聶歐

十九大和中央經(jīng)濟(jì)工作會(huì)議反復(fù)強(qiáng)調(diào)防范金融風(fēng)險(xiǎn)后，人民銀行在跨年之際對(duì)支付市場風(fēng)險(xiǎn)再次祭出重招。

2017年12月27日，人民銀行公開發(fā)布《條碼支付業(yè)務(wù)規(guī)范（試行）》及配套文件，自2018年4月1日起實(shí)施。

一直以來，由于門檻較低、成本低廉、支付便捷，條碼支付受到了商戶、消費(fèi)者和銀行、支付機(jī)構(gòu)的青睞，諸多風(fēng)險(xiǎn)也隨之潛藏，有待監(jiān)管層在引導(dǎo)市場主體合規(guī)經(jīng)營和合理創(chuàng)新、防范資金和信息泄露風(fēng)險(xiǎn)、加強(qiáng)消費(fèi)者權(quán)益保護(hù)等方面給出明確規(guī)范。

中國支付清算協(xié)會(huì)執(zhí)行副會(huì)長兼秘書長蔡洪波表示，此次新規(guī)是我國首次對(duì)條碼支付的一次全面、系統(tǒng)的安全梳理和管理規(guī)范，在全球范圍也屬比較新的嘗試，反映了監(jiān)管部門在跟進(jìn)、管理和推動(dòng)創(chuàng)新支付方面的前瞻思考和最新實(shí)踐。

潛藏三類風(fēng)險(xiǎn)

條碼支付，是指銀行或支付機(jī)構(gòu)應(yīng)用條碼技術(shù)，實(shí)現(xiàn)收款人、付款人之間貨幣資金轉(zhuǎn)移的業(yè)務(wù)活動(dòng)，包括付款掃碼和收款掃碼兩種方式。

實(shí)踐中，條碼支付以二維碼支付為代表，逐漸成為新型的承載和轉(zhuǎn)換數(shù)據(jù)方式，這種方式被銀行和非銀支付機(jī)構(gòu)利用后，探索出一種新的從線上擴(kuò)展到線下支付的新模式。

本世紀(jì)初以來，條碼支付在我國走過了一條比較曲折的創(chuàng)新之路。

中國人民大學(xué)重陽金融研究院高級(jí)研究員董希淼介紹，中國銀聯(lián)最早著手研發(fā)條碼支付;2013年7月，中信銀行推出二維碼支付業(yè)務(wù)，打造“異度支付”品牌，不少支付機(jī)構(gòu)借此大力布局線下市場。不過，出于安全考慮，2014年3月，央行叫停線下二維碼支付服務(wù)。

此后，銀聯(lián)和商業(yè)銀行的二維碼支付偃旗息鼓，但部分支付機(jī)構(gòu)卻并未真正停止。2014年9月，支付寶、微信支付再次進(jìn)軍，致使當(dāng)前幾乎每部智能手機(jī)都能支持兩者的二維碼，形成了雙寡頭壟斷的局面。

2016年來，隨著支付技術(shù)不斷成熟和監(jiān)管政策逐步放開，銀聯(lián)和銀行又重返戰(zhàn)場。當(dāng)年7月，工商銀行推出二維碼支付產(chǎn)品，成為國內(nèi)首家具有二維碼支付產(chǎn)品的商業(yè)銀行。2017年5月，銀聯(lián)聯(lián)合40余家商業(yè)銀行共同推出云閃付二維碼產(chǎn)品。而以支付寶、微信支付為代表的支付企業(yè)更是各顯神通，投入重金加速市場爭奪。

央行方面表示，條碼支付業(yè)務(wù)目前尚存三類風(fēng)險(xiǎn)：

一是在降低商戶準(zhǔn)入門檻的同時(shí)，加劇收單市場亂象。條碼支付設(shè)備成本低于銀行卡受理終端，還可通過張貼靜態(tài)條碼來滿足小微商戶的非現(xiàn)金支付受理需求。但部分市場機(jī)構(gòu)利用條碼可遠(yuǎn)程發(fā)送、不受專業(yè)受理終端限制的特點(diǎn)，以“一證下機(jī)”等方式違規(guī)發(fā)展商戶，加劇了套現(xiàn)、二清、外包管理不到位等收單亂象。

二是出現(xiàn)了擾亂市場公平競爭秩序的現(xiàn)象。部分市場機(jī)構(gòu)在定價(jià)和市場推廣中采取傾銷、交叉補(bǔ)貼等不正當(dāng)競爭手段，濫用本機(jī)構(gòu)及關(guān)聯(lián)企業(yè)的市場優(yōu)勢地位，排除、限制支付服務(wù)競爭，導(dǎo)致行業(yè)無序發(fā)展，擾亂市場秩序。

三是互聯(lián)網(wǎng)和非專業(yè)設(shè)備等帶來的技術(shù)風(fēng)險(xiǎn)。包括：可視化風(fēng)險(xiǎn)，條碼以圖形化方式展示，可通過截屏、偷拍等手段盜取支付憑證，在有效期內(nèi)盜用資金;易攜帶惡意代碼的風(fēng)險(xiǎn)，條碼不僅可存儲(chǔ)支付要素，也可攜帶非法鏈接或程序代碼，木馬病毒、釣魚網(wǎng)站鏈接可被制成條碼并誘導(dǎo)客戶掃描，竊取支付敏感信息;信息單向交互風(fēng)險(xiǎn)，條碼支付只能實(shí)現(xiàn)發(fā)起方或接收方的單向信息交互，易被“中間人攻擊”，繞過身份認(rèn)證機(jī)制造成用戶資金損失;掃碼設(shè)備安全強(qiáng)度低的風(fēng)險(xiǎn)，條碼支付對(duì)設(shè)備要求低，普通的手機(jī)攝像頭、超市簡易的收銀機(jī)掃描槍等不具備加密、防拆機(jī)等安全功能的設(shè)備均可識(shí)別條碼，易被非法改裝使用。

無礙絕大部分消費(fèi)者需求

蔡洪波介紹，新規(guī)針對(duì)現(xiàn)有風(fēng)險(xiǎn)給出了多方面措施：

首先，圍繞基于“條碼介質(zhì)”的安全管理，保障條碼支付的安全可靠。

加強(qiáng)對(duì)終端設(shè)備、應(yīng)用軟件和業(yè)務(wù)系統(tǒng)的管理，尤其是從木馬病毒防范、信息加密保護(hù)、運(yùn)行環(huán)境可信等方面提升客戶端軟件的安全防護(hù)能力;明確條碼信息僅限包含當(dāng)次支付相關(guān)信息，不包含任何與客戶及其賬戶相關(guān)的敏感信息;通過設(shè)置條碼使用有效期、使用次數(shù)等方式，確保條碼有效性和真實(shí)性;通過安全單元、支付標(biāo)記化、條碼防偽識(shí)別等手段，提高條碼的安全防護(hù)能力。

其次，央行圍繞“交易額度管理”等制度，力求技術(shù)安全與使用便捷之間的平衡。根據(jù)新規(guī)確定的風(fēng)險(xiǎn)防護(hù)能力等級(jí)，分類實(shí)施交易額度管理，同時(shí)要求銀行、支付機(jī)構(gòu)運(yùn)用交易驗(yàn)證強(qiáng)度與交易額度相匹配的技術(shù)措施，提高交易安全性。

一是加強(qiáng)客戶資金安全保護(hù)，對(duì)采用包括數(shù)字證書或電子簽名在內(nèi)的兩類（含）以上有效要素對(duì)交易進(jìn)行驗(yàn)證的條碼支付業(yè)務(wù)，由銀行、支付機(jī)構(gòu)與客戶通過協(xié)議自主約定單日累計(jì)額度。

二是對(duì)未采用上述兩類要素進(jìn)行驗(yàn)證的，根據(jù)驗(yàn)證要素進(jìn)行分類管理。采用指紋、密碼等兩種及以上其他有效要素的，同一客戶單個(gè)銀行賬戶或所有支付賬戶、快捷支付單日累計(jì)交易金額不超過5000元。對(duì)于采用不足兩類驗(yàn)證要素的，相應(yīng)額度不超過1000元。

“這兩類是當(dāng)前的主流。一方面，交易額度的設(shè)定可防止交易超過其匹配的安全防護(hù)能力，朝大額化發(fā)展;另一方面，額度與風(fēng)險(xiǎn)防范能力相匹配，多要素交叉驗(yàn)證以及分類額度設(shè)計(jì)，能給予消費(fèi)者選擇權(quán)，也鼓勵(lì)從業(yè)機(jī)構(gòu)采用更多的驗(yàn)證要素?！辈毯椴ㄕf。

三是基于防替換、防盜刷等因素考慮，要求銀行、支付機(jī)構(gòu)對(duì)使用靜態(tài)條碼執(zhí)行更嚴(yán)格的額度管理措施。同一客戶單個(gè)銀行賬戶或者所有支付賬戶、快捷支付單日累計(jì)交易金額應(yīng)不超過500元。

蔡洪波認(rèn)為，以上額度能夠滿足絕大部分客戶的需求，基本不影響消費(fèi)者使用的便利性，但能顯著提高條碼支付的安全水平。

再次，圍繞“特約商戶”進(jìn)行管理，防范和遏制違法犯罪。

特約商戶管理的目的，在于排除“壞商戶”，防止“不法支付”尤其是商戶主謀或參與的詐騙、洗錢、欺詐等犯罪。為此，新規(guī)從實(shí)名制、審批、信息留存及管理、黑白名單管理、實(shí)體商戶屬地化管理、外包業(yè)務(wù)管理等方面做了明確規(guī)定。

央行還針對(duì)小微商戶的資質(zhì)審核和認(rèn)定，以及交易限額、交易功能權(quán)限等提出明確要求——以同一身份證件在同一收單機(jī)構(gòu)辦理的全部小微商戶基于信用卡的條碼支付收款金額日累計(jì)不超過1000元，月累計(jì)不超過1萬元，但受理基于借記卡的條碼支付不受收款額度的限制。

最后，新規(guī)圍繞“資金和信息”保護(hù)及消費(fèi)者權(quán)益等，做了明確規(guī)定。

消費(fèi)者對(duì)支付安全的重視程度不足，易引發(fā)“聚沙成塔”型風(fēng)險(xiǎn)事件。為此，一是確?？蛻羯矸莼蛸~戶信息安全，防止泄露;二是以技術(shù)措施保證交易信息傳輸?shù)陌踩?、完整性和抗抵賴?三是充分披露條碼支付業(yè)務(wù)產(chǎn)品類型、辦理流程、操作規(guī)程、收費(fèi)標(biāo)準(zhǔn)等信息，明確風(fēng)險(xiǎn)點(diǎn)及責(zé)任承擔(dān)機(jī)制、風(fēng)險(xiǎn)損失賠付方式及操作方式;四是完善客戶服務(wù)體系，及時(shí)受理和解決客戶咨詢、查詢和投訴等;五是開展安全教育，提升風(fēng)險(xiǎn)防范意識(shí)和應(yīng)對(duì)能力。

“協(xié)會(huì)將履行行業(yè)自律管理職責(zé)，將特約商戶納入信息管理系統(tǒng)，對(duì)外包服務(wù)機(jī)構(gòu)納入銀行卡收單外包服務(wù)機(jī)構(gòu)評(píng)級(jí)體系管理，對(duì)被實(shí)名舉報(bào)涉嫌違法違規(guī)的，則及時(shí)處理?！辈毯椴ū硎尽?h3>不會(huì)制約創(chuàng)新

“央行此時(shí)果斷出手，是在充分調(diào)研、研討的基礎(chǔ)上為條碼支付建章立制，明確其小額、便民的定位。”董希淼說。

圍繞這一定位，央行此前已有多次監(jiān)管舉措。比如2016年7月實(shí)施的《非銀行支付機(jī)構(gòu)網(wǎng)絡(luò)支付管理辦法》，也進(jìn)行了一系列限額管理。

有關(guān)本次新規(guī)如何順利落地，受訪人士給出了諸多建議。

拉卡拉支付股份有限公司資深合規(guī)總監(jiān)唐凌提出，支付機(jī)構(gòu)未來要根據(jù)用戶的風(fēng)險(xiǎn)防范等級(jí)來設(shè)置日累計(jì)交易限額。這或是新規(guī)落地的重難點(diǎn)之一。

唐凌解釋，用戶的風(fēng)險(xiǎn)防范等級(jí)越高，每天可交易金額就越高。如新規(guī)中提到的A級(jí)，采用數(shù)字證書或電子簽名和靜態(tài)密碼、指紋等要素，就可以不受額度限制;如果商家只放了個(gè)靜態(tài)碼，支付額度自然就低。“盡管監(jiān)管對(duì)靜態(tài)碼有不少要求，但在風(fēng)險(xiǎn)案件中靜態(tài)碼占比仍很高，那每天就限額500元，即便是被騙，損失也可控。”

另一難點(diǎn)，在于明確要求外包商一不能碰交易中的支付敏感信息，二不能碰資金，這同央行2017年11月發(fā)布的《關(guān)于進(jìn)一步加強(qiáng)無證經(jīng)營支付業(yè)務(wù)整治工作的通知》保持了連續(xù)性，彰顯出監(jiān)管層整治無證機(jī)構(gòu)、遏制市場亂象的決心。

“其實(shí)，央行此次只是重申《銀行卡收單業(yè)務(wù)管理辦法》等已有制度，并非新的更高的要求?！倍ｍ嫡f。央行此次還非常接地氣，將那些按規(guī)定無需辦理工商注冊(cè)登記手續(xù)的小微商戶，納入到條碼支付受理范圍?！耙簿褪钦f，你到農(nóng)貿(mào)市場擺攤掃碼賣菜，央行也是支持的。”

他指出，新規(guī)落地有三大重點(diǎn)：一是明確條碼支付業(yè)務(wù)資質(zhì)和清算管理要求，即支付機(jī)構(gòu)應(yīng)取得網(wǎng)絡(luò)支付業(yè)務(wù)許可及銀行卡收單業(yè)務(wù)許可等，涉及跨行清算的應(yīng)通過央行跨行清算系統(tǒng)或清算機(jī)構(gòu);二是規(guī)范支付收單業(yè)務(wù)管理，無論銀行或支付機(jī)構(gòu)都應(yīng)遵守商戶實(shí)名制、風(fēng)險(xiǎn)評(píng)級(jí)、風(fēng)險(xiǎn)監(jiān)測等規(guī)定，為實(shí)體商戶提供收單服務(wù)的還應(yīng)履行本地化經(jīng)營等責(zé)任;三是強(qiáng)調(diào)行業(yè)自律，從業(yè)機(jī)構(gòu)應(yīng)接受中國支付清算協(xié)會(huì)的自律管理?！爸灰鳈C(jī)構(gòu)端正認(rèn)識(shí)、認(rèn)真整改，新規(guī)落地并不難?！?/p>

央行明確表示，新規(guī)不會(huì)制約創(chuàng)新發(fā)展，反而能指引創(chuàng)新沿著安全規(guī)范的方向發(fā)展，保障行業(yè)發(fā)展的穩(wěn)健和長遠(yuǎn)。