【实务研究】对地方法人金融机构支付系统建设情况的调查与思考

作者| 朱沛庆 王海宇 供职于中国人民银行赤峰市中心支行

责任编辑| 杨琪

编者按：目前，中国人民银行一些省市分支机构探索创新支付系统监督管理新思路、新方法，通过构建支付系统参与者评价、通告、整改的新体系，帮助地方法人金融机构摸清自身支付系统管理现状和存在问题，在补足自身支付系统短板的同时，促进行业支付水平逐步提升。本文以某地区为例，结合支付系统监督管理，对地方法人金融机构支付系统建设和使用情况进行调查。

近年来，伴随着支付体系日渐完善，银行业支付能力显著提升，地方法人金融机构在发展业务的同时也逐步开始完善自身支付系统建设，但在系统运行管理、业务操作管理、应急管理等方面仍然缺乏相应指导。作为统筹国家支付体系建设并实施监督管理工作的中国人民银行发挥自身指导规范作用，指引、评价、督促地方法人金融机构完善自身支付系统建设，提升运维保障能力，确保支付清算系统连续稳定运行。

2022年，调查所在地区的中国人民银行以支付系统分类评价工作为基础，对地方法人金融机构在支付系统建设、管理等方面进行分析研究，梳理共性问题并提出改进意见及建议。调查地区为地级地区，辖区涵盖农村信用社、农村商业银行、村镇银行等20家地方法人金融机构，虽均是支付系统间接参与者，但其使用的支付系统和核心业务系统各有不同，其中使用省级信用联社系统、城市商业银行系统、股份制银行系统的机构分别为15家、1家、3家，其余1家村镇银行还未建立支付系统，只能办理存折现金存取业务。调查区域内各地方法人金融机构支付系统水平参差不齐，对于中国人民银行监督管理提出了更细化的要求。

01

地方法人金融机构评价结果及分析

评价结果。调查地区内参评的19家地方法人金融机构分类评价结果相对较好，在综合管理方面均得到了较高评分，但在支付系统管理方面存在不同程度的欠缺。从综合分析分类评价结果可见，调查区域内地方法人金融机构支付系统建设状况较好，差距较小，不存在突出问题，没有A级机构的情况也说明各机构仍有较大的改进空间。

结果分析。调查区域内19家地方法人金融机构自评得分的平均分为89.27分，中国人民银行评分的平均分为84.63分，偏移度低5.2%，反映出各机构对自身支付系统管理的认知较为准确。

各机构在评价综合管理方面得分较好，平均得分率为98.15%，但在支付系统管理方面得分则相对欠缺，平均得分率为83.13%（得分率为实际评分除以相应指标满分分值）。

支付系统管理指标方面，各机构系统运行管理的表现较差，平均得分率为73.15%；应急风险管理相对较好，平均得分率为80.19%；业务操作管理得分较高，平均得分率为90.32%。

从细分指标的平均得分率来看，应急演练（55.1%）、岗位管理（63%）、支付系统制度建设（63%）、机房设备管理（74.7%）方面，急需指导与重视；执行备案制（79.5%）、系统安全管理（80.4%）、灾备环境建设（85.5%）方面表现一般，有待加强管理；在支付清算纪律（98%）等方面表现较好，显示地方性法人金融机构对支付清算业务的重视程度较高。

02

地方法人金融机构支付系统

建设及管理的不足

从19家地方法人金融机构扣分原因分析，问题主要集中在以下几类共性因素。

一是应急处置能力不足。地方法人金融机构作为支付系统间接参与者，其核心系统均采用发起行、代理清算行或系统托管机构的托管模式，在开展系统应急演练工作时一般配合开展应急演练，自主开展应急演练方面相对受限，对软硬件突发事件无法开展真实应急演练，缺乏实战演练经验，应对突发事件能力不足。

二是地方法人金融机构支付清算系统制度建设不完善。地方法人金融机构在使用大额支付系统、小额支付系统、跨行清算支付系统以及本行核心业务系统的过程中，一方面，针对各个系统建立的相应管理制度并不完善，部分金融机构仅仅建立一项信息清算业务管理办法；另一方面，缺乏岗位建设、职责分工、权限管理、应急处置、业务培训以及重大事项报告等方面的具体规定及指导。如：在新兴手机银行、微银行、企业网上银行方面，地方法人金融机构一般使用其他单位开发的核心业务系统办理业务，缺失相应系统制度建设。

三是地方法人金融机构支付清算系统相关备案不及时。地方法人金融机构对备案工作重视程度不足。在支付系统运行管理方面，部分机构未对支付系统的系统管理员、操作人、技术员进行相应备案与变更，存在备案及备案变更不及时的现象；在制定支付系统应急预案、开展支付系统应急演练方面，也存在备案不及时的情况发生。

四是地方法人金融机构在系统登陆安全措施方面较差。在系统登陆安全措施方面，各家机构对登陆安全的措施有所不同，虽然法人分机构均在不同的制度、规范、管理办法里对登陆密码口令等进行了安全性规定，但技术层面的管控措施仍有所欠缺。根据各机构信息化管理水平的不同，其在系统登陆安全措施上也有所不同。部分机构拥有独立的终端登陆管理系统，部分机构仅在终端操作系统（如windows）的密码账户策略上有所修改，还有部分机构除了对登陆密码有要求外，没有采取任何登陆管控措施。

五是支付系统与其他业务系统网络隔离方面欠缺。在支付系统与其他业务系统网络隔离方面，各家机构虽然在制度、规范或管理办法对网络隔离有一定要求，但在技术层面还是存在部分机构在网络隔离方面未采取措施的情况。地方法人金融机构核心支付系统均使用他行开发的系统，因此自身在网络建设方面很大程度上依赖于他行，在主观建设与创新举措方面略显被动。

六是系统运维方面存在疏漏。地方法人机构的科技运维力量相对薄弱，专职人员较少，在保障信息系统平稳运行的运维工作中，存在工作登记不及时的现象，出现问题时不能有源可溯，有理可依。部分机构缺失系统运维和设备维护方面的登记薄，如：网络维护登记薄、UPS设备维护登记薄等。

03

地方法人金融机构支付系统建设的相关建议

在支付系统应急处置方面。地方法人机构应强化与系统开发单位的双向协作，就系统运行情况、故障信息、业务交流、应急预案及应急演练计划在进行约定，对于软硬件等突发事件，根据自身需求，制定演练计划并及时开展应急演练。

在支付系统制度建设方面。鼓励地方法人机构针对本级实际情况，制定完善的针对不同支付系统的管理制度，就系统的岗位建设、职责分工、权限管理、应急处置、业务培训以及重大事项报告等方面进行规定与指导，在手机银行App、微银行等新兴业务方面，应与系统开发单位积极沟通，共同制定适用于本级的管理制度规范。

在支付系统备案不及时方面。加强支付清算监管部门与地方法人机构的沟通，建立相应清算业务及支付系统管理联系人机制，加强监管机构对地方法人金融机构支付系统运行监测，强化从业人员安全责任意识，及时进行备案，确保地方性法人金融机构支付系统平稳运行。

在支付系统登录安全措施方面。督促法人机构加强系统登陆安全措施，积极与系统开发行沟通协调，加强科技安全感知，在服务器与业务终端上设定相应安全登陆策略，加强安全登陆管控，条件允许的地方性法人金融机构可增加登陆管控软件。

在支付系统与其他业务系统网络隔离方面。地方法人机构应加强对网络建设新技术、新思路的感知，加强与系统开发单位合作，在保证系统安全、业务安全的前提下，丰富本级网络安全建设，加强网络安全管理，如根据不同业务对自身网段进行划分并设定专用Vlan、增加接入管控系统、增加网络检测系统等。

在支付系统运维方面。地方法人机构应与系统开发单位加强合作，开展核心系统科技专业培训，加强本地运维人员科技能力；定期开展安全意识培训，加强系统运维人员、业务人员安全责任意识，强化各项登记簿管理与检查，在系统运行保障方面做到有根可查，有据可依。