من المصرفية المفتوحة إلى التمويل المفتوح: أين نقف في 2026
لم تعد المصرفية المفتوحة مجرد واجهة برمجية تكشف أرصدة الحسابات. في 2026 تحوّل النقاش عالميًا نحو التمويل المفتوح الذي يمتد إلى التأمين والاستثمار والتمويل الشخصي، وصار المستهلك في الخليج ومنطقة الشرق الأوسط يتوقع تجربة دفع فورية وسلسة عبر التطبيقات.
الديناميكية السوقية واضحة. في السعودية دفع إطار المصرفية المفتوحة الصادر عن البنك المركزي السعودي موجة من مزوّدي خدمات المبادرة بالدفع وتجميع المعلومات، بينما يمضي المصرف المركزي في الإمارات في برنامج التمويل المفتوح ليجعل مشاركة البيانات والمدفوعات المبنية على الحساب معيارًا وطنيًا. وفي أوروبا تعيد حزمة خدمات الدفع الجديدة ولائحة الوصول إلى البيانات المالية رسم قواعد اللعبة. النتيجة أن أي شركة تقنية مالية تعمل بين المنطقتين تواجه بيئة تنظيمية متعددة الطبقات لا تحتمل حلولًا جاهزة أو متسرّعة.
هذا التحول يخلق فرصة ضخمة، لكنه أيضًا يرفع سقف المتطلبات الهندسية. المنصة الناجحة اليوم يجب أن تكون آمنة بحكم التصميم، وممتثلة عبر ولايات قضائية متعددة، وقادرة على الصمود تحت أحمال المعاملات الذروية دون أن تفقد معاملة واحدة.
الامتثال لم يعد بندًا لاحقًا: DORA وNIS2 وقانون الذكاء الاصطناعي
من يبني منصة مالية موجّهة للسوق الأوروبية أو يتعامل مع شركاء أوروبيين لم يعد أمامه رفاهية تأجيل الامتثال إلى ما بعد الإطلاق. عام 2025 كان نقطة التحوّل، و2026 هو عام التطبيق الصارم.
- ▸DORA (قانون الصمود التشغيلي الرقمي) بات ساري المفعول بالكامل على المؤسسات المالية في الاتحاد الأوروبي، ويفرض إدارة صارمة لمخاطر تقنية المعلومات، واختبارات صمود قائمة على سيناريوهات، والأهم رقابة مباشرة على مزوّدي الطرف الثالث الحرجين مثل خدمات السحابة والاستضافة.
- ▸NIS2 يوسّع نطاق متطلبات الأمن السيبراني ليشمل البنية التحتية الرقمية وسلاسل التوريد، مع مسؤولية شخصية على الإدارة التنفيذية عند التقصير.
- ▸قانون الذكاء الاصطناعي الأوروبي (EU AI Act) يصنّف أنظمة التقييم الائتماني ومكافحة الاحتيال المبنية على الذكاء الاصطناعي ضمن الفئات عالية المخاطر، ما يعني التزامات توثيق وشفافية ورقابة بشرية.
- ▸اللائحة العامة لحماية البيانات (GDPR) تبقى الأساس الذي يحكم كل بيانات العملاء، ويتقاطع مع أطر حماية البيانات الناشئة في السعودية والإمارات.
الخلاصة العملية أن الامتثال أصبح قرارًا معماريًا يُتخذ في اليوم الأول: أين تُخزَّن البيانات، كيف تُشفَّر، من يصل إليها، وكيف تُثبت ذلك للمدقّق. تصحيح هذه القرارات بأثر رجعي مكلف ومؤلم.
هندسة منصة دفع آمنة وعالية الحجم
منصات الدفع تختلف جوهريًا عن أي تطبيق آخر: المعاملة إما أن تُنفَّذ مرة واحدة بالضبط أو تفشل التجربة بأكملها. البناء الموثوق يقوم على مبادئ صارمة.
- ▸صحّة نقل الأموال أولًا: استخدام معرّفات عدم التكرار (idempotency keys) لمنع الخصم المزدوج، وتصميم قائم على الأحداث مع سجل غير قابل للتعديل لكل عملية، بحيث يمكن إعادة بناء أي رصيد من تاريخ الأحداث.
- ▸العزل والتوسّع الأفقي: فصل خدمات المدفوعات عن خدمات القراءة، وطوابير رسائل قادرة على استيعاب موجات الذروة في مواسم مثل رمضان والجمعة البيضاء دون فقدان طلبات.
- ▸الأمن متعدد الطبقات: تشفير البيانات أثناء النقل وفي حالة السكون، إدارة أسرار مركزية، وفصل صارم للبيئات، مع الالتزام بمعيار PCI DSS في نسخته الأحدث الذي أصبح إلزاميًا بالكامل في 2025.
- ▸القابلية للمراقبة: كل معاملة قابلة للتتبع من الطرف إلى الطرف عبر السجلات والقياسات والتتبّع الموزّع، لأن ما لا يمكن قياسه لا يمكن ضمان موثوقيته.
- ▸التعافي من الكوارث: أهداف واضحة لزمن الاستعادة ونقطة الاستعادة، مع اختبارات فشل دورية لا تبقى حبرًا على ورق.
الذكاء الاصطناعي يلعب دورًا متزايدًا في كشف الاحتيال في الزمن الحقيقي، لكن دمجه يجب أن يخضع لحوكمة قانون الذكاء الاصطناعي: نماذج قابلة للتفسير، ومراجعة بشرية للقرارات الحسّاسة، وتوثيق كامل لمصادر البيانات.
قائمة تحقق: نحو منصة فينتك جاهزة للإنتاج
قبل إطلاق أي منصة مدفوعات أو تمويل مفتوح، راجع هذه الخطوات بالترتيب:
- ▸حدّد نطاق الامتثال مبكرًا: ارسم خريطة الولايات القضائية (الخليج والاتحاد الأوروبي)، وحدّد ما إذا كنت خاضعًا لـ DORA وNIS2 وأطر البنوك المركزية المحلية.
- ▸صمّم لموقع البيانات: قرّر أين تُقيم بيانات العملاء لتحقيق سيادة البيانات ومتطلبات GDPR والأطر المحلية معًا.
- ▸ابنِ الأمن في الأساس: مصادقة قوية متعددة العوامل، أقل صلاحية ممكنة لكل خدمة، وتدوير منتظم للأسرار والمفاتيح.
- ▸اعتمد نمط عدم التكرار: تأكد أن كل نقطة نهاية للدفع آمنة ضد إعادة الإرسال والفشل الجزئي.
- ▸جهّز التوثيق التنظيمي: سجلات تدقيق غير قابلة للتعديل، سياسات الاحتفاظ بالبيانات، وخطة الاستجابة للحوادث والإبلاغ عنها ضمن المهل الزمنية المفروضة.
- ▸اختبر الصمود لا الوظائف فقط: اختبارات حمل تحاكي الذروة، واختبارات فوضى تقطع الاعتماديات عمدًا للتحقق من التعافي.
- ▸راقب من اليوم الأول: لوحات قياس حيّة وتنبيهات على معدلات الفشل وزمن الاستجابة قبل أن يلاحظها العميل.
- ▸خطّط لإدارة مزوّدي الطرف الثالث: وثّق اعتمادك على السحابة والاستضافة بما يرضي متطلبات DORA حول الأطراف الحرجة.
كيف نبني في TuniCyberLabs
في TuniCyberLabs نجمع بين ميزتين نادرًا ما تجتمعان: الرسو الأوروبي والهندسة القريبة. مقرّنا الرئيسي في تالين بإستونيا يتيح تعاقدات ضمن الاتحاد الأوروبي وامتثالًا لـ GDPR منذ اللحظة الأولى، ومكتبنا في ليماسول بقبرص يقرّبنا من عملاء المنطقة، بينما يعمل فريق الهندسة من سوسة في تونس ضمن التوقيت الأوروبي نفسه وبتكلفة قريبة من السوق دون مساومة على الجودة. نتحدث الإنجليزية والفرنسية والعربية، ما يجعلنا شريكًا طبيعيًا لمشاريع الفينتك بين الخليج وأوروبا.
طريقتنا في البناء مصمّمة تحديدًا للأنظمة المالية الحسّاسة:
- ▸نفهم أولًا: جلسات اكتشاف نحدّد فيها النطاق التنظيمي، مسارات الأموال، ومتطلبات الحجم والصمود قبل كتابة أي سطر برمجي.
- ▸نصمّم بوعي أمني وامتثالي: معمارية قابلة للتوسّع، عزل البيانات، ونمذجة التهديدات، مع اتخاذ قرارات موقع البيانات في مرحلة التصميم لا بعدها.
- ▸نبني وننشر أنظمة إنتاج آمنة: كود مختبَر، خطوط نشر آلية، بنية تحتية بوصفها كودًا، ومراقبة مدمجة، بحيث تصل المنصة إلى الإنتاج جاهزة للتدقيق.
- ▸ندعم ونطوّر: مراقبة مستمرة، استجابة للحوادث، وتحديثات دورية تواكب تطوّر الأطر التنظيمية مثل DORA وقانون الذكاء الاصطناعي.
نحن لا نبيع قوالب جاهزة، بل نبني برمجيات مخصّصة تناسب واقع أعمالك التنظيمي والتشغيلي. هذا هو الفرق بين منصة تصمد تحت الضغط والتدقيق، وأخرى تنكشف عند أول موجة معاملات حقيقية.
الخلاصة
عام 2026 يكافئ من يعامل الأمن والامتثال والموثوقية كأساس هندسي لا كإضافة لاحقة. سوق الفينتك في الخليج وأوروبا مفتوح على مصراعيه، لكن بوابة الدخول أصبحت أعلى تقنيًا وتنظيميًا. الطريق الأذكى للتحرك هو الهندسة المخصّصة التي تُبنى منذ اليوم الأول لتكون آمنة وممتثلة وقابلة للتوسّع. وهذا بالضبط ما نصنعه.