中国银监会、中国人民银行关于加强商业银行与第三方支付机构合作业务管理的通知（2014年）

为切实保护商业银行客户信息安全，保障客户资金和银行账户安全，维护客户合法权益，加强商业银行与第三方支付机构合作业务管理，现就商业银行与第三方支付机构建立业务关联… 一、 商业银行应按照有关法律法规要求，做好客户信息安全与保密工作。商业银行与第三方支付机构合作开展各项业务，对涉及到的客户金融信息管理，应严格遵循有关法律法规和监管制… 二、 商业银行应对客户的技术风险承受能力进行评估，客户与第三方支付机构相关的账户关联、业务类型、交易限额等决策要求应与其技术风险承受能力相匹配。 三、 客户银行账户与第三方支付机构首次建立业务关联时，应经双重认证，即客户在通过第三方支付机构认证同时，还需通过商业银行的客户身份鉴别。账户所在银行应通过物理网点、电… 四、 商业银行通过电子渠道验证和辨别客户身份，应采用双（多）因素验证方式对客户身份进行鉴别，对不具备双（多）因素认证条件的客户，其任何账户不得与第三方支付机构建立业务… 五、 商业银行对账户与第三方支付机构建立业务关联的客户，应开通至少一种账户变动即时通知技术方式，不具备即时通知条件的客户，不得通过银行与第三方支付机构建立一次签约、多… 六、 商业银行应设立与客户技术风险承受能力相匹配的支付限额，包括单笔支付限额和日累计支付限额。 七、 商业银行应对客户通过第三方支付机构进行大额资金划转强化身份认证，确保由客户本人发出资金划转要求。商业银行在与第三方支付机构签订业务合作协议时，应就非商业银行直接… 八、 对预留手机号码且设定短信通知的客户，商业银行应在客户进行支付时对第三方支付机构提供的手机号码和银行预留的手机号码进行一致性检验，通过后方可进行支付。如果银行已按… 九、 商业银行应保留完整的支付信息，在相关法律法规规定的期限内妥善保管，并向客户提供第三方支付机构的签约查询和交易查询功能。 十、 商业银行应就大额支付、可疑支付即时通知客户。对开通短信或其他方式即时通知功能的客户，应就每一笔支付交易即时通知客户。通知信息中包含但不限于第三方支付机构名称、交… 十一、 商业银行应明确要求第三方支付机构不得在未经授权的情况下屏蔽本银行的支付界面与接口。 十二、 从银行账户划出的支付交易资金，遇到交易终止、失败应划回原银行账户。 十三、 商业银行接受客户申请，通过身份验证后，应当提供可以撤销客户账户与第三方支付机构业务合作关联的服务。 十四、 商业银行应将与第三方支付机构的合作业务纳入全行业务运营风险监测系统的监控范围，对其中的商户和客户在本行的账户资金活动情况进行实时监控，达到风险标准的应组织核查。… 十五、 商业银行应对客户通过第三方支付机构进行的交易建立自动化的交易监控机制和风险监控模型，及时发现和处置异常行为、套现或欺诈事件。 十六、 银行应做好数据和操作指令的整理和日志备份，便于事后检查和审计。银行与第三方支付机构合作开展的各项业务，凡涉及备付金存放和资金划转的，均应建立每日对账制度，严格执… 十七、 商业银行应采取技术措施保障来自第三方支付机构的传输数据（如客户数据、交易数据等）和操作指令（如支付指令、身份验证指令等）的完整性、一致性和不可抵赖性。对不具备对… 十八、 银行应构建安全的网络通道（如专线连接、VPN通道等），指定安全边界（如部署防火墙、DMZ隔离区等），防止第三方支付机构越界访问。 十九、 商业银行应按照本通知各项要求，做好相应的制度及合同修订工作。相关工作最迟应于2014年6月30日前完成。 二十、 其他银行业金融机构开展相关业务时，参照本通知执行。