2017年12月25日，中国人民银行以银发〔2017〕296号印发《条码支付业务规范（试行）》。该《规范》分总则、条码生成和受理、特约商户管理、风险管理、附则5章50条，自2018年4月1日起实施。

中国人民银行关于印发《条码支付业务规范（试行）》的通知

银发〔2017〕296号

中国人民银行上海总部,各分行、营业管理部,各省会（首府）城市中心支行,各副省级城市中心支行；各国有商业银行、股份制商业银行,中国邮政储蓄银行；各非银行支付机构；中国银联股份有限公司,中国支付清算协会,网联清算有限公司：

为规范条码支付业务，保护消费者合法权益，维护市场公平竞争环境，促进移动支付业务健康可持续发展，现将《条码支付业务规范（试行）》（附件）印发给你们，并将有关工作要求通知如下，请一并遵照执行。

一、严格遵循业务资质及清算管理要求

非银行支付机构（以下简称支付机构）向客户提供基于条码技术的付款服务的，应当取得网络支付业务许可；支付机构为实体特约商户和网络特约商户提供条码支付收单服务的，应当分别取得银行卡收单业务许可和网络支付业务许可。

银行业金融机构（以下简称银行）、支付机构开展条码支付业务涉及跨行交易时，应当通过人民银行跨行清算系统或者具备合法资质的清算机构处理。自本通知发布之日起，银行、支付机构不得新增不同法人机构间直连处理条码支付业务；存量业务应按照人民银行有关规定加快迁移到合法清算机构处理。

二、规范条码支付收单业务管理

条码支付收单业务，是指收单机构与特约商户签订受理协议，在特约商户按约定受理基于条码技术的支付方式并与付款人达成交易后，为特约商户提供交易资金结算服务的行为。银行和支付机构在为特约商户提供条码支付收单服务时，应执行《银行卡收单业务管理办法》（中国人民银行公告〔2013〕第9号公布）、《中国人民银行关于加强银行卡收单业务外包管理的通知》（银发〔2015〕199号）等规定。银行、支付机构应当加强条码支付收单业务管理，严格遵守商户实名制、商户风险评级、交易风险监测等基本规定。为实体特约商户提供收单服务，应履行本地化经营、商户定期巡检责任；为网络特约商户提供收单服务，应强化对网络支付接口的使用管理和交易监测，采取有效的检查措施和技术手段对其经营内容和交易情况进行检查。银行、支付机构与外包服务机构开展条码支付业务合作的，应明确外包服务机构定位，加强管理，防范业务风险。

三、发挥行业自律作用

银行、支付机构从事条码支付业务，应接受中国支付清算协会行业自律管理。中国支付清算协会应将条码支付特约商户纳入协会特约商户信息管理系统管理；对条码支付外包服务机构，一并纳入中国支付清算协会银行卡收单外包服务机构评级体系管理。对被实名举报涉嫌违法违规开展条码支付业务的，中国支付清算协会应按照《支付结算违法违规行为举报奖励办法》（中国人民银行公告〔2016〕第7号公布）及其实施细则的相关要求进行处理。

四、加大监督检查力度

已开展条码支付业务的银行、支付机构应当全面梳理自身条码支付业务情况（含境内、跨境、境外业务）并形成报告，包括但不限于按年度统计的业务量、产品介绍、业务流程、技术方案、风险管理机制、境内外机构合作情况、资金清算模式、收费标准及利润分配机制、客户权益保护措施、外包服务机构信息及外包范围、以及根据本通知进行自查的情况及整改方案等。2018年1月31日前，全国性银行将报告报送人民银行总行，其他银行和支付机构将报告报送法人所在地人民银行分支机构。

银行、支付机构和清算机构开展条码支付业务创新，拓展跨境、境外条码支付业务的，应当至少提前30日向人民银行总行或法人所在地人民银行分支机构报告。

人民银行分支机构依法对辖区内银行、支付机构条码支付业务进行监督管理，加大检查力度，对违规行为应按照《非金融机构支付服务管理办法》（中国人民银行令〔2010〕第2号发布）、《银行卡收单业务管理办法》、《非银行支付机构网络支付业务管理办法》（中国人民银行公告〔2015〕第43号公布）等相关规定予以处理；对情节严重的，依照《中华人民共和国中国人民银行法》第四十六条规定予以处罚。

请人民银行分支机构将本通知转发至辖区内城市商业银行、农村商业银行、农村合作银行、农村信用社、村镇银行、外资银行。

附件：条码支付业务规范（试行）

中国人民银行

2017年12月25日

条码支付业务规范（试行）

第一章 总则

第一条 为规范条码（二维码）支付（以下简称条码支付）业务，保护消费者合法权益，促进条码支付业务健康发展，根据《电子支付指引(第一号)》（中国人民银行公告〔2005〕第23号公布）、《非金融机构支付服务管理办法》（中国人民银行公告〔2010〕第2号公布）、《银行卡收单业务管理办法》（中国人民银行公告〔2013〕第9号公布）、《非银行支付机构网络支付业务管理办法》（中国人民银行公告〔2015〕第43号公布）等规定，制定本规范。

第二条 本规范所称条码支付业务是指银行业金融机构（以下简称银行）、非银行支付机构（以下简称支付机构）应用条码技术，实现收付款人之间货币资金转移的业务活动。

条码支付业务包括付款扫码和收款扫码。付款扫码是指付款人通过移动终端识读收款人展示的条码完成支付的行为。收款扫码是指收款人通过识读付款人移动终端展示的条码完成支付的行为。

第三条 银行、支付机构开展条码支付业务应遵循本规范。

第四条 支付机构开展条码支付业务，应按规定取得相应的业务许可,并按相应管理办法规范开展业务。

第五条 支付机构不得基于条码技术，从事或变相从事证券、保险、信贷、融资、理财、担保、信托、货币兑换、现金存取等业务。

第六条 银行、支付机构开展条码支付业务应遵守客户实名制管理规定；遵守反洗钱法律法规要求，履行反洗钱和反恐怖融资义务；依法维护客户及相关主体的合法权益。

第七条 银行、支付机构应自觉遵守商业道德，不得以任何形式诋毁其他市场主体的商业信誉，不得采用不正当竞争手段排挤竞争对手、损害其他市场主体利益，破坏市场公平竞争秩序。

第八条 银行、支付机构应遵守中国人民银行发布的相关技术标准与规范要求，保证条码支付业务的交易安全和信息安全。

第二章 条码生成和受理

第九条 银行、支付机构开展条码支付业务，应将客户用于生成条码的银行账户或支付账户、身份证件号码、手机号码进行关联管理。

第十条 银行、支付机构开展条码支付业务,可以组合选用下列三种要素，对客户条码支付交易进行验证：

（一）仅客户本人知悉的要素，如静态密码等；

（二）仅客户本人持有并特有的，不可复制或者不可重复利用的要素，如经过安全认证的数字证书、电子签名，以及通过安全渠道生成和传输的一次性密码等；

（三）客户本人生物特征要素，如指纹等。

银行、支付机构应当确保采用的要素相互独立，部分要素的损坏或者泄露不应导致其他要素损坏或者泄露。

第十一条 采用数字证书、电子签名作为验证要素的，数字证书及生成电子签名的过程应符合相关规定，应确保数字证书的唯一性、完整性及交易的不可抵赖性。

采用一次性密码作为验证要素的，应当切实防范一次性密码获取端与支付指令发起端为相同物理设备而带来的风险，并将一次性密码有效期严格限制在最短的必要时间内。

采用客户本人生物特征作为验证要素的，应当符合国家、金融行业标准和相关信息安全管理要求，防止被非法存储、复制或重放。

第十二条 银行、支付机构应根据《条码支付安全技术规范（试行）》（银办发〔2017〕242号）关于风险防范能力的分级，对个人客户的条码支付业务进行限额管理：

（一）风险防范能力达到A级，即采用包括数字证书或电子签名在内的两类（含）以上有效要素对交易进行验证的，可与客户通过协议自主约定单日累计限额；

（二）风险防范能力达到B级，即采用不包括数字证书、电子签名在内的两类（含）以上有效要素对交易进行验证的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过5000元；

（三）风险防范能力达到C级，即采用不足两类要素对交易进行验证的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过1000元；

（四）风险防范能力达到D级，即使用静态条码的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过500元。

第十三条 支付机构向客户开户银行发送支付指令，扣划客户银行账户资金的，同一客户全部银行账户合计日累计交易限额执行第十二条的规定。

第十四条 银行、支付机构提供付款扫码服务的，应具备差异化的风控措施和完善的客户权益受损解决机制，在条码生成、识读、支付等核心业务流程中明确提示客户支付风险，切实防范不法分子通过在条码中植入木马、病毒等方式造成客户信息泄露和资金损失。

第十五条 银行、支付机构提供收款扫码服务的，应使用动态条码，设置条码有效期、使用次数等方式，防止条码被重复使用导致重复扣款，确保条码真实有效。

第十六条 银行、支付机构开展条码支付业务所涉及的业务系统、客户端软件、受理终端(网络支付接口)等，应当持续符合监管部门及行业标准要求，确保条码生成和识读过程的安全性、真实性和完整性。

第十七条 银行、支付机构应按照中国人民银行相关规定强化支付敏感信息内控管理和安全防护，强化交易密码保护机制；通过支付标记化技术应用等手段，从源头控制信息泄露和欺诈交易风险。

第十八条 银行、支付机构应指定专人操作与维护条码生成相关系统。条码信息仅限包含当次支付相关信息，不应包含任何与客户及其账户相关的支付敏感信息。

特约商户展示的条码，仅限包含与当次支付有关的特约商户、商品（服务）或商品（服务）订单等信息。

移动终端展示的条码，不得包含未经加密处理的客户本人账户信息。

第十九条 银行、支付机构应确保条码支付交易经客户确认或授权后发起，支付指令应真实、完整、有效。

移动终端完成条码扫描后，应正确、完整显示扫码内容，供客户确认。

特约商户受理终端完成条码扫描后，应仅显示扫码结果并提示下一步操作，不得显示付款人的支付敏感信息。

第二十条 银行、支付机构应根据条码支付的真实场景，按规定正确选用交易类型，准确标识交易信息并完整发送，确保交易信息的完整性、真实性和可追溯性。

交易信息至少应包括：直接提供商品或服务的特约商户名称、类别和代码，受理终端（网络支付接口）类型和代码，交易时间和地点（网络特约商户的网络地址），交易金额，交易类型和渠道，交易发起方式等。网络特约商户的交易信息还应当包括订单号和网络交易平台名称。

银行、支付机构应在支付交易报文中通过特定域标识该交易为条码支付交易，以供报文接收方正确识别并进行授权处理。

第二十一条 支付交易完成后，特约商户受理终端和移动终端应显示支付结果；支付失败的，特约商户受理终端和移动终端还应显示失败原因。

第三章 特约商户管理

第二十二条银行、支付机构拓展条码支付特约商户，应遵循“了解你的客户”原则，确保所拓展的是依法设立、合法经营的特约商户。

第二十三条中国支付清算协会、清算机构应将条码支付特约商户纳入特约商户信息管理系统及黑名单管理机制。银行、支付机构拓展特约商户时，应进行查询确认，如商户及其法定代表人或负责人在特约商户信息管理系统中存在不良信息记录的，应谨慎为该商户提供条码支付服务；不得将已纳入黑名单的单位和个人，以及由纳入黑名单个人担任法定代表人或者负责人的单位拓展为特约商户，已经拓展为特约商户的，应当自该特约商户被列入黑名单之日起10日内予以清退。

第二十四条 银行、支付机构拓展特约商户应落实实名制规定，严格审核特约商户的营业执照等证明文件，以及法定代表人或负责人的有效身份证件等申请材料，确认申请材料的真实性、完整性、有效性，并留存申请材料的影印件或复印件。

对依据法律法规和相关监管规定免于办理工商注册登记的实体特约商户（小微商户），收单机构在遵循“了解你的客户”原则的前提下，可以通过审核商户主要负责人身份证明文件和辅助证明材料为其提供条码支付收单服务。辅助证明材料包括但不限于营业场所租赁协议或者产权证明、集中经营场所管理方出具的证明文件等能够反映小微商户真实、合法从事商品或服务交易活动的材料。

以同一个身份证件在同一家收单机构办理的全部小微商户基于信用卡的条码支付收款金额日累计不超过1000元、月累计不超过1万元。银行、支付机构应当结合小微商户风险等级动态调整交易卡种、交易限额、结算周期等，强化对小微商户的交易监测。

第二十五条 银行、支付机构应与特约商户签订条码支付受理协议，就银行结算账户的设置和变更、资金结算周期、结算手续费标准、差错和争议处理等条码支付服务相关事项进行约定，明确双方的权利、义务和违约责任。

第二十六条银行、支付机构在条码支付受理协议中，应要求特约商户基于真实的商品或服务交易背景受理条码支付；按规定使用受理终端或网络支付接口、银行结算账户，不得利用其从事或协助他人从事非法活动；妥善处理交易数据信息、保存交易凭证，保障交易信息安全；不得向客户收取或变相收取附加费用，或降低服务水平。

第二十七条 银行、支付机构应建立特约商户信息管理系统，记录特约商户名称和经营地址、特约商户身份资料信息、特约商户类别、结算手续费标准、银行结算账户信息、开通的交易类型和开通时间、受理终端（网络交易接口）类型和安装地址等信息，并及时进行更新。

银行、支付机构应按规定向中国支付清算协会和清算机构特约商户信息管理系统报送特约商户基本信息。

第二十八条 银行、支付机构应建立特约商户检查制度，明确检查频率、检查内容、检查记录等管理要求，落实检查责任。

第二十九条 银行、支付机构应当对实体特约商户条码收单业务进行本地化经营和管理，通过在特约商户及其分支机构所在省（区、市）辖内的收单机构或其分支机构提供收单服务，不得跨省（区、市）开展条码收单业务。

第三十条银行、支付机构应按照《中国人民银行关于加强银行卡收单业务外包管理的通知》（银发〔2015〕199号）相关要求审慎选择外包服务机构，严格规范与外包服务机构的业务合作，强化收单外包业务的风险管理责任。银行、支付机构作为条码支付收单业务主体的管理责任和风险承担责任不因外包关系而转移。

银行、支付机构不得将特约商户资质审核、受理协议签订、资金结算、交易处理、风险监测、受理终端主密钥生成和管理、网络支付接口管理、差错和争议处理工作交由外包服务机构办理。银行、支付机构与外包服务机构系统对接开展业务的，应确保外包服务机构无法获取或者接触支付敏感信息、不得从事或者变相从事特约商户资金结算。

第三十一条 银行、支付机构应尊重特约商户的自主选择权，不得干涉或变相干涉特约商户与其他机构的合作。

第三十二条 银行、支付机构开展条码支付业务应参照银行卡刷卡手续费定价标准科学合理定价，不得采用交叉补贴、低于成本价格倾销等不正当手段排挤竞争对手，扰乱市场秩序。

第四章 风险管理

第三十三条 银行、支付机构应建立全面风险管理体系和内部控制机制，提升风险识别能力，采取有效措施防范风险，及时发现、处理可疑交易信息及风险事件。

第三十四条 银行、支付机构开展条码支付业务，应当评估业务相关的洗钱和恐怖融资风险，采取与风险水平相适应的管控措施。

第三十五条 银行、支付机构应建立特约商户风险评级制度，综合考虑特约商户的区域和行业特征、经营规模、财务和资信状况等因素，对特约商户进行风险评级。

第三十六条 银行、支付机构应结合特约商户风险等级及交易类型等因素，设置或与其约定单笔及日累计交易限额。

第三十七条 银行、支付机构对风险等级较高的特约商户，应通过强化交易监测、建立特约商户风险准备金、延迟清算等风险管理措施，防范交易风险。

第三十八条 银行、支付机构应建立特约商户检查、评估制度，根据特约商户的风险等级，制定不同的检查、评估频率和方式，并保留相关记录。

第三十九条 银行、支付机构应制定突发事件应急预案，建立灾难备份系统，确保条码支付业务的连续性和业务系统安全运行。

第四十条 银行、支付机构应能够有效识别本机构发行的客户端程序和特约商户受理终端，能够确保条码生成和识读过程的安全性。

第四十一条 银行、支付机构应确保客户身份或账户信息安全，防止泄露，并根据收付款不同业务场景设置条码有效性和使用次数。

第四十二条 银行、支付机构应建立条码支付交易风险监测体系，及时发现可疑交易，并采取阻断交易、联系客户核实交易等方式防范交易风险。

第四十三条 银行、支付机构发现特约商户发生疑似套现、洗钱、恐怖融资、欺诈、留存或泄露账户信息等风险事件的，应对特约商户采取延迟资金结算、暂停交易、冻结账户等措施，并承担因未采取措施导致的风险损失责任；发现涉嫌违法犯罪活动的，应及时向公安机关报案。

第四十四条 银行、支付机构应持续完善客户服务体系，及时受理和解决条码支付业务中的客户咨询、查询和投诉等问题，自觉维护客户的合法权益。

第四十五条 银行、支付机构应充分披露条码支付业务产品类型、办理流程、操作规程、收费标准等信息，明确业务风险点及相关责任承担机制、风险损失赔付方式及操作方式。

第四十六条 银行、支付机构应开展对客户的条码支付安全教育，提升其风险防范意识和应对能力。

第四十七条 银行、支付机构应向中国支付清算协会、清算机构风险信息管理系统报送其条码支付特约商户风险信息。

银行、支付机构或其外包服务机构、条码支付特约商户发生涉嫌重大支付违法犯罪案件或重大风险事件的，应当于2个工作日内向中国人民银行或其分支机构报告。

第五章 附则

第四十八条 采取自定义符号、图形、图像等作为信息载体传递交易信息用于支付服务的，参照本规范进行管理。

第四十九条 本规范相关用语含义如下：

移动终端，指客户使用的、具有移动通讯功能，用于展示或识读条码，完成支付的终端设备。如手机、平板电脑等。

特约商户受理终端，指具有条码展示或识读等功能，参与条码支付完成销售收款的特约商户端专用设备。包括具有条码展示功能的显码设备；识读条码并且向后台系统发起支付指令的专用设备，包括但不限于带扫码装置的收银系统、销售点终端（POS）、自助终端等。

支付敏感信息，是指一旦遭到泄露或修改，会对标识的信息主体的信息安全和资金安全造成危害的信息。包括但不限于支付密码、银行卡密码、验证码、卡片有效期、生物特征以及未获客户授权的金融信息。

第五十条 本规范自2018年4月1日起实施。

为贯彻落实党的十九大精神和第五次全国金融工作会议有关部署，鼓励并规范金融创新，引导信息技术在金融领域正确应用，提升金融服务实体经济能力，人民银行日前发布《中国人民银行关于印发<条码支付业务规范（试行）>的通知》（银发〔2017〕296号），配套印发了《条码支付安全技术规范（试行）》和《条码支付受理终端技术规范（试行）》（银办发〔2017〕242号发布），自2018年4月1日起实施。

近年来条码支付业务快速发展，在小额、便民支付领域显现出门槛低、使用便捷的优势，市场份额持续增长，成为移动支付发展的重要体现形式。同时，条码支付的技术实现方式和业务风险相对传统银行卡支付具有其特殊性，部分市场机构在业务开展中也存在扰乱公平竞争秩序、支付风险防范不到位等问题。人民银行秉承有效平衡鼓励创新与防范风险原则，一直密切关注创新支付业务发展。为促进条码支付健康可持续发展，人民银行指导中国支付清算协会组织市场机构、专家学者就条码支付相关问题开展充分研讨并达成高度共识，研究制定了相应业务规范和技术规范。在业务规范方面，银行业金融机构、非银行支付机构开展条码支付业务涉及跨行交易时，必须通过人民银行清算系统或者合法清算机构处理，支付机构还应符合相应的业务资质要求。为消费者提供条码支付付款服务的，应当立足于小额、便民市场定位，按照风险防范能力等级，对条码支付额度进行分级管理，在风险防范和支付便捷中取得有效平衡。为特约商户提供条码支付收单服务的，应执行银行卡收单业务管理相关要求，切实履行商户管理、交易风险监测等收单主体责任，强化对收单外包机构管理。

在技术规范方面，银行业金融机构、非银行支付机构和清算机构要加强条码支付技术风险防控，合理运用支付标记化、可信执行环境、条码防伪识别等手段，提升条码支付客户端软件安全防护能力，规范条码支付交易报文管理，保障交易信息的真实性、完整性、一致性、可追溯性，构建以受理终端注册、大数据分析为基础的条码支付创新风险管理机制。要加强标准落地实施，强化条码支付产品质量和安全管理，提升条码支付产品的技术标准符合性和安全性，切实保障金融消费者的财产安全和合法权益。

上述通知和规范旨在遵循“鼓励创新、防范风险、趋利避害、健康发展”的总体要求，指导产业各方正确处理安全与发展的关系，在严守金融安全底线和业务规范的基础上开展支付创新，提供安全、高效的条码支付服务，积极推进普惠金融发展，维护公平竞争的市场环境，促进支付产业健康可持续发展，为人民群众提供安全便利的金融服务。

条码支付具有支付便捷、应用门槛低的优势，在推动普惠金融和优化我国非现金支付环境建设方面能够发挥积极作用。对创新支付的监管，人民银行一贯秉承“鼓励创新，防范风险”并重的原则。自本世纪初，国内外各市场主体开始尝试将条码技术运用于移动支付领域，以提升支付便捷性和用户体验。为鼓励市场机构业务创新，2011年，人民银行同意部分非银行支付机构（以下简称支付机构）在限定场景内试点开展条码支付业务，审慎地将条码定位于银行卡支付的补充，并提出严格的风险管理要求。2014年，在未建立有效安全措施、统一的业务规则和消费者权益保护制度的背景下，部分支付机构采取持续补贴的方式广泛推广条码支付业务，人民银行对其采取了暂停线下条码支付业务的监管措施。随着近年来支付标记化（Tokenization）等技术在移动支付中的广泛应用，客观上提高了条码支付的安全标准。但是，囿于缺乏统一的业务规范和技术标准，在条码生成机制和传输过程中仍存在风险隐患，也引发了支付安全的风险案件，市场机构在业务推广过程中还存在不正当竞争等现象。

为贯彻落实党的十九大和第五次全国金融工作会议精神，鼓励并规范金融创新，促进条码支付健康可持续发展，人民银行指导中国支付清算协会组织会员单位、专家学者进行研究论证，研究制定了条码支付业务规范和技术规范，并通过书面征求意见、召开专题会议等形式充分听取各方意见建议并修改完善，实现了监管与市场的顺畅沟通和有效互动，达成了高度共识。

一是条码支付在降低商户准入门槛的同时，加剧收单市场乱象。由于条码支付设备成本低于传统的银行卡受理终端，还可通过张贴静态条码实现收付款业务，能够满足小微商户的非现金支付受理需求，与银行卡收单互为补充，提升社会整体支付服务水平。但是，部分市场机构利用条码可远程发送、不受专业受理终端限制的特点，在商户拓展过程中未履行“了解你的客户”义务，通过“一证下机”等方式违规发展商户，加剧了套现、二清、外包管理不到位等收单乱象，存在各类安全隐患，对市场可持续发展造成较大的危害。

二是条码支付在促进移动支付普及发展的同时，出现扰乱市场公平竞争秩序的现象。近年来，条码支付在小额、便民支付领域市场份额持续增加，促进了移动支付的快发展和普惠金融的广覆盖。但是，部分市场机构在开展条码支付业务时，在定价和市场推广策略中采取倾销、交叉补贴等不正当竞争手段，滥用本机构及关联企业的市场优势地位，排除、限制支付服务竞争，导致支付行业无序发展和不公平竞争，扰乱市场秩序。

三是条码支付借助开放互联网和非专业设备进行交易处理，带来一定的技术风险。包括：可视化风险，条码在开放互联网环境下以图形化方式进行展示，不法分子可通过截屏、偷拍等手段盗取支付凭证，在支付凭证有效期内盗用资金；易携带恶意代码的风险，条码不仅可存储支付要素，也可携带非法链接或程序代码，不法分子可将木马病毒、钓鱼网站链接制成条码，诱导客户扫描，窃取支付敏感信息；信息单向交互风险，条码支付只能实现发起方或接收方的单向信息交互，不法分子可利用该弱点实施“中间人攻击”，绕过身份认证机制，造成用户资金损失；扫码设备安全强度低的风险，条码支付对设备要求低，普通的手机摄像头、超市简易的收银机扫描枪等不具备加密、防拆机等安全功能的设备均可识别条码，易被不法分子非法改装使用。

一是强调业务资质要求。明确支付机构向客户提供基于条码的付款服务时，应取得网络支付业务许可；支付机构为实体特约商户和网络特约商户提供条码支付收单服务的，应当分别取得银行卡收单业务许可和网络支付业务许可。

二是重申清算管理要求。针对部分支付机构与多家银行业金融机构（以下简称银行）或支付机构直连进行商户拓展，进一步强化了支付机构与银行多头直连的现象，明确要求银行、支付机构开展条码支付业务涉及跨行交易时，应当通过人民银行跨行清算系统或者具备合法资质的清算机构处理。

三是要求维护市场公平竞争秩序。市场机构不得以任何形式诋毁其他市场主体的商业信誉，不得采用不正当竞争手段损害其他市场主体利益、排挤竞争对手，破坏市场公平竞争秩序。

四是规范条码生成和受理。提出交易验证方式、交易限额管理、信息管理和安全防护，静态条码应用管理、综合应用支付标记化技术等措施，保障条码支付业务的安全性。

五是加强商户管理和风险管理。从特约商户资质审核、受理协议签订、商户风险评级、商户检查，以及交易风险监测，客户安全教育等方面提出要求，强化业务风险管理。

一是加强条码安全防护。采取支付标记化（Tokenization）、有效期控制、条码防伪识别等手段，提升条码生成、存储、展示、识读、解析、使用等环节的安全防护能力，有效保障条码的可靠性和有效性。

二是提升条码支付交易安全强度。针对不同条码生成方式，提出加密生成、定期更新、终端唯一标识绑定等具有针对性的安全防护措施。要求银行、支付机构和清算机构运用交易验证强度与交易额度相匹配的技术措施提高条码支付交易的安全性。

三是强化条码支付交易风险监测与预警。合理应用大数据分析、用户行为建模等手段建立条码支付风险监控模型和系统，对异常交易及时预警并附加风控措施，对高风险交易及时告知客户资金变化情况。

四是加强客户端软件安全管理。从木马病毒防范、信息加密保护、运行环境可信等方面提升条码支付客户端软件的安全防护能力，要求客户端软件能够监测并向后台系统反馈手机支付环境安全状况并作为风控策略的依据。

支付服务属于金融服务，与社会经济运行和百姓日常生活密切相关，支付安全关乎人民群众财产安全和合法权益，稳健经营关乎产业的健康可持续发展。便捷的使用方式、良好的用户体验是支付创新的生命力，但不能单纯追求无底线的创新；稳定、可持续的投入和运营是支付业务长远发展的保障，不能为了追求短期的市场份额，采取“烧钱”“补贴”等不当竞争手段。通知和规范旨在指导相关单位正确处理安全与发展的关系，在严守安全底线的基础上开展支付创新，维护公平竞争的市场环境，促进行业健康可持续发展，为人民群众提供安全便利的金融服务。通知和规范提出的业务规范要求和安全管理措施非但不会制约支付创新发展，反而能够指引支付业务创新沿着安全规范的方向发展，确保创新业务的质量和效能，保障行业发展的稳健和长远。

业务规范的落地实施要通过构建企业自我管理、行业组织自律、主管部门监管、社会全面监督多位一体的管理体系，保障各项要求落实到位。已开展业务的银行业金融机构、支付机构应当全面梳理自身条码支付业务情况，根据规范要求进行自查和整改。开展条码支付业务创新的，应当履行提前报告义务。银行、支付机构从事条码支付业务，应接受中国支付清算协会行业自律管理，并充分发挥违法违规举报奖励机制的作用，净化市场发展环境。人民银行分支机构依法对辖区内银行、支付机构条码支付业务进行监督管理，加大检查力度，对违规行为，应依法严肃处理。

技术规范的落地实施需要从产品质量管理、入网管理、专项检查、安全评估等方面多管齐下，切实提升条码支付技术风险防控能力。银行、支付机构要严格落实技术规范提出的各项要求，强化条码支付产品安全管理，健全条码支付风险防控机制，使用符合国家标准及金融行业标准的产品，确保相关业务系统、受理终端等的技术标准符合性。清算机构要强化受理终端入网管理，完善终端定期抽检机制，加强终端抽样检测力度。人民银行分支机构要定期对条码支付相关业务系统、受理终端等组织开展专项抽查，强化条码支付技术管理。

一是采用数字签名、加密传输等措施，加强支付指令真实性。二是在交易报文中准确记录发起方、接收方、网络路由、唯一交易流水号等关键信息，保障交易可追溯性和一致性。三是完善商户、渠道、订单等交易信息，精准刻画交易全貌，确保支付指令完整性。

静态条码易被篡改或变造，易携带木马或病毒，真伪难辨，导致支付风险较高。因此，提出了一系列防范静态条码风险的措施：一是要求静态条码应由后台服务器加密生成，宜采用防伪纸张展示条码，防伪纸张应具备一定防伪特征。二是要求展示静态条码的介质应放置在商户收银员视线范围内，商户应定期对介质进行检查。三是要求静态条码采用防护罩等物理防护手段避免被覆盖或替换，宜使用防伪标签对防护罩进行标记。四是要求在静态条码介质显著位置明显展示收款方信息，便于用户核对。五是通过风险防范能力分级管理，进一步规范使用静态条码，并鼓励使用风险防范能力较高的收款扫码方式。

条码支付与传统银行卡等支付工具相比在交易安全性上存在一定不足，人民银行坚持条码支付小额、便民的定位，对条码支付风险防范能力进行分级。发行条码的银行、支付机构应根据风险防范能力等级，在确保风险可控和尽量满足用户需求的前提下科学合理设置相匹配的日累计交易限额。

使用动态条码进行支付的，风险防范能力分级见下表。

使用静态条码进行支付的，风险防范能力为D级，无论使用何种交易验证方式，同一客户单个银行账户或所有支付账户、快捷支付单日累计交易金额应不超过500元。

为引导银行、支付机构提高交易验证方式的安全性，加强客户资金安全保护，对于风险防范能力高、交易验证方式更为安全的，不设定额度上限，市场主体可与客户自行约定交易限额。基于防替换、防盗刷等安全因素角度考虑，要求银行、支付机构使用静态条码支付时要执行更加严格的限额管理措施，以鼓励市场主体采用更为安全的动态条码提供支付服务。依据主要市场机构条码支付交易数据显示，上述额度已覆盖绝大部分使用条码支付付款客户及商户的需求。

加强对条码支付特约商户管理的目的在于排除风险商户，防范和遏制不法分子利用条码支付业务隐藏木马病毒、进行洗钱、欺诈等犯罪活动，更好地维护条码支付业务参与各方的合法权益。考虑到条码支付业务涉及银行账户和支付账户，且可应用于网络特约商户和实体特约商户，为保持监管制度和标准的一致性，我们遵循银行卡收单业务管理的相关要求，从条码支付特约商户拓展、特约商户审批、特约商户信息留存及管理、黑名单管理、实体商户属地化管理、外包业务管理等方面明确了具体的管理要求。同时，为了兼顾小微商户受理条码支付的需求，促进普惠金融发展，明确在符合相关资质审核和认定的前提下，小微商户可以受理条码支付；同时，为了防范套现等交易风险，对以同一个身份证件在同一家收单机构办理的全部小微商户基于信用卡的条码支付收款金额日累计不超过1000元、月累计不超过1万元，但受理基于借记卡的条码支付不受收款额度的限制。