中国人民银行关于向社会公开征求《非银行支付机构网络支付业务管理办法》意见的公告

　　为规范非银行支付机构网络支付业务，防范支付风险，保护当事人合法权益，根据《中华人民共和国中国人民银行法》、《非金融机构支付服务管理办法》、《中国人民银行 工业和信息化部 公安部 财政部 工商总局 法制办 银监会 证监会 保监会 国家互联网信息办公室关于促进互联网金融健康发展的指导意见》等规定，中国人民银行起草了《非银行支付机构网络支付业务管理办法(征求意见稿)》，现向社会公开征求意见。

　　如有意见或建议，请于2015年8月28日前通过电子邮件或信函方式反馈给中国人民银行。

　　联系人：左宇峰

　　电子邮件：paymentcard@pbc.gov.cn

　　通讯地址：北京市西城区成方街32号中国人民银行支付结算司

　　邮政编码：100800

　　附件：

　　1.非银行支付机构网络支付业务管理办法(征求意见稿)

　　2.非银行支付机构网络支付业务管理办法及有关条款释义(征求意见稿)

中国人民银行

2015年7月31日

　　附件1：

非银行支付机构网络支付业务管理办法(征求意见稿)

　　第一章 总 则

　　第一条 为规范非银行支付机构(以下简称支付机构)网络支付业务，防范支付风险，保护当事人合法权益，根据《中华人民共和国中国人民银行法》、《非金融机构支付服务管理办法》等规定，制定本办法。

　　第二条 支付机构从事网络支付业务，适用本办法。

　　本办法所称支付机构是指依法取得《支付业务许可证》，获准办理互联网支付、移动电话支付、固定电话支付、数字电视支付等网络支付业务的非银行机构。

　　本办法所称网络支付业务，是指客户通过计算机、移动终端等电子设备，依托公共网络信息系统远程发起支付指令，且付款客户电子设备不与收款客户特定专属设备交互，由支付机构为收付款客户提供货币资金转移服务的活动。

　　本办法所称收款客户特定专属设备，是指专门用于交易收款，在交易过程中与支付机构业务系统交互并参与生成、传输、处理支付指令的电子设备。

　　第三条 支付机构应当遵循主要服务于电子商务交易的原则，基于客户的银行账户或者按照本办法规定为客户开立支付账户提供网络支付服务。

　　本办法所称支付账户，是指获得互联网支付业务许可的支付机构，根据客户的真实意愿为其开立的，用于记录预付交易资金余额、凭以发起支付指令、反映支付交易明细信息的电子簿记。

　　第四条 支付机构应当依法维护当事人的合法权益，保障客户信息安全和资金安全。

　　第五条 支付机构开展网络支付业务，应当落实实名制管理要求，遵守反洗钱和反恐怖融资相关规定，履行反洗钱和反恐怖融资义务;涉及跨境人民币结算和外汇支付业务的，应当按照中国人民银行、国家外汇管理局相关规定执行。

　　第二章 客户管理

　　第六条 支付机构应当遵循“了解你的客户”原则，采取有效措施核实并依法留存客户身份基本信息，建立客户唯一识别编码。

　　第七条 支付机构为客户提供网络支付服务，应当与客户签订服务协议，至少约定下列内容：

　　(一)支付机构名称、营业地址、网站地址及联系方式;

　　(二)支付机构提供的网络支付业务类型和业务规则;

　　(三)支付机构对客户支付指令的验证方式;

　　(四)收费项目和收费标准;

　　(五)客户资金结算方式，以及支付机构为此提供相关支付便利的义务;

　　(六)支付机构为防范欺诈等业务风险及洗钱、恐怖融资等非法活动，可以对支付服务采取的限制性措施;

　　(七)支付机构与客户的相关责任、权利和义务。

　　支付机构应当以显著方式提示客户注意服务协议中与客户有重大利害关系的核心事项，并按客户的要求予以解释或说明。

　　第八条 获得互联网支付业务许可的支付机构，应当经客户主动提出申请，方为其开立支付账户;仅获得移动电话支付、固定电话支付、数字电视支付业务许可的支付机构，不得为客户开立支付账户。

　　支付机构不得为金融机构，以及从事信贷、融资、理财、担保、货币兑换等金融业务的其他机构开立支付账户。

　　第九条 支付机构为客户开立支付账户的，应当对客户实行实名制管理，登记客户身份基本信息，核实客户有效身份证件，按规定留存有效身份证件复印件或者影印件，并通过三个(含)以上合法安全的外部渠道对客户身份基本信息进行多重交叉验证，确保有效核实客户身份及其真实意愿，不得开立匿名、假名支付账户。

　　外部验证渠道包括但不限于政府部门数据库、商业银行账户信息系统、商业化数据库等能够有效验证客户身份基本信息的数据库或系统。

　　第十条 支付机构为客户开立支付账户的，服务协议应当至少包括下列内容：

　　(一)以显著方式明确告知客户：“支付账户所记录的资金余额不同于客户本人的商业银行货币存款，其实质为客户向支付机构购买的、所有权归属于客户并由支付机构保管的预付价值，不受《存款保险条例》保护。该预付价值对应的货币资金的所有权归属于客户，但以支付机构的名义存放在商业银行，可由支付机构向其开户银行发起支付指令进行调拨。”支付机构应当采取有效方式要求客户确认已充分知晓并清晰理解上述内容及相关风险;

　　(二)支付账户开立、使用、挂失、止付、注销的规则;

　　(三)违规开立或者使用支付账户的处置方式;

　　(四)支付账户资金变动的通知方式和异常交易的处置方式;

　　(五)支付机构对风险损失承担先行赔付责任的条件，及客户承担风险损失的单笔、累计最高限额及其条件。

　　第十一条 支付账户不得出借、出租、出售，不得利用支付账户从事或者协助他人从事非法活动。

　　第十二条 客户变更身份信息，重置或者挂失密码、数字证书或者电子签名，办理支付账户止付、注销业务的，支付机构应当在确认客户身份及真实意愿后及时办理。

　　第三章 业务管理

　　第十三条 支付机构不得为客户办理或者变相办理现金存取、信贷、融资、理财、担保、货币兑换业务。

　　第十四条 支付机构基于银行卡为客户提供网络支付服务的，应当执行银行卡业务相关监管规定，以及银行卡行业规范。

　　第十五条 支付机构根据客户授权，向客户开户银行发送支付指令，扣划客户银行账户资金的，支付机构、客户和银行在事先或者首笔交易时，应当按照下列规则明确相关授权并依照执行：

　　(一)支付机构应当取得客户和银行的授权，同意其向客户的银行账户发起支付指令扣划资金;

支付机构采用一次性密码作为验证要素的，应当切实防范一次性密码获取端与支付指令发起端为相同物理设备而带来的风险，并将一次性密码有效期严格限制在最短的必要时间内。

　　支付机构采用客户本人生理特征作为验证要素的，应通过符合相关技术安全标准、具有数据安全存储和运算能力的硬件载体进行保护，防止被非法存储、复制或重放。

　　第三十条 支付机构应当每年对交易和信息安全管理制度、业务处理系统、交易监测系统等风险防控机制开展全面评估。评估应由不以任何方式参与网络支付服务开发或者运营的专业人员进行。评估报告应于每年1月31日前在网站对外公告。

　　第三十一条 支付机构应当限制客户尝试登陆或者识别身份的次数，制定客户访问超时规则，设置身份识别时限。

　　第三十二条 支付机构应当制定突发事件应急预案，建立灾备系统，保障业务连续性和系统安全性。

　　第三十三条 支付机构应当充分尊重客户自主选择权，不得强迫客户使用本机构提供的网络支付服务，也不得阻碍客户使用其他机构提供的网络支付服务。

　　支付机构应当公平展示客户可选用的各种资金收付方式，不得以任何形式诱导、强迫客户开立支付账户或者通过支付账户办理资金收付，不得附加不合理的交易条件。

　　支付机构应当根据客户意愿办理网络支付服务或者支付账户功能的暂停、禁用或者注销。

　　第三十四条 支付机构应当参照《中国人民银行关于银行业金融机构做好个人金融信息保护工作的通知》(银发[2011]17号)有关规定制定有效的客户信息保护措施和风险控制机制，切实履行客户信息保护责任。

　　第三十五条 支付机构应当以“最小化”原则采集、使用、存储和传输客户信息，并告知客户相关信息的使用目的和范围。支付机构不得向本机构以外的其他机构和个人提供客户信息，因办理支付业务需要并经客户逐项确认并授权的，以及法律法规另有规定的除外。

　　支付机构不得存储客户银行账户密码、银行卡验证码和有效期等敏感信息。因特殊业务需要，支付机构确需存储客户银行卡有效期的，应当取得客户和开户银行的授权，以加密形式存储。

　　第三十六条 支付机构应当通过协议约定禁止特约商户存储客户账户密码、银行卡验证码和有效期等敏感信息，并采取定期检查、技术监测等必要监督措施。

　　特约商户违反协议约定存储上述敏感信息的，支付机构应当立即暂停或者终止为其提供网络支付服务，采取有效措施删除敏感信息、防止信息泄露，并承担因相关信息泄露造成的损失和责任。

　　第三十七条 支付机构应当建立健全风险准备金制度和交易赔付制度，并对不能有效证明因客户原因导致的资金损失使用风险准备金先行全额赔付，保障客户合法权益。

　　支付机构应在年度监管报告中如实反映客户风险损失、客户损失赔付、风险准备金计提、风险准备金使用和风险准备金结余等情况。

　　第三十八条 支付机构应当向客户充分提示网络支付业务的潜在风险，及时揭示不法分子新型作案手段，对客户进行必要的安全教育，并对高风险业务在操作前、操作中进行风险警示。

　　支付机构应当于每年1月31日前，将前一年度发生的风险事件、客户风险损失、客户损失赔付等情况在网站对外公告。

　　第三十九条 支付机构为客户购买投资理财产品或服务提供网络支付服务的，应当确保相关产品或者服务提供方为取得相应经营资质并依法开展业务的机构，并充分向客户提示潜在风险。

　　第四十条 支付机构应当采取有效措施，确保客户在执行支付指令前可对资金收付账户、交易金额等交易信息进行确认，并在支付指令完成后及时将结果通知客户。

　　因交易超时、无响应或者系统故障导致支付指令无法正常处理的，支付机构应当及时提示客户;因客户原因造成支付指令未执行、未适当执行、延迟执行的，支付机构应当主动通知客户更改或者协助客户采取补救措施。

　　第四十一条 支付机构应当建立健全网络支付业务差错争议和纠纷投诉处理制度，向客户公告相关受理机制和流程，并配备专业部门和人员，据实、准确、及时处理交易差错和客户投诉。

　　第四十二条 支付机构应当通过具有合法独立域名的网站、统一的24小时客户服务电话等渠道，为客户提供网络支付服务及查询、咨询、投诉等配套服务。

　　支付机构应当告知客户相关服务的正确获取途径，指导客户有效辨识服务渠道的真实性，防范不法分子通过冒充支付机构或者提供虚假服务渠道实施网络欺诈、盗用账户或者窃取信息。

　　第四十三条 支付机构应当为客户免费提供至少最近一年以内交易信息查询服务。

　　第四十四条 支付机构因系统升级、调试等原因，需暂停网络支付服务的，应当至少提前5个工作日予以公告。

　　第四十五条 支付机构变更协议条款、提高网络支付服务收费标准或者新设收费项目的，应当于实施之前在网站以显著方式连续公示30日，并于客户首次办理相关业务前确认客户知悉且接受拟调整的全部详细内容，保障客户对相关服务的自主选择权。

　　第四十六条 支付机构应当真实、完整记录客户各项操作，记录内容应当包括但不限于登录、支付指令验证、变更身份信息、变更预留通讯号码、调整业务功能、调整交易限额、变更资金收付方式，以及重置或者挂失密码、数字证书、电子签名等。相关记录应当自操作生效之日起至少保存5年。

　　第四十七条 商业银行对涉及本行银行账户的相关交易提出查询、差错或者投诉处理以及风险控制等合理要求的，支付机构应当积极配合并及时处理。

　　第五章 监督管理

　　第四十八条 中国人民银行及其分支机构依法对支付机构的网络支付业务活动进行监督和管理。

　　中国人民银行可以根据支付机构的客户规模、交易规模、风险管理状况等因素，指定对零售支付体系或社会公众非现金支付信心产生重大影响的支付机构必须聘请独立、合格的外部审计机构，每隔两年定期持续审查、评估该支付机构的业务合规性及其风险管理机制的有效性、健全性，并将审查结果同时报送中国人民银行及其分支机构。

　　第四十九条 支付机构提供网络支付创新产品或者服务、决定停止提供产品或者服务、调高服务收费标准或者新增收费项目，以及与境外机构合作在境内开展网络支付业务的，应当至少提前30日向中国人民银行及其分支机构报告。

　　第五十条 支付机构发生涉嫌违法犯罪案件或者重大风险事件的，应当及时向中国人民银行及其分支机构报告。

　　第五十一条 支付机构应当加入中国支付清算协会，接受行业自律组织管理。

　中国支付清算协会应当根据本办法制定网络支付业务行业自律规范，建立自律审查机制，向中国人民银行备案后组织实施。自律规范应包括支付机构与客户签订协议的范本，明确协议应记载和不得记载事项，还应包括支付机构披露有关信息的具体内容和标准格式。

　　中国支付清算协会应当建立信用承诺制度，要求支付机构以标准格式向社会公开承诺依法合规开展网络支付业务、保障客户信息安全和资金安全、维护客户合法权益，如违法违规将自愿接受约束和处罚。

　　第六章 法律责任

　　第五十二条 支付机构从事网络支付业务有下列情形之一的，中国人民银行及其分支机构依据《非金融机构支付服务管理办法》第四十二条的规定进行处理：

　　(一)未按规定建立客户实名制管理、支付账户开立与使用、差错争议和纠纷投诉处理、风险准备金和交易赔付、年度风险评估、应急预案等管理制度的;

　　(二)未按规定建立客户风险评级管理、支付账户功能与限额管理、客户支付指令验证管理、交易和信息安全管理、交易监测系统等风险控制机制的，未按规定对支付业务采取有效风险控制措施的;

　　(三)未按规定进行风险提示或者公开披露相关信息的;

　　(四)未按规定向中国人民银行及其分支机构报送信息的。

　　第五十三条 支付机构从事网络支付业务有下列情形之一的，中国人民银行及其分支机构依据《非金融机构支付服务管理办法》第四十三条的规定进行处理;情节特别严重，导致严重后果，扰乱支付清算市场秩序的，中国人民银行及其分支机构依据《中国人民银行法》第四十六条的规定进行处理：

　　(一)不符合支付机构支付业务系统设施有关要求的;

　　(二)不符合国家、金融行业标准和相关信息安全管理要求的，采用数字证书、电子签名无有效认证证书的;

　　(三)为非法交易、虚假交易提供支付服务，发现客户疑似或者涉嫌违法违规行为未按规定采取有效措施的;

　　(四)未按规定采取客户支付指令验证措施的;

　　(五)未真实、完整、准确反映网络支付交易信息，篡改或者隐匿交易信息的;

　　(六)未按规定处理客户信息，或者未履行客户信息保密义务，造成信息泄露隐患或者导致信息泄露的;

　　(七)妨碍客户自主选择支付服务提供主体或资金收付方式的。

　　第五十四条 支付机构违反反洗钱和反恐怖融资规定的，依据国家有关法律法规进行处理。

　　第七章 附 则

　　第五十五条 本办法相关用语含义如下：

　　单位客户，是指接受支付机构支付服务的企事业单位、个体工商户或者其他组织。

　　个人客户，是指接受支付机构支付服务的自然人。

　　客户本人，是指客户本单位(单位客户)或者本人(个人客户)。

　　第五十六条 本办法由中国人民银行负责解释和修订。

　　第五十七条 本办法自2015年 月 日起施行。

　　本办法施行之前已从事网络支付业务的支付机构，有关业务不符合本办法规定的，应于本办法施行之日起6个月内完成整改。