《商业银行互联网贷款管理暂行办法》修改了哪些内容？意味着什么？

7月17日上午，在历经一个月的征求意见之后，银保监会正式发布了《商业银行互联网贷款管理暂行办法》。

这是互联网贷款领域的一个基本法规，之前零壹财经已经在报道中提到过，这部法规将重塑互联网贷款市场。

《商业银行互联网贷款管理暂行办法》的正式版本在之前的征求意见稿的基础上做了一些改动，我们对这些改动进行了梳理，并邀请业内专家对其中一些比较重要的改动进行了解读。

01

第三条 本办法所称互联网贷款，是指商业银行运用互联网和移动通信等信息通信技术，基于风险数据和风险模型进行交叉验证和风险管理，线上自动受理贷款申请及开展风险评估，并完成授信审批、合同签订、贷款支付（征求意见稿：放款支付）、贷后管理等核心业务环节操作，为符合条件的借款人提供的用于消费、日常生产经营周转等的个人贷款和流动资金贷款。

02

第四条 ……

本办法所称合作机构，是指在互联网贷款业务中，与商业银行在营销获客、共同出资发放贷款、支付结算、风险分担、信息科技、逾期清收等方面开展合作的各类机构，包括但不限于银行业金融机构、保险公司等金融机构和小额贷款公司、融资担保公司、电子商务公司、非银行支付机构（征求意见稿：第三方支付机构）、信息科技公司等非金融机构。

【解读】其实这两个名词所指的范畴是一样的，第三方支付是大家口头上用的一个俗称，其正式名称就是“非银行支付机构”。中国对第三方支付机构进行网络支付进行规范的就是《非银行支付机构网络支付业务管理办法》，此处修改是在表述上与以往的法规保持了一致。

03

第六条 互联网贷款应当遵循小额、短期、高效和风险可控的原则。

单户用于消费的个人信用贷款授信额度应当不超过人民币20万元，到期一次性还本的，授信期限不超过一年。中国银行保险监督管理委员会可以根据商业银行的经营管理情况、风险水平和互联网贷款业务开展情况等对上述额度进行调整。商业银行应在上述规定额度内，根据本行客群特征、客群消费场景等，制定差异化授信额度。（征求意见稿没有这一段）

【解读】5月9日的征求意见稿公布时，即有银行对20万的额度限制有疑虑并尝试与监管层进行沟通，因为这一条将会影响到商业银行对优质客户进行提额，进而影响到商业银行这一业务的增速。在互联网贷款市场整体增速放缓的情况下，客户数量无法快速大幅增加，提额是促进业务增长的重要途径。但是最终定稿中这一额度并没有修改，可以看出监管层当前的重点仍然倾向于风险控制。不过，新增的一段表述为日后限额的调整留下了空间。

04

第十七条 商业银行应当通过合法渠道和方式获取目标客户数据，开展贷款营销，并充分评估目标客户的资金需求、还款意愿和还款能力。商业银行应当在贷款申请流程中，加入强制阅读贷款合同环节，并设置合理的阅读时间限制。

商业银行自身或通过合作机构向目标客户推介互联网贷款产品时，应当在醒目位置充分披露贷款主体、贷款条件、实际年利率、年化综合资金成本、还本付息安排、逾期清收、咨询投诉渠道和违约责任等基本信息，保障客户的知情权和自主选择权，不得采取默认勾选、强制捆绑销售等方式剥夺消费者意愿表达（征求意见稿：意思表示）的权利。

【解读】这是全文改动较小的一处，将“意思表示”改为“意愿表达”。2019年12月，中国人民银行起草了《中国人民银行金融消费者权益保护实施办法（征求意见稿）》，向社会公开征求意见。其中第十三条有“金融机构应当尊重金融消费者购买金融产品或服务的真实意愿”的表述，该处的修改应该是对应这个表述。

05

第二十条 商业银行应当在获得授权后查询借款人的征信信息，通过合法渠道和手段线上收集、查询和验证借款人相关定性和定量信息，可以（征求意见稿中没有这两个字）包括但不限于税务、社会保险基金、住房公积金等信息，全面了解借款人信用状况。

06

第二十六条 授信与首笔贷款发放时间间隔超过1个月的，商业银行应当在贷款发放前对借款人信用状况进行再评估（征求意见稿：商业银行应当在贷款发放前查询借款人信贷记录，重点关注借款人的新增贷款情况。），根据借款人特征、贷款金额，确定跟踪其信贷记录的频率，以保证及时获取其全面信用状况。

【解读】信雅达泛泰首席风险官周立烽：银行消费金融贷款给客户授信额度，一部分客群的动支发生在1个月以后，占比约5%至20%，新管理办法要求对此类较优质客群（相对1个月内动支客群）进行再次数据查询调用进行模型评分，势必会增加银行的数据成本。根据以往工作经验，如借款人授信3个月后发起提款申请，对其重新进行信用评估较为合理。

07

第二十七条 商业银行应当按照借款合同约定，对贷款资金的支付进行管理与控制，贷款支付应由具有合法支付业务资质的机构执行（征求意见稿中没有这一句）。商业银行应加强对支付账户的监测和对账管理，发现风险隐患的，应立即预警并采取相关措施。采用自主支付方式的，应当根据借款人过往行为数据、交易数据和信用数据等，确定单日贷款支付限额。

【解读】光大银行智能风控中心VP祝世虎：

一是从这一条款可以看出，在贷款支付环节不仅可以由银行自主支付，而且还可以由具有合法支付业务资质的机构进行支付。首先，从监管层面，体现了监管机构支持银行通过互联网贷款业务践行普惠金融，满足居民和小微企业的融资需求，多种支付渠道有效地提高金融便利度和普惠覆盖面。其次，从银行操作层面，解决了一些小型银行在互联网贷款业务发展中所面临的实际困难。在互联网贷款业务发展之初，贷款支付问题曾经困扰过一些小型银行，这些小型银行不具备“五证鉴权”能力，无法开通借款人的二类账户，从而无法进行自主支付，本条款很好地解决了类似问题。

二是这一条款的修改“贷款支付应由具有合法支付业务资质的机构执行”强调了“具有合法支付业务资质”。首先，从监管层面，体现了监管机构要求银行对合作机构进行有效管理和准入。其次，从银行操作层面，体现了对细节的规范。例如，对于一些B2B平台，其下游企业受托支付上游的资金会在该平台账户进行留存，若该平台没有持牌，若发生跑路等事件，则会引发一定的风险。

三是对贷款支付环节的管理，可以有效地把控贷款用途。呼应《办法》二十三条【资金用途】，贷款资金用途应当明确、合法，不得用于房产、股票、债券、期货、金融衍生品和资产管理产品投资，不得用于固定资产和股本权益性投资等。

四是对贷款支付环节的管理，有助于集中度风险的管理。呼应《办法》五十四条【集中度管理】，将联合贷款总额按照零售贷款总额或者贷款总额相应比例纳入限额管理，并加强联合贷款合作机构的集中度风险管理。

五是对贷款支付环节的管理，可以在一定程度上降低反欺诈的风险。

最后，在“银行自主支付”和“具有合法支付业务资质的机构进行支付”，我个人更希望银行做业务的时候能多选择自主支付，减少对平台方的依赖，保持触达客户的能力。

08

第三十三条 商业银行进行借款人身份验证、贷前调查、风险评估和授信审查、贷后管理时，应当至少包含借款人姓名、身份证号、联系电话、银行账户以及其他开展风险评估所必需的基本信息。如果需要从合作机构获取借款人风险数据，应通过适当方式确认合作机构的数据来源合法合规、真实有效，对外提供数据不违反法律法规要求（征求意见稿中没有这一句），并已获得信息主体本人的明确授权。商业银行不得与违规收集和使用个人信息的第三方开展数据合作。

【解读】上海交通大学数据法律研究中心执行主任、天册律师事务所资深顾问、数据法盟创始人何渊：这一条修改应当是为还未出台的关于数据的重要的法律法规的相关规定留下了接口。现在数据领域有两部重要的法律还在制定当中：《数据安全法》和《个人信息保护法》，此外《关键信息基础设施安全保护条例》也还在征求意见当中。未来，新的法律法规正式发布后，商业银行的合作机构也需要遵守。

此外，“对外提供数据”主要涉及数据的分享和交易。这两方面，在国外已经有比较明确法规，未来中国应该也会建立起相类似的法规。具体来说，在数据分享方面，主要涉及两个方面的要求：第一，信息主体明示同意，这里需要指出的是，需要信息主体对每一个用途都明示同意，不能只取得信息主体的一个模糊授权，然后把该主体的信息用于之前没有明示过的用途当中；第二，脱敏。这在金融领域是个难题，因为金融领域许多信息是用来做风险控制的，需要精确到人，如果脱敏，就不知道信息主体是谁，很多信息就失去了价值。在数据交易方面，也是需要取得信息主体的明确授权。不过，数据交易方面涉及的问题更加复杂，而数据分享一般比较简单，因为信息主体有获取金融服务的需要，更愿意分享信息。

09

第五十一条

……

商业银行应当自主确定目标客户群、授信额度和贷款定价标准；商业银行不得向合作机构自身及其关联方直接或变相进行融资用于放贷。除共同出资发放贷款的合作机构以外，商业银行不得将贷款发放、本息回收、止付等关键环节操作全权委托合作机构执行。商业银行应当在书面合作协议中明确要求合作机构不得以任何形式向借款人收取息费，保险公司和有担保资质的机构除外。（征求意见稿：保险公司和有担保资质的机构按照有关规定向借款人收取合理费用，以及银行业监督管理机构规定的其他情形除外。）

10

第五十五条 商业银行不得接受无担保资质和不符合信用保险和保证保险经营资质监管要求的合作机构提供的直接或变相增信服务。商业银行与有担保资质和符合信用保险和保证保险经营资质监管要求的合作机构合作时应当充分考虑上述机构的增信能力和集中度风险。商业银行不得因引入担保增信放松对贷款质量管控。（征求意见稿中没有这一句）

【解读】光大银行智能风控中心VP祝世虎：对这一条款的解读本应该是先从监管角度，再从银行实操角度进行分析。但是作为一名风控人，我看到这条款很兴奋，觉得这是给我们这群风控人的一个尚方宝剑。连续三个画面在我脑海中浮现：一是，场景方对我说“我们的业务有担保，你们风控以合规为主吧？”；二是，业务经理对我说“我们的业务有保险兜底，模型能不能松一些？”三是，同业好友对我说“我们风控能力不行，但是我们引入保险和担保，是不是就可以做互联网业务了？”以前，我拒绝的时候总是扭扭捏捏，但是现在有了这个条款，我就可以挺直腰板say no了。

首先，从监管角度可以看出，监管的两个出发点：

一是强化银行主体责任，防止银行风险管理“空心化”。

二是减少不必要的环节，降低贷款成本，降低社会融资成本，更好的支持实体经济。

其次，从银行实操角度来看，要明确梳理第一还款来源和第二还款来源的辩证关系，银行在互联网贷款业务中应重视第一还款来源——借款人，而不是依赖第二还款来源——担保、保险等增信措施。原因如下：一是，最重要的还款来源永远是第一还款来源，而不是第二还款来源；二是，担保等措施等并没有真正的识别风险，只不过是将风险后置，将贷款违约带来损失转为处置押品等带来的损失；三是，担保、增信等措施不一定能够兜住所有坏账，如果依赖这些措施，银行的风险将会大大增加；四是，如果银行过分依赖第二还款来源，会增加社会整体的融资成本，因为担保等增信措施是需要付出成本的。

11

第五十六条 商业银行不得委托有暴力催收等违法违规记录的第三方机构进行贷款清收。商业银行应明确与第三方机构的权责，要求（征求意见稿：应当要求）其不得对与贷款无关的第三人进行清收。商业银行发现合作机构存在暴力催收等违法违规行为的，应当立即终止合作，并将违法违规线索及时移交相关部门。

12

第五十八条 商业银行首次开展互联网贷款业务的，应当于产品上线后10个工作日内，向其监管机构提交书面报告，内容包括：……

（四）消费者权益保护及其配套服务情况（征求意见稿：金融消费者权益保护及其配套服务情况）。

【解读】当下许多互联网贷款是在消费场景中提供，因此商品消费和金融消费很多时候是同时发生，金融交易与商品交易互相嵌套。正式版本中，将“金融消费者权益保护”扩大为“消费者权益保护”，加大了对消费者权益保护的力度。比如，2019年下半年开始，不少消费金融机构纷纷推出“会员制”，以此在激烈的市场竞争中探索差异化经营、提升利润。但是，会员制当中出现了许多不规范的操作，比如巧立名目、变相收费等。新规为保护消费者最终的权益留下了更大的空间。

13

第五十九条 银行业监督管理机构应当结合日常监管情况和商业银行风险状况等，对商业银行提交的报告和相关材料进行评估，重点评估：……

（二）是否独立掌握授信审批、合同签订等核心风控环节（征求意见稿：是否独立掌握授信审批、合同签订、放款支付、贷后管理等核心业务环节）；

【解读】光大银行智能风控中心VP祝世虎：首先，从监管角度可以看出，一是，监管机构鼓励银行不断提高自主风险管控能力；二是，要求银行加强贷中贷后的管理，压实银行风险管理的主体责任。

其次，从银行实操角度，一是，明确了风险管理要求，银行应当针对互联网贷款业务建立全面风险管理体系，在贷前、贷中、贷后全流程进行风险控制。

二是，由于某些银行受五证鉴权、缺少数据、模型能力不足等问题，无法独立掌握放款支付、贷后管理这些环节。以互联网贷款业务的风险监控环节为例，银行传统的风控手段并不是很有效，主要因为客户全程不见面，银行无法现场进行贷后检查，这就需要场景方在贷后环节提供数据供银行进行风险管理，因此，在实际操作当中银行必须要和场景方等合作，共同解决此问题。

三是，我是第一批从风控领域切入银行的互联网贷款业务的银行人，经历了互联网贷款业务的爆发期和平稳期，该踩的坑都踩过了，我只想用我的切身经验告诉正准备涉足互联网贷款业务的同业好友们，永远不要指望只靠一款准入模型就能管理好一款互联网贷款产品，这需要一整套的贷前、贷中、贷后全流程风控管理，需要风控模型和IT落地的无缝连接，需要风险部门、业务部门、数据部门、科技部门的紧密配合，更需要风控人对技术的坚持和对底线的坚守，还需要银行对金融创新和业务转型的决心。

14

第六十七条 外国银行分行参照本办法执行。除第六条个人贷款期限要求外（征求意见稿：除第六条及第二十七条中个人贷款期限、贷款支付管理要求外），消费金融公司、汽车金融公司开展互联网贷款业务参照本办法执行。

【解读】消费金融公司、汽车金融公司在贷款管理支付方面，之前是没要求的，现在要求与商业银行一致。