外判商問責真空　虛擬資產監管的「火燒連環船」隱患｜會長視角

筆者近期備考「虛擬資產專業人員證書核心課程培訓後考試」（CVAP），其中關於保管及賠償安排的章節，反覆研讀後觸發了一個業界少人正視的結構性問題。證監會對持牌平台的要求堪稱嚴密：有效的管治、穩健的錢包基建、獨立交易驗證、存取權監控、防止仿冒詐騙的認證與裝置綁定、第三方錢包解決方案管理、威脅監察、營運韌性及保安意識，不論採用硬件保安模組、多方計算還是多重簽署，均須達標；補償安排更要求就線下儲存及線上儲存客戶資產的潛在損失，分別提供百分之五十及百分之百的保障，第三者保險是選項之一。問題在於，這套責任鏈條的起點與終點都落在持牌平台身上，而實際執行大量關鍵工序的，往往是同一批外判商。

持牌平台對外判安排負有最終責任，這一點在監管框架中並無含糊。監管紀錄的存放責任不因外判而轉移，第三方服務提供者的盡職審查與服務協議亦須經管理層審視批准。然而，責任的「承擔」與責任的「追究」是兩回事。若外判商在系統設計或交付過程中遺漏了關鍵控制、甚或為求便利而偏離雙方協定的規格，持牌平台作為非技術專家，往往在事故發生後才知悉真相。屆時平台要向外判商索償，面對的可能是對方無力賠償、合約條款免責，或漫長的跨境訴訟。更值得警惕的是，香港為數不少的持牌平台實際上依賴同一批外判商承接錢包基建、網絡保安或合規系統工程。外判商的一次疏漏，足以在同一時間令多家平台同時暴露於同類漏洞之下，形成「火燒連環船」的系統性傳導效應，而非單一平台的個別事故。

證監會現行的監管工具箱，對此存在明顯的覆蓋缺口。證監會的發牌與直接監管對象是平台營運者，並非外判商；平台須任命核心職能主管（MIC）以明確管理問責，但MIC制度針對的是平台自身的管理層，外判商的管理人員不在其列。換言之，監管要求平台為外判商的表現「包底」，卻沒有賦予監管機構相應的工具去直接約束外判商的行為，亦缺乏機制在事故後清晰界定外判商的責任份額。

針對上述缺口，筆者認為可從三個方向展開務實討論。其一，既然與持牌平台相關的關鍵系統在推出前須經證監會審視，便應研究是否在法例層面授權證監會對承接該等系統的外判商施加若干直接要求，至少涵蓋通知義務、事故通報責任及配合監管的條款，使監管觸角不再止於平台的外牆。其二，可參照MIC制度的問責邏輯，要求外判商就其向持牌平台提供的關鍵服務指定具名負責主管，並在事故查明責任在外判商一方時，探討相應的民事或刑事制裁路徑，讓問責鏈條全條貫通。其三，強制性責任保險值得認真評估。現行補償安排下的第三者保險以客戶資產損失為保障對象，未必有效覆蓋平台因外判商過失而須自行承擔的追償成本與財務缺口；要求外判商就其提供的服務維持專業責任保險，可在平台倒閉或外判商無力償付之外，多設一層具實效的財務保障。

香港虛擬資產市場正處於建立信心的關鍵階段。若外判商的問責真空持續存在，任何一宗外判商層面的失誤，都可能被市場解讀為持牌制度本身的失效。填補這一缺口，不是增加合規負擔，而是讓監管的責任鏈條與實際的風險分布重新對齊。

香港證券及期貨專業總會會長

陳志華

本文僅代表作者觀點，不代表無綫新聞立場。