近年來，期貨公司數字化轉型步伐顯著加快，但網絡和信息安全方面的風險點也隨之增加。如何在業務發展與合規安全之間找到平衡點，成為期貨公司需要直面的挑戰。

將系統外部接入管理納入合規風控體系

據記者統計，截至今年8月底，各地證監局發布的與期貨公司相關的處罰中，共有8例涉及與外部軟件和信息接入相關的網絡和信息安全問題。主要違規情形包括：未對部分外部接入信息系統開展合規評估；未妥善保存外部接入信息系統合規評估材料；客戶申請使用交易系統前，未開展必要的核查工作；對部分自然人客戶外部接入信息系統存在盡職調查和準入評估不充分、后續管理不到位的情況；對部分客戶接入的外部信息系統未開展合規評估、風險評估和技術系統測試；在新上線系統的部署過程中，向開發商提供公司實盤部署環境；交易系統發生交易鏈路中斷等。

據海通期貨信息技術管理部總經理趙智鵬介紹，期貨公司為市場提供外部接入的模式主要有三種：第一種最為普遍，就是客戶使用市面上常見的交易終端軟件，期貨公司在完成交易終端軟件的接入測試后，客戶就不必再額外進行接入測試。第二種是針對中低頻量化客戶，他們策略相對簡單，對交易速度和延時性要求不高，客戶自研程序或者購買第三方交易平臺完成外接測試后，通過互聯網接入期貨公司的主席或者次席柜臺。第三種是高頻客戶，客戶的策略程序會部署在交易所托管機房，對延時性要求較高?！搬槍Σ煌慕尤肽Ｊ?，期貨公司通過提供不同的交易柜臺來滿足相應的市場需求?！壁w智鵬說。

北京北金期貨信息技術部負責人張志強認為，在有外部接入的情況下，期貨公司解決系統穩定性和數據安全性的方式有四種：一是通過技術安全保障，采用先進的加密算法對交易相關的數據進行加密，并建立嚴格的身份認證機制。二是通過合規措施，期貨公司在API接入程序化交易時必須遵循相關的監管要求，同時期貨公司內部合規審查團隊會對API接入的程序化交易進行全面的審查。三是建立交易風險監控系統，實時監測交易的各項指標，出現異常波動時，監控系統會及時發出警報，以便期貨公司能夠采取相應的措施。四是對資金安全的保障，包括對賬戶資金進行嚴格的管理，設置資金預警機制等。

涉及第三方技術供應商時，張志強表示，期貨公司也會對供應商的基本資質文件進行審核，要求供應商提供營業執照、相應生產許可證、產品質量認證等文件；同時評估其技術能力與經驗，考察供應商在期貨行業或金融領域的技術服務經驗，評估供應商的技術團隊實力。

張志強介紹，面對外部接入的不可控性，期貨公司目前采取的措施主要包括：將系統外部接入管理納入合規風控體系，建立健全接入測試、交易監測等全流程管理機制；明確系統功能要求，要求程序化交易者使用的技術系統具備有效的異常監測、閾值管理等功能，期貨公司使用的交易信息系統須具備有效的驗資驗倉、權限控制、異常監測等功能；嚴格準入評估，在客戶接入前做好盡職調查和準入評估，避免有潛在風險的客戶接入；規范交易行為，明確禁止性行為，從制度上、流程上約束接入方的行為；加強交易監測，重點監控異常交易行為，特別是對高頻交易進行重點管理，防范市場風險；建立主機交易托管資源管理制度，對資源使用情況進行監控和管理，對于頻繁發生異常交易行為或技術系統出現重大故障的客戶，限制其使用主機交易托管資源。

在安全合規的前提下開展相關業務

趙智鵬告訴期貨日報記者，目前，期貨行業在網絡和信息安全方面存在一些難點，一方面是IT投入成本較高，另一方面是面對市場獲客競爭的壓力?！敖鹑谛袠I的網絡和信息安全標準以及監管要求普遍較高，期貨行業也不例外，諸如生產運行保障、網絡安全、等級保護、流程規范等，這方面的IT投入和人員投入都是不小的成本。同時，期貨公司為了贏得客戶，還需要考慮客戶的體驗。”趙智鵬說。

同時，針對網絡和信息安全的監管措施也在逐步細化和完善。張志強介紹，期貨行業網絡和信息安全相關法規陸續出臺或修訂，比如近期發布的《期貨市場程序化交易管理規定（試行）》，還要遵循金融監管部門和國家網絡安全相關法規要求，例如《中華人民共和國網絡安全法》《中華人民共和國數據安全法》以及金融行業特定的數據保護規定等。

在全面細致做好防范網絡和信息安全風險工作的基礎上，如何平衡業務發展與風險隔離，無疑對期貨公司提出了更高的要求。

趙智鵬說，公司在優先滿足監管要求的情況下，盡量優化外部接入流程。這可能會導致一些客戶流失，但一旦公司因為合規執行不到位，被監管處罰，就會有更多的客戶受到影響。很多客戶為了規避這種風險，也會選擇流程規范的期貨公司，這些客戶體量往往較大，也更優質。

張志強建議，期貨公司可以建立由風險合規部門、業務部門、信息技術部門、財務部門等人員組成的跨部門決策團隊。各部門人員憑借自身專業知識和經驗，從不同角度對業務進行評估和分析，并作出決策。在決策過程中，各部門之間可以充分溝通和協作，共同探討業務方案的可行性和風險，通過協同決策平衡業務需求與風險隔離。另外，制定清晰、規范的決策流程，明確決策的各個環節和責任主體，建立決策后的評估機制，對決策的執行效果進行跟蹤和評估，根據評估結果，及時對決策進行調整和優化。

“技術發展無法阻擋，國內金融科技未來還將積極參與國際競爭，而監管合規要求趨嚴更多強調的是風險管控和風險防范，旨在保障金融市場的穩定健康發展，兩者其實并不矛盾?！壁w智鵬認為，期貨公司要認真領會監管的出發點、了解市場需求，按照監管要求加強流程管控，強化事前、事中、事后各環節風險管理。

在提升網絡和信息安全合規能力方面，張志強建議，一是完善制度與流程建設。期貨公司可依據相關法規，如《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》《期貨交易管理條例》《期貨公司監督管理辦法》等，制定完善涵蓋網絡信息安全各方面的制度，包括數據保護、訪問控制、應急響應等。二是提升合規意識與能力，開展定期培訓，內容涵蓋最新的安全法規、常見的網絡攻擊手段及防范方法等；組織演練，通過模擬網絡攻擊事件，讓員工在實踐中掌握應對網絡安全事件的技能和流程。三是加大技術投入與創新，升級安全防護系統，加大對防火墻、入侵檢測系統、加密技術等安全防護系統的投入，積極引入人工智能、區塊鏈等新興技術，提升安全管理水平。四是優化應急響應機制，建立健全網絡安全應急預案，明確應急目標、應急組織和處置流程，應急場景應覆蓋網絡安全事件、自然災害、公共衛生事件等多種情況。

行業間的合作與交流同樣重要。張志強表示，《證券期貨業網絡和信息安全管理辦法》對期貨公司等主體的網絡和信息安全提出了明確要求。期貨公司應與監管機構保持密切溝通，及時了解最新的法規政策和監管要求，主動配合監管機構的檢查和指導。參與行業協會組織的網絡和信息安全相關活動，以及行業組織舉辦的培訓、研討會等活動，了解行業最新動態和技術趨勢，提升自身的網絡和信息安全管理水平。