商业银行互联网贷款管理暂行办法（2020年）

第一章 总则

第一条 为规范商业银行互联网贷款业务经营行为，促进互联网贷款业务健康发展，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本办法。 第二条 中华人民共和国境内依法设立的商业银行经营互联网贷款业务，应遵守本办法。 第三条 本办法所称互联网贷款，是指商业银行运用互联网和移动通信等信息通信技术，基于风险数据和风险模型进行交叉验证和风险管理，线上自动受理贷款申请及开展风险评估，并完成授… 第四条 本办法所称风险数据，是指商业银行在对借款人进行身份确认，以及贷款风险识别、分析、评价、监测、预警和处置等环节收集、使用的各类内外部数据。 第五条 下列贷款不适用本办法： 第六条 互联网贷款应当遵循小额、短期、高效和风险可控的原则。 第七条 商业银行应当根据其市场定位和发展战略，制定符合自身特点的互联网贷款业务规划。涉及合作机构的，应当明确合作方式。 第八条 商业银行应当对互联网贷款业务实行统一管理，将互联网贷款业务纳入全面风险管理体系，建立健全适应互联网贷款业务特点的风险治理架构、风险管理政策和程序、内部控制和审计… 第九条 地方法人银行开展互联网贷款业务，应主要服务于当地客户，审慎开展跨注册地辖区业务，有效识别和监测跨注册地辖区业务开展情况。无实体经营网点，业务主要在线上开展，且符… 第十条 商业银行应当建立健全借款人权益保护机制，完善消费者权益保护内部考核体系，切实承担借款人数据保护的主体责任，加强借款人隐私数据保护，构建安全有效的业务咨询和投诉处… 第十一条 中国银行保险监督管理委员会及其派出机构（以下简称银行业监督管理机构）依照本办法对商业银行互联网贷款业务实施监督管理。

第二章 风险管理体系

第十二条 商业银行应当建立健全互联网贷款风险治理架构，明确董事会和高级管理层对互联网贷款风险管理的职责，建立考核和问责机制。 第十三条 商业银行董事会承担互联网贷款风险管理的最终责任，应当履行以下职责： 第十四条 商业银行高级管理层应当履行以下职责： 第十五条 商业银行应当确保具有足够的资源，独立、有效开展互联网贷款风险管理，确保董事会和高级管理层能及时知悉风险状况，准确理解风险数据和风险模型的作用与局限。 第十六条 商业银行互联网贷款风险管理制度应当涵盖营销、调查、授信、签约、放款、支付、跟踪、收回等贷款业务全流程。 第十七条 商业银行应当通过合法渠道和方式获取目标客户数据，开展贷款营销，并充分评估目标客户的资金需求、还款意愿和还款能力。商业银行应当在贷款申请流程中，加入强制阅读贷款合… 第十八条 商业银行应当按照反洗钱和反恐怖融资等要求，通过构建身份认证模型，采取联网核查、生物识别等有效措施识别客户，线上对借款人的身份数据、借款意愿进行核验并留存，确保借… 第十九条 商业银行应当建立有效的反欺诈机制，实时监测欺诈行为，定期分析欺诈风险变化情况，不断完善反欺诈的模型审核规则和相关技术手段，防范冒充他人身份、恶意骗取银行贷款的行… 第二十条 商业银行应当在获得授权后查询借款人的征信信息，通过合法渠道和手段线上收集、查询和验证借款人相关定性和定量信息，可以包括但不限于税务、社会保险基金、住房公积金等信… 第二十一条 商业银行应当构建有效的风险评估、授信审批和风险定价模型，加强统一授信管理，运用风险数据，结合借款人已有债务情况，审慎评估借款人还款能力，确定借款人信用等级和授信… 第二十二条 商业银行应当建立人工复核验证机制，作为对风险模型自动审批的必要补充。商业银行应当明确人工复核验证的触发条件，合理设置人工复核验证的操作规程。 第二十三条 商业银行应当与借款人及其他当事人采用数据电文形式签订借款合同及其他文书。借款合同及其他文书应当符合《中华人民共和国合同法》、《中华人民共和国电子签名法》等法律法… 第二十四条 商业银行应当与借款人约定明确、合法的贷款用途。贷款资金不得用于以下事项： 第二十五条 商业银行应当按照相关法律法规的要求，储存、传递、归档以数据电文形式签订的借款合同、信贷流程关键环节和节点的数据。已签订的借款合同及相关数据应可供借款人随时调取查… 第二十六条 授信与首笔贷款发放时间间隔超过1个月的，商业银行应当在贷款发放前对借款人信用状况进行再评估，根据借款人特征、贷款金额，确定跟踪其信贷记录的频率，以保证及时获取其… 第二十七条 商业银行应当按照借款合同约定，对贷款资金的支付进行管理与控制，贷款支付应由具有合法支付业务资质的机构执行。商业银行应加强对支付账户的监测和对账管理，发现风险隐患… 第二十八条 商业银行应遵守《个人贷款管理暂行办法》和《流动资金贷款管理暂行办法》的受托支付管理规定，同时根据自身风险管理水平、互联网贷款的规模和结构、应用场景、增信手段等确… 第二十九条 商业银行应当通过建立风险监测预警模型，对借款人财务、信用、经营等情况进行监测，设置合理的预警指标与预警触发条件，及时发出预警信号，必要时应通过人工核查作为补充手… 第三十条 商业银行应当采取适当方式对贷款用途进行监测，发现借款人违反法律法规或未按照约定用途使用贷款资金的，应当按照合同约定提前收回贷款，并追究借款人相应责任。 第三十一条 商业银行应当完善内部审计体系，独立客观开展内部审计，审查评价、督促改善互联网贷款业务经营、风险管理和内控合规效果。银行业监督管理机构可以要求商业银行提交互联网贷… 第三十二条 互联网贷款形成不良的，商业银行应当按照其性质及时制定差异化的处置方案，提升处置效率。

第三章 风险数据和风险模型管理

第三十三条 商业银行进行借款人身份验证、贷前调查、风险评估和授信审查、贷后管理时，应当至少包含借款人姓名、身份证号、联系电话、银行账户以及其他开展风险评估所必需的基本信息。… 第三十四条 商业银行收集、使用借款人风险数据应当遵循合法、必要、有效的原则，不得违反法律法规和借贷双方约定，不得将风险数据用于从事与贷款业务无关或有损借款人合法权益的活动，… 第三十五条 商业银行应当建立风险数据安全管理的策略与标准，采取有效技术措施，保障借款人风险数据在采集、传输、存储、处理和销毁过程中的安全，防范数据泄漏、丢失或被篡改的风险。 第三十六条 商业银行应当对风险数据进行必要的处理，以满足风险模型对数据精确性、完整性、一致性、时效性、有效性等的要求。 第三十七条 商业银行应当合理分配风险模型开发测试、评审、监测、退出等环节的职责和权限，做到分工明确、责任清晰。商业银行不得将上述风险模型的管理职责外包，并应当加强风险模型的… 第三十八条 商业银行应当结合贷款产品特点、目标客户特征、风险数据和风险管理策略等因素，选择合适的技术标准和建模方法，科学设置模型参数，构建风险模型，并测试在正常和压力情境下… 第三十九条 商业银行应当建立风险模型评审机制，成立模型评审委员会负责风险模型评审工作。风险模型评审应当独立于风险模型开发，评审工作应当重点关注风险模型有效性和稳定性，确保与… 第四十条 商业银行应当建立有效的风险模型日常监测体系，监测至少包括已上线风险模型的有效性与稳定性，所有经模型审批通过贷款的实际违约情况等。监测发现模型缺陷或者已不符合模型… 第四十一条 商业银行应当建立风险模型退出处置机制。对于无法继续满足风险管理要求的风险模型，应当立即停止使用，并及时采取相应措施，消除模型退出给贷款风险管理带来的不利影响。 第四十二条 商业银行应当全面记录风险模型开发至退出的全过程，并进行文档化归档和管理，供本行和银行业监督管理机构随时查阅。

第四章 信息科技风险管理

第四十三条 商业银行应当建立安全、合规、高效和可靠的互联网贷款信息系统，以满足互联网贷款业务经营和风险管理需要。 第四十四条 商业银行应当注重提高互联网贷款信息系统的可用性和可靠性，加强对互联网贷款信息系统的安全运营管理和维护，定期开展安全测试和压力测试，确保系统安全、稳定、持续运行。 第四十五条 商业银行应当采取必要的网络安全防护措施，加强网络访问控制和行为监测，有效防范网络攻击等威胁。与合作机构涉及数据交互行为的，应当采取切实措施，实现敏感数据的有效隔… 第四十六条 商业银行应当加强对部署在借款人一方的互联网贷款信息系统客户端程序（包括但不限于浏览器插件程序、桌面客户端程序和移动客户端程序等）的安全加固，提高客户端程序的防攻… 第四十七条 商业银行应当采用有效技术手段，保障借款人数据安全，确保商业银行与借款人、合作机构之间传输数据、签订合同、记录交易等各个环节数据的保密性、完整性、真实性和抗抵赖性… 第四十八条 商业银行应当充分评估合作机构的信息系统服务能力、可靠性和安全性以及敏感数据的安全保护能力，开展联合演练和测试，加强合同约束。

第五章 贷款合作管理

第四十九条 商业银行应当建立覆盖各类合作机构的全行统一的准入机制，明确相应标准和程序，并实行名单制管理。 第五十条 商业银行应当按照合作机构资质和其承担的职能相匹配的原则，对合作机构进行准入前评估，确保合作机构与合作事项符合法律法规和监管要求。 第五十一条 商业银行应当与合作机构签订书面合作协议。书面合作协议应当按照收益和风险相匹配的原则，明确约定合作范围、操作流程、各方权责、收益分配、风险分担、客户权益保护、数据… 第五十二条 商业银行应当在相关页面醒目位置向借款人充分披露自身与合作机构信息、合作类产品的信息、自身与合作各方权利责任，按照适当性原则充分揭示合作业务风险，避免客户产生品牌… 第五十三条 商业银行与其他有贷款资质的机构共同出资发放互联网贷款的，应当建立相应的内部管理制度，明确本行与合作机构共同出资发放贷款的管理机制，并在合作协议中明确各方的权利义… 第五十四条 商业银行应当充分考虑自身发展战略、经营模式、资产负债结构和风险管理能力，将与合作机构共同出资发放贷款总额按照零售贷款总额或者贷款总额相应比例纳入限额管理，并加强… 第五十五条 商业银行不得接受无担保资质和不符合信用保险和保证保险经营资质监管要求的合作机构提供的直接或变相增信服务。商业银行与有担保资质和符合信用保险和保证保险经营资质监管… 第五十六条 商业银行不得委托有暴力催收等违法违规记录的第三方机构进行贷款清收。商业银行应明确与第三方机构的权责，要求其不得对与贷款无关的第三人进行清收。商业银行发现合作机构… 第五十七条 商业银行应当持续对合作机构进行管理，及时识别、评估和缓释因合作机构违约或经营失败等导致的风险。对合作机构应当至少每年全面评估一次，发现合作机构无法继续满足准入条…

第六章 监督管理

第五十八条 商业银行首次开展互联网贷款业务的，应当于产品上线后10个工作日内，向其监管机构提交书面报告，内容包括： 第五十九条 银行业监督管理机构应当结合日常监管情况和商业银行风险状况等，对商业银行提交的报告和相关材料进行评估，重点评估： 第六十条 商业银行应当按照本办法要求，对互联网贷款业务开展情况进行年度评估，并于每年4月30日前向银行业监督管理机构报送上一年年度评估报告。年度评估报告包括但不限于以下内… 第六十一条 互联网贷款的风险治理架构、风险管理策略和程序、数据质量控制机制、管理信息系统和合作机构管理等在经营期间发生重大调整的，商业银行应当在调整后的10个工作日内向银行… 第六十二条 银行业监督管理机构可以根据商业银行的经营管理情况、风险水平和互联网贷款业务开展情况等对商业银行与合作机构共同出资发放贷款的出资比例及相关集中度风险、跨注册地辖区… 第六十三条 银行业监督管理机构可以通过非现场监管、现场检查等方式，实施对商业银行互联网贷款业务的监督检查。 第六十四条 商业银行违反本办法规定办理互联网贷款的，银行业监督管理机构可根据《中华人民共和国银行业监督管理法》责令其限期改正；逾期未改正，或其行为严重危及商业银行稳健运行、…

第七章 附则

第六十五条 商业银行经营互联网贷款业务，应当依照本办法制定互联网贷款管理细则及操作规程。 第六十六条 本办法未尽事项，按照《个人贷款管理暂行办法》、《流动资金贷款管理暂行办法》等相关规定执行。 第六十七条 外国银行分行参照本办法执行。除第六条个人贷款期限要求外，消费金融公司、汽车金融公司开展互联网贷款业务参照本办法执行。 第六十八条 本办法由中国银行保险监督管理委员会负责解释。 第六十九条 本办法自公布之日起施行。 第七十条 过渡期为本办法实施之日起2年。过渡期内新增业务应当符合本办法规定。商业银行和消费金融公司、汽车金融公司应当制定过渡期内的互联网贷款整改计划，明确时间进度安排，并…