مهلت اتصال به سامانه ناظر برای پلتفرم‌های طلا تمدید شد

مجتبی قاسمی، دبیر هیات مقررات‌زدایی و بهبود محیط کسب‌وکار، با اعلام تمدید مهلت اتصال پلتفرم‌ها به پیوست می‌گوید: ۲پلتفرم به‌صورت داوطلبانه و در مرحله پایلوت به سامانه متصل شده‌اند تا ایرادهای احتمالی پیش از اتصال عمومی شناسایی و برطرف شود. به گفته او، بخشی از ابهام‌هایی که در ابتدا درباره نحوه اتصال، دسترسی به داده‌ها و محرمانگی اطلاعات مطرح بود نیز در جلسات مشترک بررسی شده و برای رفع آنها تمهیداتی در مدل اتصال در نظر گرفته شده است.

با این حال، تمدید مهلت به معنای تجدیدنظر در اصل اتصال نیست. قاسمی تاکید می‌کند: اتصال به سامانه ناظر در نهایت برای تمام فعالان این بازار الزامی است و هر پلتفرمی که بخواهد در این اکوسیستم فعالیت کند، باید به سامانه متصل شود.

اما درست در زمانی که اصل اتصال از نگاه هیات مقررات‌زدایی قطعی است، هنوز متولی نهایی سامانه و تنظیم‌گر این حوزه به‌طور کامل تعیین تکلیف نشده است. موضوعی که قاسمی نیز آن را تایید می‌کند. او بخشی از این وضعیت را نتیجه تغییر رویکرد بانک مرکزی می‌داند و می‌گوید: با تغییر مدیریت بانک مرکزی، سیاست قبلی در این حوزه تغییر کرده و همین موضوع به ابهام‌ها اضافه کرده است.

به گفته او، اکنون تعیین تکلیف راهبری سامانه ناظر و تنظیم‌گری بازار در جریان است و احتمالا طی روزهای آینده تصمیم‌های نهایی در این زمینه مشخص می‌شود.

این وضعیت در حالی است که سامانه ناظر قرار بود بخشی از بلاتکلیفی تنظیم‌گری بازار آنلاین طلا را برطرف کند. سامانه‌ای که بداند هر پلتفرم چه میزان طلا در اختیار دارد، چه میزان فروخته و آیا طلای موجود در خزانه با تعهدات آن به کاربران همخوانی دارد یا نه. اما حالا در کنار بحث متولی، پلتفرم‌ها درباره حدود اختیارات سامانه، شیوه دسترسی و نگهداری داده‌ها و تکلیف معاملات در زمان اختلال نیز پرسش‌هایی مطرح می‌کنند.

ناظر فقط نظارت می‌کند؟

یکی از اصلی‌ترین اختلاف‌ها به مدل عملکرد سامانه برمی‌گردد. براساس توضیح فعالان بازار، کار ناظر تنها دریافت گزارش معاملات پس از انجام آنها نیست. سامانه پیش از انجام معامله باید موجودی طلای پلتفرم را کنترل کند و بسنجد آیا این موجودی با تعهدات پلتفرم همخوانی دارد یا خیر و پس از تایید، معامله امکان انجام پیدا می‌کند.

پلتفرم‌ها این مدل را نوعی نظارت پیشینی می‌دانند و معتقدند نظارت باید به سمت مدل پسینی و مبتنی بر ریسک حرکت کند. از نگاه آنها، وابسته‌کردن فعالیت همه سکوها به عملکرد برخط یک سامانه متمرکز می‌تواند خود به ریسک تازه‌ای برای بازار تبدیل شود.

مساله اصلی در این مدل زمانی نمایان می‌شود که سامانه ناظر از دسترس خارج شود. اگر سامانه برای چند دقیقه یا چند ساعت دچار اختلال شود، آیا پلتفرم اجازه ادامه معامله دارد یا تمام معاملات باید تا بازگشت سامانه متوقف شوند؟ اگر توقف سامانه برای کاربران یا کسب‌وکارها زیان مالی ایجاد کند، مسئول جبران آن چه نهادی خواهد بود؟

تا زمانی که سامانه فقط ابزار دریافت و تحلیل اطلاعات باشد، قطعی آن اختلال در ابزار نظارتی است؛ اما اگر تایید سامانه پیش‌شرط معامله باشد، اختلال در ناظر می‌تواند به اختلال در خود بازار منجر شود. بازاری که به گفته فعالان آن بیش از ۳۰ میلیون کاربر دارد.

اتصال اجباری، دستورالعمل ناتمام

انتقاد دیگر پلتفرم‌ها این است که اتصال به سامانه در شرایطی الزامی شده که دستورالعمل نظارتی آن هنوز تعیین تکلیف نشده است. مطابق دستورالعمل اجرایی خریدوفروش آنلاین طلا و نقره، بانک مرکزی و هیات مقررات‌زدایی باید دستورالعمل نظارتی سامانه را تصویب کنند؛ دستورالعملی که از جمله باید مشخص کند اطلاعات چگونه منتقل، پردازش و نگهداری می‌شوند و چه کسانی به آنها دسترسی دارند.

فعالان بازار می‌گویند این چارچوب هنوز نهایی نشده است. در مقابل، قاسمی معتقد است: بخشی از نگرانی‌های مرتبط با نحوه اتصال، محرمانگی و دسترسی به اطلاعات در جلسات برگزارشده با پلتفرم‌ها برطرف شده است. اتصال آزمایشی ۲ پلتفرم نیز قرار است فرصتی برای شناسایی ایرادهای باقی‌مانده پیش از اجرای عمومی باشد.

داده‌های کاربران کجا نگهداری می‌شود؟

بخش دیگری از انتقادها به زیرساخت سامانه ناظر برمی‌گردد. فعالان بازار با استناد به ماده ۱۰۷ برنامه هفتم معتقدند این سامانه باید در چارچوب زیرساخت یکپارچه ابری دولت هوشمند فعالیت کند. آنها می‌گویند سامانه فعلی در بستر ابر دولت قرار ندارد و در نتیجه درباره محل نگهداری داده‌های کاربران و اطلاعات تجاری پلتفرم‌ها ابهام وجود دارد.

پلتفرم‌ها می‌پرسند چه اطلاعاتی باید در اختیار سامانه قرار گیرد، ضرورت دریافت هر داده چیست، اطلاعات کجا و برای چه مدتی نگهداری می‌شوند، چه نهادهایی امکان دسترسی به آنها را دارند و در صورت نشت داده مسئولیت با چه کسی خواهد بود.

قاسمی می‌گوید نگرانی‌های مربوط به محرمانگی و دسترسی به اطلاعات از جمله موضوعاتی بوده که در جلسات مشترک مورد بررسی قرار گرفته و برای آن تمهیداتی در نظر گرفته شده است. با این حال، پلتفرم‌ها خواستار مشخص‌شدن این موارد در قالب چارچوب نظارتی و حقوقی سامانه هستند.

چه کسی اجازه دسترسی به داده‌ها را می‌دهد؟

ابهام دیگر به مسیر انتقال اطلاعات مربوط می‌شود. پلتفرم‌ها با استناد به ماده ۱۰۷ برنامه هفتم و قانون مدیریت داده‌ها و اطلاعات ملی معتقدند سطوح دسترسی و تبادل اطلاعات در سامانه‌های جدید باید در چارچوب مصوبات کارگروه تعامل‌پذیری دولت الکترونیکی تعیین شود و تبادل داده نیز از مسیر سازوکارهای قانونی مرکز ملی تبادل اطلاعات صورت گیرد.

این موضوع زمانی اهمیت بیشتری پیدا می‌کند که داده مورد بحث فقط آمار کلی خریدوفروش طلا نباشد و اطلاعات معاملاتی کاربران و داده‌های تجاری پلتفرم‌ها نیز به سامانه منتقل شود. در چنین شرایطی اینکه چه نهادی به چه سطحی از اطلاعات دسترسی دارد، بخشی از معماری تنظیم‌گری بازار است.

پلتفرم‌ها همچنین با استناد به تبصره بند «ت» ماده ۱۰۷ برنامه هفتم می‌گویند ایجاد سامانه‌های جدید با گستره ملی و فرابخشی نیازمند تایید وزارت ارتباطات و فناوری اطلاعات است و مدعی‌اند سامانه ناظر فعلی چنین تاییدی ندارد.

امنیت سامانه را چه کسی تضمین می‌کند؟

امنیت، حلقه دیگری از انتقادهای پلتفرم‌هاست. سامانه‌ای که قرار است اطلاعات هویتی، مالی و معاملاتی کاربران و بخشی از داده‌های تجاری کسب‌وکارها را دریافت کند و اختلال آن نیز می‌تواند بر معاملات بازار اثر بگذارد، نیازمند زنجیره مشخصی از مسئولیت امنیتی است.

فعالان بازار می‌پرسند آیا ارزیابی امنیتی سامانه انجام شده، مرکز مدیریت راهبردی افتا برای آن گواهی امنیت صادر کرده و پیمانکار سامانه مطابق الزامات امنیتی احراز صلاحیت شده است یا خیر.

از نگاه پلتفرم‌ها، مبنای قانونی جمع‌آوری داده، سطح دسترسی، شیوه انتقال و رمزنگاری اطلاعات، محل نگهداری و مسئولیت حفاظت از آنها باید پیش از اتصال عمومی مشخص شود. قاسمی در مقابل تاکید می‌کند بخشی از همین نگرانی‌ها در جریان پایلوت و جلسات مشترک در حال بررسی و رفع است.

تمدید مهلت اتصال، حالا فرصتی برای تعیین تکلیف همین موارد ایجاد کرده است. اصل اتصال از نگاه هیات مقررات‌زدایی تغییر نکرده و پلتفرم‌ها در نهایت باید به ناظر متصل شوند؛ اما تا پیش از اجرای عمومی، همچنان باید مشخص شود ناظر با چه اختیاراتی فعالیت می‌کند، چه نهادی مسئول راهبری آن است، داده‌ها در چه چارچوبی در اختیارش قرار می‌گیرد و در صورت اختلال یا نشت اطلاعات، مسئولیت بر عهده چه کسی خواهد بود.