1
| 本文作者： 溫曉樺 | 2017-12-28 09:07 |
雷鋒網AI金融評論報道，12月27日傍晚，中國人民銀行官網發布公告稱，為鼓勵并規范金融創新，引導信息技術在金融領域正確應用，提升金融服務實體經濟能力，人民銀行日前發布《中國人民銀行關于印發<條碼支付業務規范（試行）>的通知》（銀發〔2017〕296號）（以下簡稱《規范》），配套印發了《條碼支付安全技術規范（試行）》和《條碼支付受理終端技術規范（試行）》（銀辦發〔2017〕242號發布），自2018年4月1日起實施。
據雷鋒網AI金融評論了解，《規范》指出，在業務規范方面：
銀行業金融機構、非銀行支付機構開展條碼支付業務涉及跨行交易時，必須通過人民銀行清算系統或者合法清算機構處理，支付機構還應符合相應的業務資質要求。
為消費者提供條碼支付付款服務的，應當立足于小額、便民市場定位，按照風險防范能力等級，對條碼支付額度進行分級管理，在風險防范和支付便捷中取得有效平衡。
為特約商戶提供條碼支付收單服務的，應執行銀行卡收單業務管理相關要求，切實履行商戶管理、交易風險監測等收單主體責任，強化對收單外包機構管理。
在技術規范方面：
銀行業金融機構、非銀行支付機構和清算機構要加強條碼支付技術風險防控，合理運用支付標記化、可信執行環境、條碼防偽識別等手段，提升條碼支付客戶端軟件安全防護能力，規范條碼支付交易報文管理，保障交易信息的真實性、完整性、一致性、可追溯性，構建以受理終端注冊、大數據分析為基礎的條碼支付創新風險管理機制。
要加強標準落地實施，強化條碼支付產品質量和安全管理，提升條碼支付產品的技術標準符合性和安全性，切實保障金融消費者的財產安全和合法權益。
雷鋒網AI金融評論獲悉，央行有關負責人表示，條碼支付在小額、便民支付領域顯現出門檻低、使用便捷的優勢，同時業務開展中也存在擾亂公平競爭秩序、風險防范不到位等問題。
央行表示，由于靜態條碼（如事先貼在墻上的二維碼）易被篡改或變造，易攜帶木馬或病毒，央行規定，使用靜態條碼進行支付的，風險防范能力為D級，無論使用何種交易驗證方式，同一客戶銀行或支付機構單日累計交易金額應不超過500元。例如，消費者在使用微信錢包掃描靜態條碼支付時，單日使用零錢包支付的上限不超過500元，同時微信關聯的所有銀行卡還可以再獨立獲得500元的支付上限。
對此《規范》，蘇寧金融研究院互金中心主任薛洪言向雷鋒網AI金融評論表示，央行正式對條碼支付進行規范，一定程度上將相關標準向傳統的銀行卡POS收單業務靠攏。
“因此，對于基于傳統收單機構基于銀聯POS體系的條碼支付業務影響有限，不過，這會對于第三方支付主導的主要基于掃碼槍、靜態二維碼等的條碼支付造成較大影響。”
薛洪言解釋道，一方面，支付門檻的提高、支付限額的下降，都將促使第三方支付機構對業務策略進行相應的梳理和整改。
而另一方面，《規范》對商戶資質審核、特約商戶管理以及市場拓展方面均會受到影響，舉例來說，規范要求“銀行、支付機構應當對實體特約商戶條碼收單業務進行本地化經營和管理……，不得跨省（區、市）開展條碼收單業務”，這意味著：
巨頭擅長的純互聯網的打法會受到一定限制；規范強調要對條碼支付業務進行科學合理定價，免費和補貼的打法將受到限制。
雷鋒網專欄作者、點石資產管理創始人、百度支付海外顧問蔡凱龍表示，支付寶和微信支付這兩大巨頭，在支付行業中國二維碼掃碼支付領域占據著壟斷地位，市場其他的玩家要進去其實是受到很大的阻力的。《規范》強調了‘濫用’，即指出用市場優勢地位進行不正當的競爭，其實是對對支付寶跟微信支付的一個敲打。
除此之外，蔡凱龍表示，“支付的新規，從監管看，是規范支付行業資質和亂象，比如欺詐和套現。”而對支付的兩大巨頭支付寶跟微信支付來說，二維碼支付雖然已經占據很重要地位，但此前沒有明文規定與運營規范，“所以他們要對自己所有的支付流程進行合規性的整改。”
總的來說，本次《規范》的發布，既給行業帶來了安全性提高等正面影響，不過當然，其中也透露出央行或多或少的出于保護銀行卡支付，以及信用卡支付地位的目的，一定程度傾斜地讓消費者更多地選擇使用銀行卡、信用卡來支付。但其實，蔡凱龍表示，“對選擇使用誰的產品，用戶跟商家會根據便利程度跟費用自己做出選擇，這不是一個行政命令可以解決的問題。”
而作為支付領域的兩大巨頭，微信和支付寶在27日晚些時候，對央行這份針對條碼支付業務規范的新通知做出回應，均對其表示認可和順從，并稱將繼續積極研發新技術以及探索新技術應用于條碼支付領域的可行性。
關于更多《規范》實施的問題，日前，人民銀行有關負責人就上述通知和規范有關問題回答了記者的提問。
答：一是條碼支付在降低商戶準入門檻的同時，加劇收單市場亂象。由于條碼支付設備成本低于傳統的銀行卡受理終端，還可通過張貼靜態條碼實現收付款業務，能夠滿足小微商戶的非現金支付受理需求，與銀行卡收單互為補充，提升社會整體支付服務水平。但是，部分市場機構利用條碼可遠程發送、不受專業受理終端限制的特點，在商戶拓展過程中未履行“了解你的客戶”義務，通過“一證下機”等方式違規發展商戶，加劇了套現、二清、外包管理不到位等收單亂象，存在各類安全隱患，對市場可持續發展造成較大的危害。
二是條碼支付在促進移動支付普及發展的同時，出現擾亂市場公平競爭秩序的現象。近年來，條碼支付在小額、便民支付領域市場份額持續增加，促進了移動支付的快發展和普惠金融的廣覆蓋。但是，部分市場機構在開展條碼支付業務時，在定價和市場推廣策略中采取傾銷、交叉補貼等不正當競爭手段，濫用本機構及關聯企業的市場優勢地位，排除、限制支付服務競爭，導致支付行業無序發展和不公平競爭，擾亂市場秩序。
三是條碼支付借助開放互聯網和非專業設備進行交易處理，帶來一定的技術風險。包括：可視化風險，條碼在開放互聯網環境下以圖形化方式進行展示，不法分子可通過截屏、偷拍等手段盜取支付憑證，在支付憑證有效期內盜用資金；易攜帶惡意代碼的風險，條碼不僅可存儲支付要素，也可攜帶非法鏈接或程序代碼，不法分子可將木馬病毒、釣魚網站鏈接制成條碼，誘導客戶掃描，竊取支付敏感信息；信息單向交互風險，條碼支付只能實現發起方或接收方的單向信息交互，不法分子可利用該弱點實施“中間人攻擊”，繞過身份認證機制，造成用戶資金損失；掃碼設備安全強度低的風險，條碼支付對設備要求低，普通的手機攝像頭、超市簡易的收銀機掃描槍等不具備加密、防拆機等安全功能的設備均可識別條碼，易被不法分子非法改裝使用。
答：一是強調業務資質要求。明確支付機構向客戶提供基于條碼的付款服務時，應取得網絡支付業務許可；支付機構為實體特約商戶和網絡特約商戶提供條碼支付收單服務的，應當分別取得銀行卡收單業務許可和網絡支付業務許可。
二是重申清算管理要求。針對部分支付機構與多家銀行業金融機構（以下簡稱銀行）或支付機構直連進行商戶拓展，進一步強化了支付機構與銀行多頭直連的現象，明確要求銀行、支付機構開展條碼支付業務涉及跨行交易時，應當通過人民銀行跨行清算系統或者具備合法資質的清算機構處理。
三是要求維護市場公平競爭秩序。市場機構不得以任何形式詆毀其他市場主體的商業信譽，不得采用不正當競爭手段損害其他市場主體利益、排擠競爭對手，破壞市場公平競爭秩序。
四是規范條碼生成和受理。提出交易驗證方式、交易限額管理、信息管理和安全防護，靜態條碼應用管理、綜合應用支付標記化技術等措施，保障條碼支付業務的安全性。
五是加強商戶管理和風險管理。從特約商戶資質審核、受理協議簽訂、商戶風險評級、商戶檢查，以及交易風險監測，客戶安全教育等方面提出要求，強化業務風險管理。
答：一是加強條碼安全防護。采取支付標記化（Tokenization）、有效期控制、條碼防偽識別等手段，提升條碼生成、存儲、展示、識讀、解析、使用等環節的安全防護能力，有效保障條碼的可靠性和有效性。
二是提升條碼支付交易安全強度。針對不同條碼生成方式，提出加密生成、定期更新、終端唯一標識綁定等具有針對性的安全防護措施。要求銀行、支付機構和清算機構運用交易驗證強度與交易額度相匹配的技術措施提高條碼支付交易的安全性。
三是強化條碼支付交易風險監測與預警。合理應用大數據分析、用戶行為建模等手段建立條碼支付風險監控模型和系統，對異常交易及時預警并附加風控措施，對高風險交易及時告知客戶資金變化情況。
四是加強客戶端軟件安全管理。從木馬病毒防范、信息加密保護、運行環境可信等方面提升條碼支付客戶端軟件的安全防護能力，要求客戶端軟件能夠監測并向后臺系統反饋手機支付環境安全狀況并作為風控策略的依據。
答：支付服務屬于金融服務，與社會經濟運行和百姓日常生活密切相關，支付安全關乎人民群眾財產安全和合法權益，穩健經營關乎產業的健康可持續發展。便捷的使用方式、良好的用戶體驗是支付創新的生命力，但不能單純追求無底線的創新；穩定、可持續的投入和運營是支付業務長遠發展的保障，不能為了追求短期的市場份額，采取“燒錢”“補貼”等不當競爭手段。通知和規范旨在指導相關單位正確處理安全與發展的關系，在嚴守安全底線的基礎上開展支付創新，維護公平競爭的市場環境，促進行業健康可持續發展，為人民群眾提供安全便利的金融服務。通知和規范提出的業務規范要求和安全管理措施非但不會制約支付創新發展，反而能夠指引支付業務創新沿著安全規范的方向發展，確保創新業務的質量和效能，保障行業發展的穩健和長遠。
答：業務規范的落地實施要通過構建企業自我管理、行業組織自律、主管部門監管、社會全面監督多位一體的管理體系，保障各項要求落實到位。已開展業務的銀行業金融機構、支付機構應當全面梳理自身條碼支付業務情況，根據規范要求進行自查和整改。開展條碼支付業務創新的，應當履行提前報告義務。銀行、支付機構從事條碼支付業務，應接受中國支付清算協會行業自律管理，并充分發揮違法違規舉報獎勵機制的作用，凈化市場發展環境。人民銀行分支機構依法對轄區內銀行、支付機構條碼支付業務進行監督管理，加大檢查力度，對違規行為，應依法嚴肅處理。
技術規范的落地實施需要從產品質量管理、入網管理、專項檢查、安全評估等方面多管齊下，切實提升條碼支付技術風險防控能力。銀行、支付機構要嚴格落實技術規范提出的各項要求，強化條碼支付產品安全管理，健全條碼支付風險防控機制，使用符合國家標準及金融行業標準的產品，確保相關業務系統、受理終端等的技術標準符合性。清算機構要強化受理終端入網管理，完善終端定期抽檢機制，加強終端抽樣檢測力度。人民銀行分支機構要定期對條碼支付相關業務系統、受理終端等組織開展專項抽查，強化條碼支付技術管理。
答：一是采用數字簽名、加密傳輸等措施，加強支付指令真實性。二是在交易報文中準確記錄發起方、接收方、網絡路由、唯一交易流水號等關鍵信息，保障交易可追溯性和一致性。三是完善商戶、渠道、訂單等交易信息，精準刻畫交易全貌，確保支付指令完整性。
答：靜態條碼易被篡改或變造，易攜帶木馬或病毒，真偽難辨，導致支付風險較高。因此，提出了一系列防范靜態條碼風險的措施：一是要求靜態條碼應由后臺服務器加密生成，宜采用防偽紙張展示條碼，防偽紙張應具備一定防偽特征。二是要求展示靜態條碼的介質應放置在商戶收銀員視線范圍內，商戶應定期對介質進行檢查。三是要求靜態條碼采用防護罩等物理防護手段避免被覆蓋或替換，宜使用防偽標簽對防護罩進行標記。四是要求在靜態條碼介質顯著位置明顯展示收款方信息，便于用戶核對。五是通過風險防范能力分級管理，進一步規范使用靜態條碼，并鼓勵使用風險防范能力較高的收款掃碼方式。
答:條碼支付與傳統銀行卡等支付工具相比在交易安全性上存在一定不足，人民銀行堅持條碼支付小額、便民的定位，對條碼支付風險防范能力進行分級。發行條碼的銀行、支付機構應根據風險防范能力等級，在確保風險可控和盡量滿足用戶需求的前提下科學合理設置相匹配的日累計交易限額。
使用動態條碼進行支付的，風險防范能力分級見下表。
使用靜態條碼進行支付的，風險防范能力為D級，無論使用何種交易驗證方式，同一客戶單個銀行賬戶或所有支付賬戶、快捷支付單日累計交易金額應不超過500元。
為引導銀行、支付機構提高交易驗證方式的安全性，加強客戶資金安全保護，對于風險防范能力高、交易驗證方式更為安全的，不設定額度上限，市場主體可與客戶自行約定交易限額。基于防替換、防盜刷等安全因素角度考慮，要求銀行、支付機構使用靜態條碼支付時要執行更加嚴格的限額管理措施，以鼓勵市場主體采用更為安全的動態條碼提供支付服務。依據主要市場機構條碼支付交易數據顯示，上述額度已覆蓋絕大部分使用條碼支付付款客戶及商戶的需求。
答：加強對條碼支付特約商戶管理的目的在于排除風險商戶，防范和遏制不法分子利用條碼支付業務隱藏木馬病毒、進行洗錢、欺詐等犯罪活動，更好地維護條碼支付業務參與各方的合法權益。考慮到條碼支付業務涉及銀行賬戶和支付賬戶，且可應用于網絡特約商戶和實體特約商戶，為保持監管制度和標準的一致性，我們遵循銀行卡收單業務管理的相關要求，從條碼支付特約商戶拓展、特約商戶審批、特約商戶信息留存及管理、黑名單管理、實體商戶屬地化管理、外包業務管理等方面明確了具體的管理要求。同時，為了兼顧小微商戶受理條碼支付的需求，促進普惠金融發展，明確在符合相關資質審核和認定的前提下，小微商戶可以受理條碼支付；同時，為了防范套現等交易風險，對以同一個身份證件在同一家收單機構辦理的全部小微商戶基于信用卡的條碼支付收款金額日累計不超過1000元、月累計不超過1萬元，但受理基于借記卡的條碼支付不受收款額度的限制。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
