بحرانهای اخیر، از حملات سایبری تا اختلال در زیرساختهای بانکی، بار دیگر نشان دادند که تابآوری صنعت مالی فقط با خرید تجهیزات، توسعه سامانهها و افزایش ظرفیت فنی به دست نمیآید. در پس هر اختلال، پرسشهایی درباره کیفیت معماری، نحوه مدیریت داده، استقلال ارزیابیها و میزان پاسخگویی نهادهای ناظر وجود دارد؛ پرسشهایی که جایگاه رگتکها را از یک ابزار تنها مقرراتی فراتر میبرد.
محمدرضا جمالی، مدیرعامل نبضافزار، معتقد است رگتک باید بهعنوان ضلع چهارم حکمرانی مالی، در کنار تنظیمگر، کارفرما و پیمانکار قرار گیرد و از ابتدای طراحی سامانهها تا بهرهبرداری و پایش مستمر آنها حضور داشته باشد. در این گفتوگو، با او درباره وضعیت رگتک و سوپتک در ایران، حاکمیت داده، معماری سامانههای حیاتی، ارزیابی مستقل ریسک و تابآوری، پاسخگویی نهادهای نظارتی و اولویتهای توسعه این حوزه صحبت کردهایم. جمالی باور دارد بدون ایجاد جایگاه قانونی برای شرکتهای رگتک، استقرار نظام جامع حاکمیت داده و انجام ارزیابیهای مستقل، نظارت هوشمند و تابآوری واقعی شکل نخواهد گرفت.
رگتک؛ ضلع چهارم حکمرانی مالی
محمدرضا جمالی، مدیرعامل نبضافزار، معتقد است افزایش حجم دادهها، استفاده از فناوریهای رگتک و سوپتک را از یک انتخاب به ضرورتی اجتنابناپذیر تبدیل کرده است. او میگوید: «هرچه حجم دادهها افزایش مییابد، توان تحلیل شناختی انسان بهشدت کاهش پیدا میکند. زمانی که حجم دادهها چندین برابر میشود، دیگر تصمیمگیری تنها مبتنی بر پایه تجربه انسانی امکانپذیر نیست و استفاده از ابزارها برای تحلیل دادهها، مدیریت ریسک و تصمیمسازی به ضرورتی جدی تبدیل میشود. امروز شبکه بانکی، صنعت پرداخت و نهادهای نظارتی با میلیاردها رویداد، تراکنش، لاگ، هشدار امنیتی و داده عملیاتی مواجهاند و بدون بهرهگیری از فناوریهای رگتک و سوپتک، مدیریت این حجم از داده امکانپذیر نیست.»
او با اشاره به وضعیت رگتک در ایران، فاصله صنعت مالی کشور با استانداردهای جهانی را قابلتوجه میداند و میگوید:
«اگر رگتک را در پنج حوزه اصلی شناخت مشتری (KYC)، مدیریت ریسک، انطباق با مقررات (Compliance)، پایش و تحلیل تراکنشها (Transaction Monitoring) و گزارشدهی تعریف کنیم، معتقدم ایران در هر پنج حوزه با کاستیهای جدی مواجه است. در مدیریت ریسک، بهویژه ریسک عملیاتی، امنیت سایبری، تابآوری، نقدینگی و حتی ریسک شهرت، هنوز استفاده نظاممند از ابزارهای تحلیلی و ارزیابیهای مستقل دیده نمیشود. در حوزه پایش تراکنشها نیز، چه بهصورت برخط و چه برونخط، فاصله قابلتوجهی با استانداردهای جهانی وجود دارد.»
بهگفته مدیرعامل نبضافزار، یکی از ریشههای این وضعیت به ساختار حکمرانی صنعت مالی بازمیگردد: «در بسیاری از کشورها، رگتکها در کنار تنظیمگر، کارفرما و پیمانکار، بهعنوان بازوی مستقل ارزیابی ریسک، انطباق و تابآوری و در جایگاه ضلع چهارم فعالیت میکنند؛ اما در ایران نه الزام مؤثری برای استفاده از خدمات این شرکتها وجود دارد و نه مدل اقتصادی پایداری برای رشد آنها تعریف شده است. حتی در بسیاری از موارد، به بهانه ملاحظات امنیتی یا سازمانی، دسترسی این شرکتها به دادهها محدود میشود و امکان ارائه خدمات تخصصی از آنها سلب میشود.»
بهای سنگین نبود ارزیابی مستقل از زیرساختهای حیاتی
جمالی معتقد است اگر ارزیابیهای مستقل ریسک در فرایند طراحی و بهرهبرداری از زیرساختهای حیاتی مورد استفاده قرار میگرفت، امکان پیشگیری از بسیاری از بحرانهای سالهای اخیر وجود داشت. او میگوید: «تجربه اختلالات سالهای اخیر نشان داد که بسیاری از مشکلات، پیش از وقوع قابلشناسایی و پیشگیری بودند. تنها در اختلالات تیرماه، شبکه بانکی از محل کاهش درآمدهای عملیاتی، حدود دو میلیارد تومان در هر دقیقه زیان دیده است؛ یعنی حدود ۲.۹ همت در روز که تقریباً معادل ۱۵ میلیون دلار در روز است.»
اگر آثار زنجیرهای این اختلالات بر کسبوکارها، تجارت، حملونقل، خدمات و سایر بخشهای اقتصاد نیز محاسبه شود، به اعتقاد جمالی، با توجه به تولید ناخالص داخلی و سهم این بانکها در اقتصاد کشور از نظر تعداد تراکنشها و حجم نقدینگی، زیان اقتصاد کشور میتواند به حدود ۴۰۰ میلیون دلار در روز نیز برسد. او میگوید: «البته این ارقام، برآورد شخصی من بر اساس تحلیل آثار اقتصادی اختلالات است. به همین دلیل، معتقدم بخشی از این خسارتها ناشی از کمرنگ بودن مدیریت علمی ریسک، نبود ارزیابی مستقل تابآوری و استفاده نکردن از ظرفیت شرکتهای تخصصی رگتک در فرایند تصمیمسازی و تصمیمگیری است.»
معماری؛ نقطه آغاز تابآوری
جمالی توضیح میدهد که تجربه جنگ و حملات سایبری اخیر نشان داد تابآوری را نمیتوان تنها موضوعی از یک بعد فنی دانست؛ این مفهوم به همان اندازه که به فناوری وابسته است، نیاز به نگاه ۳۶۰ درجهای فنی و علمی از نظر مالی، ابعاد مختلف مهندسی، معماری، ایمنی و امنیت دارد و به مدیریت و نظام نظارتی نیز ارتباط دارد: «اگر نظام نظارتی بهدرستی عمل کند، بسیاری از مشکلات پیش از آنکه به بحران تبدیل شوند، شناسایی و اصلاح خواهند شد. پیش از احداث یک ساختمان، دهها مرحله ارزیابی انجام میشود؛ از دریافت مجوزهای محیطزیست، منابع طبیعی و شهرداری گرفته تا آزمایش مکانیک خاک، کنترل کیفیت بتن، نظارت مهندسان، تأییدیه آتشنشانی و در نهایت صدور پایانکار. هدف همه این فرایندها، جلوگیری از وقوع بحران، توسعه پایدار، کاهش ریسک و تحقق سایر الزامات است که توسط نهادهای مختلف تنظیمگری، شرکتها و آزمایشگاههای مستقل ارزیابی صورت میپذیرد.»
او با تعمیم این الگو به صنعت مالی میگوید: «در زیرساختهای مالی و سایبری نیز باید همین منطق حاکم باشد. برای هر سامانه حیاتی، از مرحله طراحی تا بهرهبرداری، باید ارزیابیهای مستقلی درباره معماری سامانه، وابستگیها، نقاط شکست، سناریوهای بحران، تداوم کسبوکار، بازیابی پس از بحران و میزان تابآوری آن انجام شود.»
به اعتقاد او، بسیاری از مشکلاتی که کشور در سه بحران اخیر، یعنی جنگ ۱۲روزه، جنگ ۴۰روزه و همچنین رخدادهای خرداد و تیرماه ۱۴۰۵ با آنها مواجه شد، ناشی از معماری فیزیکی و منطقی سامانههای بانکی و پرداخت بود؛ معماریای که میتوانست برای دستیابی به پایداری و تابآوری بیشتر و همچنین بازگشت سریعتر خدمات، بسیار بهتر و ایمنتر طراحی شود.
مدیرعامل نبضافزار در ادامه، با طرح چند پرسش، به وابستگی بالای خدمات حیاتی به سامانههای متمرکز اشاره میکند و میگوید:
«اگر سامانهای مانند ثبت احوال یا هر خدمت متمرکز دیگری برای مدتی از دسترس خارج شود، آیا از قبل ارزیابی شده است که در نقطه ارائه خدمت چه باید کرد؟ آیا وابستگی این سامانه به سایر سامانهها تحلیل شده است؟ آیا راهکاری جایگزین برای ادامه خدمت پیشبینی شده است؟ اگر شتاب و شاپرک قطع شوند، آیا کیف پولها، پول خرد، کارتهای اعتباری، سکه و اسکناس پوشش مناسبی ایجاد میکنند؟ متأسفانه در بسیاری از موارد، پاسخ این پرسشها منفی است. یکی از مشکلات اساسی معماری فعلی سامانههای حیاتی این است که بسیاری از خدمات حیاتی به سامانههای متمرکز وابسته شدهاند و همین موضوع، ریسک و تهدیدهای امنیتی را در سطح ملی افزایش داده است.»
جمالی معتقد است در چنین شرایطی، نقش رگتک بسیار فراتر از کشف تقلب یا مقابله با پولشویی است و این شرکتها باید از همان ابتدای چرخه عمر سامانهها در کنار سایر بازیگران حضور داشته باشند. او میگوید: «رگتکها باید از ابتدای چرخه عمر سامانهها، یعنی از طراحی معماری، تدوین الزامات، توسعه، آزمون، استقرار و بهرهبرداری، در کنار تنظیمگران، کارفرمایان و پیمانکاران حضور داشته باشند. نقش آنها فقط کشف تقلب یا پولشویی نیست؛ بلکه ارزیابی ریسک، تحلیل وابستگیها، آزمون سناریوهای بحران، پایش مستمر، تحلیل رفتارهای غیرعادی و ارائه هشدارهای پیشگیرانه را نیز دربر میگیرد.»
او همچنین نبود ارزیابی مستقل را مهمترین ضعف آشکارشده در بحرانهای اخیر میداند و در این باره میگوید: «به اعتقاد من، مهمترین ضعفی که در بحرانهای اخیر آشکار شد، نبود ارزیابی مستقل و مستمر از ریسک و تابآوری زیرساختهای حیاتی بود. همانگونه که در صنعت ساختمان، وجود آزمایشگاه مکانیک خاک و کنترل کیفیت بتن یک الزام قانونی است، در زیرساختهای مالی نیز باید نهادها و شرکتهای مستقلی وجود داشته باشند که کیفیت معماری، تابآوری، امنیت و آمادگی سامانهها را پیش از بهرهبرداری و در طول چرخه عمر آنها ارزیابی کنند. این همان جایگاهی است که رگتک میتواند در کنار تنظیمگر، کارفرما و پیمانکار ایفا کند و به اعتقاد من، نبود آن یکی از خلأهای مهم نظام مالی کشور است.»
نظارت هوشمند در گرو حکمرانی داده
مدیرعامل نبضافزار معتقد است اگرچه در سالهای اخیر سوپتک، یا استفاده از فناوریهای پیشرفته برای نظارت هوشمند، مورد توجه بسیاری از نهادهای ناظر در جهان قرار گرفته است، اما صنعت مالی ایران همچنان فاصله زیادی با استقرار واقعی این رویکرد دارد. او میگوید: «به اعتقاد من، هنوز فاصله قابلتوجهی تا استقرار واقعی سوپتک و نظارت هوشمند و دادهمحور در کشور وجود دارد. مسئله فقط نبود فناوری نیست، بلکه کمبود زیرساختهای حکمرانی، حقوقی و نهادی نیز مانع تحقق این رویکرد است.»
او نخستین مانع توسعه نظارت دادهمحور را نبود نظام جامع حاکمیت بر داده میداند و توضیح میدهد: «نخستین مانع، نبود نظام جامع حاکمیت بر داده (Data Governance) است. هنوز استانداردهای روشنی درباره مالکیت داده، کیفیت داده، حریم خصوصی، چرخه عمر دادهها، مسئولیت اشتراکگذاری، سطوح دسترسی و پاسخگویی سازمانها در قبال دادههایشان وجود ندارد. اگر امروز سازمانی از ارائه دادههای موردنیاز خودداری کند و در نتیجه آن، بحران یا اختلالی به وجود آید، آیا مسئولیتی متوجه آن سازمان خواهد بود؟ متأسفانه پاسخ روشنی برای این پرسش وجود ندارد.»
مدیرعامل نبضافزار، مانع دوم را جایگاه نامشخص شرکتهای رگتک در ساختار حکمرانی صنعت مالی عنوان میکند و میگوید: «دومین مانع، نبود جایگاه قانونی و اقتصادی برای شرکتهای مستقل رگتک است. ما بهعنوان یکی از قدیمیترین شرکتهای فعال در این حوزه، با وجود سالها فعالیت تخصصی، تاکنون حتی یک قرارداد مستقیم با یک نهاد تنظیمگر دولتی نداشتهایم. این موضوع نشان میدهد که هنوز نقش این شرکتها در ساختار حکمرانی صنعت مالی به رسمیت شناخته نشده است. این در حالی است که طی این سالها بیش از ۲۰۰ قرارداد داشتهایم، با ۴۳ مشتری همکاری کردهایم و بیش از ۲۵۰۰ گزارش تهیه کردهایم.»
او صحبتهایش را اینگونه ادامه میدهد: «در بسیاری از موارد، حتی ارائهدهندگان خدمات نیز دادهها را متعلق به بانک یا کارفرما نمیدانند و آنها را با قالب، کیفیت و تناوب مناسب در اختیار صاحبان اصلیشان قرار نمیدهند؛ شرکتهای فعال در حوزه کربنکینگ به بهانه امنیت، اجازه بررسی حتی لاگ تراکنشها را که هیچ داده محرمانه مشتری در آن نیست، علیرغم حتی موافقت بانکها نمیدهند. در بعضی جاها، حتی شرایط بدتر است و حتی شرکتها و محصولاتی دارند که با شرکتهای رگتک رقابت میکنند و با انحصار در داده و سیاستهای داده باز، به سمت داده بسته میروند و فضایی مناسب برای شرکتهای مجموعه خودشان ایجاد میکنند که این مسئله نهتنها ریسک عملیاتی مشتریان را زیادتر میکند، بلکه فضای ابهامی ایجاد میکند که بسیار خطرناک است.»
او میگوید به عبارتی، ما با سیستمهای جعبهسیاهی مواجه میشویم که رؤیتپذیر و کنترلپذیر نیستند: «خیلی جاها هم زیرساختهای مهندسی داده مناسب در بانکها و شرکتها نیست که بتوانند داده را تهیه و در اختیار شرکتهای رگتک قرار دهند. آسیبهای ایمنی و امنیت برای این شرکتها هم درس نشده است که از شرکتهای فعال رگتک در حوزه ایمنی و امنیت استفاده شود. امید است این شرکتها درک درستی پیدا کنند و البته باید قوانین الزامآور برای این شرکتها ایجاد شود. در چنین شرایطی، انتظار شکلگیری نظارت دادهمحور چندان واقعبینانه نیست.»
پاسخگویی و استقلال؛ دو خلأ نظام نظارتی
جمالی در ادامه، موضوع ارزیابی عملکرد نهادهای تخصصی را نیز مطرح میکند و معتقد است همانگونه که عملکرد بانکها و شرکتهای خصوصی ارزیابی میشود، نهادهای حاکمیتی و نظارتی نیز باید در برابر نتایج عملکرد خود پاسخگو باشند: «فلسفه وجودی نهادهای حاکمیتی و نظارتی، افزایش امنیت، کاهش ریسک و ارتقای تابآوری شبکه بانکی است. بنابراین، پس از رخدادهای اخیر، طبیعی است این پرسش مطرح شود که این نهادها تا چه اندازه توانستهاند مأموریت خود را محقق کنند و آیا شاخصهای عملکرد، مدل درآمدی، شیوه ارزیابی و میزان اثربخشی آنها بهصورت شفاف مورد بررسی قرار گرفته است.»
به نظر او، همانگونه که بانکها و شرکتهای خصوصی مورد ارزیابی قرار میگیرند، نهادهای حاکمیتی و نظارتی نیز باید در برابر نتایج عملکرد خود پاسخگو باشند: «اگر فلسفه وجودی نهادی، ارتقای امنیت و تابآوری است، باید بتوان عملکرد آن را با شاخصهایی مشخص، شفاف و قابلاندازهگیری ارزیابی کرد.»
مدیرعامل نبضافزار یکی دیگر از چالشهای موجود را نبود استقلال در ارزیابی ریسک و تابآوری میداند و معتقد است تا زمانی که این ارزیابیها درون همان اکوسیستم انجام شوند، احتمال بروز تعارض منافع وجود خواهد داشت. او در اینباره میگوید: «تا زمانی که ارزیابی ریسک و تابآوری در داخل همان اکوسیستم انجام شود و از ظرفیت شرکتهای مستقل رگتک استفاده نشود، استقلال ارزیابی کاهش مییابد و احتمال بروز تعارض منافع افزایش پیدا میکند. این موضوع درباره رابطه برخی نهادهای تخصصی با سایر بازیگران اصلی صنعت نیز قابلبررسی است و به نظر من، لازم است این روابط نیز از منظر استقلال ارزیابی بازنگری شوند.»
در مجموع، به اعتقاد جمالی، سه پیشنیاز اصلی برای حرکت به سمت سوپتک عبارتاند از: استقرار نظام جامع حاکمیت داده، ایجاد جایگاه قانونی و اقتصادی برای شرکتهای مستقل رگتک و استفاده از ارزیابیهای مستقل در کنار تنظیمگران، نه به جای آنها. او میگوید: «بدون تحقق این سه پیشنیاز، حرکت به سمت نظارت هوشمند، پیشگیرانه و بلادرنگ، بیش از آنکه تحولی واقعی باشد، تنها به استفاده از ابزارهای جدید در همان ساختارهای قدیمی محدود خواهد شد.»
سه پیشنیاز توسعه رگتک در ایران
جمالی در پایان، سه اولویت را برای توسعه رگتک در ایران برمیشمارد؛ اولویتهایی که به اعتقاد او، بیشترین تأثیر را بر امنیت، تابآوری و کارآمدی صنعت مالی خواهند داشت. او توضیح میدهد: «اگر بخواهم تنها سه اولویت را انتخاب کنم، آنها را به این ترتیب میبینم: اول، ایجاد جایگاه قانونی و اقتصادی برای شرکتهای رگتک. تا زمانی که استفاده از ارزیابیهای مستقل در حوزه ریسک، امنیت، انطباق و تابآوری به بخشی از الزامات صنعت مالی تبدیل نشود، این شرکتها نه امکان رشد خواهند داشت و نه میتوانند نقش واقعی خود را ایفا کنند. در بسیاری از کشورها، رگتکها بهعنوان یکی از ارکان اصلی حکمرانی مالی شناخته میشوند، در حالی که در ایران هنوز چنین جایگاهی برای آنها تعریف نشده است.»
جمالی، دومین اولویت را استقرار نظام جامع حاکمیت داده میداند و میگوید: «دوم، استقرار نظام جامع حاکمیت داده است. داده، مهمترین دارایی صنعت مالی به شمار میرود. بدون استانداردهای مشخص در زمینه مالکیت داده، کیفیت داده، اشتراکگذاری، امنیت و مسئولیتپذیری، نه رگتک، نه سوپتک و نه حتی GovTech شکل نخواهد گرفت. تا زمانی که داده بهعنوان داراییای ملی و راهبردی مدیریت نشود، توسعه صحیح و نظارت مؤثر نیز امکانپذیر نخواهد بود.»
طبق صحبتهای او، داده متعلق به شرکت فراهمآورنده خدمت نیست، اگرچه مدل داده ممکن است باشد و بانکها ملزم به تعامل با رگتکها باید باشند و شرکتهای فراهمآورنده خدمتی که توانایی ارائه دادهها را ندارند یا همکاری لازم را انجام نمیدهند، با توجه به ریسک بالایی که ایجاد میکنند، باید از ارائه خدمات آنها جلوگیری شود. جمالی در این باره میگوید: «این مثل این است که یک تولیدکننده قطعه با آزمایشگاه همکاری نمیکند و ما انتظار داشته باشیم خودروی تولیدی، امن و ایمن باشد. لازم است رگتکها گسترش یابند و تنها یک شرکت هم نباشد. بهعنوان مثال، در حوزه ایمنی میتواند چندین شرکت مثل نبضافزار و برای امنیت هم باید شرکتهای مستقل مجزا باشد.»
او الگوبرداری صحیح از تجربههای موفق جهان را نیز سومین اولویت میداند و تأکید میکند: «سوم، الگوبرداری صحیح از تجربههای موفق دنیا است. منظور من وارد کردن فناوری نیست، بلکه بهرهگیری از تجربه کشورهای موفق در حوزه رگتک، سوپتک و GovTech از نظر ساختار حکمرانی، مدل اقتصادی، استانداردها، استقلال نهادهای ارزیاب و نحوه تعامل میان بخش خصوصی و نهادهای تنظیمگر است. به اعتقاد من، اگر این سه اقدام بهصورت همزمان انجام شوند، صنعت مالی کشور از نظر امنیت، تابآوری، مدیریت ریسک و کیفیت تصمیمگیری با جهشی قابلتوجه مواجه خواهد شد.»
