(電子商務研究中心訊) 支付機構網絡支付業(yè)務管理辦法(征求意見稿)
第一章總則
第一條為規(guī)范支付機構網絡支付業(yè)務，防范支付風險，保護當事人合法權益，根據(jù)《中華人民共和國中國人民銀行法》、《非金融機構支付服務管理辦法》等規(guī)定，制定本辦法。
第二條支付機構從事網絡支付業(yè)務，使用本辦法。
本辦法所稱支付機構是指依法取得《支付業(yè)務許可證》，獲準辦理互聯(lián)網支付、移動電話支付、固定電話支付和數(shù)字電視支付等網絡支付業(yè)務的非金融機構。
本辦法所稱網絡支付業(yè)務是指客戶通過計算機、移動終端等電子設備，依托公共網絡信息系統(tǒng)遠程發(fā)起支付指令，由支付機構為付款人和網絡特約商戶的電子商務交易實現(xiàn)貨幣資金轉移的活動。
支付機構不得為付款人和實體特約商戶的交易提供網絡支付服務。
第三條支付機構應當依法維護當事人的合法權益，保障信息安全和交易安全。
第四條支付機構應遵守反洗錢法律法規(guī)要求，履行發(fā)洗錢和反恐融資義務，不得為國家法律法規(guī)禁止和限制買賣的物品或服務、虛假交易提供網絡支付服務。
第五條支付機構開展網絡支付業(yè)務，涉及跨境人民幣結算和外匯支付業(yè)務的，應按照中國人民銀行、國家外匯管理局相關規(guī)定執(zhí)行。
第二章業(yè)務開通與客戶管理
第六條支付機構辦理網絡支付業(yè)務，應當遵循“了解你的客戶”原則，采取有效措施核實并依法留存客戶身份基本信息。
第七條支付機構應為客戶建立唯一的客戶識別編碼，并根據(jù)客戶特征、交易類型、交易金額等，與客戶約定安全可靠的身份認證方式。
支付機構采用電子簽名方式進行客戶身份認證和交易授權的，應當優(yōu)先由合法的第三方認證機構提供認證服務。
第八條支付機構提供網絡支付服務，應當向客戶公示信息、提供章程或與客戶簽訂協(xié)議。
公示信息、章程或協(xié)議應當包括但不限于以下內容：
(一)支付機構名稱、營業(yè)地址、網址和聯(lián)系方式；
(二)所提供的網絡支付交易類型、交易規(guī)則、身份驗證和交易授權方式；
(三)客戶資金結算的時限要求，及支付機構為此提供相關支付便利的義務；
(四)具體收費項目和收費標準；
(五)差錯及糾紛處理規(guī)則和程序；
(六)客戶身份信息、賬戶信息和交易信息的保護責任；
(七)客戶身份信息變更后的通知義務和方式；
(八)客戶服務及投訴的方式和渠道，以及客戶權益保障條款
第九條支付機構應基于客戶銀行賬戶提供網絡支付服務。
支付機構向客戶銀行發(fā)送支付指令，扣劃客戶銀行賬戶資金的，支付機構、客戶及銀行應事先或在首筆交易時，簽訂三方協(xié)議或兩兩協(xié)議，按照以下規(guī)則授權并依照執(zhí)行：
(一)支付機構應取得客戶及銀行的協(xié)議授權，同意其向客戶的銀行賬戶發(fā)送指令扣劃資金。
(二)銀行應依法履行客戶身份識別義務，并已實現(xiàn)或在首筆交易時取得客戶的協(xié)議授權、明確支付機構發(fā)起支付指令扣劃客戶銀行賬戶資金時，銀行對其客戶的身份識別和交易驗證方式；但客戶首筆業(yè)務的身份識別和交易驗證主體、驗證手段和渠道，由客戶、銀行與支付機構通過協(xié)議進行授權及約定；
(三)支付機構應當為客戶提供后續(xù)交易驗證由銀行完成的有限選擇權，不得人為設置障礙；支付機構應當配合客戶及銀行為控制交易風險而采取的必要措施和手段。
(四)確因業(yè)務需要，客戶自愿授權并與支付機構和開戶銀行約定后續(xù)交易由支付機構代為驗證的，支付機構應確保驗證手段和渠道的安全性，設置單筆、日累計交易限額，并承擔由此所導致的客戶信息泄露和資金被盜用風險。
第十條根據(jù)客戶意愿，獲得互聯(lián)網支付業(yè)務資質的支付機構，可以為客戶開立記錄客戶支付交易和資金余額信息的支付賬戶。
第十一條支付機構不得為金融機構以及從事融資、理財、擔保、貨幣兌換等金融業(yè)務的其他機構開立支付賬戶。
第十二條支付機構不得為客戶辦理或變相辦理支付賬戶逇透支和現(xiàn)金存取、以及融資、擔保業(yè)務。
第十三條支付機構開立支付賬戶應當遵守實名制管理規(guī)定，識別客戶身份，核實有效身份證件，登記身份基本信息，并按規(guī)定留存有效身份證件復印件或者影印件。
支付機構應確保支付賬戶名稱與客戶有效身份證件或者身份證明文件上記載的姓名或名稱一致，不得為客戶開立匿名、假名支付賬戶。
第十四條支付機構要求客戶提供有關資料信息時，應告知客戶使用目的和范圍，客戶信息保護措施，以及客戶未準確提供或提供虛假資料信息的后果；支付機構承擔為妥善保管和使用客戶信息導致信息被盜用的后果和責任。
第十五條客戶基本身份信息發(fā)生變更的，應當及時通知支付機構，支付機構在核實客戶身份或予以更新。
第十六條支付機構為客戶開立支付賬戶，應當與客戶簽訂協(xié)議。協(xié)議內容包括但不限于：
(一)支付賬戶開立、掛失、止付、注銷的規(guī)則；
(二)身份驗證和支付授權方式；
(三)客戶對支付機構檢驗其銀行賬戶信息和身份信息的授權；
(四)支付賬戶使用和管理的責任、權利和衣服；
(五)支付賬戶違規(guī)使用的處置和責任；
(六)支付賬戶資金變動的通知方式；
(七)支付賬戶異常交易的通知、處置方式和責任劃分。
第十七條支付賬戶只能用于電子商務交易付款和符合規(guī)定的個人客戶支付賬戶(以下簡稱個人支付賬戶)間轉賬，不得用于電子商務交易收款。
第十八條支付機構應按協(xié)議約定及時將電子商務交易收款資金結算至網絡特約商戶制定的同名銀行賬戶，資金結算時限應為付款客戶確認可直接向網絡特約商戶付款的支付指令生效之日起1至3個工作日，因涉嫌違規(guī)違法等風險交易延遲結算的除外。
第十九條支付機構應按照客戶識別編碼，對同一客戶開立的所有支付賬戶統(tǒng)一管理。
第二十條支付賬戶只能由本人使用，不得出借、出租、出售。
任何單位和個人不得利用支付賬戶從事或協(xié)助他人從事非法活動。
第二十一條客戶掛失或重要密碼、密鑰或數(shù)字證書，更改預留手機號碼等驗證信息，或辦理支付賬戶止付、注銷業(yè)務的，支付機構應在確認客戶身份及真實意思后及時辦理。
第二十二條支付機構應嚴格規(guī)范客戶身份信息、交易驗證方式更改流程，針對不同業(yè)務處理類型和修改渠道完善客戶身份驗證措施。
第三章業(yè)務管理
第二十三條支付機構提供的網絡支付業(yè)務的交易類型包括充值、消費、轉賬等。
充值，是指客戶將本人同名銀行借記賬戶或同一支付機構發(fā)行的預付卡中資金轉入本人同名支付賬戶。支付賬戶未用充值資金退回時，應轉回原銀行賬戶或原預付卡。
消費，是指客戶因商品或服務購買、稅費繳納、信用卡還款、購買特定金融產品等電子商務交易活動，將付款客戶的銀行賬戶或支付賬戶資金劃轉至網絡特約商戶的銀行賬戶，因交易取消(撤銷)、退貨、交易不成功等原因需退款的，相應款項應轉回原銀行賬戶或支付賬戶。
轉賬，是指個人支付賬戶之間無電子商務交易背景的小額資金劃轉。單位客戶的支付賬戶(以下簡稱單位支付賬戶)不得辦理無電子商務交易背景的資金轉賬業(yè)務。
第二十四條單位支付賬戶的資金來源僅限于其同名人民幣銀行賬戶，資金只能用于消費；個人支付賬戶的資金來源僅限于本人同名人民幣銀行借記賬戶、本支付機構按規(guī)定發(fā)行的預付卡充值和個人支付賬戶轉入，資金只能用于消費和轉賬轉出。
第二十五條個人支付賬戶轉賬單筆金額不得超過1000元，統(tǒng)一客戶所有支付賬戶轉賬年累計金額不得超過1萬元。超過限額的，應通過客戶的銀行賬戶辦理。
第二十六條個人支付賬戶單筆消費金額不得超過5000元，同一人客戶所有支付賬戶消費月累計金額不得超過1萬元。超過限額的，應通過客戶的銀行賬戶辦理。
第二十七條網絡特約商戶應制定一個同名銀行賬戶，用于交易資金結算。
第二十八條支付機構應建立網絡特約商戶用于資金結算的銀行賬戶設置和變更審核制度，嚴格審核設置和變更申請材料的真實性、有效性。
第二十九條支付機構應確保交易信息的真實性、完整性、可追溯性。交易信息包括但不限于下列事項：
(一)交易渠道、受理終端類型、交易類型、網絡特約商戶類別碼及唯一性編碼、交易金額、交易時間；
(二)收付款客戶名稱，收付款銀行賬戶的開戶銀行名稱及賬號、支付賬戶賬號；
(三)付款客戶的身份驗證和交易授權信息；
(四)直接向客戶提供商品或服務的特約商戶名稱及按照《金融零售業(yè)務商戶類別代碼》(GB/T 20548-2006)設置的商戶類別碼；
(五)有效追溯交易的標識。
第三十條支付機構對網絡特約商戶的拓展與管理、客戶使用銀行賬戶支付的交易處理，以及相關風險措施，應當按照《銀行卡收單業(yè)務管理辦法》的相關規(guī)定執(zhí)行。
第三十一條支付機構開展網絡支付業(yè)務，應擁有并運營獨立、安全、規(guī)范的業(yè)務處理系統(tǒng)，該系統(tǒng)及其備份系統(tǒng)的服務器應設置在中華人民共和國境內。
第四章風險管理與客戶權益保護
第三十二條支付機構網絡支付業(yè)務應符合國家和金融行業(yè)技術標準和相關信息安全管理要求。
第三十三條支付機構業(yè)務處理系統(tǒng)應對客戶發(fā)起支付指令的計算機、移動電話、固定電話等不同終端進行有效識別，并針對不同終端發(fā)起交易的風險程度，實施充分的、有效的驗證方式，采取有效的風險控制措施。
第三十四條支付機構應綜合客戶實名認證、交易行為特征、資信狀況等因素，建立客戶風險評級管理制度。
對風險評級較高的客戶，支付機構應對其開通的交易類型、交易金額進行限額，并采取強化交易監(jiān)測、賬戶止付、延遲結算等風險管理措施。
第三十五條支付機構應健全網絡支付業(yè)務風險管理制度，建立交易監(jiān)測系統(tǒng)，對疑似套現(xiàn)、洗錢、非法融資、欺詐或泄露客戶信息等可疑交易及時核查，采取有效的風險防控措施，并承擔因為采取措施導致的風險損失責任；發(fā)現(xiàn)涉嫌違法犯罪的，應及時向公安機關報案，同時向中國人民銀行及其分支機構報告。
第三十六條支付機構應至少每年對內部控制制度、業(yè)務處理系統(tǒng)、交易監(jiān)測系統(tǒng)、信息安全管理等風險防控機制開展一次全面的風險評估，并完善支付安全措施。
第三十七條支付機構應限制客戶嘗試登陸或身份驗證的次數(shù)、制定客戶訪問超時規(guī)則，設置身份驗證時限。使用一次性密碼進行身份驗證時，支付機構應將該密碼有效期嚴格限制在最短的必要時間內。
第三十八條支付機構對業(yè)務辦理過程中采集和處理的客戶信息，應制定有效的風險控制措施，依法或按照客戶授權使用，確保相關信息安全并承擔相應的安全管理責任。
第三十九條支付機構不得存儲客戶銀行賬戶密碼、銀行卡卡片驗證碼及卡片有效期等敏感信息。確因業(yè)務需要存儲客戶銀行卡卡號、卡片有效期的，應取得客戶和客戶開戶銀行授權，并以加密形式存儲。
第四十條支付機構應制定突發(fā)事件應急預案，建立災備系統(tǒng)，保障業(yè)務連續(xù)性和系統(tǒng)安全性。
第四十一條支付機構應建立健全風險準備金制度和交易賠付制度，風險準備金應對非因客戶原因發(fā)生的風險損失予以先行賠付，保障客戶合法權益。
第四十二條支付機構應向客戶充分提示網絡支付業(yè)務的潛在風險，對客戶進行必要的認知教育和安全指導，并對高風險業(yè)務在操作前、操作中進行風險警示。
第四十三條支付機構為客戶特定金融產品購買、網絡借貸等融資活動提供網絡支付服務的，應確保產品或服務提供方為依法合規(guī)開展業(yè)務的機構。并充分向客戶提示潛在風險。
第四十四條支付機構應采取有效措施，在執(zhí)行支付指令錢提示客戶對支付指令的準確性進行確認，并在支付指令完成后及時將結果通知客戶。
第四十五條因交易超時、無響應或系統(tǒng)故障導致支付指令無法正常處理的，支付機構應及時提示客戶。
因客戶原因造成支付指令來執(zhí)行、未適當執(zhí)行、延遲執(zhí)行的，支付機構應主動通知客戶更改或配合客戶采取補救措施。
第四十六條支付機構應建立健全網絡支付業(yè)務差錯處理制度，配備專業(yè)部門和人員，據(jù)實、準確、及時處理差錯交易。
第四十七條支付機構提高網絡支付服務收費標準或新設收費項目的，應至少于執(zhí)行日前3個月在網站公示。
支付機構應在提高收費標準或新設收費項目后、客戶首次辦理相關業(yè)務前，確認客戶知悉該服務收費標準并保證客戶對該服務的選擇權。
第四十八條支付機構因系統(tǒng)升級、調試等原因，需暫停挽留過支付服務的，應至少提前5個工作日予以公告。
第四十九條支付機構提供網絡支付服務，應開設具有合法獨立域名的網站，設立統(tǒng)一的客戶服務電話和查詢投資渠道。
第五十條支付機構應為客戶免費提供最近一年以內交易信息查詢服務。
第五十一條支付機構對客戶的身份資料、賬戶信息、交易信息，應妥善保存，身份資料、賬戶信息自業(yè)務關系結束之日起至少保存5年，交易信息自交易記賬之日起至少保存5年。
第五章監(jiān)督管理
第五十二條中國人民銀行及其分支機構依法對支付機構的網絡支付業(yè)務活動進行監(jiān)督和管理。
第五十三條中國人民銀行及其分支機構可采取如下措施，對支付機構進行現(xiàn)場檢查：
(一)進入與網絡支付業(yè)務相關的經營場所進行檢查；
(二)查閱、復制與檢查事項有關的文件、資料；
(三)詢問有關工作人員，要求對有關事項進行說明；
(四)檢查有關系統(tǒng)和設施，復制有關數(shù)據(jù)資料。
第五十四條支付機構應協(xié)助配合中國人民銀行及其分支機構開展現(xiàn)場檢查和非現(xiàn)場檢查，按時報送網絡支付業(yè)務統(tǒng)計信息和管理信息。
第五十五條支付機構提供網絡支付創(chuàng)新產品或服務、決定停止提供產品或服務、調高服務收費標準或新增收費項目等，應至少提前30日向中國人民銀行及其分支機構備案。
第五十六條支付機構應當加入中國支付清算協(xié)會，接受行業(yè)自律組織管理。中國支付清算協(xié)會應當根據(jù)本辦法，制定網絡支付業(yè)務行業(yè)自律規(guī)范，向中國人民銀行備案后組織實施。
第五十七條支付機構發(fā)生涉嫌違法犯罪案件或重大風險事件的，應及時向中國人民銀行及其分支機構報告。
第六章罰則
第五十八條支付機構從事網絡支付業(yè)務有下列傾向之一的，由中國人民銀行及其分支機構依據(jù)《非金融機構支付服務管理辦法》第四十二條的規(guī)定責令其期限改正，并予以警告或處1萬元以上3萬元以下罰款；
(一)未按規(guī)定建立并落實客戶實名制、客戶風險評級管理、風險準備金與交易賠付、交易和信息安全管理、年度風險評估、應急管理等制度的；
(二)未按規(guī)定向客戶提供相關業(yè)務優(yōu)先選擇權的；
(三)未按規(guī)定繼續(xù)進行風險提示或公開披露相關信息的；
(四)未按規(guī)定處理客戶身份信息、賬戶信息、交易信息及提供有關信息查詢服務的；
(五)未按規(guī)定向中國人民銀行及其分支機構報送信息或辦理相關備案手續(xù)的。
第五十九條支付機構從事網絡支付業(yè)務有下列情形之一的，由中國人民銀行及其分支機構依據(jù)《非金融機構支付服務管理辦法》第四十三條的規(guī)定責令其期限改正，并處3萬元罰款；情節(jié)嚴重的，中國人民銀行注銷其《支付業(yè)務許可證》；涉嫌犯罪的，依法移送公安機關：
(一)網絡支付業(yè)務處理系統(tǒng)及其備份系統(tǒng)的服務器未按規(guī)定設置在中華人民共和國境內的；
(二)不符合國家和金融行業(yè)技術標準和相關信息安全管理要求的；
(三)未按規(guī)定建立交易監(jiān)測系統(tǒng)，發(fā)現(xiàn)客戶疑似或涉嫌違法違規(guī)行為未采取有效措施的；
(四)未按規(guī)定開立、使用和管理支付賬戶，或為實體特約商戶提供網絡支付服務，以及為客戶提供或變相提供現(xiàn)金存取、融資和擔保等本辦法規(guī)定的禁止性支付服務的；
(五)未準確反映網絡支付交易信息，未按規(guī)定進行網絡支付業(yè)務處理及相關交易限額管理、交易驗證、資金劃轉與資金結算的；
(六)發(fā)生客戶身份信息，賬戶信息，交易信息泄露，或未尊重客戶意愿，侵害相關當事人合法權益的；
(七)為非法交易、虛假交易提供支付服務的。
第六十條支付機構未按本辦法要求識別客戶身份、履行反洗錢義務的，由中國人民銀行及其分支機構依據(jù)國家有關反洗錢法律法規(guī)等進行處罰。
第六十一條未取得網絡支付業(yè)務相關資質，擅自或變相開展網絡支付業(yè)務的，由中國人民銀行及其分支機構終止其網絡支付業(yè)務；涉嫌犯罪的，依法移送公安機關；構成犯罪的，依法追求形式責任。
第七章附則
第六十二條本辦法相關用語含義如下：
個人有效身份證件，是指居民身份證、港澳臺居民通行證、外國公民護照等；
單位有效身份證件，是指營業(yè)執(zhí)照、有關政府部門的批文，登記證書或其他正式其合法真實身份的證明等。
網絡特約商戶，是指基于公共網絡信息系統(tǒng)提供商品或服務的特約商戶。
實體特約商戶，是指通過實體經營場所提供商品或服務的特約商戶。
單位客戶，是指接受支付機構支付服務的企事業(yè)單位、個體工商戶或其他組織，以及按照國家工商行政管理有關規(guī)定，開展網絡商品交易等經營活動的自然人；
個人客戶，是指接受支付機構的支付服務，但未開展網絡交易等經營活動的自然人。
第六十三條本辦法由中國人民銀行負責解釋和修訂。
第六十四條本辦法自2014年月日起施行。
