعمال الشركات ونظم المعلومات بها للتحقق من سلامة أدائها وكفاءة إدارة مخاطر التشغيل"، كما نصت المادة (8) من القانون على ما يلي: "ويصدر البنك المركزي القواعد المنظمة لعمل الشركات والعلاقة بينها وبين المتعاملين معها ومقدمي المعلومات والبيانات، والمستعلمين، والعملاء وشركات المعلومات الائتمانية الأخرى، ومقابل الخدمات التي تقدمها".

وتندرج هذه القواعد والنظم تحت ستة محاور أساسية، يتناول المحور الأول منها دور ومسؤوليات مجلس الإدارة في وضع أهداف هذه الشركات واستراتيجيات عملها والإشراف على سلامة تطبيقها، ومسؤولية الإشراف على الإدارة التنفيذية وتكوين مجلس الإدارة واللجان المنبثقة عنه، ويتناول المحور الثاني صلاحيات ومسؤوليات الإدارة التنفيذية العليا، ويتضمن المحوران الثالث والرابع الضوابط المتعلقة بنظم الرقابة الداخلية وإدارة المخاطر وسرية وأمن المعلومات الائتمانية، ويتناول المحور الخامس الضوابط المتعلقة بشكاوى العملاء وإجراءات الإفلاس والتصفية، ويتناول المحور السادس مجموعة من القواعد والضوابط الأخرى المنظمة لعلاقة هذه الشركات مع المتعاملين معها في إطار العمليات المتعلقة بممارسة الشركات لنشاطها.

هذا وفي ضوء أهمية التعريفات التي تضمنها القانون المشار إليه ولائحته التنفيذية، فقد أُعيد تضمين بعضها في مقدمة هذه القواعد والنظم.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

2

التعريفات

البنك المركزي: بنك الكويت المركزي.

العميل / العملاء : أي شخص طبيعي أو اعتباري تقدم عنه المعلومات الائتمانية.

المعلومات الائتمانية المعلومة المتعلقة بالحالة الائتمانية وبالالتزامات والتسهيلات الائتمانية للعملاء .

شركة المعلومات الائتمانية الشركة): أي شركة أنشئت وفقاً لأحكام القانون رقم (9) لسنة 2019 بشأن تنظيم تبادل المعلومات الائتمانية، وذلك لممارسة أعمال طلب وجمع وحفظ وتحليل وتبويب واستخدام وتداول المعلومات الائتمانية وإعداد السجل الائتماني والتصنيف الائتماني للعملاء وإصدار تقرير المعلومات الائتمانية والتصنيف الائتماني للعملاء، وإعداد وتطوير أدوات ومعايير المخاطر وما يتعلق بها .

مقدمو البيانات والمعلومات البنوك وشركات الاستثمار وشركات التمويل والشركات والمؤسسات التجارية الخاضعة لوزارة التجارة والصناعة، التي تقوم بمنح تسهيلات ائتمانية عن طريق البيع بأي شكل من أشكال نقل الملكية بالتقسيط للسلع والخدمات وتمد الشركة بالمعلومات الائتمانية والشخصية للعملاء، وأي جهة يتوافر لديها معلومات ائتمانية أو بيانات تتعلق بسلوك العملاء في الوفاء بالتزاماتهم.

مستخدمو البيانات والمعلومات المستعلمون الأشخاص الطبيعيون والاعتباريون المصرح لهم بالاستعلام والحصول على المعلومات والتقارير الائتمانية التي تقدمها الشركة والعملاء الذين تتعلق بهم المعلومات والبيانات ولهم سجلات ائتمانية لدى الشركة، وأي جهة أخرى محلية أو أجنبية يوافق عليها البنك المركزي.

السجل الائتماني : سجل يحتوي على جميع المعلومات الائتمانية للعملاء، والتي يتم الحصول عليها من مقدمي البيانات والمعلومات وتكون مرتبة وفق تسلسل زمني و يعد على أساسه تقرير المعلومات الائتمانية.

تقرير المعلومات الائتمانية (التقرير الائتماني): تقرير إلكتروني أو رقمي، تصدره الشركة بناءً على طلب المستعلمين، ويتضمن معلومات صحيحة وواقعية ودقيقة ومحدثة، ويبين فيه وصف ووضع الأهلية والقدرة الائتمانية للعميل.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

التصنيف الائتماني: تقييم رقمي وفقاً لأسس إحصائية تطبق على جميع العملاء بغرض تحديد درجة المخاطر المرتبطة بسداد العميل لالتزاماته المستقبلية وتستخدم هذه المعلومات والبيانات الائتمانية للعميل لدى الشركة.

* * *

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

4

المحور الأول: مجلس الإدارة

أولاً: المسؤوليات العامة لمجلس الإدارة

. يتحمل مجلس الإدارة كافة المسؤوليات المتعلقة بعمليات الشركة وسلامتها المالية والتأكد من تلبية متطلبات البنك المركزي وكافة الجهات الرقابية، والتحقق من إدارة الشركة بشكل حصيف وضمن إطار القوانين والتعليمات النافذة والسياسات الداخلية للشركة، ورسم الأهداف الاستراتيجية للشركة، والرقابة على الإدارة التنفيذية وتوجيهها لوضع النظم الملائمة لإدارة المخاطر ونظم الرقابة الداخلية ومختلف أوجه المخاطر والمصادقة على هذه النظم واعتمادها، والتأكد من فاعليتها، بالإضافة إلى توافر معايير حوكمة عالية لدى الشركة.

. التحقق من تقيد الشركة بالخطة الاستراتيجية والسياسات والإجراءات المعتمدة أو المطلوبة بموجب القوانين والتعليمات الصادرة.

. تطوير الثقة العامة في إدارة الشركة من خلال الأخذ بالاعتبار أثر المخاطر على مصالح العملاء وعلى مستخدمي البيانات والمعلومات والنظام المالي، ويتضمن ذلك التأكيد على أهمية دور مجلس الإدارة في تعزيز كفاءة وفاعلية إدارة مخاطر أمن المعلومات والمخاطر التشغيلية بصفة عامة، أخذاً بالاعتبار أثر هذه المخاطر على أصحاب المصالح وعلى الاستقرار المالي.

. ترسيخ مبدأ استقلالية مجلس الإدارة والتأكيد على أهمية التزام كل عضو من أعضاء المجلس بالقيام بدوره تجاه الشركة ومساهميها والعملاء ومقدمي البيانات ومستخدميها دون أن يكون واقعاً تحت تأثير أي عامل قد يحد من قدرته على النظر في أمور الشركة ومناقشتها واتخاذ قرار بشأنها بتجرد وموضوعية، وألا ينتج عن عضويته في مجلس الإدارة أي تعارض في المصالح.

. اتخاذ القرارات من قبل أعضاء مجلس الإدارة باستقلال وموضوعية، والإفصاح عن أي أمر قد يؤدي أو أدى بالفعل إلى تعارض في المصالح، كما ينبغي على العضو الامتناع عن التصويت على أي مسألة قد تنطوي على تعارض مصالح مع العضو أو قد يكون لها تأثير على موضوعية التصويت.

. مراجعة واعتتماد البيانات المالية المدققة للشركة ومنها الميزانية السنوية والبيانات المالية.

• التأكد من أن الهيكل التنظيمي للشركة يتسم بالشفافية والوضوح بما يسهل عملية اتخاذ القرار وتحقيق الحوكمة الجيدة وبيان حدود المسؤولية والمساءلة.

• وجود سياسات وإجراءات داخلية للمحافظة على أمن وسرية البيانات والمعلومات الائتمانية ووضع الضوابط الرقابية لمنع الوصول إليها إلا من قبل المفوضين بذلك، ومنها على سبيل المثال منح صلاحيات محددة حسب المهام الوظيفية بما يتيح إنجاز العمل بالشكل المطلوب.

• التأكد من تمتع الشركة بنزاهة عالية في ممارسة أعمالها، وذلك من خلال وضع سياسات وميثاق للسلوك المهني وأخلاقيات العمل تتضمن تعريفاً لتعارض المصالح والصلاحيات المعطاة لموظفي الشركة.

• التأكيد على أهمية الدور الإشرافي لمجلس الإدارة على الإدارة التنفيذية، ويشمل ذلك صلاحية أعضاء المجلس بحرية التواصل مع الرئيس التنفيذي أو الإدارة التنفيذية أو الموظفين (بالتنسيق مع الرئيس التنفيذي) والاستفسار عن البيانات والسجلات الخاصة بالشركة باستثناء المعلومات السرية أو التقارير الائتمانية التي تصدرها أو تحتفظ بها الشركة.

• تطبيق قواعد حوكمة سليمة عند طلب الحصول على موافقة بنك الكويت المركزي المسبقة في من يرشح مجلس الإدارة تفويضه للقيام بأية مهام رئيسية مهمة دون الإخلال باستقلالية مهام إدارات الشركة وأقسامها.

• وجود إدارة للمخاطر تتمتع بالاستقلالية والأهلية ولديها كافة الصلاحيات التي تمكنها من أداء المهام الموكلة إليها على النحو المطلوب، على أن يتولى مجلس الإدارة من خلال لجنة المخاطر المنبثقة عنه تعيين رئيس جهاز إدارة المخاطر وموظفي الجهاز وتحديد امتيازاتهم، وذلك تأكيداً لمبدأ الاستقلالية والأهلية.

• وجود إدارة للتدقيق الداخلي تتمتع بالاستقلالية والأهلية ولديها كافة الصلاحيات التي تمكنها من أداء المهام الموكلة إليها وعلى النحو المطلوب، على أن يتولى مجلس الإدارة من خلال لجنة التدقيق المنبثقة عنه تعيين رئيس جهاز التدقيق الداخلي وموظفي الجهاز وتحديد امتيازاتهم، وذلك تأكيداً لمبدأ الاستقلالية والأهلية.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

6

• يتعين أخذ موافقة مجلس الإدارة عند تعيين رئيس التدقيق الداخلي، كما يتعين أخذ موافقة رئيس التدقيق الداخلي عند تعيين المدققين الداخليين.

• التأكد من أن لجنة التدقيق تقدم التوصيات للمجلس بخصوص تعيين المدقق الخارجي، وإناء عمله وتحديد مكافأته وغيرها من الشروط التعاقدية الأخرى المتعلقة به، بالإضافة إلى تقييم موضوعية المدقق الخارجي.

• وضع السياسات المناسبة بشأن إجراءات التدوير (Rotation)، والفصل بين مكاتب التدقيق الخارجي وتدقيق الأنظمة الداخلية للشركة الذي يتم من قبل جهات خارجية متخصصة بتقييم واختبار القدرة على مواجهة وإدارة مخاطر أمن المعلومات والأمن السيبراني.

• الاستفادة بشكل فعال من ملاحظات التدقيق الداخلي والخارجي وتقارير تقييم ضوابط الرقابة الداخلية.

ثانياً: الإشراف على الإدارة التنفيذية

يتعين على مجلس الإدارة ما يلي:

• تعيين رئيس للجهاز التنفيذي للشركة يتمتع بالنزاهة والكفاءة الفنية والخبرة اللازمة، ويتعين الحصول على موافقة المجلس عند تعيين نائب لرئيس الجهاز التنفيذي وذلك في ضوء أحكام المادة التاسعة من القانون رقم (9) لسنة 2019 بشأن تنظيم تبادل المعلومات الائتمانية، وكذلك في ضوء ما يصدره بنك الكويت المركزي من قرارات بشأن القواعد والضوابط الخاصة بالخبرة المطلوبة أو تعيين بعض المديرين التنفيذيين الذين يقومون بالأعمال المهمة والمرتبطة بطبيعة نشاط الشركة مثل أعمال إدارة المخاطر، التدقيق الداخلي، تقنية المعلومات IT، التخطيط الاستراتيجي، وغيرها من الأعمال الأخرى التي يحددها البنك المركزي، مع توفير خطط للتعاقب الوظيفي لهذه الوظائف المهمة.

• توفير الإشراف الكافي على الإدارة التنفيذية للتحقق من قيامها بالدور المنوط بها في إطار تحقيق الشركة لأغراضها والتحقق من تطبيق السياسات المعتمدة من مجلس الإدارة.

• الفصل بين منصبي رئيس مجلس الإدارة ورئيس الجهاز التنفيذي، على ألا تربط بين رئيس المجلس والرئيس التنفيذي أي قرابة من الدرجة الأولى أو أي صلة أو علاقة من شأنها أن تؤثر على استقلالية قرارات كل منهما. ويتعيّن أن يكون الفصل في المسؤوليات بموجب تعليمات كتابية معتمدة من المجلس ويتم مراجعتها كلما اقتضت الحاجة.

• ألا يكون عضو مجلس الإدارة عضواً في أي من اللجان التنفيذية الإدارية وألا يتولى منصباً تنفيذياً في الشركة.

• أن يراجع مع الإدارة التنفيذية، بصورة منتظمة، السياسات والإجراءات ونظم وضوابط وظائف الرقابة الداخلية (بما في ذلك التدقيق الداخلي، والالتزام، وإدارة المخاطر وخصوصاً مخاطر التشغيل وأمن المعلومات) بغرض تحسينها.

• شغل الوظائف والمناصب المهمة والمرتبطة بطبيعة نشاط الشركة بشكل مستمر وعاجل وبأسرع وقت وذلك بموظفين مؤهلين يتمتعون بالمهارات والمعرفة والخبرة ذات الصلة.

• يُقيّم مجلس الإدارة أداء الرئيس التنفيذي سنوياً، فيما تُقيّم اللجان المنبثقة أداء الإدارة التنفيذية العليا وفق مؤشرات معتمدة من المجلس، على سبيل المثال تُقيّم لجنة التدقيق أداء رئيس التدقيق الداخلي وتُقيّم لجنة المخاطر أداء رئيس إدارة المخاطر، مع مراعاة أن يكون التقييم موضوعياً وأن يأخذ في الحسبان استقلالية هذه الوظائف.

ثالثاً: تكوين المجلس

• يضم مجلس الإدارة ما لا يقل عن سبعة أعضاء، مع مراعاة التنوع في الخبرات والمهارات في ضوء طبيعة نشاط الشركة وذلك بما يسمح بالمناقشة الفعالة لمختلف أوجه أنشطة الشركة وأعمالها، ويجب عند التعيين الالتزام بما يصدره بنك الكويت المركزي من قرارات بشأن القواعد والضوابط الخاصة بالخبرة المطلوبة.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

8

- على أعضاء مجلس الإدارة امتلاك الخبرة المناسبة والقدرات الشخصية مع الالتزام بالممارسات المهنية السليمة والعمل على صقل خبراتهم بالتدريب الملائم الذي يواكب متطلبات التطور في النشاط التشغيلي، وأن يكونوا مطلعين دائماً على التطورات ذات العلاقة بمهام الشركة وأعمالها.

- يتعين على مجلس الإدارة أن يمتلك قدراً كافياً من المعرفة والخبرة المتعلقة بمخاطر أمن المعلومات والأمن السيبراني، واعتتماد الاستراتيجيات والسياسات والضوابط الخاصة بذلك، والاستعانة بالجهات الاستشارية المتخصصة بأمن النظم كلما تطلب الأمر.

- يتعين ألا يقل عدد اجتماعات المجلس عن (6) اجتماعات سنوياً، كما يُعد توثيق محاضر الاجتماعات إلزامياً، وتعتبر جزءاً من سجلات الشركة.

- يتعين على رئيس مجلس الإدارة ما يلي:

أ- الحرص على أن يكون اتخاذ المجلس للقرارات استناداً لأُسس ومعلومات سليمة وواضحة، وتشجيع وتعزيز النقاش والنقد البناء والتعبير عن الآراء ووجهات النظر المختلفة ومناقشتها في إطار عملية صنع القرار.

ب- إقامة علاقة بنّاءة بين كل من المجلس والإدارة التنفيذية.

ج- التأكد من وصول المعلومات الكافية إلى أعضاء المجلس والمساهمين في الوقت المناسب.

د- التأكد من توفر معايير حوكمة عالية لدى الشركة.

هـ - اقتراح المواضيع المهمة، التي يتم إدراجها على جدول أعمال كل اجتماع، وذلك بالتشاور مع الإدارة التنفيذية، بحيث تتسم هذه المواضيع بالشمولية، ويجوز لأي عضو أن يطلب إدراج ما يراه من مواضيع في جدول أعمال الاجتماعات.

رابعاً: اللجان المنبثقة عن مجلس الإدارة

بغرض تعزيز رقابة مجلس الإدارة على نشاط الشركة وحسن أدائها، والتحقق من سلامة تطبيق القوانين التي تنظم أعمالها وذلك في إطار متطلبات معايير الحوكمة السليمة، يتعين على مجلس الإدارة تشكيل لجان منبثقة عن المجلس ومنها اللجان التالية:

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

9

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

أ- لجنة التدقيق

ب- لجنة الترشيحات والمكافآت

ج- لجنة المخاطر

د- لجنة الحوكمة

تتكون كل لجنة من 3 أعضاء ويكون لكل لجنة ميثاق مكتوب يبين مهامها وصلاحياتها ونطاق عملها والإنجازات المتوقعة من أعضائها والإدارة التنفيذية التابعة لها، وأن تقدم هذه اللجان تقارير دورية منتظمة إلى مجلس الإدارة حول أداء هذه اللجان وتوصياتها، والقضايا المهمة ذات العلاقة، علماً بأن وجود هذه اللجان لا يعفي المجلس من تحمل المسؤولية المنوطة به.

***

المحور الثاني: الإدارة التنفيذية العليا

1. تتألف الإدارة التنفيذية العليا من مجموعة الأشخاص المعينين من قبل مجلس الإدارة للاضطلاع بمسؤولياتهم في الشركة، وهم رئيس الجهاز التنفيذي ونوابه ومساعدوه. ويتعين على هؤلاء امتلاك التأهيل العلمي والخبرة اللازمة والكفاءة والنزاهة لإدارة أعمال الشركة.

2. الإدارة التنفيذية هي المسؤولة عن تفويض الواجبات للموظفين، وتعزيز المساءلة والشفافية، ويجب أن تظل الإدارة التنفيذية مدركة لالتزاماتها في الإشراف على ممارسة هذا التفويض والمسؤولية عن أداء الشركة أمام مجلس الإدارة.

3. يجب على الإدارة التنفيذية وضع النظم الملائمة لإدارة المخاطر (المالية وغير المالية)، ووضع نظم رقابة داخلية فعالة معتمدة من مجلس الإدارة.

4. الإدارة التنفيذية مسؤولة عن الإشراف والرقابة على أعمال الشركة وبصفة خاصة فيما يتعلق بالتحقق من وظيفة الالتزام ومراقبة المخاطر واستقلالية الوظائف والفصل بين المهام.

5. يتعين على الإدارة التنفيذية بشكل دوري تزويد مجلس الإدارة بتقارير مالية وإدارية تتسم بالشفافية والموضوعية.

6. يقع على عاتق الإدارة التنفيذية إعداد القوائم المالية وفقاً للمعايير الدولية والمعايير المعتمدة الأخرى بما في ذلك التعليمات الصادرة عن بنك الكويت المركزي في هذا الشأن.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

10

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

.7 الالتزام بالضوابط الأمنية بشأن متطلبات ومعايير أمن المعلومات الواجب الامتثال لها (Cybersecurity Baseline) الصادرة عن بنك الكويت المركزي وما يطرأ عليها من تعديلات.

***

المحور الثالث: نظم الرقابة الداخلية وإدارة المخاطر

يتعين أن يكون لدى الشركة نظم رقابة داخلية فعّالة ونظم لإدارة المخاطر وخصوصاً المخاطر التشغيلية بما يتناسب مع طبيعة نشاط الشركة، مع توافر عنصر الاستقلالية والأهلية لدى شاغلي هذه الوظائف، بما في ذلك استقلالية رئيس إدارة المخاطر وأن يكون له حق الوصول إلى مجلس الإدارة بكل سهولة وبدون حواجز.

أولاً: نظم الرقابة الداخلية

وفي إطار نظم الرقابة الداخلية يتعين ما يلي:

1. وضع هيكل تنظيمي معتمد من مجلس الإدارة يتلاءم مع طبيعة نشاط الشركة وبما يكفل تطبيق الضوابط التنظيمية اللازمة لتنفيذ الاستراتيجية المعتمدة من المجلس متضمناً تعريف الأهداف المحدّدة لكل وحدة إدارية، وتحديد مهامها ومسؤولياتها، وتحديد الصلاحيات وخطوط الاتصال للإداريين على مختلف مستوياتهم الإدارية بما يحقق الرقابة الثنائية ومبدأ الفصل في المسؤوليات.

2. على مجلس الإدارة أن يتأكد بصفة دورية (مرة على الأقل سنوياً) من كفاية وفاعلية نظم الرقابة الداخلية اللازمة لحماية ممتلكات الشركة وأصولها وصحة بياناتها والتأكد من الالتزام بنظم وقواعد الحوكمة.

3. على مجلس الإدارة أن يتأكد من أن جهاز التدقيق الداخلي يتمتع بالاستقلالية والأهلية، ومن أن نطاق وإجراءات ودورية التدقيق تتناسب مع درجات المخاطر التي تتعرّض لها أنشطة الشركة المختلفة.

4. الاستفادة من ملاحظات التدقيق الداخلي والخارجي وتقارير تقييم ضوابط الرقابة الداخلية.

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

مايو 2025

11

5. يتعيّن على الشركة عدم إسناد الأعمال الخاصة بتقييم مدى كفاية أنظمة الرقابة الداخلية والأعمال الفنية والاستشارية الأخرى إلى مكاتب تدقيق حسابات الشركة، وعدم إسناد الأعمال الفنية والاستشارية الأخرى ذات الطبيعة المحاسبية إلى الشركات المرتبطة ارتباطاً اقتصادياً أو قانونياً بهذه المكاتب، سواء كان هذا الارتباط عن طريق الملكية المشتركة أو الإدارة المشتركة.

6. يتعيّن على مجلس الإدارة تضمين التقرير السنوي للشركة تقريراً حول مدى كفاية أنظمة الضبط والرقابة الداخلية يبيّن مسؤولية الإدارة التنفيذية عن وضع تلك الأنظمة، وإطار العمل المستخدم لتقييم فعالية هذه الأنظمة وذلك كما هو بتاريخ البيانات المالية التي يتضمنها التقرير السنوي للشركة. كما يتعين أيضاً الإفصاح عن أي موطن ضعف جوهري في أنظمة الضبط والرقابة الداخلية.

7. يتعيّن تضمين التقرير السنوي للشركة تقرير المدقق الخارجي أو الجهة الاستشارية الخارجية الذي يبيّن الرأي في تقييم أنظمة الضبط والرقابة الداخلية.

8. يتعيّن على الشركة وضع إجراءات تمكّن الموظفين من الاتصال برئيس مجلس الإدارة لنقل ما لديهم من مخاوف بخصوص احتمالية حدوث مخالفات، بشكل يسمح بالتحقيق باستقلالية في هذه المخاوف ومتابعتها. ويجب أن تتضمن هذه الإجراءات التأكيد على توفير الشركة للحماية اللازمة لهؤلاء الموظفين بما يعطيهم الطمأنينة الكافية لعدم تعرضهم لأي تهديد أو جزاءات حتى في حالة عدم ثبوت ما يؤكد هذه المخاوف. ويتم مراقبة تنفيذ هذه الإجراءات من قبل التدقيق الداخلي في الشركة.

9. توجيه مقدمي البيانات لمراعاة الرقابة المزدوجة عند الإدخال أو التحقق من صحة البيانات وذلك لتقليل احتمالية وقوع الأخطاء.

ثانياً: إدارة المخاطر

يتعيّن على الشركة تعريف وتحديد المخاطر والرقابة عليها على مستوى كل وحدة وعلى مستوى الشركة ككل. وتشمل إدارة المخاطر بصفة عامة تحديد المخاطر الأساسية وتقييمها ووضع إجراءات للحد منها، وبشكل خاص مخاطر التشغيل وما قد يرتبط بها من مخاطر قانونية أو سيبرانية، وفي إطار المخاطر المرتبطة بالمعلومات الائتمانية يتعين ما يلي:

1. اتخاذ جميع الخطوات اللازمة لضمان أن المعلومات الائتمانية واضحة ودقيقة وكاملة ومحدثة وأن تكون متاحة في الوقت المناسب لكافة مستخدمي البيانات والمعلومات.

2. تقوم الشركة باتخاذ جميع التدابير اللازمة لضمان دقة المعلومات الائتمانية والتحقق من منطقية البيانات قبل تخزينها في قاعدة بيانات الشركة.

3. العمل على توسيع قاعدة البيانات وتعزيز شموليتها عن طريق جمعها من أكبر عدد ممكن من الجهات أو المؤسسات أو المصادر ذات الصلة وفي حدود القانون على أن يتم ذلك بناء على اتفاقيات مع الجهة أو المصدر.

4. وضع أساليب ونظم للتأكد من عدم مخالفة كل من مقدمي البيانات والمعلومات، ومستخدمي البيانات والمعلومات أحكام القانون رقم (9) من عام 2019 بشأن تنظيم تبادل المعلومات الائتمانية أو لائحته التنفيذية أو القرارات والتعليمات الصادرة تنفيذاً له، والتأكد كذلك من أن مقدم البيانات والمعلومات لم يتوان عن تقديم البيانات والمعلومات المطلوبة منه، وأنه لم يقدم بيانات غير مطابقة للحقيقة.

5. التأكد من أن إجراءات إدارة المخاطر تشمل المخاطر التي تتعرض لها أصول المعلومات (Information Assets) والإجراءات المرتبطة بها (Processes) بشكل تفصيلي.

6. التأكد من عدم تعديل البيانات أو المعلومات ومن عدم الدخول إلى السجل الائتماني للعملاء دون الحصول على الموافقات المقررة.

7. تحديث المعلومات الائتمانية للعميل وذلك بشكل فوري.

***

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

13

المحور الرابع: سرية وأمن المعلومات الائتمانية

بالإضافة إلى ما تضمنه الفصل الرابع "القواعد المنظمة لعمل الشركة والتشغيل ومعالجة البيانات" من اللائحة التنفيذية للقانون رقم 9 لسنة 2019 بشأن تنظيم تبادل المعلومات الائتمانية وما تضمنته الضوابط الأمنية الواردة في "وثيقة دليل متطلبات ومعايير أمن المعلومات الواجب الامتثال لها (Cybersecurity Baseline)" والمتضمنة في الإطار الاستراتيجي للأمن السيبراني، يتعيّن ما يلي:

أولاً: سرية المعلومات الائتمانية

1. التزام أعضاء مجلس الإدارة وجميع العاملين في الشركة بالمحافظة على أمن وسرية البيانات والمعلومات الائتمانية وعدم الإفصاح عنها، أو إفشائها حتى بعد تركهم الخدمة، ويسري هذا الحظر على كل من يتلقى أو يطلع بحكم مهنته أو وظيفته أو عمله بطريق مباشر أو غير مباشر على المعلومات والبيانات المشار إليها.

2. تصنيف درجة حساسية البيانات الائتمانية في قاعدة البيانات وذلك بعد إجراء تقييم لخصوصية تلك البيانات. كما يجب تضمين تصنيف درجة حساسية البيانات في العقود المبرمة لغرض تبادل البيانات الائتمانية لاتخاذ الأطراف المعنية الإجراءات الأمنية اللازمة لحماية تلك البيانات.

3. يجب أن تؤكد السياسات الداخلية والنظم الرقابية على أهمية عدم استخدام أي معلومات ائتمانية عن الأوضاع الائتمانية لأي عميل متوافرة لدى جميع العاملين في الشركة من أجل تحقيق مصالح ذاتية أو مصالح لأطراف أخرى، مع مراقبة تنفيذ هذا المبدأ من قبل التدقيق الداخلي.

4. اتخاذ التدابير لتقييد وصول مالكي الأنظمة ومزودي الخدمات والمستخدمين المباشرين إلى قاعدة البيانات وتثقيفهم بشأن سرية المعلومات ووضع إجراءات تأديبية في حال إنساءة استخدام الصلاحيات وغيرها من الانتهاكات التي تتعلق بسرية البيانات.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

14

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

ثانياً: أمن المعلومات الائتمانية

1. إنشاء وظيفة خاصة لأمن المعلومات، تكون مستقلة عن عمليات تكنولوجيا المعلومات، يرأسها متخصص في أمن المعلومات ولديه المهارات والمعرفة والكفاءة اللازمة، تقع على عاتقه مسؤولية وضع السياسات والمعايير الخاصة بتنفيذ وتشغيل ومراقبة ضوابط الأمن السيبراني ورفع التقارير إلى رئيس المخاطر والذي يرفعها بدوره إلى لجنة المخاطر في مجلس الإدارة.

2. المراجعة المنتظمة لأنماط استخدام نظم المعلومات بهدف الكشف والتحري عن أية أنماط استخدام غير اعتيادية.

3. حفظ سجلات حالات الدخول والتعديل والتدقيق لقاعدة البيانات الخاصة بالمعلومات الائتمانية كافة بما في ذلك سجلات الاستعلام السابقة وسجلات الوقائع التي تنطوي على مخالفات مؤكدة أو مشكوك فيها.

4. الاستفادة من التقنيات المالية الحديثة في صناعة المعلومات الائتمانية مثل الهوية الرقمية، واعرف عميلك إلكترونياً، وما قد يصدر من منتجات وأدوات يمكن الاستفادة منها في دعم نشاط وتشغيل الشركة ونظم عملياتها.

5. في حال الاستعانة بمزود خدمات تقنية المعلومات من جهة خارجية (Outsourcing) يجب أن يتمتع المزود بالخبرة اللازمة وبالاستعدادات الفنية والإدارية لتوفير الدعم الفني على مدار الساعة (24/7) والتأكد من قدرته واستعداده لمواجهة التحديات مع مراعاة سرية البيانات والمعلومات.

6. تقوم الشركة بضمان حماية المعلومات الائتمانية في قاعدة البيانات من سوء الاستخدام أو الوصول أو الإفصاح غير المصرح به أو التعديل غير القانوني، وذلك عن طريق الإجراءات التالية (على سبيل المثال لا الحصر):

• معالجة البيانات المقدمة من مقدمي البيانات بطريقة آمنة.

• ضمان حصر استخدام التقارير الائتمانية بمستعملي البيانات المفوضين والمصرح لهم بذلك.

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

مايو 2025

15

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

• التأكد من أن موظفي الشركة غير مخولين بالتعديل أو الاطلاع على قاعدة البيانات، وفي حال وجود صلاحيات دخول على النظام لموظفي الشركة بحكم طبيعة عملهم، يتم إدراجهم ضمن سجل الصلاحيات وقائمة الأشخاص المطلعين على المعلومات الداخلية وذلك وفقاً للباب العاشر (الإفصاح والشفافية) من اللائحة التنفيذية لقانون هيئة أسواق المال وما يترتب عليه من مسؤوليات الشخص المطلع.

• إلزام الموظفين في الشركة بتوقيع تعهد بالمحافظة على سرية المعلومات الائتمانية طوال فترة الخدمة وإلى ما بعد انتهاء الخدمة.

• يجب الاحتفاظ بسجلات للدخول على النظام لكل الحالات الفردية، والتحقق منها ومراجعتها دورياً.

• الاحتفاظ بسجلات المراجعة لتسجيل جميع الأنشطة على قواعد البيانات والشبكات.

• عمل برامج تدريبية وورش عمل لرفع كفاءة الموظفين المفوضين والمصرح لهم.

7. يجب إخطار بنك الكويت المركزي فوراً في حال حدوث تسريب أو خرق لقاعدة البيانات.

***

المحور الخامس: شكاوى العملاء وإجراءات التصفية

أولاً: شكاوى العملاء وإجراءات حل النزاع

بالإضافة إلى آلية الشكاوى الواردة في المادة (11) من اللائحة التنفيذية للقانون رقم 9 لسنة 2019 بشأن تنظيم تبادل المعلومات الائتمانية، يتعين على شركات المعلومات الائتمانية ما يلي:

1. تكوين إدارة أو وحدة خاصة لمعالجة الشكاوى، ووضع آلية مناسبة للتعامل مع شكاوى العملاء وإجراءات التصحيح، على أن تستهدف آلية معالجة الشكاوى التأكيد على فهم ووعي موظفي إدارة

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

مايو 2025

16

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

الشكاوى، وإجراء تحقيق شامل وفوري في كل شكوى بدون أي مقابل أو رسوم إضافية، كما يتم حفظ سجل بالشكاوى المكتوبة والإجراءات المتخذة في شأنها.

2. يتعين استخدام تقنيات المعلومات الحديثة لتلقي الشكوى وحل النزاعات.

3. اتخاذ الإجراءات اللازمة لتوعية العملاء بنشاطات الشركة وبحقوقهم وآلية تلقي الشكاوى.

ثانياً: إجراءات الإفلاس والتصفية

تسري الأحكام الواردة في القانون رقم (71) لسنة 2020 الخاص بإصدار قانون الإفلاس ولائحته التنفيذية على شركات المعلومات الائتمانية.

كما لا يجوز للشركة بيع قواعد بياناتها أو تأجيرها أو التنازل عنها إلا لشركة معلومات ائتمانية أخرى مرخصة، وبعد الحصول على موافقة خطية مسبقة من بنك الكويت المركزي، وتؤول البيانات والمعلومات والسجلات والتقارير الائتمانية الموجودة لدى الشركة حال انقضائها إلى البنك المركزي.

***

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

17

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

المحور السادس: قواعد وضوابط تنظيم علاقة الشركة بأطراف أخرى

أولاً: علاقة الشركة بمقدمي المعلومات والبيانات

1. ينظم العلاقة بين الشركة ومقدم المعلومات والبيانات التعاقد المبرم بينهما، ويتضمن التزام الشركة بالحفاظ على سرية المعلومات والبيانات واستخدامها في الأغراض المشروعة.

2. تلتزم الشركة بتوجيه مقدمي البيانات والمعلومات الائتمانية بما يلي:

أ. الحصول على تفويض من العميل بالموافقة على إرسال معلوماته وبياناته إلى الشركة، مع بيان الغرض والفترة الزمنية من التفويض، والاحتفاظ بالتفويض لاطلاع الشركة عليه في حال طلبه.

ب. تحمل مقدم المعلومات والبيانات المسؤولية عن صحة المعلومات والبيانات المقدمة منه إلى الشركة وتأمينها لحين إتاحتها للشركة.

3. من الممكن أن تُضَمَّنَ في السجل الائتماني لأي شريك في شركة تضامن معلومات ائتمانية عن شركائه الآخرين شرط موافقتهم.

4. يلتزم مقدمو البيانات والمعلومات الذين يوجد لديهم تعامل ائتماني قائم مع العميل بإشعاره على نحو صريح وواضح بأي معلومات سلبية سوف ترسل لشركة المعلومات الائتمانية وذلك لتضمينها في سجله الائتماني.

ثانياً: علاقة الشركة بمستخدمي البيانات والمعلومات (المستعلمين)

1. يجوز للشركة بعد أخذ موافقة بنك الكويت المركزي، تقديم منتجات وخدمات تساهم في تحسين القطاع الائتماني أو أي قطاع يدعم الاقتصاد الوطني للدولة، شريطة أن تكون تلك الخدمات متوافقة مع أغراض الشركة ونظامها الأساسي.

2. يتعيّن على الشركة قبل تقديم أي معلومات ائتمانية لطالب هذه المعلومات التحقق من هوية الطالب والغرض من طلب هذه المعلومات، والتأكد من استخدام المعلومات في الأغراض المحددة بالطلب، مع الحرص على دقة وحداثة المعلومات الائتمانية المقدمة.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

18

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

.3 ينظم العلاقة بين الشركة والجهة طالبة الاستعلام التعاقد المبرم بينهما، ويتضمن حق المستعلم في الاستعلام والحصول على تقارير ائتمانية والاستفادة من الخدمات الأخرى التي توفرها الشركة، مع التزامه بما يلي:

أ. القوانين والقواعد الصادرة من البنك المركزي والقواعد التنظيمية المتعلقة بطلب واستخدام التقارير الائتمانية التي تقدمها الشركة.

ب. أن يتوافر لدى المستعلم، على الأقل، أحد الأغراض المشروعة للاستعلام والحصول على التقارير الائتمانية والتي نصت عليها المادة (8) من اللائحة التنفيذية للقانون رقم 9 لسنة 2019 بشأن تنظيم تبادل المعلومات الائتمانية.

ت. الحصول على تفويض من العميل بالموافقة على الاستعلام عن المعلومات والبيانات الخاصة به موضحاً به الغرض من الاستعلام مع الاحتفاظ بهذا التفويض لاطلاع الشركة عليه في حال طلبه.

ث. لا يجوز للجهة المفوضة بالاستعلام أن تتنازل عن حقها إلى الغير أو ترخص للغير بالحق في الاستعلام.

ج. التزام المستعلم بعدم تغيير أو تعديل أي بند من بنود التقرير الائتماني الذي حصل عليه من الشركة.

.4 يلتزم العميل بتقديم بطاقته المدنية عند طلب أية خدمة من الشركة على أن يتم قراءة البطاقة المدنية عبر قارئ شريحة البطاقة تأكيدًا على موافقة العميل على إجراء الخدمة، أو الحصول على موافقة العميل من خلال المصادقة الآلية باستخدام برنامج هويتي.

.5 في الحالات التي لا يمكن من خلالها قراءة البطاقة المدنية عبر قارئ الشريحة أو المصادقة الآلية باستخدام برنامج هويتي، فإن الأمر يتطلب تطبيق إجراءات تعويضية تكفل التحقق من هوية المستعلم، على أن يتم تطبيق هذه الإجراءات بعد الحصول على موافقة بنك الكويت المركزي.

.6 لا تتدخل شركات المعلومات الائتمانية في قرار مستخدمي البيانات عند دراستهم لملاءة العملاء، حيث إن البيانات والمعلومات المتوفرة في السجل الائتماني لا تُعبّر عن رأي شركات المعلومات الائتمانية.

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

19

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT

ثالثاً : علاقة الشركة بالعملاء (المستعلم عنهم)

.1 يحق للعميل معرفة المعلومات الائتمانية التي يحتوي عليها سجله الائتماني، ويمكن له طلب سجله الائتماني، من دون رسوم، في الحالات الآتية:

- للمرة الأولى كل 12 شهراً.

- إذا اشتمل سجل العميل الائتماني على معلومات خاطئة.

.2 يتعين الحصول على موافقة العميل عند إنشاء سجل ائتماني له أو الاستعلام عنه وموافقته على تزويد الشركات المرخص لها بـمعلومات ائتمانية عنه.

.3 يحق للعميل تقديم شكوى وعلى الشركة فحص هذه الشكوى وذلك وفقاً لما جاء في المحور الخاص بالشكاوى من اللائحة التنفيذية للقانون.

.4 في حال رغبة العميل، يتم إرسال إشعارات من خلال القنوات التي تحددها الشركة، وذلك في حال تم الاستعلام عنه واسم المستعلم عنه.

.5 لا يحق للعميل حذف أو تعديل أو تصحيح أي معلومة ائتمانية إلا بوجود مستندات رسمية تثبت ذلك.

.6 تلتزم الشركة بإعداد دليل إجرائي لتوعية العملاء بشأن المعلومات الائتمانية والتقرير الائتماني.

رابعاً: علاقة الشركة بشركات المعلومات الائتمانية الأخرى

يتم تنظيم العلاقة بين شركات المعلومات الائتمانية أو أي جهات أخرى محلياً أو اقليمياً أو عالمياً بموجب اتفاقيات أو عقود جماعية أو ثنائية، تُبرم بينهم يبين فيها الحقوق والالتزامات والخدمات المتبادلة، ونوعية المعلومات والبيانات التي سيتم تبادلها، فضلاً عن مدة سريان تلك الاتفاقيات أو العقود وكيفية تمديدها أو تجديدها، والمقابل المالي الواجب سداده، وأسلوب تسوية المنازعات، وتقدم هذه الاتفاقيات أو العقود الجماعية والثنائية إلى بنك الكويت المركزي لطلب الموافقة المسبقة عليها.

***

مايو 2025

قواعد ونظم الحوكمة لشركات المعلومات الائتمانية

20

بنك الكويت المركزي

CENTRAL BANK OF KUWAIT