金融业网络安全新规落地 支付行业迎合规新格局

证券时报记者 李颖超

2026年7月以来，金融业网络安全与支付行业合规治理迎来新一轮政策加码和监管行动密集落地期。

从顶层制度填补规则空白，到地方监管整肃违规经营主体，再到头部支付机构主动升级服务体系与账户管理，支付行业正步入“责任更明确、边界更清晰、治理更精细”的新阶段。

统一金融网络安全底线

近日，中国人民银行、国家金融监督管理总局、中国证券监督管理委员会、国家外汇管理局联合起草了《金融业网络安全管理办法（征求意见稿）》（下称《办法》），面向社会公开征求意见，反馈截止时间为2026年8月3日。

《办法》起草说明指出，在金融数字化转型进程中，金融服务对网络的依赖日益加深，金融网络彼此互联互通、紧密交织。网络运行维护复杂度高、供应链安全保障涉及面广、有组织高强度网络攻击时有发生、新兴技术与业务融合应用紧密等风险叠加共振，潜在威胁到金融稳定和金融安全。

《办法》共五章三十三条，包括制定依据、适用范围、网络安全保护总体要求和行业自律要求；网络安全保护义务；监督管理协同以及术语定义、解释权、生效期等。作为金融从业机构，所有境内持牌支付机构被全面纳入监管适用范围，本次新规统一划定金融全行业网络安全合规底线，为支付机构交易系统、客户数据、资金链路、线上服务搭建标准化安全治理框架。

有业内人士表示，支付机构承载海量用户资金、身份信息与实时交易数据，是电信网络诈骗、洗钱及数据泄露的高风险领域。此前，行业网络安全要求分散于支付结算、数据安全等单项法规之中，缺乏统一的金融业专项制度。本次《金融业网络安全管理办法》公开征求意见，标志着统一规则框架正在建立，支付机构将面临系统改造、制度建设、安全评估机制完善等多维度合规要求，网络安全治理将在机构经营中从辅助性风控手段上升为刚性核心指标。

从存量端堵住风险漏洞

证券时报记者观察到，在顶层网络安全新规征求意见的同时，多家持牌支付机构同步开展存量账户精细化整治，通过清理长期不动户降低账户冒用、异常交易等网络安全隐患，形成“顶层制度+机构实操”的双层风险防控体系。

7月7日，深圳市美的支付科技有限公司发布《关于开展单位长期不动户清理的公告》显示，为规范账户管理，防范资金风险，保障账户资金安全，根据中国人民银行《关于加强支付结算管理防范电信网络新型违法犯罪有关事项的通知》等监管规定，开展长期不动户集中清理工作，清理范围为连续2年及以上未发生主动收付交易、无资金往来、无登录的账户。自该通知发布之日起7个自然日，未主动激活的账户依规开展销户清理工作。

此次账户清理并非行业个例。今年4月，网易支付发布关于个人支付账户清理的公告称，将以适当方式酌情分批对连续12个月未使用网易支付登录名或该机构认可的其他方式登录的个人账户进行清理。

在加强风险管控方面，头部支付平台财付通也于近期完成《QQ钱包支付用户服务协议》修订，新版协议于7月30日正式生效，新增资金安全保障、风险分级分类、交易真实性识别、持续尽职调查、动态账户监测等方面的条款。

多地开展无证支付主体整治

来自支付行业的一位风控人士向证券时报记者表示，从风控逻辑来看，长期零交易、零登录的对公、个人账户存在多重网络安全隐患：客户联系方式、经营资质、经办人信息长期未更新，身份核验失效，极易被不法分子收购、冒用于电信诈骗、跑分洗钱；大量沉睡账户持续占用系统运维资源，加大交易异常识别难度，抬高了网络安全监测成本。

“常态化休眠账户清理，已成为支付机构落实网络安全、反洗钱义务的标准化动作，通过压缩无效存量账户，减少网络攻击、账户盗用的风险载体，也与有关金融业网络安全新规‘事前风险管控’的导向高度契合。”该风控人士称。

一边是持牌机构收紧内部账户风控，另一边则是监管持续向外围市场发力，全面整治无资质主体违规使用“支付”字样，厘清支付业务特许经营边界，防范无证机构依托虚假资质开展线上金融业务，规避网络诈骗、资金挪用等跨区域安全风险。

7月9日，中国人民银行深圳市分行公示第二批违规使用金融字样经营主体名单，共计84家机构上榜，其中8家企业名称直接包含“支付”字样。该份名单显示，佳友通电子支付深圳分公司、广东中汇支付网络科技有限公司、深圳乾海盛世移动支付等企业，未取得中国人民银行颁发的支付业务许可，却在工商名称、经营范围标注支付相关业务，极易误导消费者、扰乱正规支付市场秩序。

这是年内深圳进行的第二批专项公示，4月公示的首批名单已有37家含“支付”字样无证支付主体被点名。实际上，全国多地央行分支机构已启动同类专项整治。6月，中国人民银行海南省分行联合市场监管部门一次性公示2357家无证主体，覆盖含“支付、清算、结算、征信”字样企业。此外，新疆等地也持续开展常态化排查清理工作。