בקרה ותיעוד במערכת השקעות ממוחשבת: איך נראה תהליך אישור החלטה

העיקרון הראשון בכל מערכת בקרה הוא שאדם אחד אינו סוגר מעגל שלם בעצמו. במערכת השקעות ממוחשבת ההפרדה נעשית בין שלושה תפקידים: מי שמפתח ובודק את כללי המודל, מי שמפעיל אותו באופן שוטף ומנטר את פעולתו, ומי שמאשר את התוצאה כהחלטת השקעה בתיק לקוח.

התפקיד השלישי הוא נקודת האחריות המקצועית, והוא מוטל על מנהל תיקים בעל רישיון. הטכנולוגיה מפיקה המלצה לרמת חשיפה, ובעל הרישיון הוא שמכריע אם לבצעה, כפי שמפורט באיך עובד מודל חשיפה שיטתי. שאלת האחריות במקרה של כשל נדונה בהרחבה במי אחראי כשהאלגוריתם טועה.

מכאן נגזר גם אופן הטיפול בשינויים. שינוי בכלל, בסף או בטבלת המיפוי אינו עדכון טכני אלא שינוי במדיניות ההחלטה, ולכן הוא מנוהל כתהליך: בקשה מנומקת, בדיקה על נתונים היסטוריים, סקירה על ידי גורם שאינו המפתח, אישור, והפעלה מתועדת הנושאת מספר גרסה ומועד. שנה מאוחר יותר ניתן לדעת אילו כללים היו בתוקף בכל יום נתון, וזו הדרישה המעשית שממנה נובעות רוב הבקרות האחרות.

יומן החלטות אינו קובץ לוג טכני אלא רשומה עסקית, והוא נרשם ברגע ההחלטה ולא משוחזר בדיעבד. רשומה מלאה כוללת בדרך כלל את מועד ההחלטה בדיוק של שעה, את ערכי הנתונים שעל בסיסם הופקה, את מצב השוק שאליו הם תורגמו, את גרסת המודל שהייתה בתוקף, את רמת החשיפה לפני השינוי ואחריו, את זהות בעל הרישיון שאישר, ואת הנימוק במקרה שההחלטה סטתה מהתוצאה שהמודל הפיק.

השדה האחרון הוא החשוב מכולם. כאשר בעל רישיון בוחר שלא לבצע המלצה, לדחות אותה או לפצל אותה על פני כמה ימים, הנימוק הוא המידע היחיד שיאפשר להעריך בדיעבד אם ההחלטה הייתה סבירה. ללא נימוק כתוב אפשר לדעת מה קרה, אך לא מדוע, ולכן רשומה חסרה שווה מעט מאוד בבדיקה מאוחרת.

הערך של תיעוד כזה מתגלה בשלוש נסיבות שכיחות: בירור של לקוח לגבי פעולה מסוימת, בדיקה של גורם מפקח, ובחינה פנימית של אירוע חריג. בכל אחת מהן השאלה הראשונה זהה, והיא מה היה ידוע בזמן אמת, ולא מה ידוע היום.

בין הפקת ההמלצה לבין שליחת הפקודה לזירת המסחר פועלת שכבה של בדיקות אוטומטיות. הן אינן מחליפות את הבקרה האנושית, ותפקידן לתפוס את הכשלים המכניים שאדם עלול לפספס בקריאה מהירה.

המבחן	מה הוא בודק	איזה כשל הוא תופס בפועל
מבחן גבולות	האם רמת החשיפה המבוקשת בתוך הטווח שבמדיניות ההשקעה	טעות במיפוי או שינוי לא מכוון בטבלת הכללים
מבחן סדר גודל	האם היקף הפקודה סביר ביחס לשווי התיק ולמחזור היומי	טעות של פי עשרה, כפל שגוי או יחידות שגויות
מבחן עדכניות נתונים	האם הקלט התעדכן במועד שבו היה אמור להתעדכן	ניתוק ממקור נתונים או קובץ שלא נטען
מבחן שיוך	האם ההוראה מיועדת לחשבון ולמדיניות הנכונים	שיוך שגוי בין לקוח לבין פקודה
מבחן כפילות	האם הוראה זהה כבר נשלחה בחלון הזמן הנוכחי	שליחה כפולה בעקבות תקלת תקשורת
מבחן שינוי חריג	האם השינוי גדול מהמדרגה היומית שנקבעה מראש	סיגנל שנוצר מנתון פגום שעבר את הבדיקות המוקדמות

לצד המבחנים מוגדר מנגנון עצירה ידני, המאפשר להשבית את המודל ולהקפיא את מצב התיק כאשר מתעורר ספק. משמעותו ותנאי הפעלתו מפורטים במתג עצירה. הכלל המנחה בכל אחד מהמקרים זהה: פקודה שנעצרה אינה מבוצעת עד להכרעה מתועדת, והחשיפה הקיימת נותרת על כנה בינתיים.

מעל שכבת הבקרה היומית פועלת שכבה תקופתית. גוף מנהל תיקים מפוקח מקיים בקרת ציות פנימית, שבודקת בדיעבד מדגם של החלטות ומוודאת שהן תואמות את מדיניות ההשקעה של הלקוחות הרלוונטיים, שהתיעוד מלא ושהפעולות בוצעו בהתאם למה שאושר.

בבסיס הדרישות עומדת חובת שמירת רשומות. גוף שאינו שומר את הנתונים, את גרסאות המודל ואת יומני ההחלטות אינו יכול להוכיח דבר בדיעבד, ולכן שמירה מסודרת היא תנאי מקדים לכל בדיקה. במקביל, ניהול תיקים עבור לקוחות בישראל מחייב רישיון וכפוף לפיקוח רשות ניירות ערך, בין אם הגוף נעזר בטכנולוגיה ובין אם לאו, והשימוש במערכת ממוחשבת אינו יוצר הקלה בחובות אלה. האמור מתאר את המבנה הכללי בלבד ואינו חוות דעת משפטית.

השאלה המעשית עבור משקיע אינה כיצד בנויה מערכת הבקרה, אלא מה ממנה זמין לו. חמישה דברים ניתנים לבקשה ולבדיקה בפועל.

הראשון הוא מדיניות ההשקעה הכתובה שנקבעה עבורו, לרבות טווח החשיפה המספרי המותר. השני הוא שם מנהל התיקים בעל הרישיון האחראי על התיק ומספר רישיונו, הניתן לאימות במרשם בעלי הרישיון המתפרסם באתר רשות ניירות ערך. השלישי הוא הסבר על שינוי חשיפה מסוים: מתי התקבל, על בסיס איזה מצב שוק, ומי אישר אותו. הרביעי הוא הדיווח התקופתי, המציג את הרכב התיק, את רמת החשיפה בפועל, את הפעולות שבוצעו ואת העלויות שנגבו. החמישי הוא הסבר על מה שקורה בתקלה, כלומר מי מזהה אותה, מי מוסמך לעצור את המערכת ומה קורה לתיק בינתיים.

מה שאינו נכלל בדרך כלל הוא קוד המקור והערכים המדויקים של הספים, הנחשבים לסוד מסחרי. הגבול בין הסבר לבין חשיפת מנגנון נדון בשקיפות אלגוריתמית, והמבחן המעשי פשוט: גוף שמסביר את סוג הנתונים, את היגיון ההחלטה ואת גבולותיה עומד בציפייה סבירה, גם אם אינו מוסר את הנוסחה עצמה.

אוצרות מנהלת תיקי לקוחות בחשבונות המתנהלים על שמם, כאשר כל שינוי בחשיפה נבחן ומאושר על ידי מנהלי התיקים המורשים ומתועד לפני ביצועו.