(電子商務研究中心訊) 內(nèi)容提要：中國銀監(jiān)會于2014年發(fā)布的兩項文件，提出銀行業(yè)網(wǎng)絡安全和信息化建設中的信息技術(shù)要安全可控，要求隨機軟件擁有自主知識產(chǎn)權(quán)，并且軟件源代碼要報銀監(jiān)會備案。但美國政府認為中國的這些要求可能違反WTO協(xié)定的相關(guān)規(guī)定。本文對銀監(jiān)會這兩部文件中包含的爭議措施與相關(guān)WTO規(guī)則相結(jié)合進行分析，嘗試闡釋兩部文件中所含爭議措施可能造成的法律風險，包括違反國民待遇原則和當?shù)爻煞忠蟮娘L險，而在合法目標的表述上又不夠明確。因此，各級政府部門在制定相關(guān)政策時，應當進行WTO合規(guī)性評估。
關(guān)鍵詞：銀行業(yè)信息技術(shù)安全 國民待遇原則 當?shù)爻煞忠?/p>
2015年3月31日，美國現(xiàn)任財政部長雅各布·盧風塵仆仆地結(jié)束了兩天訪華行程。針對進口科技產(chǎn)品的信息安全規(guī)定取代亞投行成為美財長該次訪華的重點議題。美國就中國限制銀行業(yè)使用外國信息技術(shù)設備的相關(guān)規(guī)定向中國施壓，認為中國政府最近發(fā)布的關(guān)于銀行業(yè)使用信息技術(shù)設備的自主創(chuàng)新要求可能涉及當?shù)睾恳?，違反WTO協(xié)定的相關(guān)規(guī)定。美方要求中方將這些規(guī)定予以取消，并在4月16日的WTO的TRIMs委員會會議上聯(lián)合日本就當?shù)睾恳筇岢鲫P(guān)切。
事件緣起于中國銀監(jiān)會于2014年發(fā)布的兩項文件：《關(guān)于應用安全可控信息技術(shù)加強銀行業(yè)網(wǎng)絡安全和信息化建設的指導意見》(以下簡稱“《指導意見》”)和《銀行業(yè)信息技術(shù)資產(chǎn)分類目錄和安全可控指標》(以下簡稱“《目錄》”)。《指導意見》提出“優(yōu)先應用安全可控信息技術(shù)”和“積極嘗試應用安全可靠、自主創(chuàng)新的信息技術(shù)”。而在《目錄》中，對銀行金融機構(gòu)使用的信息技術(shù)設備和服務提出了具體的安全可控要求。其中對大部分的技術(shù)設備，要求隨機軟件擁有自主知識產(chǎn)權(quán)，而且軟件源代碼需報銀監(jiān)會備案，并且對新增設備和軟件符合安全可控要求的比例也做出了較高的要求。
這兩項文件是在“棱鏡門”后，全球范圍內(nèi)信息技術(shù)安全形勢日益嚴峻的大背景下提出的。由于銀行業(yè)牽涉到國家最重要的金融安全領(lǐng)域，加強銀行業(yè)的信息安全保障已成為金融安全領(lǐng)域最核心的工作。在這兩項文件中明確規(guī)定要加強“安全可控技術(shù)”的使用，可謂這項工作的核心要求。
但是，美國認為此類要求將嚴重限制中國銀行業(yè)使用外國的信息技術(shù)產(chǎn)品、服務和技術(shù)，同時認為《目錄》中對自主知識產(chǎn)權(quán)的要求，并要供應商提供源代碼等核心資料的作法也會使中國的設備和軟件供應商在競爭中獲得優(yōu)勢，并阻礙外國供應商參與市場競爭。美國認為中國頒布的措施涉嫌違反GATT1994中的國民待遇原則，以及構(gòu)成《與貿(mào)易有關(guān)的投資措施協(xié)定》(“TRIMs”)中所禁止的關(guān)于當?shù)爻煞值囊?，并違反了中國在入世時作出的“所有國有企業(yè)和國家投資企業(yè)完全基于商業(yè)考量進行采購”的承諾。
面對質(zhì)疑，銀監(jiān)會于2015年2月12日在其官網(wǎng)上發(fā)布了關(guān)于《目錄》的相關(guān)說明，澄清三點事項：
一、源代碼備案具體工作還在研究中，備案方式和流程將在充分聽取各方意見后實施；
二、在銀行業(yè)范疇以內(nèi)，關(guān)于隨機軟件擁有自主知識產(chǎn)權(quán)，現(xiàn)階段只要求供應商提供軟件的知識產(chǎn)權(quán)證明或合法來源證明；
三、相關(guān)要求不存在國別差別。
銀監(jiān)會作出的澄清在一定程度上有利于緩和對《指導意見》和《目錄》中有爭議問題的質(zhì)疑，但是依然不能完全打消對違反WTO規(guī)則的疑慮。本文將對兩部文件中包含的爭議措施與相關(guān)WTO規(guī)則相結(jié)合進行分析，嘗試闡釋兩部文件中所含爭議措施可能造成的法律風險，最后對采取此類措施所帶來的影響進行簡要論述。
一、《指導意見》和《目錄》中的主要爭議內(nèi)容
此次挑動美方神經(jīng)的就是《指導意見》和《目錄》中包含的三個“敏感詞”——“安全可控技術(shù)”、“自主知識產(chǎn)權(quán)”和“源代碼”。正是針對這三個技術(shù)名詞所采取的措施，給兩部文件帶來了違反WTO規(guī)則的法律風險。
(一)“安全”與“可控”的含義
在《指導意見》的任務要求中明確提出“優(yōu)先應用安全可控信息技術(shù)”，并且對“安全可控技術(shù)”的應用程度做出了具體要求：“從2015年起，各銀行業(yè)金融機構(gòu)對安全可控信息技術(shù)的應用以不低于15%的比例逐年增加，直至2019年達到不低于75%的總體占比。”
“安全可控”是一對對立統(tǒng)一的概念，“安全”要求“可控”，也只有“可控”才能更加“安全”。但兩者又有不同。信息技術(shù)的“安全”，是包括銀行業(yè)金融機構(gòu)在內(nèi)的，所有信息技術(shù)用戶的基本要求。人們絕不會愿意使用一項“不安全”的信息技術(shù)。但《指導意見》中對“安全可控技術(shù)”應用程度的要求是在2019年達到75%，而在《目錄》中對不同信息技術(shù)和設備的“安全可控技術(shù)”應用程度要求也不盡相同。那么，除了符合“安全”要求的信息技術(shù)和設備，其余的難道可以是“不安全”的嗎？當然不是。由此可見，“安全可控技術(shù)”的要害在于“可控”。
根據(jù)在2014年底由銀監(jiān)會、工信部聯(lián)合印發(fā)的《關(guān)于印發(fā)銀行業(yè)應用安全可控信息技術(shù)推進指南(2014-2015)年度的通知》(“《推進指南》”)中的定義，“安全可控信息技術(shù)”是指能夠滿足銀行業(yè)信息安全需求，且技術(shù)風險、外包風險和供應鏈風險可控的信息技術(shù)。其中，技術(shù)風險泛指與銀行業(yè)金融機構(gòu)信息資產(chǎn)相關(guān)的固有風險和操作風險。外包風險是指因信息科技外包而產(chǎn)生的科技能力喪失、業(yè)務中斷、信息泄露等風險。供應鏈風險是指因技術(shù)、產(chǎn)品或服務供應渠道中斷、知識產(chǎn)權(quán)限制而造成銀行業(yè)金融機構(gòu)無法獲得必要的維修、支持、升級等服務，進而導致系統(tǒng)運行中斷的風險。
為了達到規(guī)避這三種風險的目的，在作為《推進指南》附件的《目錄》中對“安全可控”作出了具體要求，主要有以下幾點：
(1)整機技術(shù)風險、供應鏈風險可控；
(2)技術(shù)提供方在中國境內(nèi)擁有技術(shù)研發(fā)與服務中心；
(3)擁有自主知識產(chǎn)權(quán)；
(4)源代碼需交銀監(jiān)會備案。
可以說，這四點都直接指向的是“可控”要求。對于外國企業(yè)來說，前兩項要求迫使其加大在華投入，建立完善的技術(shù)保障和售后服務體系。自主知識產(chǎn)權(quán)則有賴于對何為“自主”進行解釋，而源代碼備案制也會引起外國企業(yè)對自身商業(yè)秘密能否得到保障的擔憂?？梢娸^之國內(nèi)企業(yè)，“安全可控”的要求在事實上對外國企業(yè)是更難滿足的，而在《指導意見》和《目錄》中明確對“安全可控技術(shù)”的應用程度要求，則必然影響到這些外國企業(yè)在華的市場銷售。
毫無疑問，這些“安全可控”的要求，已足以使外國企業(yè)如坐針氈，況且其中還包含了接下來要討論的兩個“敏感詞”——“自主知識產(chǎn)權(quán)”和“源代碼”。
(二)“自主知識產(chǎn)權(quán)”的含義
對于“自主知識產(chǎn)權(quán)”可以有兩種理解，一是任何企業(yè)自己合法擁有的知識產(chǎn)權(quán)，二是僅為中國企業(yè)所擁有的知識產(chǎn)權(quán)。在最初的《目錄》說明中規(guī)定，“自主知識產(chǎn)權(quán)”是指“我國”的公民、企業(yè)法人或非法人機構(gòu)具有獨立支配權(quán)或相對控制權(quán)的知識產(chǎn)權(quán)。這明顯符合第二種理解。但是，銀監(jiān)會考慮與WTO規(guī)則的合規(guī)問題，在隨后針對《目錄》的相關(guān)說明中試圖澄清：“關(guān)于隨機軟件擁有自主知識產(chǎn)權(quán)，現(xiàn)階段只要求供應商提供軟件的知識產(chǎn)權(quán)證明或合法來源證明。”并且說明“相關(guān)要求不存在國別差別”。似乎又將“自主知識產(chǎn)權(quán)”的定義拉回到了第一種理解。
然而“相關(guān)要求不存在國別差別”這樣一句寬泛又語焉不詳?shù)恼f明并不能充分打消疑慮，它也并不是針對“自主知識產(chǎn)權(quán)”這一條作出的。而且相關(guān)說明中提到“現(xiàn)階段”，那么在未來的階段是否還要提供其它證明？是何種證明？是否會是“原產(chǎn)”中國的證明？
盡管“安全可控”中的“自主知識產(chǎn)權(quán)”要求并不適用于所有技術(shù)和設備，但是考慮到金融部門涉及的信息技術(shù)市場巨大，無論軟件硬件，幾乎任何細分領(lǐng)域都可以支撐起多家上市公司或者跨國公司。因此，即便在個別細分領(lǐng)域有通過知識產(chǎn)權(quán)限制外國企業(yè)進入中國市場的行為，都將造成巨大的市場影響，從而引起外國政府的關(guān)注，甚至不惜通過WTO爭端解決機制加以解決。
(三)“源代碼備案制”的意義
源代碼中包含著軟件的基本信息，任何程序員獲得一款軟件的源代碼后，都可以任意對該軟件進行修改。如果銀監(jiān)會獲得了軟件的源代碼，則可以更有效地避免軟件技術(shù)風險。甚至在外國服務商無法提供軟件產(chǎn)品維護的極端情況下，通過產(chǎn)品源代碼自行處理技術(shù)故障，有效降低外包和供應鏈斷裂的風險，維護銀行信息系統(tǒng)正常運轉(zhuǎn)，保障金融信息技術(shù)安全。
但對于信息技術(shù)領(lǐng)域處于領(lǐng)先地位的歐美國家企業(yè)，并不情愿將將自己產(chǎn)品的主要信息交給其他國家。這既是保護商業(yè)秘密的需要，更是一種政治上的國家信息技術(shù)安全考慮。美國奧巴馬總統(tǒng)曾公開指責中國《反恐法》草案中要求互聯(lián)網(wǎng)服務提供者預設技術(shù)接口、將密碼方案報送審查、將相關(guān)設備和境內(nèi)用戶數(shù)據(jù)留存在中國境內(nèi)，從中可以看出歐美國家對把數(shù)據(jù)信息置于中國政府的管控下是非常在意的。“源代碼備案制”的實施必將極大影響外國信息技術(shù)企業(yè)對中國銀行業(yè)客戶的銷售意愿，客觀上制造了市場中的障礙。
正是基于這種考慮，在對《目錄》的相關(guān)說明中，銀監(jiān)會已表示，實際上暫停了源代碼備案工作，以等待進一步研究和充分聽取各方意見后實施。如何有效調(diào)和金融信息安全和企業(yè)產(chǎn)品信息安全，還有待進一步研究觀察。
二、主要爭議所涉及的相關(guān)主要WTO規(guī)則
如本文開頭所提，美國對上文所涉及的要求和措施在WTO向中國施壓。指責中國違反了相關(guān)WTO規(guī)則。在具體分析銀監(jiān)會頒布的要求和措施是否觸犯WTO規(guī)則前，先簡要介紹一下所涉規(guī)則的內(nèi)容。
(一)國民待遇原則(National Treatment)
國民待遇原則是WTO規(guī)則最重要的基石之一，體現(xiàn)在諸多WTO協(xié)定中。其基本含義就是確保進口的產(chǎn)品和服務能夠在進口國享受到不低于進口國本國產(chǎn)品和服務的待遇。涉及到本次爭議的主要WTO規(guī)則條款有以下幾款：
1.《1994年關(guān)稅與貿(mào)易總協(xié)定》(“GATT 1994”)第3.4條:“任何締約方領(lǐng)土的產(chǎn)品進口至任何其他締約方領(lǐng)土時，在有關(guān)影響其國內(nèi)銷售、標價出售、購買、運輸、分銷或使用的所有法律、法規(guī)和規(guī)定方面，所享受的待遇不得低于同類國產(chǎn)品所享受的待遇。本款的規(guī)定不得阻止國內(nèi)差別運輸費的實施，此類運輸費僅根據(jù)運輸工具的經(jīng)濟客運，而不根據(jù)產(chǎn)品的國別。”
本條款是WTO規(guī)則中關(guān)于國民待遇最核心的條款，起到總綱的作用。其它各協(xié)定中關(guān)于國民待遇的規(guī)定均是由GATT1994第3.4條引申而來。本條款的適用標準是最低的，如果一項措施被認為在進口產(chǎn)品與本國產(chǎn)品的競爭中對進口產(chǎn)品有不利影響，即認定為違反本條款。
2.《技術(shù)性貿(mào)易壁壘協(xié)定》(“TBT協(xié)定”)第2.1條：“各成員應保證在技術(shù)法規(guī)方面，給予源自任何成員領(lǐng)土進口的產(chǎn)品不低于其給予本國同類產(chǎn)品或來自任何其他國家同類產(chǎn)品的待遇。”
本條款是專門針對進口產(chǎn)品采取的“技術(shù)法規(guī)”。TBT協(xié)定附件對技術(shù)法規(guī)的定義為：“規(guī)定強制執(zhí)行的產(chǎn)品特性或其相關(guān)工藝和生產(chǎn)方法、包括適用的管理規(guī)定在內(nèi)的文件。該文件還可包括或?qū)ｉT關(guān)于適用于產(chǎn)品、工藝或生產(chǎn)方法的專門術(shù)語、符號、包裝、標志或標簽要求。”
在判定措施是否違反第2.1條時應考慮以下三個因素：涉案措施是否屬于“技術(shù)法規(guī)”；相關(guān)進口產(chǎn)品是否為“同類產(chǎn)品”；措施是否給予進口產(chǎn)品的待遇低于本國同類產(chǎn)品的待遇。在墨西哥、加拿大訴美國COOL措施案中，專家組還指出，在分析第三個因素時還應著重分析“技術(shù)法規(guī)是否對進口產(chǎn)品產(chǎn)生了‘不利影響’”以及“證明此不利影響是否并不僅僅是由‘合法的管理區(qū)分’造成的”。
3.《與貿(mào)易有關(guān)的投資措施協(xié)定》(“TRIMs協(xié)定”)第2.1條：“在不損害GATT1994項下其他權(quán)利和義務的情況下，各成員不得實施任何與GATT1994第3條或第11條規(guī)定不一致的TRIM。”
“TRIM”的含義即是“與貨物貿(mào)易有關(guān)的投資措施”。本條款的含義簡單說就是只要一項與貨物貿(mào)易有關(guān)的投資措施違反GATT1994中的國民待遇原則，就構(gòu)成對本條的違反。
此外，在其他多部協(xié)定，如《服務貿(mào)易總協(xié)定》(“GATs”)和《與貿(mào)易有關(guān)的知識產(chǎn)權(quán)協(xié)定》(“TRIPs”)中，也均規(guī)定了國民待遇原則。
(二)TRIMs協(xié)議中的當?shù)爻煞忠?/p>
TRIMs協(xié)議《例示清單》第1條規(guī)定，與GATT 1994第3.4條不一致的投資措施包括根據(jù)國內(nèi)法律或根據(jù)行政裁定屬強制性或可執(zhí)行的措施，或為獲得一項利益而必須遵守的措施，并且該措施要求企業(yè)購買或使用國產(chǎn)品或自任何國內(nèi)來源的產(chǎn)品，無論按照特定產(chǎn)品、產(chǎn)品數(shù)量或價值規(guī)定，還是按照其當?shù)厣a(chǎn)在數(shù)量或價值上所占比例規(guī)定。
根據(jù)WTO的判例，一項措施如果旨在鼓勵設備的本地化和提高國產(chǎn)能力，則該措施很有可能被認定為投資措施，因為這一目的必然對這些產(chǎn)業(yè)部門的投資存在重大影響；并且，當?shù)爻煞忠蟊旧砑?ldquo;與貿(mào)易有關(guān)”。如果措施中包含當?shù)爻煞忠?，即被認定違反了GATT1994第3.4條中的國民待遇原則。
(三)TBT協(xié)議定2.2條
TBT協(xié)定第2.2條規(guī)定，各成員應保證技術(shù)法規(guī)的制定、采用或?qū)嵤┰谀康幕蛐Ч暇粚?a href='http://qjkhjx.com/zt/world/' target='_blank'>國際貿(mào)易造成不必要的障礙。為此目的，技術(shù)法規(guī)對貿(mào)易的限制不得超過為實現(xiàn)合法目標所必須的限度，同時考慮合法目標未能實現(xiàn)可能造成的風險。
根據(jù)爭端解決機構(gòu)之前一系列判例可以總結(jié)出，判定符合第2.2條的規(guī)定應分析以下四點要素：
1.涉案措施可實現(xiàn)的合法目標的程度——實現(xiàn)的目標應合法，并且實現(xiàn)程度高；
2.措施對貿(mào)易的限制——不得超過“必要”的限度，特別是對“競爭機會”的限制；
3.目標無法實現(xiàn)所造成的風險——目標無法實現(xiàn)的風險低；
4.同時還要與原告舉證的替代措施進行比較。
(四)GATT1994第20條和第21條所規(guī)定的例外條款
GATT1994第20條和第21條規(guī)定了適用該協(xié)定的例外情形。第20條為一般例外，[1］第21條為安全例外。[2]這些例外條款的設立旨在為各成員國政府保障本國安全、居民健康衛(wèi)生、環(huán)境保護、文化保護，或在戰(zhàn)爭等緊急狀態(tài)下行使公共職能留出空間。但是，第20條中并沒有涉及到金融或信息技術(shù)的例外。而銀行業(yè)信息安全也并不包含在第21條所列的安全例外中。
三、主要爭議規(guī)定與措施的WTO規(guī)則合規(guī)風險分析
盡管銀監(jiān)會已經(jīng)就《目錄》發(fā)布了相關(guān)澄清說明，并且有媒體報道銀監(jiān)會已經(jīng)暫停實施《指導意見》和《目錄》中的敏感措施，但是考慮到相關(guān)說明仍然使文件留有歧義，而且措施的執(zhí)行往往在措施宣布停止后存在延續(xù)實施的慣性，美國也就這些敏感規(guī)定與措施一再向WTO提出關(guān)切，因此討論爭議規(guī)定與措施的WTO規(guī)則合規(guī)風險仍然具有現(xiàn)實意義。
(一)是否存在違反“國民待遇原則”的風險
首先如前文所述，在諸多涉及國民待遇原則的條款中，GATT1994第3.4條是適用門檻最低的，僅需對進口產(chǎn)品有不利影響即可?？v觀《指導意見》和《目錄》，并無僅限國產(chǎn)產(chǎn)品，或者僅限中國企業(yè)之類較扎眼的規(guī)定，但是仍然廣泛存在“積極嘗試應用自主創(chuàng)新”、“隨機軟件擁有自主知識產(chǎn)權(quán)”等規(guī)定。如前文所述，相關(guān)規(guī)定并未澄清在未來隨機軟件是否還需提供其他資料，甚至是來源“中國”的證明。如果未來實際操作中要求必須是“中國”自主知識產(chǎn)權(quán)，那么該措施就是明顯地給予中國國產(chǎn)產(chǎn)品以優(yōu)惠待遇，必將違反國民待遇原則。而如果提供資料的要求造成外國產(chǎn)品在與中國產(chǎn)品的競爭中處于不利地位，那么很可能也被認為違反了第3.4條的國民待遇原則。
同時，《目錄》中要求在中國境內(nèi)擁有技術(shù)研發(fā)服務中心和源代碼備案制，從字面上看并不存在針對境內(nèi)外產(chǎn)品的差別待遇。但是顯然在中國境內(nèi)建立研發(fā)服務中心，是外國企業(yè)需要在提供產(chǎn)品以外開展的工作。與研發(fā)生產(chǎn)到服務都在國內(nèi)的中國企業(yè)相比，這自然是一項額外的負擔。盡管現(xiàn)在具有市場影響力的國際信息技術(shù)提供商都在國內(nèi)擁有客服部門，但“技術(shù)研發(fā)與服務中心”的確切含義為何并不明確。眾所周知，技術(shù)研發(fā)是信息技術(shù)企業(yè)最核心的部門，往往設立在某些具有豐富技術(shù)研發(fā)資源的信息技術(shù)發(fā)達國家，而且規(guī)模龐大。外國企業(yè)是否必須在中國設立一個龐大研發(fā)中心，才能滿足《目錄》中“技術(shù)研發(fā)中心”的要求？倘若如此，則勢必增加外國企業(yè)的負擔，使其有處于劣勢地位的風險。從而可能在事實上(de facto)使得外國企業(yè)處于競爭劣勢。
源代碼備案制違反國民待遇原則的風險則更為隱蔽。但是外國企業(yè)對保護產(chǎn)品商業(yè)秘密的關(guān)切以及衍生出的對本國信息技術(shù)安全的疑慮，很可能在實際上造成外國產(chǎn)品進入中國市場的障礙。這種障礙所造成的合規(guī)風險在涉及TBT協(xié)定第2.2條時表現(xiàn)的更為突出。
如果我們跳出《目錄》中所規(guī)定的具體措施，將《指導意見》與《目錄》結(jié)合審視，就會發(fā)現(xiàn)《目錄》是銀監(jiān)會和工信部根據(jù)《指導意見》編制的。換句話說，《指導意見》是目標任務，《目錄》是具體手段。銀監(jiān)會只是暫時停止或修改了具體手段，但《指導意見》中規(guī)定的“優(yōu)先應用安全可控信息技術(shù)”和“積極推動自主創(chuàng)新”的目標并沒有改變。在《指導意見》中規(guī)定的安全可控技術(shù)應用程度和自主創(chuàng)新產(chǎn)品應用要求還需要貫徹落實。尤其是“積極推動自主創(chuàng)新”這一目標在具體操作時往往與給予國內(nèi)產(chǎn)品優(yōu)惠待遇相聯(lián)系，很容易觸碰到違反國民待遇原則的高壓線。而貫徹《指導意見》時制定的具體技術(shù)法規(guī)又存在違反TBT協(xié)定第2.1條和TRIMs協(xié)定第2.1條的風險。盡管適用TBT協(xié)定第2.1條的門檻較之GATT1994第3.4條要高，但違反一個第3.4條就足以迫使相關(guān)部門修改甚至廢除違法規(guī)定和措施了。
(二)是否存在構(gòu)成“當?shù)爻煞忠?rdquo;的風險
美國就TRIMs協(xié)定《例示清單》第1條“當?shù)爻煞忠?rdquo;反復提出關(guān)切，可見“當?shù)爻煞忠?rdquo;已被美國視為打擊中國措施的突破口。在本文看來，爭議措施涉及“當?shù)爻煞忠?rdquo;的命門并不在看似更扎眼的“擁有自主知識產(chǎn)權(quán)”，而在于“可控”要求造成國內(nèi)來源產(chǎn)品的獨大地位。
如果一項措施僅要求國內(nèi)企業(yè)采購的產(chǎn)品中一定比例的部分是由內(nèi)資企業(yè)生產(chǎn)的，那該措施并不會屬于與貿(mào)易有關(guān)的投資措施，因為外國企業(yè)無論是向中國出口還是在中國境內(nèi)投資設廠，都不會符合“內(nèi)資企業(yè)生產(chǎn)”的要求，因此也就不會影響外國企業(yè)的投資決定。只有當該措施會影響外國企業(yè)在中國的投資行為時，才是與貿(mào)易有關(guān)的投資措施，才能適用《例示清單》第1條的規(guī)定。
正如本文在之前對“可控”含義的描述，外國企業(yè)的產(chǎn)品要想實現(xiàn)“可控”，需要對在華投資作出調(diào)整。首先為避免供應鏈風險中的技術(shù)、產(chǎn)品或服務供應渠道中斷，外國企業(yè)需要在華建立完整的從技術(shù)支持到售后服務的供應鏈。而為避免知識產(chǎn)權(quán)限制風險，最好的方法就是使中國企業(yè)也享有外國企業(yè)產(chǎn)品的知識產(chǎn)權(quán)，比如與外國企業(yè)在國內(nèi)設立合資公司共享知識產(chǎn)權(quán)。或者外國企業(yè)在華直接投資設立技術(shù)研發(fā)和服務中心，確保能夠為國內(nèi)銀行金融機構(gòu)及時解決各種問題。由此可見，“可控”要求將影響外國企業(yè)在華投資。包含“可控”要求的爭議措施也就構(gòu)成了與貿(mào)易有關(guān)的投資措施。
同時，“可控”要求避免因信息科技外包而產(chǎn)生的科技能力喪失、業(yè)務中斷、信息泄露等外包風險?？紤]到外國企業(yè)的經(jīng)營管理機構(gòu)和技術(shù)研發(fā)中心都在境外，外包風險自然比國內(nèi)企業(yè)要高。而且一旦發(fā)生信息泄露，造成的危害也遠大于國內(nèi)企業(yè)。因此，從控制外包風險的角度來看，選擇國內(nèi)企業(yè)也比外國企業(yè)風險要低。
綜合以上的分析，不難看出，為了符合“可控”的要求，外國企業(yè)不但要付出更多的成本，其產(chǎn)品的技術(shù)、供應鏈和外包風險也高于國內(nèi)產(chǎn)品。這就在客觀上促使國內(nèi)銀行為符合“可控”要求，更多地選擇國內(nèi)企業(yè)的產(chǎn)品。這就構(gòu)成了《例示清單》第1條所說：“為獲得一項‘利益’而必須遵守的措施”，而且該措施將在客觀上“要求企業(yè)購買或使用國產(chǎn)品”。
當然，由于經(jīng)過澄清后的《目錄》還沒有強制規(guī)定國內(nèi)銀行必須采用國內(nèi)企業(yè)的產(chǎn)品，所以是否真正構(gòu)成“當?shù)爻煞忠?rdquo;還有許多可抗辯的余地。但是根據(jù)《指導意見》的精神，將優(yōu)先應用安全可控信息技術(shù)，在實踐中演變?yōu)閮?yōu)先應用安全可控的“國產(chǎn)”信息技術(shù)的可能性還是存在的。這種演變不需通過擁有“自主知識產(chǎn)權(quán)”或使用“自主創(chuàng)新產(chǎn)品”來推動，而僅僅是為規(guī)避“不可控”風險本身就可以完成。一旦如此，構(gòu)成“當?shù)爻煞忠?rdquo;的風險就要大大增加了，這也是美國對此揪住不放的原因所在。
(三)是否存在違反TBT協(xié)定第2.2條的風險
根據(jù)第2.2條的規(guī)定，技術(shù)法規(guī)對于貿(mào)易是可以造成限制的，但不得超過為實現(xiàn)合法目標所必須的限度，同時考慮合法目標未能實現(xiàn)可能造成的風險。例如之前提到的“源代碼備案制”，作為一項在技術(shù)法規(guī)中規(guī)定的措施，其很可能對外國企業(yè)產(chǎn)品進入中國市場造成一定的障礙。但這種障礙的造成是迫不得已的，因為將源代碼備案可以有效地避免技術(shù)和供應鏈風險。但問題是采用源代碼備案制是否超過了實現(xiàn)合法目標所必須的限度？TBT協(xié)定第2.2條同時告訴我們在考慮限度問題時應考慮目標未能實現(xiàn)可能造成的風險。從“棱鏡門”事件暴露出的情況來看，世界各國存在的信息技術(shù)安全隱患是巨大的。而信息技術(shù)的高速發(fā)展，對信息系統(tǒng)的攻擊與防護技術(shù)也是相克相生，可謂魔高一尺道高一丈。因此目標未能實現(xiàn)的風險依然是不容忽視的?？傮w來說，TBT協(xié)定給予有關(guān)成員國較大的實施空間，原告承擔較重的舉證責任。因此要證明對貿(mào)易的限制超過為實現(xiàn)合法目標所必須的限度并非易事。
那么現(xiàn)在關(guān)鍵的問題就是，這個合法目標又是什么呢？通常來看，銀監(jiān)會可以考慮援引第2.2條中的合法目標應當是“國家安全要求”(確切地說是“國家金融安全要求”)。根據(jù)《銀行業(yè)監(jiān)管法》第四條的規(guī)定，“銀行業(yè)監(jiān)督管理的目標是促進銀行業(yè)的合法、穩(wěn)健運行，維護公眾對銀行業(yè)的信心”。因此，從字面上看銀監(jiān)會文件的目標是促進銀行業(yè)的安全穩(wěn)健。當然，銀行業(yè)的安全穩(wěn)健也是金融安全的重要組成部分。只是令人遺憾的是，《指導意見》多處提及自我創(chuàng)新。在總體目標中提出到2019年掌握銀行業(yè)信息化的核心知識和關(guān)鍵技術(shù)。而且還要求在技術(shù)選型中引入至少一家自主創(chuàng)新產(chǎn)品和技術(shù)。對提供設備或集成解決方案的供應商，要求其使用的軟硬件中至少各應用一項自主創(chuàng)新產(chǎn)品和技術(shù)。這些規(guī)定使得銀監(jiān)會看起來更像是一個渴望推動國內(nèi)行業(yè)進步的產(chǎn)業(yè)部門，而非監(jiān)管部門。使得銀監(jiān)會措施的目標與其說是維護金融安全，倒不如說更像是推動產(chǎn)業(yè)發(fā)展。這將為爭議措施在WTO規(guī)則框架下尋找一個合適的“合法目標”帶來了一定難度。
四、總結(jié)與展望
美國“棱鏡門”事件后，全球范圍內(nèi)信息安全形勢日益嚴峻，在此背景下，加強對于信息安全的管理，特別是金融領(lǐng)域也在意料之中。
在全球范圍內(nèi)，依靠自主力量，構(gòu)建信息技術(shù)安全體系是一種普遍作法。但自主力量不是憑空而來，一定是需要通過長期的日積月累，建設扶持，甚至需要依靠本國政府的幫助。為了能夠在短時間內(nèi)使本國信息技術(shù)迎頭趕上先進國家，擺脫對先進國家信息技術(shù)的依賴，本國政府往往會采取一些具有保護主義色彩的政策措施。這就為與WTO規(guī)則發(fā)生沖突埋下了伏筆。于是相關(guān)文件的出臺必須非常謹慎，否則將很容易授人以柄?？梢灶A見在未來較長一段時間里，保護本國信息技術(shù)安全與遵守WTO規(guī)則之間的矛盾將成為WTO爭端案件中新的熱點。
2014年國務院辦公廳印發(fā)《關(guān)于進一步加強貿(mào)易政策合規(guī)工作的通知》，因此，各級政府部門在制定相關(guān)政策時，應當進行WTO合規(guī)性評估。且應視情況征求商務部或者WTO專業(yè)律師的意見。而對企業(yè)而言，無論中國企業(yè)還是跨國公司，在擴大其市場準入時，亦有必要將WTO規(guī)則放到戰(zhàn)略位置，尋找WTO的法律意見也是其不可或缺的一環(huán)。（來源：北京大學金融法研究中心；文/姜麗勇 張博；編選：網(wǎng)經(jīng)社）
