حسین حقیقی، کارشناس ریسک فناوری اطلاعات / سال گذشته چند بانک و مؤسسه مالی کشور، همزمان با حملههای سایبری دستوپنجه نرم کردند؛ اتفاقی که نشان داد بسیاری از طرحهای مقابله با بحران، که سالها روی کاغذ واحدهای نظارتی باقی مانده بودند، در عمل هیچگاه با یک تهدید واقعی محک نخوردهاند. از دل همین تجربه، یک پرسش دوباره جدی شد: آیا رگتک، بهعنوان ابزاری برای شناسایی زودهنگام تهدیدها و کاهش پیامدهای بحران، بالاخره جایگاه واقعی خود را در صنعت مالی کشور پیدا میکند؟
بحران داده؛ پرتکرارترین چالش واحدهای نظارتی
نگارنده در چند ماه گذشته با حدود چهل نفر از مدیران واحدهای نظارتی در شبکه بانکی کشور گفتوگوهای عمیقی داشته است. پرتکرارترین چالشی که در این گفتوگوها شنیده شد، نه نبود دسترسی به ابزار، بلکه بحران داده بود: نبود دادههای تمیز، متمرکز و ساختاریافته برای کمّیسازی ریسکهای غیرمالی. بهطور کلی، نبود مدیریت مناسب داده، کمّیسازی ریسک را در عمل به قضاوت شهودی و سلیقهای چند نفر در واحدهای نظارتی تقلیل داده و همین موضوع، مسیر استفاده از مدلهای هوش مصنوعی و یادگیری ماشین در تحلیل ریسک را عملاً مسدود کرده است.
در کنار آن، فقدان یک پایگاه داده متمرکز برای ثبت زیانهای عملیاتی نیز مانع از آن شده که اشتهای ریسک بهصورت کمّی و مصوب تعریف شود.
دومین چالش، کمبود متخصصان میانرشتهای، مسلط به ریسک، امنیت، فناوری و ادبیات مالی است؛ خلأیی که روند ساخت، تفسیر و بهکارگیری ابزارهای هوشمند برای نظارت بر ریسکهای سایبری بانکی را بهشدت کند کرده است.
در این مطالعه، چالش سوم ریشهای ساختاری و فرهنگی داشت؛ چراکه در بسیاری از مؤسسات، واحدهای نظارتی بهجای آنکه بهعنوان شریک استراتژیک در تصمیمگیریها ایفای نقش کنند، «ترمز سازمان» تلقی میشوند. همین نگاه مانع از آن میشود که ریسک از همان مرحله طراحی محصول وارد گفتوگو شود.
در کنار آن، گسست میان لایههای مختلف واحدهای نظارتی نیز باعث تکرار تلاشها و جاافتادن ریسکهای تازهای مانند ریسک سایبری از پوشش نظارتی میشود. نکته برجسته دیگر این است که اغلب بانکها طرح تداوم کسبوکار و بازیابی از فاجعه دارند، اما این طرحها تقریباً همگی در حد سناریوهای روی کاغذ باقی ماندهاند و هرگز با یک مانور واقعی، مانند قطع کامل یک دیتاسنتر یا از کار افتادن همزمان چند سامانه، محک نخوردهاند. در نهایت نیز زیرساختهای قدیمی که توان بهروزرسانی و مقیاسپذیری ندارند، سرعت کل این تحول را پایین نگه داشتهاند.
از چالش یک بانک تا مسئلهای در سطح کشور
این چالشها که در سطح یک بانک قابل مشاهدهاند، وقتی به سطح کل اقتصاد دیجیتال کشور بزرگنمایی (Scale up) میشوند، به مجموعهای از موانع بههمپیوسته تبدیل میشوند. از یک سو، بازار رگتک در ایران هنوز پا نگرفته است؛ نه الزام استانداردی برای گزارشگری تدوین شده و نه تقاضای کافی از سوی نهادهای ناظر برای ابزارهای انطباق خودکار دیده میشود. از سوی دیگر، نهادهای تنظیمگر و مؤسسات مالی نیز آمادگی لازم را برای این تحول ندارند. نگاه سنتی در بدنه ناظران حکمفرماست، مؤسسات مالی در برابر تغییر رویههای جاافتاده مقاومت میکنند و مهارتهای دیجیتال در میان کارکنان ضعیف است.
به همین موانع، مسئله زیرساخت و داده نیز اضافه میشود. همان مسئلهای که نگارنده در گفتوگو با مدیران واحدهای نظارتی شنیده بود، در سطح کشور نیز دقیقاً تکرار میشود: دادهها در سیلوهای جداگانه میان سازمانها حبس شدهاند، کیفیت پایینی دارند و ساختار آنها غیراستاندارد است، سامانههای قدیمی با ابزارهای هوش مصنوعی سازگار نیستند و کشور فاقد نظام حکمرانی داده در سطح ملی است.
سرمایه انسانی نیز مانع بعدی است؛ چراکه مسیر مشخصی برای پرورش نیروهایی که بهطور همزمان از تخصص فنی و مالی برخوردار باشند، وجود ندارد. در نهایت، فضای کارآفرینی و رقابت نیز سالم نیست: رقابت نابرابر شرکتهای حاکمیتی با بخش خصوصی، ابزارهایی که با نیاز واقعی ناظر همراستا نیستند و وابستگی بیشازحد به شرکتهای پیمانکار، رشد بازیگران مستقل رگتک را محدود کرده است.
نکتهای که از کنار هم گذاشتن این دو دسته چالش به دست میآید، این است که آنچه در سطح یک بانک بهعنوان بحران داده، کمبود نیروی ترکیبی و «ترمز بودن» ریسک شناسایی شد، همان چالشهایی است که در سطح کشور خود را در قالب سیلوهای داده، ضعف سرمایه انسانی و رقابت ناسالم بازتولید میکند. این تقارن بهتنهایی نشان میدهد چرا هیچ بانکی، هرقدر هم بزرگ باشد، نمیتواند این مسیر را صرفاً با منابع و تلاش داخلی خود طی کند. راهحل واقعی را نیز باید در همین سطح، یعنی در تعامل بانک با زیستبوم رگتک، جستوجو کرد.
رگتک؛ راهی برای عبور از راهکارهای درونسازمانی
نتیجه منطقی همین تقارن این است که راهحل نیز نباید فقط درون مرزهای یک بانک جستوجو شود. اولین و شاید مهمترین حرکت، فاصله گرفتن بانکها از رویکرد «همهچیز را خودمان میسازیم» و حرکت به سمت همکاری جدی با شرکتهای رگتک است.
برونسپاری پایشهای لحظهای به شرکتهای تخصصی رگتک، بهجای تعریف پروژههای فرسایشی داخلی، هم سرعت رسیدن به نتیجه را افزایش میدهد و هم تقاضای واقعی این بازار نوپا را شکل میدهد؛ همان تقاضایی که امروز نبود آن یکی از دلایل اصلی شکلنگرفتن بازار رگتک در کشور است.
همین همکاری، مشکل دادههای مربوط به زیان و رخدادها را نیز که پیشتر بهعنوان یکی از چالشهای اصلی بانکها به آن اشاره شد، بهتر حل میکند؛ چراکه شرکت رگتکی که بهطور همزمان با چند بانک کار میکند، میتواند این دادهها را در سطحی فراتر از یک مؤسسه به اشتراک بگذارد و تجمیع کند؛ کاری که هیچ بانکی بهتنهایی از پس آن برنمیآید. این همکاری، در کنار حل مشکل بانک، مستقیماً به حل چالش کشوری نیز کمک میکند: ورود بانکها به بازار رگتک، علاوه بر ایجاد توجیه اقتصادی، باعث میشود استانداردهای نظارتی بهجای آنکه صرفاً در قالب بخشنامههای دستوری شکل بگیرند، مستقیماً از نیازهای واقعی بازار تأثیر بپذیرند.
بدون تنظیمگری دادهمحور، مسیر کامل نمیشود
البته این مسیر بدون چرخش رگولاتور به سمت تنظیمگری هوشمند و دادهمحور ناقص میماند. این چرخش به معنای تدوین چشمانداز ملی، نگارش قوانین به شیوهای است که مستقیماً توسط سیستمها قابل پردازش باشند و همچنین شکستن انحصارها برای ورود بازیگران جدید را دربرمیگیرد. از سوی دیگر، توسعه پلتفرمهای ابری امن برای اشتراک دادهها نیز میتواند به حل بحران «دادههای جزیرهای» کمک کند.
در نهایت، ارتقای سواد دیجیتال کارکنان نهادهای ناظر و مالی، پیششرط ساده اما مهمی است که بدون آن، حتی بهترین ابزار رگتک نیز روی میز خاک خواهد خورد؛ زیرا کسی نیست که خروجی آن را بهدرستی بفهمد و در تصمیمهای روزمره جاری کند.
