聚合支付企业的合规要点分析

目前，尚无法律或行政法规层面的法律规范对于“聚合支付”进行定义。2017年2月21日，中国人民银行（“央行”）发布《中国人民银行关于持续提升收单服务水平 规范和促进收单服务市场发展的指导意见》（文号：银发〔2017〕45号）（“45号文”）。45号文第一条第（二）项中，对 “聚合支付”含义的解释为：“收单机构运用安全、有效的技术手段，集成银行卡支付和基于近场通信、远程通信、图像识别等技术的互联网、移动支付方式，对采用不同交互方式、具有不同支付功能或者对应不同支付服务品牌的多个支付渠道统一实施系统对接和技术整合，并为特约商户提供一点接入和一站式资金结算、对账服务”。

虽然45号文的法律位阶较低，但由于央行系支付业务主管机关，其对“聚合支付”含义的解释有较高参考意义。

在聚合支付的过程中，网络支付、银行卡收单业务中涉及的资金结算服务由收单机构提供。除了提供资金结算服务的收单机构，还有为收单机构提供技术服务的聚合技术服务商。二者所提供的服务分属不同的法律关系。聚合支付企业需要找准自己的定位。

根据中国人民银行于2013年7月5日发布并实施的《银行卡收单业务管理办法》第三条，收单机构“包括从事银行卡收单业务的银行业金融机构，获得银行卡收单业务许可、为实体特约商户提供银行卡受理并完成资金结算服务的支付机构，以及获得网络支付业务许可、为网络特约商户提供银行卡受理并完成资金结算服务的支付机构。”而根据央行于2010年6月14日公布并于2010年9月1日起施行的《非金融机构支付服务管理办法》（文号：中国人民银行令〔2010〕第2号）（“《非金支付办法》”）第三条规定：“非金融机构提供支付服务，应当依据本办法规定取得《支付业务许可证》，成为支付机构。”《非金支付办法》第二条规定的非金融机构支付服务范围中，即包括有网络支付和银行卡收单。

若聚合支付企业实际从事资金结算服务，则属于收单机构。而作为非金融机构的聚合支付企业，如果要作为收单机构的，必须取得支付业务许可证。

若聚合支付企业仅为收单机构提供聚合技术服务，则应定位于收单机构的外包服务机构。目前市场上现有的大部分聚合支付企业均属于收单外包服务机构。

1. 收单外包服务机构的定义

根据中国支付清算协会（“协会”）于2020年8月27日发布的《收单外包服务机构备案管理办法（试行）》（“《管理办法》”）的规定，收单外包服务机构是指经市场监督管理机构或国家有权机关批准成立，接受收单机构委托，承办收单非核心业务并提供相应服务的企业等合法设立的机构。已开展或拟开展业务的收单外包服务机构应按照管理办法的规定向协会申请备案。

2. 基本条件

根据协会于2015年12月7日印发的《银行卡收单外包业务自律规范》（通知文号：中支协发〔2015〕76号）（“《自律规范》”）第十二条，“收单机构选择合作的外包服务机构应具备以下基本条件:（一）持有工商行政管理部门核准的营业执照，机构名称、经营场地必须与营业执照一致；（二）注册资本满足业务开展基本要求；（三）具有健全的组织架构、内控制度、反洗钱制度、业务和风险管理制度、信息安全及保密管理机制、业务运行应急预案、完善的服务体系和服务支持能力等；（四）外包服务机构至少应有2名以上熟悉银行卡收单业务的高级管理人员，具有从事经济、金融、会计、计算机、电子通信或信息安全行业工作经验，且具备与外包业务规模相匹配的人员队伍；高级管理人员，包括总经理、副总经理、财务负责人、技术负责人或实际履行上述职责的人员。（五）有良好的商业信誉，财务制度健全，经营状况良好，无重大违纪违规记录；（六）不在银行卡清算机构或协会公示的外包服务机构黑名单内。”

3. 服务范围

根据45号文、《自律规范》和《中国人民银行关于加强银行卡收单业务外包管理的通知》（文号：银发〔2015〕199号）的相关规定，聚合技术服务商不得办理专属于收单机构的业务，包括特约商户资质审核、受理协议签订、资金结算、收单业务交易处理、风险监测、受理终端（网络支付接口）主密钥生成和管理、差错和争议处理工作等；严禁聚合技术服务商以任何形式截留特约商户结算资金，从事或者变相从事特约商户资金结算业务；严禁聚合支付技术服务商进行业务转让或转包。

对于大部分作为聚合技术服务商且未取得支付业务许可证的企业，合规的红线是严禁从事需要支付业务许可证的业务。

央行于2017年11月13日发布《中国人民银行办公厅关于进一步加强无证经营支付业务整治工作的通知中》（文号：银办发〔2017〕217号） 。该通知附件1第二条明确了无证经营支付业务主要认定标准如下：“（一）银行卡收单业务。1.以平台对接或“大商户”模式接入持证机构，留存商户结算资金，并自行开展商户资金清算，即所谓“二清”行为。2.从事其他收单核心业务，重点关注特约商户资质审核、受理协议签订等业务活动。（二）网络支付业务。1.采取平台对接或“大商户”模式，即客户资金先划转至网络平台账户，再由网络平台结算给该平台二级商户。2.为客户开立的账户或提供的电子钱包等具有充值、消费、提现等支付功能。”

若无证经营支付业务，将面临行政处罚甚至被追究刑事责任。

根据《非金支付办法》、《银行卡收单业务管理办法》及《自律规范》的相关规定，首先，收单机构具有反洗钱义务和商户资质审核义务；其次，收单机构将包括商户信息提供、协助收单机构开展商户调查及商户资料的收集、整理与提交在内的实体商户推荐业务外包给外包服务机构是合法的；第三，收单机构在与外包服务机构的外包协议内容中应当确保“现场核实推荐商户、提交商户申请资料真实、有效”。

因此，若在收单机构与外包服务机构的外包协议中，收单机构要求外包服务机构协助其开展商户调查、收集商户信息并将其整理提供给收单机构进行审核、记录、更新等工作，属于合法有效的约定，外包服务机构应当履行相应合同义务。

另外，外包服务机构在向收单机构推荐商户的过程中，应当向收单机构提交准确、真实的商户资料。推荐商户经收单机构审核通过后，方可与收单机构签约成为特约商户。

聚合支付业务中涉及大量的技术服务，聚合支付企业需要注意技术合规问题，包括但不限于相关的技术规范。

根据45号文的规定，外包服务机构的系统和产品应符合《非金融机构支付业务设施技术要求》、《网络支付报文结构及要素技术规范（V1．0）》等技术要求，并配合收单机构进行技术合规。

若从事的聚合支付技术服务涉及条码支付业务，还应当遵守央行于2017年12月25日印发并于2018年4月1日生效的《条码支付业务规范（试行）》（通知文号：银发〔2017〕296号）、以及2017年12月22日印发并生效的《条码支付安全技术规范(试行)》、《条码支付受理终端技术规范(试行)》（通知文号：银发〔2017〕242号）等规范，在提供扫码支付受理终端（含扫码设备、显码设备等）相关的技术服务时，积极配合收单机构强化条码支付技术风险防范，规范条码支付交易报文管理。

聚合支付企业在开展业务过程中，难免涉及处理个人信息、个人金融信息等数据。因此，数据合规和个人信息保护也是聚合支付业务中需要关注的重要问题之一。

根据《银行业收单业务管理办法》及《自律规范》，外包服务机构禁止存储客户银行卡密码、有效期、卡片验证码、磁道或芯片信息等敏感信息。聚合支付企业在与特约商户及上下游业务伙伴合作过程中，应当根据2017年6月1日生效的《网络安全法》等法律法规相关规定，合法获取、使用或共享消费者个人信息。若未满足数据合规要求的，将可能承担《网络安全法》下的行政责任和侵犯个人信息权利的民事责任，情节严重的可能还会被追究刑事责任。

声明

本文旨在法规之一般性分析研究或信息分享，不构成对具体法律的分析研究和判断的任何成果，亦不作为对读者提供的任何建议或提供建议的任何基础。作者在此明确声明不对任何依据本文采取的任何作为或不作为承担责任。如需转载或引用本文的任何内容，请联系作者(fanxiaojuan@zhonglun); 未经作者同意，不得转载或引用本文的任何内容。