征信合規管理的實踐與探索

唐萌佳

摘要： 本文根據征信執法檢查和日常監管實踐，發現當前接入機構存在線上業務量增多、系統建設不完善、技防水平差異大、內部管理不到位等問題。基層人民銀行面臨現場檢查取證難、執法力量薄弱等難點，其中既有老難題，又有新挑戰。針對性地提出引入電子認證加強線上業務合規管理、健全技防制防人防體系、多層次差異化征信監管、提升執法檢查實效等對策建議。

關鍵詞： 征信信息 執法檢查 合規監管

2013年《征信業管理條例》頒布實施以來，人民銀行不斷完善安全監管職能，接入機構合規意識逐步提升，信息安全保護逐步向好發展。與此同時，各金融機構紛紛布局線上信貸業務，電子化辦公程度提高;二代信用報告格式調整，內容更加完整全面;政策法規進一步深化細化，執法監管規范從嚴，新業態使征信合規管理面臨考驗。

一、征信合規管理實踐

據統計，2015-2019年期間，人民銀行株洲市中支執法檢查工作組通過現場約談、調閱資料、抽查檔案、查看系統、數據比對等方式，對轄內31家征信系統接入機構開展了征信執法檢查，累計篩查17萬余條征信查詢數據，查處內控制度欠完善、數據報送不及時、授權要素缺失、異議處理超期、信息安全漏洞等問題800多例。其中，既包含屢查屢犯的老問題，也有隨著信貸業務發展暴露出的新情況。通過合理適用法律法規確定問題性質，針對性地采取約見談話、限期整改、行政處罰等處理措施督促問題機構加強內部管理，有效提升了人民銀行征信履職的有效性和接入機構征信業務的規范性。

二、存在難點及問題

（一）接入機構存在的問題

1.線上業務量增多。線上業務為客戶提供了便捷、高效的服務體驗，又降低了金融機構的資金融通成本，使其成為了消費信貸重要的增長極。與傳統業務“面簽”相比，互聯網業務借助銀行卡四要素、身份證聯網核查、電信運營商實名認證、人臉識別、網銀數字證書認證、短信驗證等6種方式中的2-3種核驗客戶身份，并獲得數據報送和征信查詢的電子授權。但近年來，互聯網業務的征信異議迅猛增長，其中否認貸款占比居高，電子簽名的有效性和證據保全的規范性有待提升[1]。另外，部分金融機構根據客戶的首張銀行卡歸屬地或其他原則，將客戶辦理線上業務時觸發的征信查詢歸口于各地市分支行，體現在系統操作記錄中，但地市分支行卻不知曉業務發生辦理情況，不掌握客戶紙質或電子查詢授權資料，執法檢查面臨被動。

2.系統建設不完善。在信息技術的高速發展和征信信息安全管理要求提升的背景下，各接入機構相繼上線征信查詢前置系統，不再直接訪問征信中心網頁端查詢信用報告，征信查詢呈現出“間接訪問+線上授權”的趨勢。但是從近幾年檢查情況來看，部分接入機構前置系統上線時間較短，新系統功能不夠成熟，在權限控制方面存在技術漏洞，如：查詢拒貸客戶信用報告不受限制，信用報告流轉范圍過大等，可能引發的信息泄露風險不可小覷。但在實踐中，前置系統委外開發比例較高，接入機構自身系統修補能力有限，在沒有大規模的信息泄露事件暴發的前提下，接入機構修補系統漏洞的耗時較長、內生動力不足。

3.技防水平差異大。中小接入機構業務范圍小、資金規模少、科技力量弱，在技術保障措施方面明顯滯后于國有銀行等大型接入機構。例如，前置系統功能完善的大型接入機構，通過動態密碼、IP地址關聯、密碼和登錄用戶相分離等一種或者幾種組合措施，有效杜絕盜用用戶登錄;異常監控指標完善，閾值設置合理，出現問題能及時阻斷;后臺自動記錄用戶名稱、操作內容及IP/MAC地址，各項操作有記錄、可定位、可追溯。與此同時，部分村鎮銀行、小額貸款公司、公積金中心仍通過網頁查詢直接訪問征信系統，登錄控制方式單一，手工記錄查詢臺賬，異常監控依賴征信中心反饋報文。可見，暴發信息安全風險事件的機構化趨勢明顯。

4.內部管理不到位。根據監管要求，接入機構應按季度開展內部征信合規和信息安全自查自糾，并將自查自糾情況向人民銀行書面報告。對比執法檢查發現的問題，接入機構自查自糾不能有效反映其征信合規管理全貌，存在自查不深入、不全面，報告內容缺少可靠數據支撐等情況。其結果，一方面影響人民銀行非現場監管工作質效，另一方面，接入機構對于實際工作中存在的問題不能做到早發現、早處置，即便自查發現問題，由于整改力度不夠，問題重復出現的概率較高。

（二）基層人行面臨的難點

1.執法檢查取證難。一是筆跡真偽難鑒別。檢查人員通過翻閱紙質資料難以判斷授權書是否由信息主體本人簽署，即便認為真實性存疑，也不能依據個人主觀判斷對問題定性。有效的取證方式包括詢問筆錄和筆跡鑒定，若相關責任人拒不承認偽造簽名，取證將陷入被動，筆跡鑒定則需要提供真實主體的簽名進行人身同一認定，執法成本較高，且對于拒貸客戶而言，找尋難度大。二是公共用戶難鎖定。各接入機構前置系統對征信操作的記錄水平參差不齊，監控視頻的保存時間和覆蓋范圍有限，令公共用戶的鎖定工作陷入尷尬。

2.執法力量薄弱。結合“每三年征信系統接入機構檢查全覆蓋”的工作要求，以及農村商業銀行、村鎮銀行等中小接入機構分布于縣域的實際情況，執法檢查需要人行地市中支征信管理部門全員參與，也必須依靠縣支行執法力量。執法力量薄弱的主要表現有：一是部門人員時有流動，新鮮力量加入后需要一段時間適應和勝任崗位，若執法骨干力量調出，調入人員經驗不足，或出現執法力量空擋;二是人行縣支行征信管理部門通常設置2至3人，對口上級行4-5個業務科室，人員少任務重，年齡結構偏大，執法經驗不足、尺度不一致，不能有效利用輔助工具篩選可疑數據，現場檢查以手工翻閱資料為主，難以實現檢查面不低于30%、征信查詢記錄全面篩查的工作要求，造成反應問題片面，難以掌握真實情況，與征信業務發展速度不相匹配。

三、相關建議

（一）加強線上業務合規管理

《電子簽名法》《最高人民法院關于互聯網法院審理案件若干問題的規定》指出，可靠的電子簽名應當保證當事人專有專控、內容篡改可察覺。在上述框架原則的基礎上，建議出臺具體的技術標準，指導實際業務操作。如：引入具備許可資質的第三方電子認證服務機構，為客戶身份認證、電子證據保全提供解決方案，保證電子簽名人對電子簽名制作數據專有專控，保證電子授權協議的內容篡改可發現，破解假冒名貸款和異議糾紛舉證難問題。另外，將線上業務查詢記錄歸口于地市分支行的，應同時向地市分支行開放身份認證和電子授權資料的調閱權限，方便當地人民銀行開展合規監管。

（二）強化系統功能和安全措施

一是強化征信相關信息系統建設，完整記錄和監控所有征信活動，包括用戶、地址、程序和操作內容等。二是進一步完善征信查詢前置系統功能，對全部征信用戶實行統一規范管理，監測、預警和阻斷各類違規查詢操作，防范征信信息泄露風險。三是督促接入機構積極向上級行反饋系統安全漏洞，對安全漏洞可能引發的信息泄露風險高度重視，在系統漏洞修補完善前，提高制防和人防強度，加強對各級征信系統用戶運行情況的實時監控，推進實現信用報告脫敏展示、結構化展示和自動解讀。

（三）多層次差異化征信監管

加強執法檢查、安全巡查、機構自查以及征信合規與信息安全考核評級之間的相互結合和促進，準確定位不同監管方式效能。接入機構通過自查自糾主動暴露問題，自主發現、及時整改，為人民銀行非現場監管提供基礎信息;安全巡查形式靈活，建議以聚焦業務辦理過程中的征信操作實踐為重點，側重事前、事中防范，實現快速、全覆蓋的目標，作為聯系現場檢查和非現場監管的平臺;考核評級按年度刻畫接入機構風險畫像，是征信合規工作質量的全面反映，人民銀行根據其動態變化趨勢、評級結果和風險點大小，可靈活調整監管策略，如縮短自查自糾周期，提高安全巡查頻率，降低考核評級等級等;運用行政執法手段，加大違法違規成本，對整改不到位的安全巡查問題，或自查覆蓋但未暴露問題，從嚴實施行政處罰，全方位正風肅紀，促使其依法依規履職。

（四）健全和完善內控管理

人民銀行可根據執法取證難點及監管發現問題，有針對性地督促接入機構調整內控制度。例如：要求留存客戶授權的場景照片，形式包括但不限于客戶與客戶經理合影等，為授權資料真實性增信，解決筆跡真偽難鑒別問題;對接入機構自查自糾的檢查覆蓋面和報告格式提出具體要求，自查調閱清單應作為報告附件一同報備等，杜絕自查流于形式。另外，接入機構要明確部門職責，暢通內部溝通渠道，人員變動做好工作交接，保障業務平穩過渡。加大對征信活動薄弱環節的審計和檢查力度，對于制度執行不力、不按程序操作導致的違法違規行為，應當明確問責程序和懲戒措施，維護制度的嚴肅性和權威性。

（五）提升執法檢查實效

一是采取多種形式加強隊伍建設，利用現場培訓、典型案例分析，提升執法隊伍的理論水平;通過跟班學習、交叉檢查，開闊監管人員視野，積累實戰經驗，鍛煉和培養執法儲備力量;編制現場檢查工作指引，明晰征信檢查制度與適用法規，實現查處問題依據充分、程序合規、事實清楚、證據確鑿、處理恰當。二是改進檢查方式方法，開發輔助分析工具，為現場檢查提供服務，擴大檢查覆蓋面，用技術手段查找接入機構存在的深層次問題，逐步實現由手工翻閱向計算機核查模式的轉變，亦可優化省級人行征信查詢前置系統功能，抓取各接入機構操作記錄數據，建立數據分析模型，開展非現場分析，提高檢查質量和效率。

參考文獻：

[1]闞勝國.個人線上信貸業務征信合規的探索——以北京地區為例[J].征信.2020（1）：40-42.

作者單位：中國人民銀行株洲市中心支行