19家银行APP通过备案 技术与业务平衡仍存痛点

　　6月下旬，中国互联网金融协会（以下简称“协会”）发布公告称，协会上线了移动金融可信公共服务平台，在协会移动金融客户端软件备案平台完成备案的客户端软件都将同步在可信服务平台予以发布。

　　此前，协会已公布了移动金融客户端应用软件首批备案名单，据悉通过备案的移动金融客户端应用软件来自34家机构，其中银行类金融机构有19家。《中国经营报(博客,微博)》记者在采访中了解到，多家银行在积极申请上述实名备案工作，即使没有出现在协会公布的首批名单中，但备案工作仍在继续。

　　值得注意的是，谈及备受关注的银行APP软件的安全性及合规问题，受访业内人士向记者表示，目前APP软件测评工作仍存在一些痛点需解决，比如检测机构的行业标准不同，以及技术标准合规与银行业务发展之间需要平衡等等。

　　实名备案完善监管

　　日前，协会经综合审核并结合相关机构测评和公示情况，形成了第一批完成客户端软件实名备案名单，其中银行APP包括：工商银行、民生银行(600016,股吧)及其信用卡、徽商银行、西安银行(600928,股吧)、恒生中国、平安银行(000001,股吧)、广发银行、安徽农信联社、中国银行、吉林九台农商行信用卡、建设银行、中信银行(601998,股吧)、招商银行(600036,股吧)及其掌上生活、重庆三峡银行、广州农商行、宁波银行(002142,股吧)、兴业银行(601166,股吧)、东营银行、东亚银行19家。

　　记者从兴业银行了解到，该行按照《移动金融客户端应用软件安全管理规划》要求，通过智能风控不断提高手机银行APP安全防护能力，持续加强个人金融信息保护，强化风险监测能力，保障金融消费者合法权益，顺利通过本次测评及备案。

　　去年以来，关于金融机构客户端软件安全防护不力，甚至侵犯客户权益的消息时有出现，且金融机构监管部门及网信办、公安部等相关部门也多次点名金融客户端软件存在违规的金融机构，并要求其整改。

　　为遏制行业乱象，营造安全健康的金融环境，中国人民银行印发了《关于发布金融行业标准加强移动金融客户端应用软件安全管理的通知》（银发〔2019〕237号），提出加强移动金融APP的监管力度，针对金融APP个人信息安全、账户安全、密码安全、数据安全、隐私政策等方面进行规范，并要求在全国范围内分批次组织开展客户端软件备案推广并逐步落实风险信息共享、投诉处置机制以及行业公约、黑白名单、自律检查、违规约束等自律管理工作。

　　去年12月，协会召开金融业移动金融客户端应用软件备案管理工作试点启动会议，安排部署金融机构客户端软件备案试点工作。会议明确，各试点机构应于2019年底前完成第一批试点客户端软件的材料提交和备案申请。

　　记者了解到，申请备案的银行机构远不止第一批通过名单的机构。一家申请备案的城商行网络金融部负责人表示：“在申请备案截止时间，我们已经提交了相关资料，需要在网上操作的工作也已完成。”在其看来，金融机构完成实名备案是未来的趋势，应尽力争取。

　　苏宁金融研究院金融科技研究中心主任孙扬告诉记者，完成实名备案对于银行机构的APP可信度有很大的帮助。“因为这个备案不但要对APP本身进行检测，也要对APP运营主体的身份、资质等进行审核，能够提升银行机构推广线上APP产品的品牌度和可信度，通过可信公共服务平台备案，将能够提升普通用户对于银行APP产品的认可度，促使银行在APP开发过程中，注意用户隐私保护、注意产品合规，能够提升银行风险管理的意识，影响深远。”

　　此外，麻袋研究院高级研究员王诗强表示：“当前，各类APP非法收集客户信息的情况比较严重，优先获得互联网金融协会备案的银行可以借此进行宣传，在客户心目中树立良好的品牌形象，也更容易获得客户的信任，用户在使用时也更加放心。此外，依据《移动金融客户端应用软件备案管理办法（试行）》更新移动客户端，通过中国互联网金融协会备案，在开展业务时也更加合法合规，可以有效降低相关的操作风险和政策风险。”

　　检测“痛点”尚存

　　记者在采访中了解到，备案客户端软件要经过第三方机构的检测，软件主体也需经过严格的审核，协会对于软件也将进行持续的监控。而备案能否成功的关键点之一就是“检测”。

　　王诗强表示：“根据备案清单要求，对申请备案的资金交易类和信息采集类客户端软件，应由权威、独立第三方机构（如具备‘金融科技产品认证’资质等）进行评估，以证明申报APP在安全性上符合银发〔2019〕237号文要求。此外，银行业金融机构需要保证移动客户端个人信息收集、使用合法合理，如果有违规违法或者不必要的收集客户信息的情况，需要及时整改，否则就可能通不过备案。最后，申请移动金融客户端备案之前，最好先加入中国互联网金融协会，及时与协会工作人员保持沟通，按照协会工作人员的要求提供资料。”

　　前述某申请备案的城商行网络金融部负责人告诉记者，其所在的银行没有出现在日前协会公布的第一批名单中，原因是还没有完成第三方检测。“目前监管认可的检测机构有限，而等待检测的金融机构众多，我们也在积极联系，争取早日安排检测。”

　　作为金融机构，申请备案需要大量准备工作。孙扬表示：“金融机构要提供客户端软件提供方信息（包括法人机构的统一社会信用代码、联系人和联系方式，营业执照和金融业务许可证等）、客户端软件的安全加固情况包含SDK及SDK用途等、客户端软件安全和内控管理制度、个人信息保护策略（隐私、收集目的和使用后处理机制）、外部评估报告等。”

　　值得注意的是，目前在实际的实施过程中，也存在一些“痛点”。“银行APP不仅需要系统的技术安全性，同时还要遵循银行的业务逻辑。但检测机构大多为科技机构，往往从纯技术角度去分析。”前述某申请备案的城商行网络金融部负责人告诉记者，“之前找过某第三方公司检测，检测出来的问题没有跟业务和监管政策进行联系，比如检测出‘违规获取客户位置信息’，但位置信息是反洗钱业务相关政策规定的，业务需要才获取这个信息。”

　　此外，检测的行业标准还未统一。该网络金融部负责人表示：“之前我们请过一家检测机构，顺利通过了检测。但后来又请了另一家机构检测，却出现不通过的情况。每家检测机构侧重点和执行标准不同，所以会出现这种情况。”

　　对于目前存在的痛点，业内人士多认为合规更重要。孙扬表示：“业务发展要让步于合规。不需要采集的个人信息绝对不能碰，在APP上只能提供银行机构被金融监管机构允许的业务，广告和产品陈述要符合金融监管规定，要有完备的金融消费者保护机制等。”

　　“合规第一，业务发展第二。” 王诗强也认为，“银行、证券、基金、期货、保险等金融机构的移动客户端使用目的不同，因此功能不同，很难出台统一的检测标准。”