發布時間：2018-01-02
來源：新京報
用支付寶、微信等應用掃碼付款，將正式迎來額度限制。央行官網發布了《中國人民銀行關于印發<條碼支付業務規范(試行)>的通知》，配套印發相關技術規范，從額度、風險防范等多個角度進行了管理。
條碼支付新規明確支付機構提供條碼支付服務，必須持牌經營，此外還將對條碼支付額度進行分級管理，新規自2018年4月1日起實施。
按風險劃分四級，采取限額管理
新規的重點之一是強調業務資質要求。明確支付機構向客戶提供基于條碼的付款服務時，應取得網絡支付業務許可；支付機構為實體特約商戶和網絡特約商戶提供條碼支付收單服務的，應當分別取得銀行卡收單業務許可和網絡支付業務許可。
新規指出，銀行、支付機構應根據《條碼支付安全技術規范(試行)》(銀辦發〔2017〕242號)關于風險防范能力的分級，對個人客戶的條碼支付業務進行限額管理。
具體來看：風險防范能力達到A級，即采用包括數字證書或電子簽名在內的兩類(含)以上有效要素對交易進行驗證的，可與客戶通過協議自主約定單日累計限額。
風險防范能力達到B級，即采用不包括數字證書、電子簽名在內的兩類(含)以上有效要素對交易進行驗證的，同一客戶單個銀行賬戶或所有支付賬戶單日累計交易金額應不超過5000元。
風險防范能力達到C級，即采用不足兩類要素對交易進行驗證的，同一客戶單個銀行賬戶或所有支付賬戶單日累計交易金額應不超過1000元。
而風險防范能力達到D級，即使用靜態條碼的，同一客戶單個銀行賬戶或所有支付賬戶單日累計交易金額應不超過500元。
靜態條碼目前被認為是風險最大的支付領域之一。除了限額管理外，新規還提出了一系列防范靜態條碼風險的措施：包括要求靜態條碼應由后臺服務器加密生成、要求展示靜態條碼的介質應放置在商戶收銀員視線范圍內，商戶應定期對介質進行檢查、要求靜態條碼采用防護罩等物理防護手段避免被覆蓋或替換等。
此次《規范》將條碼支付分為付款掃碼和收款掃碼。“付款掃碼”是指付款人通過手機、Pad等移動終端識讀收款人展示的條碼完成支付的行為，是用戶主動掃碼付款，俗稱“主掃”；“收款掃碼”是指收款人通過識讀付款人移動終端展示的條碼完成收款的行為，是用戶被動掃碼支付，俗稱“被掃”。
中國社科院金融所支付清算研究中心特約研究員趙鷂認為，由于在此前的試點應用中，條碼支付風險乃至用戶資金損失多發生于“主掃”，特別是“主掃”靜態條碼，《規范》以限制靜態掃碼限額和約束銀行、支付機構開展付款掃碼服務的具體行為與風控措施并要求他們提供客戶權益受損解決機制等具體條款，積極引導付款人“主掃”經過安全加密和設置有效期(一般為一次性條碼)的動態條碼，將商戶的較大金額收款行為也引導到“被掃”上來。
趙鷂認為，《規范》是條碼支付的“駕駛證”。央行新規讓條碼支付從此告別“無證駕駛”與“危險駕駛”。
安全風險考量，二維碼支付曾被暫停
條碼支付的發展經歷了“一波三折”：2011年，央行同意部分非銀行支付機構(簡稱支付機構)在限定場景內試點開展條碼支付業務，并提出嚴格的風險管理要求。到了2014年，在未建立有效安全措施、統一的業務規則和消費者權益保護制度的背景下，部分支付機構采取持續補貼的方式廣泛推廣條碼支付業務，人民銀行對其采取了暫停線下條碼支付業務的監管措施。
在此后的一段時間里，以支付寶、財付通為代表的二維碼支付機構通過改造掃碼流程(如從用戶掃商家改為商家掃用戶)等方式，并未放棄搶占二維碼支付市場；而在互聯網巨頭的大額補貼之下，二維碼支付也逐漸為大眾所知曉。
央行有關負責人在答記者問中指出，隨著近年來支付標記化(Tokenization)等技術在移動支付中的廣泛應用，客觀上提高了條碼支付的安全標準。但是，囿于缺乏統一的業務規范和技術標準，在條碼生成機制和傳輸過程中仍存在風險隱患，也引發了支付安全的風險案件，市場機構在業務推廣過程中還存在不正當競爭等現象。
為規范條碼支付業務，保護消費者合法權益，促進移動支付業務健康可持續發展，人民銀行指導中國支付清算協會組織市場機構、專家學者就條碼支付相關問題開展充分研討并達成高度共識，研究制定了相應業務規范和技術規范。
