《福建支付机构合规经营自律公约（2025版）》

《福建支付机构合规经营自律公约（2025版）》第一章总则本公约是福建省支付行业健康发展的基石，旨在建立高于法定底线的行业伦理与操作标准，通过成员单位的自我约束与相互监督，构建“合规创造价值、安全赢得信任”的市场生态。目的与依据为规范福建省支付服务市场秩序，防范支付风险，保护当事人合法权益，促进行业高质量发展，根据《中华人民共和国中国人民银行法》《非金融机构支付服务管理办法》《个人信息保护法》等法律法规及中国支付清算协会相关自律规范，结合福建省实际，制定本公约。适用范围本公约适用于福建省内依法取得支付业务许可证（含福建省外法人机构在闽设立的分公司）的支付机构，以及从事支付业务相关技术支持、外包服务的机构。所有成员单位（以下简称“成员”）必须签署并遵守本公约。基本原则合规底线原则：必须将合规经营置于首位，不得以牺牲合规性换取短期业务增长。风险为本原则：应当建立与业务规模、复杂程度相匹配的风险管理体系，实现风险早识别、早预警、早处置。诚实守信原则：必须向消费者和监管机构披露真实、准确、完整的信息，严禁欺诈、误导或隐瞒关键风险点。第二章业务合规与备付金管理业务合规与备付金管理是支付机构的生命线，直接关系到金融稳定与资金安全，任何环节的疏漏都可能引发系统性风险。业务范围与资质管控严禁超范围经营：必须严格对照《支付业务许可证》核准的业务类型（如网络支付、银行卡收单、预付卡受理与发行）和地域范围开展业务。风险演化：未经批准开展跨省业务或新增业务类型→触犯行政许可红线→面临监管处罚甚至吊销牌照风险。外包业务管理：收单机构拓展特约商户时，必须承担特约商户资质审核、资金结算、风险管理等主体责任，严禁将核心业务外包。替代方案：优先使用本地化服务团队；若必须外包，仅限非核心的推广活动，且必须签订《外包服务协议》并定期审计（每半年至少1次）。客户备付金存管全额集中存管：必须将所有客户备付金全额集中存管至人民银行或符合规定的商业银行，备付金账户资金划转必须经过人民银行指定的清算机构。日均备付金余额监测：应当建立备付金头寸预警机制。当备付金日均余额低于最近7日日均交易额的10%时，必须立即启动应急补足流程，并在2小时内向属地监管部门报告。严禁挪用占用：严禁以任何形式（如拆借、担保、虚增交易）挪用、占用客户备付金。后果：一经发现，将移交公安机关追究刑事责任，并报请人民银行吊销支付业务许可证。反洗钱与反恐怖融资（AML/CFT）客户身份识别（KYC）：自然人客户：必须登记并核实姓名、身份证件类型及号码、有效期限、联系方式、住所。对于金额超过5万元人民币的单笔交易，必须追加“受益所有人”识别。对公客户：必须核实营业执照、法定代表人/负责人身份信息，并识别受益所有人（最终持有25%以上股权或控制权的自然人）。持续识别：当客户风险等级发生变更、交易行为异常或证件过期时，必须在10个工作日内重新识别客户身份。大额与可疑交易报告：必须配置符合监管要求的反洗钱监测系统。对于单笔或当日累计交易金额人民币50万元以上（外币等值10万美元以上）的现金收支，必须提交大额交易报告。可疑交易报告必须包含“交易背景、资金来源、用途”等分析结论，严禁简单堆砌数据（如“资金快进快出，涉嫌洗钱”为无效报告）。名单监控：必须接入联合国安理会制裁名单、中国有关部门发布的恐怖组织及恐怖人员名单。系统命中名单时，必须立即冻结相关账户资金，并在24小时内向中国反洗钱监测分析中心报告。第三章数据安全与个人信息保护数据安全与个人信息保护不仅是法律义务，更是机构在数字经济时代的核心竞争力，任何数据泄露事件都将对品牌造成毁灭性打击。数据全生命周期管理收集（最小化）：收集个人信息必须遵循“最小够用”原则。例如，支付验证场景下，严禁强制收集与支付无关的通讯录、相册权限。存储（加密化）：敏感个人信息（如银行卡号、密码、CVV2、生物识别信息）在数据库中必须采用国密算法（如SM4）或AES-256标准加密存储。严禁明文留存客户支付密码。传输（安全化）：客户端与服务器端通信必须强制使用TLS1.3或TLS1.2协议，禁用SSLv2/v3及弱加密套件。销毁（不可复原）：不再使用的客户数据，必须进行逻辑删除或物理销毁（磁盘消磁、数据覆写），确保无法通过技术手段恢复。权限控制与访问审计最小权限原则：必须实施RBAC（基于角色的访问控制）。数据库管理员（DBA）严禁拥有业务数据查询权限，业务人员权限必须严格限定在“岗位必需”范围内。操作留痕：所有对敏感数据的查询、导出、修改操作，必须记录操作人、时间、IP地址、操作内容。日志保留时间不得少于5年，且必须保证日志的完整性和防篡改性。数据出境与外包管理数据出境安全评估：确需向境外提供个人信息的，必须通过国家网信部门的安全评估或进行标准合同备案。严禁通过私有云专线、VPN隧道等方式私自向境外传输未脱敏的业务数据。第三方数据合作：与征信机构、营销机构共享数据前，必须获得客户单独授权。合作协议中必须明确数据用途、保密义务及违约责任（违约金不低于合同总额的30%）。第四章消费者权益保护与反欺诈消费者权益保护与反欺诈工作的成效，直接决定了支付服务的市场信任度与可持续性，必须将消费者体验纳入绩效考核核心指标。信息披露与透明度费率公示：必须在官网、APP首页及业务办理界面显著位置公示服务收费项目、收费标准及计费规则。严禁在交易过程中隐性加价、搭售增值服务。协议清晰度：用户服务协议严禁使用“最终解释权归本机构所有”等霸王条款。涉及限制用户权利的条款，必须使用加粗、下划线或弹窗形式特别提示。投诉处理机制多渠道受理：必须提供7×24小时客服热线（接通率≥95%）、在线客服及投诉邮箱。分级响应时限：一般投诉（如咨询、操作疑问）：必须在24小时内首次回复，5个工作日内办结。重大投诉（涉及资金损失、服务中断）：必须在1小时内启动调查，48小时内给出处理方案。闭环管理：必须建立投诉台账，定期进行投诉回访（回访率≥30%），针对共性问题（如某款扫码设备故障率高）必须在1个月内完成系统或流程整改。反欺诈与风险赔付实时风控：必须部署设备指纹、行为画像等风控工具。对于高风险交易（如深夜大额转账、异地登录、更换设备），必须实施二次验证（如短信验证码、人脸识别）。先行赔付承诺：对于确因支付机构系统漏洞、安全措施不到位导致客户资金损失的，必须执行“先行赔付”原则，不得推诿塞责。赔付流程应在查清事实后的3个工作日内完成。防诈骗宣传：必须每月向客户推送不少于1次的安全提示（内容涵盖电信诈骗、钓鱼网站识别等），并在转账界面强制展示“防诈骗提醒弹窗”。第五章行业协作与公平竞争行业协作与公平竞争旨在打破信息孤岛，构建良性互动的产业生态，共同抵制恶意竞争和违法违规行为。黑名单共享机制风险信息共享：成员单位应当加入行业风险信息共享平台。对于发现的恶意套现、欺诈商户、违规外包商，必须在核实后48小时内上报平台，实现“一处违规，处处受限”。数据标准化：共享数据应包含主体名称、统一社会信用代码、违规类型、处罚时间等核心字段，确保数据可机读、可校验。禁止不正当竞争费率自律：银行卡收单业务中，严禁采用“零费率”、“负费率”或变相返现等方式进行恶性价格竞争。线下扫码支付标准类商户费率建议不低于0.6%。互不诋毁：严禁在营销宣传中诋毁同业机构、贬低竞争对手的支付产品或服务。“二清”禁止：严禁为无证机构提供支付通道（即“二清”）。如发现合作商户涉嫌“二清”，必须立即终止合作，并留存证据上报监管部门。第六章自律管理与执行自律管理与执行机制确保公约从“纸面承诺”转化为“行动自觉”，通过奖惩分明的措施维护公约的严肃性。公约签署与公开成员单位主要负责人（法定代表人或总经理）必须签署《自律公约承诺书》，并在公司内部公示，接受员工监督。自律检查年度自查：成员单位每年1月31日前须完成上一年度合规经营自查，并形成《年度合规自查报告》留存备查。抽查与互查：福建省支付清算协会（或相关自律组织）将不定期组织专项检查。对于风险高发的业务领域（如预付卡发行、跨境支付），实施“飞行检查”（不预先通知）。违规处理警示整改：对于违反本公约情节轻微者，由自律组织发出《违规警示函》，责令限期（15个工作日内）整改。内部通报：对于未按期整改或违规情节较重者，在行业范围内进行通报批评，并取消其当年评优资格。公开谴责与移交：对于严重违规（如涉及洗钱、重大数据泄露、挪用备付金）者，实施公开谴责；涉及违法犯罪的，移交司法机关或中国人民银行处理。第七章附则附则条款用于明确公约的生效程序与解释权限，确保法律逻辑的闭环。解释权：本公约由福建省支付清算协会（或指定牵头机构）负责解释。生效日期：本公约自2025年1月1日起生效。原相关公约与本公约不一致的，以本公约为准。附录A：支付机构反洗钱风险自评表（样表）评估维度评估指标评分标准（1-10分）评估结果备注客户尽职调查身份证件核验率100%得10分，每降1%扣1分[]需提供系统截图客户尽职调查受益所有人识别率对公客户100%识别得10分[]抽查近3个月开户数据交易监测大额交易报告及时率T+1日报送得10分[]查看报送日志交易控制高风险交易拦截率模型命中率≥5%得10分[]需提供模型参数配置内部管理反洗钱培训覆盖率全员覆盖得10分[]附培训签到表附录B：数据安全事件应急响应SOP（关键步骤）发现与报告（T+0）监控系统发出告警或人工发现异常。发现人必须在15分钟内通知安全负责人。安全负责人初步判断等级（一般/较大/重大），30分钟内上报公司应急领导小组。抑制与控制（T+1小时）物理隔离：立即断开受影响服务器的外网连接，拔除网线或禁用网卡。账号冻结：冻结可疑的管理员账号及数据库访问账号。快照保全：对受影响系统进行内存镜像和磁盘快照，确保证据不被覆盖。根除与恢复（T+24小时）清除恶意代码、后门文件。修补漏洞（如Webshell上传漏洞、SQL注入点）。从干净的备份中恢复数据和业务系统。通报与整改根据监管要求，事件发生后24小时内填写《金融信息安全事故报