央行解读非银行支付机构网络支付业务管理办法及有关条款征求意见

　　第二十六条支付机构应当根据客户支付指令验证方式、客户风险评级、交易类型、交易金额、交易渠道、受理终端类型、商户类别等因素，建立交易风险管理制度和交易监测系统，对疑似套现、欺诈、非法融资、洗钱、恐怖融资等交易，及时采取调查核实、延迟结算、终止服务等风险管理措施;发现涉嫌违法犯罪的，应当及时向公安机关报案，同时向中国人民银行及其分支机构报告。

　　释义

　　支付机构建立风险管理制度和交易监测系统的责任及防范风险、阻止犯罪的相关义务。

　　第二十七条支付机构可以组合选用下列三类要素，对客户使用支付账户余额付款的支付指令进行验证：

　　(一)仅客户本人知悉的要素，如静态密码等;

　　(二)仅客户本人持有并特有的，不可复制或者不可重复利用的要素，如经过安全认证的数字证书、电子签名，以及通过安全渠道生成和传输的一次性密码等;

　　(三)客户本人生理特征要素，如指纹等。

　　支付机构应当确保采用的要素相互独立，即部分要素的损坏或者泄露不应导致其他要素损坏或者泄露。

　　释义

　　为降低欺诈等业务风险、保障客户资金安全，支付机构可以选择采用“静态密码+数字证书”、“一次性密码+指纹”、“静态密码+指纹”等多种验证要素组合方式，对支付账户余额付款支付指令进行验证。

　　第二十八条支付机构应根据支付指令验证方式的安全级别，对个人客户使用支付账户余额付款的交易进行限额管理。支付机构采用包括数字证书或电子签名在内的两类(含)以上要素进行验证的交易，单日累计限额由支付机构与客户通过协议自主约定;支付机构采用不包括数字证书、电子签名在内的两类(含)以上要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过5000元(不包括支付账户向客户本人同名银行账户转账，下同);支付机构采用不足两类要素进行验证的交易，单个客户所有支付账户单日累计金额应不超过1000元，且支付机构应当承诺无条件全额承担此类交易的风险损失赔付责任。

　　释义

　　一、本条款根据支付指令验证方式的安全级别，对个人客户使用支付账户余额付款的交易提出了限额管理规定。本条款仅规范个人客户使用支付账户“余额”付款的交易，客户使用银行账户付款的交易(包括“商业银行网关支付”、“银行卡快捷支付”等模式)不属于本条款规范范畴。

　　二、为引导支付机构提高支付指令验证方式的安全级别，加强对客户资金安全的保护，本条款规定，支付机构如采用不少于两类验证要素，且其中包括安全级别较高的数字证书或电子签名，则可以与客户自行约定单笔、单日累计限额;支付机构如采用不少于两类要素，但其中不包括数字证书、电子签名，本条款参照人民银行针对商业银行、银行卡清算机构的相关监管要求，规定了单日累计5000元限额;考虑到客户在小额支付场景下对支付速度的客观需要，为兼顾安全与效率，本条款允许支付机构在小额支付业务中简化支付指令验证方式，仅采用一类验证要素甚至不采用验证要素，但这必须基于两个前提，一是支付机构对该笔交易的风险损失无条件承担全额赔付责任，二是单日累计金额应不超过1000元。客户将支付账户余额转账至本人同名银行账户的交易不受上述限额管理。

　　三、相对于单位客户，个人客户对支付账户余额的实际属性和潜在风险的理解程度较低，风险承受能力也较弱，因此本条款着重于保障个人客户的资金安全，并通过强化支付机构对客户资金支付安全验证等级与限额相关联的管理要求，引导支付机构在保障客户资金安全和支付便捷性方面兼顾平衡发展。

　　第二十九条支付机构采用数字证书、电子签名作为验证要素的，应当通过符合相关技术安全标准、具有数据安全存储和运算能力的硬件载体对数字证书及生成电子签名的过程进行保护，确保数字证书的唯一性、完整性及交易的不可抵赖性。

　　支付机构采用一次性密码作为验证要素的，应当切实防范一次性密码获取端与支付指令发起端为相同物理设备而带来的风险，并将一次性密码有效期严格限制在最短的必要时间内。

　　支付机构采用客户本人生理特征作为验证要素的，应通过符合相关技术安全标准、具有数据安全存储和运算能力的硬件载体进行保护，防止被非法存储、复制或重放。

　　释义

　　一、数字证书和电子签名的技术安全性要求。

　　二、部分支付场景下，一次性密码(例如短信动态验证码)和交易指令均通过相同的物理设备(例如手机)处理，因此在设备被植入恶意程序或者被盗情况下，易造成一次性密码和交易指令同时被拦截、窃取、伪造或篡改，大大增加了交易风险。支付机构应采取有效措施对此类风险予以防范，保障客户资金安全。

　　三、客户的指纹等生理特征一般相对固定，基本不发生变化，因此存在被非法存储、复制或重放的风险。支付机构应通过安全硬件对客户本人生理特征要素进行保护，防范相关风险。

　　第三十条支付机构应当每年对交易和信息安全管理制度、业务处理系统、交易监测系统等风险防控机制开展全面评估。评估应由不以任何方式参与网络支付服务开发或者运营的专业人员进行。评估报告应于每年1月31日前在网站对外公告。

　　释义

　　为促进支付机构持续完善风险防控机制，同时增加信息透明度，便于社会和广大客户予以监督，本条款规定，支付机构应每年对风险防控机制进行全面评估，并定期披露评估报告。

　　第三十一条支付机构应当限制客户尝试登陆或者识别身份的次数，制定客户访问超时规则，设置身份识别时限。

　　释义

　　支付机构识别客户身份的安全性要求。

　　第三十二条支付机构应当制定突发事件应急预案，建立灾备系统，保障业务连续性和系统安全性。

　　释义

　　支付机构保障业务连续性和系统安全性的责任。

　　第三十三条支付机构应当充分尊重客户自主选择权，不得强迫客户使用本机构提供的网络支付服务，也不得阻碍客户使用其他机构提供的网络支付服务。

　　支付机构应当公平展示客户可选用的各种资金收付方式，不得以任何形式诱导、强迫客户开立支付账户或者通过支付账户办理资金收付，不得附加不合理的交易条件。

　　支付机构应当根据客户意愿办理网络支付服务或者支付账户功能的暂停、禁用或者注销。

　　释义

（编辑：应用网_丽江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!