金融业网络安全新规落地 支付行业迎合规新格局

来源：证券时报
记者：李颖超

2026年7月起，金融局中国金融业网络安全治理与支付行业合规监管进入政策密集落地期。业网业迎从顶层制度填补规则空白，络安到地方监管重拳整治违规主体，全新再到头部支付机构主动升级风控体系，规落支付行业正加速迈向“责任明确、地支边界清晰、付行治理精细”的合规新合规阶段。

统一金融网络安全底线：首部专项办法征求意见

近日，新格中国人民银行、金融局国家金融监督管理总局、业网业迎中国证券监督管理委员会及国家外汇管理局联合起草了《金融业网络安全管理办法（征求意见稿）》（以下简称《办法》），络安面向社会公开征求意见，全新反馈截止时间为2026年8月3日。规落

起草背景与核心风险

《办法》起草说明指出，地支随着金融数字化转型的深入，金融服务对网络的依赖度显著加深。当前金融网络互联互通、紧密交织，面临四大叠加风险：
1. 网络运行维护复杂度极高；
2. 供应链安全保障涉及面广；
3. 有组织高强度网络攻击频发；
4. 新兴技术与业务融合应用带来新型威胁。

这些风险共振可能严重威胁金融稳定与安全。

监管范围与合规要求

《办法》共五章三十三条，涵盖制定依据、适用范围、总体保护要求、行业自律、保护义务、监督管理协同及附则。
* 全覆盖监管：所有境内持牌支付机构被全面纳入适用范围。
* 标准化框架：新规统一划定金融全行业网络安全合规底线，为支付机构的交易系统、客户数据、资金链路及线上服务搭建标准化安全治理框架。

行业影响：从辅助风控到核心指标

业内专家指出，支付机构承载海量用户资金、身份信息及实时交易数据，是电信诈骗、洗钱及数据泄露的高风险领域。此前，行业网络安全要求分散于支付结算、数据安全等单项法规中，缺乏统一专项制度。

《办法》的征求意见标志着统一规则框架的建立。支付机构将面临系统改造、制度建设及安全评估机制完善等多维度合规要求，网络安全治理将从辅助性风控手段上升为机构经营的刚性核心指标。

从存量端堵住风险漏洞：清理休眠账户与协议升级

在顶层新规征求意见的同时，多家持牌支付机构同步开展存量账户精细化整治，通过清理长期不动户降低冒用及异常交易风险，形成“顶层制度+机构实操”的双层防控体系。

头部机构行动案例

• 深圳美的支付：7月7日发布《关于开展单位长期不动户清理的公告》，依据央行《关于加强支付结算管理防范电信网络新型违法犯罪有关事项的通知》，对连续2年及以上未发生主动收付交易、无资金往来、无登录的账户进行集中清理。通知发布7个自然日后，未激活账户将依规销户。
• 网易支付：今年4月发布公告，将分批清理连续12个月未使用登录名或认可方式登录的个人支付账户。
• 财付通（QQ钱包）：近期完成《QQ钱包支付用户服务协议》修订，新版协议于7月30日生效，新增资金安全保障、风险分级分类、交易真实性识别、持续尽职调查及动态账户监测等关键条款。

风控逻辑：为何清理休眠账户？

支付行业风控人士向证券时报记者分析，长期零交易、零登录的对公及个人账户存在多重隐患：
1. 身份核验失效：客户联系方式、经营资质及经办人信息长期未更新，极易被不法分子收购或冒用于电信诈骗、跑分洗钱。
2. 增加监测成本：大量沉睡账户占用系统运维资源，干扰交易异常识别，抬高网络安全监测成本。

“常态化休眠账户清理已成为支付机构落实网络安全及反洗钱义务的标准化动作。通过压缩无效存量，减少网络攻击和账户盗用的风险载体，这与金融业网络安全新规‘事前风险管控’的导向高度契合。”该人士强调。

多地开展无证支付主体整治：厘清特许经营边界

在持牌机构收紧内部风控的同时，监管层持续向外围市场发力，全面整治无资质主体违规使用“支付”字样，防范无证机构依托虚假资质开展线上金融业务，规避网络诈骗及资金挪用等跨区域安全风险。

深圳第二批违规名单公示

7月9日，中国人民银行深圳市分行公示第二批违规使用金融字样经营主体名单，共计84家机构上榜，其中8家企业名称直接包含“支付”字样。
* 典型违规企业：佳友通电子支付深圳分公司、广东中汇支付网络科技有限公司、深圳乾海盛世移动支付等。
* 违规事实：未取得中国人民银行颁发的支付业务许可，却在工商名称或经营范围中标注支付相关业务，误导消费者并扰乱市场秩序。

全国范围内的专项整治

这是深圳年内进行的第二批专项公示。今年4月，深圳首批公示的37家含“支付”字样无证主体已被点名。全国多地央行分支机构已启动同类整治：
* 海南：6月，中国人民银行海南省分行联合市场监管部门一次性公示2357家无证主体，覆盖含“支付、清算、结算、征信”字样的企业。
* 新疆等地：持续开展常态化排查清理工作。

这一系列举措旨在厘清支付业务特许经营边界，净化市场环境，确保金融支付体系的安全与稳定。

(责任编辑：休闲)