ملخص الوظيفة:
تبحث شركة PayLink عن مدير للمخاطر لقيادة وظيفة إدارة مخاطر المؤسسة (ERM) كوظيفة رقابية مستقلة. ستقوم بتطوير وصيانة إطار عمل إدارة المخاطر، وتقييم المخاطر عبر الأعمال، وتقديم رؤى واضحة تدعم القرارات المستنيرة، ومرونة الأعمال، والامتثال لمتطلبات البنك المركزي السعودي (ساما) ذات الصلة.
يعمل هذا الدور بشكل وثيق مع الإدارة العليا، واللجان ذات الصلة، ومسؤولي المخاطر في الإدارات، مع الحفاظ على الرقابة المستقلة والمساءلة الواضحة.
المسؤوليات الرئيسية:
- الحوكمة والاستراتيجية وإطار إدارة المخاطر
- تطوير وتحديث إطار عمل إدارة مخاطر المؤسسة (ERM)، والسياسات، والمنهجيات، والأدوات، والنماذج، وتقديمها للاعتماد بموجب تفويض السلطة
- إعداد استراتيجية سنوية لإدارة المخاطر وخطة عمل تتماشى مع استراتيجية الشركة، وفئة الترخيص، وحجم العمليات
- تحديد الأدوار، والمسؤوليات، وخطوط التصعيد، ومسؤولي المخاطر، ومسؤولي الضوابط بالتنسيق مع الإدارات ذات الصلة، دون فرض سلطة تشغيلية غير معتمدة
- دعم لجنة المخاطر واللجان ذات الصلة من خلال إعداد المواد والتقارير وتتبع القرارات ضمن نطاق اختصاص كل لجنة
- مراجعة الإطار بشكل دوري بعد تغييرات المنتجات أو نماذج الأعمال أو التغييرات التنظيمية أو الأحداث الجوهرية
- تحديد المخاطر وتقييمها وسجل المخاطر
- قيادة تقييمات المؤسسة للمخاطر المتأصلة والمتبقية بالتعاون مع مسؤولي المخاطر في الإدارات
- إنشاء وصيانة سجل مخاطر المؤسسة، وتوثيق الأسباب، والآثار، والضوابط، والتقييمات، ومسؤولي المعالجة، والتواريخ المستهدفة
- تنسيق التقييمات الذاتية للمخاطر والضوابط (RCSA) وتحدي معقولية التقييمات مقابل الأدلة المتاحة
- تقييم مخاطر المؤسسة الناشئة عن المنتجات والخدمات الجديدة، والتغييرات الجوهرية، والمشاريع، والتوسع، والشراكات قبل تقديم التوصيات
- إجراء تحليلات السيناريوهات واختبارات الضغط بما يتماشى مع الأولويات والقدرات والبيانات المتاحة، بالتنسيق مع الإدارات المالية والتشغيلية والتقنية
- الشهية للمخاطر، والمؤشرات، وإعداد التقارير
- تطوير ومراجعة بيان الشهية للمخاطر وحدود التسامح بالتنسيق مع الإدارات المالية والامتثال والتشغيل والأمن السيبراني وأصحاب المصلحة الآخرين، وتقديمها إلى جهة الاعتماد المخولة
- تطوير مجموعة متناسبة من مؤشرات المخاطر الرئيسية (KRIs)، مع تحديد مصادر البيانات، ومسؤولي البيانات، وتكرار القياس، وحدود التنبيه
- مراقبة اختراقات الشهية للمخاطر، وتحليل أسبابها، والتوصية بالتخفيف، والتصعيد بموجب السلطات المعتمدة
- إنتاج تقارير دورية موجزة للإدارة العليا واللجان ذات الصلة حول المخاطر الجوهرية، والاتجاهات، والاختراقات، وخطط المعالجة، والقرارات المطلوبة
- تقييم الضوابط والتحدي المستقل
- تقييم مدى كفاية وفعالية تصميم الضوابط من منظور إدارة المخاطر، باستخدام الأدلة الداعمة، ونتائج الاختبارات، والتقارير، والمقابلات، والعينات المناسبة
- طلب المعلومات والأدلة اللازمة لتقييمات المخاطر ضمن حقوق الوصول المعتمدة، ومبادئ الحاجة إلى المعرفة، والسرية، ومتطلبات حماية البيانات
- توثيق الخلافات المهنية مع مسؤولي المخاطر أو الضوابط وتصعيد المسائل الجوهرية عبر القنوات المعتمدة
- عدم تشغيل الضوابط، أو اتخاذ قرارات تشغيلية متخصصة، أو الحلول محل دور الضمان المستقل للمراجعة الداخلية
- المخاطر المالية والتشغيلية والتقنية ومخاطر الجرائم المالية
- مراقبة المخاطر المتعلقة بالسيولة، والتسويات، والبنوك الشريكة، والاحتيال، والعمليات، والأطراف الثالثة، والتركيز، والسمعة، والاستراتيجية بالتنسيق مع مسؤوليها المعنيين
- تقييم مخاطر الأمن السيبراني والتقنية ضمن إطار عمل المؤسسة بالتنسيق مع الأمن السيبراني والتكنولوجيا، دون تولي مسؤولياتهم المتخصصة أو التشغيلية
- إدراج مخاطر غسل الأموال، وتمويل الإرهاب، وتمويل الانتشار في سجل مخاطر المؤسسة وتحدي التعرضات والضوابط والمخاطر المتبقية بشكل مستقل بالتنسيق مع إدارة الامتثال ومسؤول مكافحة غسل الأموال
- الوصول إلى مؤشرات المعاملات والتنبيهات والمؤشرات المتعلقة بالاشتباه المناسبة لتقييم المخاطر، مع مراعاة قيود السرية على التقارير وملفات الحالات المحمية؛ هذا الدور لا يتضمن التحقيق في حالات فردية أو اتخاذ قرارات تتعلق بالإبلاغ التنظيمي
- ضمان توافق تقييمات المؤسسة مع تقييمات المخاطر المتخصصة دون إنشاء تقييمات متضاربة أو نقل ملكية البرامج المتخصصة إلى إدارة المخاطر
- استمرارية الأعمال وإدارة الأزمات
- الإشراف على إطار وبرنامج إدارة استمرارية الأعمال (BCM) من خلال مسؤول استمرارية الأعمال والوظائف ذات الصلة، ومراقبة الخطط والاختبارات وجاهزية المعالجة
- مراجعة نتائج تحليل تأثير الأعمال (BIA)، والتحقق من مصادقة أصحاب الأعمال على الآثار والتبعيات، والتأكد من أن الإدارات التقنية والتشغيلية قد قيمت جدوى هدف التعافي
- مراقبة خطط واختبارات استمرارية الأعمال، والتعافي من الكوارث، وإدارة الأزمات، في حين تظل الاستجابة التشغيلية والتعافي لدى الفرق المعينة
- إبلاغ الإدارة العليا واللجان ذات الصلة بفجوات الجاهزية الجوهرية، بالتنسيق مع إدارة الامتثال بشأن الإخطارات التنظيمية
- الأطراف الثالثة والتغييرات والمشاريع
- تقييم المخاطر المتعلقة بالموردين، والاستعانة بمصادر خارجية، وتبعيات الأطراف الثالثة، والتركيز، ونقاط الفشل الفردية بالتعاون مع مسؤولي العلاقات
- مراجعة المخاطر المرتبطة بالمشاريع والتغييرات الجوهرية والخدمات الجديدة وتقديم التوصيات قبل الاعتماد
- تتبع خطط تخفيف المخاطر، ومسؤولي الإجراءات، والمواعيد النهائية دون تنفيذ إجراءات المعالجة الخاصة بالإدارات الأخرى
- المتطلبات التنظيمية والتنسيق والتوعية
- مراقبة المتطلبات التنظيمية المطبقة على وظيفة إدارة المخاطر وتجميع الأدلة الداعمة مع إدارة الامتثال وأصحاب المصلحة المعنيين
- المشاركة في الزيارات الإشرافية والاستجابة لمواضيع إدارة مخاطر المؤسسة باستخدام معلومات تم التحقق منها، مع إحالة المواضيع التقنية المتخصصة إلى مسؤوليها
- تتبع نتائج الجهات التنظيمية والمراجعة الداخلية ذات الصلة بإدارة المخاطر والتحقق من المعالجة من قبل المسؤولين المعنيين
- تقديم تدريب وتوعية عملية حول المخاطر لمسؤولي المخاطر وتعزيز ثقافة المخاطر في جميع أنحاء الشركة
- الحفاظ على سجلات منظمة للأدلة، والتقييمات، والتقارير، والقرارات، والمراسلات ذات الصلة
المتطلبات
- درجة البكالوريوس في إدارة المخاطر، أو المالية، أو المحاسبة، أو إدارة الأعمال، أو تخصص ذي صلة؛ ويفضل الحصول على مؤهل دراسات عليا
- يفضل خبرة لا تقل عن سبع سنوات في إدارة المخاطر، أو الحوكمة، أو الخدمات المالية، بما في ذلك خبرة قيادية، رهناً بمتطلبات الملاءمة والنزاهة المعمول بها
- خبرة عملية داخل المؤسسات المالية أو مقدمي خدمات الدفع الخاضعين لرقابة البنك المركزي السعودي (ساما)
- معرفة عملية بإدارة مخاطر المؤسسة (ERM)، والتقييمات الذاتية للمخاطر والضوابط (RCSA)، والشهية للمخاطر، ومؤشرات المخاطر الرئيسية (KRIs)، وإدارة استمرارية الأعمال (BCM)، والضوابط الداخلية، والتقارير التنظيمية
- يفضل الحصول على شهادات مهنية ذات صلة، مثل FRM أو CRMP أو RIMS-CRMP أو مؤهل مرتبط بمعيار ISO 31000، وتعتبر مكملة للخبرة العملية
- حكم تحليلي قوي ومهارات تقييم مستقلة، مع القدرة على ربط التعرضات للمخاطر بأهداف الأعمال والأثر التنظيمي
- مهارات تواصل فعالة، وتنسيق بين الوظائف، وإدارة الصراعات المهنية
- القدرة على إعداد تقارير تنفيذية واضحة وتقديم توصيات عملية وقابلة للتنفيذ
- مهارات تخطيط وتحديد أولويات قوية، بما في ذلك تتبع أنشطة المعالجة ضمن الموارد المتاحة
- القدرة على تقييم الأدلة والبيانات مع الحفاظ على سرية المعلومات الحساسة
- مهارات القيادة والتدريب، مع القدرة على تعزيز ثقافة المخاطر والتأثير على أصحاب المصلحة دون سلطة مباشرة
Job Summary:
PayLink is seeking a Risk Manager to lead its Enterprise Risk Management (ERM) function as an independent control function. You will develop and maintain the risk management framework, assess risks across the business, and provide clear insights that support informed decisions, business resilience, and compliance with applicable Saudi Central Bank (SAMA) requirements.
The role works closely with senior management, relevant committees, and departmental risk owners while maintaining independent oversight and clear accountability.
Key Responsibilities:
- Governance, Strategy and Risk Management Framework
- Develop and update the Enterprise Risk Management (ERM) framework, policies, methodologies, tools and templates, and submit them for approval under the delegation of authority
- Prepare an annual risk management strategy and work plan aligned with the Company's strategy, license category and scale of operations
- Define roles, responsibilities, escalation lines, risk owners and control owners in coordination with relevant departments, without imposing unapproved operational authority
- Support the Risk Committee and relevant committees by preparing materials and reports and tracking decisions within each committee's mandate
- Review the framework periodically following product, business model or regulatory changes or material events
- Risk Identification, Assessment and Risk Register
- Lead enterprise assessments of inherent and residual risk in collaboration with departmental risk owners
- Establish and maintain the enterprise risk register, documenting causes, impacts, controls, assessments, treatment owners and target dates
- Coordinate Risk and Control Self-Assessments (RCSA) and challenge the reasonableness of assessments against available evidence
- Assess enterprise risks arising from new products and services, material changes, projects, expansion and partnerships before recommendations are submitted
- Conduct scenario analyses and stress testing in line with priorities, capabilities and available data, in coordination with Finance, Operations and Technology
- Risk Appetite, Indicators and Reporting
- Develop and review the risk appetite statement and tolerance limits in coordination with Finance, Compliance, Operations, Cybersecurity and other stakeholders, and submit them to the authorized approving body
- Develop a proportionate set of Key Risk Indicators (KRIs), defining data sources, data owners, measurement frequency and alert thresholds
- Monitor risk appetite breaches, analyze their causes, recommend mitigation and escalate under approved authorities
- Produce concise periodic reports for senior management and relevant committees on material risks, trends, breaches, remediation plans and decisions required
- Control Assessment and Independent Challenge
- Assess control design adequacy and effectiveness from a risk management perspective, using supporting evidence, test results, reports, interviews and appropriate samples
- Request information and evidence necessary for risk assessments within approved access rights, need-to-know principles, confidentiality and data protection requirements
- Document professional disagreements with risk or control owners and escalate material matters through approved channels
- Do not operate controls, make specialist operational decisions or substitute for Internal Audit's independent assurance role
- Financial, Operational, Technology and Financial Crime Risks
- Monitor risks relating to liquidity, settlements, partner banks, fraud, operations, third parties, concentration, reputation and strategy in coordination with their respective owners
- Assess cybersecurity and technology risks within the enterprise framework in coordination with Cybersecurity and Technology, without assuming their specialist or operational responsibilities
- Include money laundering, terrorist financing and proliferation financing risks in the enterprise risk register and independently challenge exposures, controls and residual risk in coordination with Compliance and the AML officer
- Access appropriate transaction, alert and suspicion-related indicators for risk assessment, subject to confidentiality restrictions on reports and protected case files; this role does not include investigating individual cases or making regulatory reporting decisions
- Ensure enterprise assessments align with specialist risk assessments without creating conflicting assessments or transferring ownership of specialist programs to Risk Management
- Business Continuity and Crisis Management
- Oversee the Business Continuity Management (BCM) framework and program through the Business Continuity Officer and relevant functions, monitoring plans, testing and remediation readiness
- Review Business Impact Analysis (BIA) results, verify business owners' validation of impacts and dependencies, and confirm that Technology and Operations have assessed recovery target feasibility
- Monitor business continuity, disaster recovery and crisis management plans and tests, while operational response and recovery remain with designated teams
- Report material readiness gaps to senior management and relevant committees, coordinating with Compliance on regulatory notifications
- Third Parties, Changes and Projects
- Assess risks relating to suppliers, outsourcing, third-party dependencies, concentration and single points of failure in collaboration with relationship owners
- Review risks associated with projects, material changes and new services and provide recommendations before approval
- Track risk mitigation plans, action owners and deadlines without executing other departments' remedial actions
- Regulatory Requirements, Coordination and Awareness
- Monitor regulatory requirements applicable to the risk management function and compile supporting evidence with Compliance and relevant stakeholders
- Participate in supervisory visits and respond on enterprise risk management topics using validated information, referring specialist technical topics to their owners
- Track regulatory and Internal Audit findings relevant to Risk Management and verify remediation by responsible owners
- Deliver practical risk awareness and training to risk owners and promote risk culture throughout the Company
- Maintain orderly records of evidence, assessments, reports, decisions and relevant correspondence
Requirements
- Bachelor's degree in Risk Management, Finance, Accounting, Business Administration, or a related discipline; a postgraduate qualification is preferred
- Preferably at least seven years of relevant experience in risk management, governance, or financial services, including leadership experience, subject to applicable fit-and-proper requirements
- Practical experience within financial institutions or payment service providers supervised by the Saudi Central Bank (SAMA)
- Working knowledge of Enterprise Risk Management (ERM), Risk and Control Self-Assessments (RCSA), risk appetite, Key Risk Indicators (KRIs), Business Continuity Management (BCM), internal controls, and regulatory reporting
- Relevant professional credentials, such as FRM, CRMP, RIMS-CRMP, or an ISO 31000-related qualification, are preferred and complement practical experience
- Strong analytical judgment and independent assessment skills, with the ability to connect risk exposures to business objectives and regulatory impact
- Effective communication, cross-functional coordination, and professional conflict management skills
- Ability to prepare clear executive reports and provide practical, actionable recommendations
- Strong planning and prioritization skills, including tracking remediation activities within available resources
- Ability to evaluate evidence and data while maintaining the confidentiality of sensitive information
- Leadership and coaching skills, with the ability to strengthen risk culture and influence stakeholders without direct line authority