央行規範條碼支付：實行限額管理 不得燒錢補貼搶市場
用支付寶、微信等應用掃碼付款，將正式迎來額度限制。
12月27日，中國人民銀行官網發佈了《中國人民銀行關於印發<條碼支付業務規範（試行）>的通知》（銀髮〔2017〕296號），配套印發相關技術規範，從額度、風險防範等多個角度進行了管理，自2018年4月1日起實施。
條碼支付業務包括了付款掃碼和收款掃碼，也就是説，無論是你掃商家的條碼，還是商家掃你手機上生成的二維碼，都屬於本次央行監管的條碼支付業務範疇。
與已經實施的網絡支付新規一樣，在掃碼支付的限額上，央行這次總共劃定了4個檔次：500元、1000元、5000元、還有不限額，劃分的依據則是風險防範能力。
2017年9月6日，青島，掃碼支付的市民 @視覺中國
央行在答記者問中強調，不能單純追求無底線的創新，更不能採取“燒錢”“補貼”等不當競爭手段搶佔市場份額。
據瞭解，早在去年8月，央行就已經指導中國支付清算協會制定二維碼支付業務規範，並向會員機構徵求意見。
條碼支付業務規範漫畫解讀（圖自@央行微播）：
以下為通知全文：
中國人民銀行關於印發《條碼支付業務規範（試行）》的通知
銀髮〔2017〕296號
中國人民銀行上海總部，各分行、營業管理部，各省會（首府）城市中心支行，各副省級城市中心支行；各國有商業銀行、股份制商業銀行，中國郵政儲蓄銀行；各非銀行支付機構；中國銀聯股份有限公司，中國支付清算協會，網聯清算有限公司：
為規範條碼支付業務，保護消費者合法權益，維護市場公平競爭環境，促進移動支付業務健康可持續發展，現將《條碼支付業務規範（試行）》（附件）印發給你們，並將有關工作要求通知如下，請一併遵照執行。
一、嚴格遵循業務資質及清算管理要求
非銀行支付機構（以下簡稱支付機構）向客户提供基於條碼技術的付款服務的，應當取得網絡支付業務許可；支付機構為實體特約商户和網絡特約商户提供條碼支付收單服務的，應當分別取得銀行卡收單業務許可和網絡支付業務許可。
銀行業金融機構（以下簡稱銀行）、支付機構開展條碼支付業務涉及跨行交易時，應當通過人民銀行跨行清算系統或者具備合法資質的清算機構處理。自本通知發佈之日起，銀行、支付機構不得新增不同法人機構間直連處理條碼支付業務；存量業務應按照人民銀行有關規定加快遷移到合法清算機構處理。
二、規範條碼支付收單業務管理
條碼支付收單業務，是指收單機構與特約商户簽訂受理協議，在特約商户按約定受理基於條碼技術的支付方式並與付款人達成交易後，為特約商户提供交易資金結算服務的行為。銀行和支付機構在為特約商户提供條碼支付收單服務時，應執行《銀行卡收單業務管理辦法》（中國人民銀行公告〔2013〕第9號公佈）、《中國人民銀行關於加強銀行卡收單業務外包管理的通知》（銀髮〔2015〕199號）等規定。銀行、支付機構應當加強條碼支付收單業務管理，嚴格遵守商户實名制、商户風險評級、交易風險監測等基本規定。為實體特約商户提供收單服務，應履行本地化經營、商户定期巡檢責任；為網絡特約商户提供收單服務，應強化對網絡支付接口的使用管理和交易監測，採取有效的檢查措施和技術手段對其經營內容和交易情況進行檢查。銀行、支付機構與外包服務機構開展條碼支付業務合作的，應明確外包服務機構定位，加強管理，防範業務風險。
三、發揮行業自律作用
銀行、支付機構從事條碼支付業務，應接受中國支付清算協會行業自律管理。中國支付清算協會應將條碼支付特約商户納入協會特約商户信息管理系統管理；對條碼支付外包服務機構，一併納入中國支付清算協會銀行卡收單外包服務機構評級體系管理。對被實名舉報涉嫌違法違規開展條碼支付業務的，中國支付清算協會應按照《支付結算違法違規行為舉報獎勵辦法》（中國人民銀行公告〔2016〕第7號公佈）及其實施細則的相關要求進行處理。
四、加大監督檢查力度
已開展條碼支付業務的銀行、支付機構應當全面梳理自身條碼支付業務情況（含境內、跨境、境外業務）並形成報告，包括但不限於按年度統計的業務量、產品介紹、業務流程、技術方案、風險管理機制、境內外機構合作情況、資金清算模式、收費標準及利潤分配機制、客户權益保護措施、外包服務機構信息及外包範圍、以及根據本通知進行自查的情況及整改方案等。2018年1月31日前，全國性銀行將報告報送人民銀行總行，其他銀行和支付機構將報告報送法人所在地人民銀行分支機構。
銀行、支付機構和清算機構開展條碼支付業務創新，拓展跨境、境外條碼支付業務的，應當至少提前30日向人民銀行總行或法人所在地人民銀行分支機構報告。
人民銀行分支機構依法對轄區內銀行、支付機構條碼支付業務進行監督管理，加大檢查力度，對違規行為應按照《非金融機構支付服務管理辦法》（中國人民銀行令〔2010〕第2號發佈）、《銀行卡收單業務管理辦法》、《非銀行支付機構網絡支付業務管理辦法》（中國人民銀行公告〔2015〕第43號公佈）等相關規定予以處理；對情節嚴重的，依照《中華人民共和國中國人民銀行法》第四十六條規定予以處罰。
請人民銀行分支機構將本通知轉發至轄區內城市商業銀行、農村商業銀行、農村合作銀行、農村信用社、村鎮銀行、外資銀行。
中國人民銀行
2017年12月25日
人民銀行有關負責人答記者問
問：通知和規範出台的背景是什麼？
答：條碼支付具有支付便捷、應用門檻低的優勢，在推動普惠金融和優化我國非現金支付環境建設方面能夠發揮積極作用。對創新支付的監管，人民銀行一貫秉承“鼓勵創新，防範風險”並重的原則。自本世紀初，國內外各市場主體開始嘗試將條碼技術運用於移動支付領域，以提升支付便捷性和用户體驗。為鼓勵市場機構業務創新，2011年，人民銀行同意部分非銀行支付機構(以下簡稱支付機構)在限定場景內試點開展條碼支付業務，審慎地將條碼定位於銀行卡支付的補充，並提出嚴格的風險管理要求。2014年，在未建立有效安全措施、統一的業務規則和消費者權益保護制度的背景下，部分支付機構採取持續補貼的方式廣泛推廣條碼支付業務，人民銀行對其採取了暫停線下條碼支付業務的監管措施。隨着近年來支付標記化(Tokenization)等技術在移動支付中的廣泛應用，客觀上提高了條碼支付的安全標準。但是，囿於缺乏統一的業務規範和技術標準，在條碼生成機制和傳輸過程中仍存在風險隱患，也引發了支付安全的風險案件，市場機構在業務推廣過程中還存在不正當競爭等現象。
為貫徹落實黨的十九大和第五次全國金融工作會議精神，鼓勵並規範金融創新，促進條碼支付健康可持續發展，人民銀行指導中國支付清算協會組織會員單位、專家學者進行研究論證，研究制定了條碼支付業務規範和技術規範，並通過書面徵求意見、召開專題會議等形式充分聽取各方意見建議並修改完善，實現了監管與市場的順暢溝通和有效互動，達成了高度共識。
問：條碼支付業務發展中存在哪些主要問題？
答：一是條碼支付在降低商户准入門檻的同時，加劇收單市場亂象。由於條碼支付設備成本低於傳統的銀行卡受理終端，還可通過張貼靜態條碼實現收付款業務，能夠滿足小微商户的非現金支付受理需求，與銀行卡收單互為補充，提升社會整體支付服務水平。但是，部分市場機構利用條碼可遠程發送、不受專業受理終端限制的特點，在商户拓展過程中未履行“瞭解你的客户”義務，通過“一證下機”等方式違規發展商户，加劇了套現、二清、外包管理不到位等收單亂象，存在各類安全隱患，對市場可持續發展造成較大的危害。
二是條碼支付在促進移動支付普及發展的同時，出現擾亂市場公平競爭秩序的現象。近年來，條碼支付在小額、便民支付領域市場份額持續增加，促進了移動支付的快發展和普惠金融的廣覆蓋。但是，部分市場機構在開展條碼支付業務時，在定價和市場推廣策略中採取傾銷、交叉補貼等不正當競爭手段，濫用本機構及關聯企業的市場優勢地位，排除、限制支付服務競爭，導致支付行業無序發展和不公平競爭，擾亂市場秩序。
三是條碼支付藉助開放互聯網和非專業設備進行交易處理，帶來一定的技術風險。包括：可視化風險，條碼在開放互聯網環境下以圖形化方式進行展示，不法分子可通過截屏、偷拍等手段盜取支付憑證，在支付憑證有效期內盜用資金;易攜帶惡意代碼的風險，條碼不僅可存儲支付要素，也可攜帶非法鏈接或程序代碼，不法分子可將木馬病毒、釣魚網站鏈接製成條碼，誘導客户掃描，竊取支付敏感信息;信息單向交互風險，條碼支付只能實現發起方或接收方的單向信息交互，不法分子可利用該弱點實施“中間人攻擊”，繞過身份認證機制，造成用户資金損失;掃碼設備安全強度低的風險，條碼支付對設備要求低，普通的手機攝像頭、超市簡易的收銀機掃描槍等不具備加密、防拆機等安全功能的設備均可識別條碼，易被不法分子非法改裝使用。
問：業務規範方面有哪些主要措施？
答：一是強調業務資質要求。明確支付機構向客户提供基於條碼的付款服務時，應取得網絡支付業務許可;支付機構為實體特約商户和網絡特約商户提供條碼支付收單服務的，應當分別取得銀行卡收單業務許可和網絡支付業務許可。
二是重申清算管理要求。針對部分支付機構與多家銀行業金融機構(以下簡稱銀行)或支付機構直連進行商户拓展，進一步強化了支付機構與銀行多頭直連的現象，明確要求銀行、支付機構開展條碼支付業務涉及跨行交易時，應當通過人民銀行跨行清算系統或者具備合法資質的清算機構處理。
三是要求維護市場公平競爭秩序。市場機構不得以任何形式詆譭其他市場主體的商業信譽，不得采用不正當競爭手段損害其他市場主體利益、排擠競爭對手，破壞市場公平競爭秩序。
四是規範條碼生成和受理。提出交易驗證方式、交易限額管理、信息管理和安全防護，靜態條碼應用管理、綜合應用支付標記化技術等措施，保障條碼支付業務的安全性。
五是加強商户管理和風險管理。從特約商户資質審核、受理協議簽訂、商户風險評級、商户檢查，以及交易風險監測，客户安全教育等方面提出要求，強化業務風險管理。
問：針對條碼支付技術風險，提出了哪些針對性要求？
答：一是加強條碼安全防護。採取支付標記化(Tokenization)、有效期控制、條碼防偽識別等手段，提升條碼生成、存儲、展示、識讀、解析、使用等環節的安全防護能力，有效保障條碼的可靠性和有效性。
二是提升條碼支付交易安全強度。針對不同條碼生成方式，提出加密生成、定期更新、終端唯一標識綁定等具有針對性的安全防護措施。要求銀行、支付機構和清算機構運用交易驗證強度與交易額度相匹配的技術措施提高條碼支付交易的安全性。
三是強化條碼支付交易風險監測與預警。合理應用大數據分析、用户行為建模等手段建立條碼支付風險監控模型和系統，對異常交易及時預警並附加風控措施，對高風險交易及時告知客户資金變化情況。
四是加強客户端軟件安全管理。從木馬病毒防範、信息加密保護、運行環境可信等方面提升條碼支付客户端軟件的安全防護能力，要求客户端軟件能夠監測並向後台系統反饋手機支付環境安全狀況並作為風控策略的依據。
問：針對條碼支付的業務規範要求和安全管理措施是否會制約支付創新發展？
答：支付服務屬於金融服務，與社會經濟運行和百姓日常生活密切相關，支付安全關乎人民羣眾財產安全和合法權益，穩健經營關乎產業的健康可持續發展。便捷的使用方式、良好的用户體驗是支付創新的生命力，但不能單純追求無底線的創新;穩定、可持續的投入和運營是支付業務長遠發展的保障，不能為了追求短期的市場份額，採取“燒錢”“補貼”等不當競爭手段。通知和規範旨在指導相關單位正確處理安全與發展的關係，在嚴守安全底線的基礎上開展支付創新，維護公平競爭的市場環境，促進行業健康可持續發展，為人民羣眾提供安全便利的金融服務。通知和規範提出的業務規範要求和安全管理措施非但不會制約支付創新發展，反而能夠指引支付業務創新沿着安全規範的方向發展，確保創新業務的質量和效能，保障行業發展的穩健和長遠。
問：業務規範和技術要求如何落地實施？
答：業務規範的落地實施要通過構建企業自我管理、行業組織自律、主管部門監管、社會全面監督多位一體的管理體系，保障各項要求落實到位。已開展業務的銀行業金融機構、支付機構應當全面梳理自身條碼支付業務情況，根據規範要求進行自查和整改。開展條碼支付業務創新的，應當履行提前報告義務。銀行、支付機構從事條碼支付業務，應接受中國支付清算協會行業自律管理，並充分發揮違法違規舉報獎勵機制的作用，淨化市場發展環境。人民銀行分支機構依法對轄區內銀行、支付機構條碼支付業務進行監督管理，加大檢查力度，對違規行為，應依法嚴肅處理。
技術規範的落地實施需要從產品質量管理、入網管理、專項檢查、安全評估等方面多管齊下，切實提升條碼支付技術風險防控能力。銀行、支付機構要嚴格落實技術規範提出的各項要求，強化條碼支付產品安全管理，健全條碼支付風險防控機制，使用符合國家標準及金融行業標準的產品，確保相關業務系統、受理終端等的技術標準符合性。清算機構要強化受理終端入網管理，完善終端定期抽檢機制，加強終端抽樣檢測力度。人民銀行分支機構要定期對條碼支付相關業務系統、受理終端等組織開展專項抽查，強化條碼支付技術管理。
問：對條碼支付交易報文管理提出了哪些針對性的要求？
答：一是採用數字簽名、加密傳輸等措施，加強支付指令真實性。二是在交易報文中準確記錄發起方、接收方、網絡路由、唯一交易流水號等關鍵信息，保障交易可追溯性和一致性。三是完善商户、渠道、訂單等交易信息，精準刻畫交易全貌，確保支付指令完整性。
問：對於普遍使用的靜態條碼，提出了哪些針對性的風險防控措施？
答：靜態條碼易被篡改或變造，易攜帶木馬或病毒，真偽難辨，導致支付風險較高。因此，提出了一系列防範靜態條碼風險的措施：一是要求靜態條碼應由後台服務器加密生成，宜採用防偽紙張展示條碼，防偽紙張應具備一定防偽特徵。二是要求展示靜態條碼的介質應放置在商户收銀員視線範圍內，商户應定期對介質進行檢查。三是要求靜態條碼採用防護罩等物理防護手段避免被覆蓋或替換，宜使用防偽標籤對防護罩進行標記。四是要求在靜態條碼介質顯著位置明顯展示收款方信息，便於用户核對。五是通過風險防範能力分級管理，進一步規範使用靜態條碼，並鼓勵使用風險防範能力較高的收款掃碼方式。
問：對消費者使用條碼支付付款的交易限額管理是如何統籌考慮的？
答：條碼支付與傳統銀行卡等支付工具相比在交易安全性上存在一定不足，人民銀行堅持條碼支付小額、便民的定位，對條碼支付風險防範能力進行分級。發行條碼的銀行、支付機構應根據風險防範能力等級，在確保風險可控和儘量滿足用户需求的前提下科學合理設置相匹配的日累計交易限額。
使用靜態條碼進行支付的，風險防範能力為D級，無論使用何種交易驗證方式，同一客户單個銀行賬户或所有支付賬户、快捷支付單日累計交易金額應不超過500元。
為引導銀行、支付機構提高交易驗證方式的安全性，加強客户資金安全保護，對於風險防範能力高、交易驗證方式更為安全的，不設定額度上限，市場主體可與客户自行約定交易限額。基於防替換、防盜刷等安全因素角度考慮，要求銀行、支付機構使用靜態條碼支付時要執行更加嚴格的限額管理措施，以鼓勵市場主體採用更為安全的動態條碼提供支付服務。依據主要市場機構條碼支付交易數據顯示，上述額度已覆蓋絕大部分使用條碼支付付款客户及商户的需求。
問：對特約商户受理條碼支付進行收款都有哪些具體要求？
答：加強對條碼支付特約商户管理的目的在於排除風險商户，防範和遏制不法分子利用條碼支付業務隱藏木馬病毒、進行洗錢、欺詐等犯罪活動，更好地維護條碼支付業務參與各方的合法權益。考慮到條碼支付業務涉及銀行賬户和支付賬户，且可應用於網絡特約商户和實體特約商户，為保持監管制度和標準的一致性，我們遵循銀行卡收單業務管理的相關要求，從條碼支付特約商户拓展、特約商户審批、特約商户信息留存及管理、黑名單管理、實體商户屬地化管理、外包業務管理等方面明確了具體的管理要求。同時，為了兼顧小微商户受理條碼支付的需求，促進普惠金融發展，明確在符合相關資質審核和認定的前提下，小微商户可以受理條碼支付;同時，為了防範套現等交易風險，對以同一個身份證件在同一家收單機構辦理的全部小微商户基於信用卡的條碼支付收款金額日累計不超過1000元、月累計不超過1萬元，但受理基於借記卡的條碼支付不受收款額度的限制。