聚合支付的发展现状与风险监管

　　一、引言

　　聚合支付又称“第四方支付”“融合支付”“一码支付”，如果说第三方支付介于银行和商户之间，那么聚合支付则介于第三方支付和商户之间，通过自建渠道聚合银行、第三方支付平台，为中小商户提供在线支付综合解决方案。聚合支付本身并不持有央行颁发的支付牌照，但能够根据商户的需求进行个性化定制，具有灵活性、便捷性特点。

　　聚合支付因支付渠道、支付平台、支付场景、支付数据碎片化这一市场痛点而生。在移动支付规模爆发式增长的背景下，聚合支付的发展也迎来了春天。2014年聚合支付规模只有1 000亿元，到2019年规模增长400倍，达到40万亿元。

　　本文主要研究聚合支付的技术架构，以及在快速发展过程中面临的合规风险和技术风险，并为人民银行有针对性监管、防范风险提供监管建议。

　　二、聚合支付的演变

　　聚合支付孕育于第三方支付，最初作为第三方支付外包服务商的角色出现，其角色的演变经过了3个阶段。

　　第一个阶段是外包服务商。支付行业属于劳动密集型产业，第三方支付公司除进行资金清算外，还需要投入大量人力物力发展商户，其中大部分商户是小微商户，经营边际成本较高。在专业分工内在需求的驱动下，一批收单外包机构孕育而生，为支付机构发展、运营、维护小微商户。这是聚合支付行业的雏形。

　　第二个阶段是收单集成商。收单外包机构往往同时为多个支付机构或收单机构提供服务，而这些机构从后端系统到前端机具都处于隔离、互不联通状态，导致收单外包机构在经营中重复劳动多、效率不高。同时，支付入口和资金通道的分割也降低了商户经营和清算资金的效率。此时，收单外包机构在市场需求的推动下，开始自建后端系统和前端机具，以整合支付入口和资金通道，为商户提供集成式一体化的收单服务，逐渐演化成收单集成商，成为商户和消费者之间的桥梁。

　　第三个阶段是数据运营商。进入大数据时代，数据就是生产资料。聚合支付企业直接面对商户，其集成式一体化的聚合支付平台，天然成为数据入口。聚合支付企业成为商户和消费者之间订单数据和交易数据交换的中间节点，沉淀大量商业数据，形成庞大、优质的数据资产，整个聚合支付行业的商业模式也随之巨变，从支付集成通道转变为数据运营商，在支付链条中的重要性增强。同时，聚合支付行业的商业市场也超脱出支付行业，逐渐嵌入“生产-渠道-销售”的产业链。

　　三、聚合支付现状分析

　　（一）业务模式分析

　　目前，聚合支付主要通过4种业务模式对支付通道进行整合。一是技术集成模式。聚合支付服务商只提供聚合支付平台，不提供接入服务，不碰触客户资金。二是转接模式。聚合支付服务商在技术集成的基础上提供接入服务，并与银行或支付机构合作，由银行和支付机构开展清算服务，自身不碰触客户资金。三是机构直清模式。此种模式是由银行或支付公司开展聚合支付业务，由于本身具备支付牌照或清算职能，能够互联互通，合规开展资金清算服务。四是非法二清模式。此种模式是指未取得支付牌照的公司以大商户模式接入支付平台，资金通过该大商户清算给小商户，即违规开展二次清算。

　　（二）技术构架分析

　　聚合支付出现前，商户与支付服务机构之间连接方式是M×N关系，如图1所示。

　　究其原因，商户需对接多种支付渠道以满足用户多元化的支付需求；支付服务机构为掌控支付入口、丰富应用场景，需分别独立拓展商户。

图1 聚合前M×N网状连接方式

　　聚合支付出现后，聚合支付机构成为商户和支付机构之间的桥梁，为商户提供聚合条码、聚合条码设备、App、支付接口SDK等，将原有点对点的M×N网状连接方式转化为具有中心节点的M×1×N星型连接方式，如图2所示。

图2 聚合支付M×1×N星型连接方式

　　（三）接口报文分析

　　在聚合支付出现前，各支付渠道报文的格式、协议、要素不同，商户需要根据不同支付服务机构的要求分别开发接口报文完成交易。在聚合支付出现后，商户仅需按照聚合机构一方的报文要求进行对接即可，接口报文除了包含订单、商户、收付款方等信息外，只需增加支付渠道信息。聚合系统根据支付渠道信息重新封装报文，并转发至相应的支付服务机构。典型的聚合支付接口报文如图3所示。

　　（四）交易流程技术分析

　　聚合支付机构通过对支付入口和资金通道进行整合，在一定程度上解决了“一柜多码”“一柜多枪”等问题。根据聚合的表现形式，聚合支付分为“静态码聚合支付”“动态码聚合支付”“条码设备聚合支付”，交易流程技术分析具体如下。

图3 聚合支付接口报文示意

　　1. 静态码聚合支付

　　静态码聚合支付模式将原有多个支付服务机构的条码整合成一个由聚合机构生成的“聚合码”，用户使用不同的App（如微信、支付宝等），均可扫描“聚合码”完成支付，避免“一柜多码”问题。其具体交易流程如图4所示。

　　2. 动态码聚合支付

　　与静态码不同，动态码中除商户信息外还包含支付订单信息，用户扫码后不需要输入金额等信息，即可完成支付过程。根据用户不同的支付需求，商户统一通过聚合机构获取条码，无须分别向各个支付服务机构请求条码，避免“一柜多码”问题。其具体流程如图5所示。

　　3. 条码设备聚合支付

　　静态码聚合支付和动态码聚合支付均为付款扫码模式，条码设备聚合支付为收款扫码模式。聚合机构统一为商户部署条码设备及聚合前端，商户可以通过此设备扫描不同支付服务机构的条码，满足用户不同的支付需求，避免“一柜多枪”问题，如图6所示。

图4 静态码聚合支付交易流程

图5 动态码聚合支付交易流程

　　四、聚合支付风险分析

　　（一）合规性风险分析

　　1. 跨界经营风险

　　聚合机构积累了大量商户资源、掌握了多个支付渠道，因此具备收单、交易转接的潜在条件。在商户侧，聚合机构与大量商户实现了业务紧耦合，可能向其代理商户提供交易资金结算服务，存在违规收单风险。因涉及资金数额较大且难以监测，如果资金结算不及时甚至聚合机构“跑路”，将导致消费者、商户产生维权纠纷，甚至引发群体性事件。在支付服务侧，聚合机构与多家支付服务机构实现了业务紧耦合，汇集了大量的支付渠道，存在违规资金清算的潜在风险。

　　2. 商户资质审核不严风险

　　聚合机构实际上协助支付服务机构从事特约商户拓展、资质审核等工作。为了降低成本、快速抢占市场，部分聚合机构简化商户审核流程、降低准入门槛，甚至伪造商户信息、拓展非法商户；同时，因内部管理不严、风险监控机制不健全等因素，聚合机构在商户审核过程中未能充分核实商户经营状况、信用等级、系统安全保障能力等。由于支付服务机构和聚合机构共同参与商户资质审核，可能导致商户管理责任不清、相互推诿等问题。

　　3. 违规行为监控风险

　　聚合机构多支付渠道、多商户接入的特点，使得具体交易信息和准确资金流向可能由聚合机构一方掌握。聚合机构容易将大额交易通过多个商户和支付渠道进行拆分，其违规行为隐蔽性更强，给反洗钱、金融监管、金融数据分析等工作带来困难，加大了监控难度。同时，因聚合机构的风险防控能力不足，恶意商户也可能利用聚合系统实施类似的违规行为。

　　（二）技术风险分析

　　1. 单点故障风险

　　聚合机构实现了支付请求的一点接入和统一转发，使得支付服务机构、商户对聚合系统高度依赖，容易因单点故障造成业务连续性风险。一旦聚合系统出现故障，将导致聚合支付服务中断，严重影响多个支付服务机构和商户的业务。

　　2. 中间人攻击风险

　　聚合系统负责封装转发交易报文，具备作为中间人实施攻击的条件。支付服务机构支付系统并非直接与商户系统实现端到端的交互，难以保障通信链路的双向认证。不法分子或者恶意的聚合机构可能利用聚合系统，篡改、拦截、伪造交易信息，发起中间人攻击。

　　3. 信息泄露风险

　　聚合系统处理大量商户信息、交易数据、支付服务机构参数信息等，可能在日志、数据库中违规留存敏感信息，易造成拖库撞库，成为攻击者“一站式”信息收割的工具。同时，聚合机构由于内控管理不严，可能出现故意售卖敏感信息等行为，更是加剧了信息泄露的风险。

图6 条码设备聚合支付交易流程

　　4. 交易不可追溯风险

　　由于聚合系统将原先支付服务机构支付系统与商户系统之间端到端的交易进行分段处理，支付服务机构难以获取全支付链路上的完整交易信息。同时，聚合机构由于技术能力不足、安全策略不健全、隐藏违规行为等导致交易信息不完整或不准确，更增大了支付服务机构对交易进行监控和追溯的难度。

　　5. 支付接口交叉感染风险

　　聚合系统将银行卡、扫码、会员积分、优惠卡券等各种应用的支付接口与服务接口聚合在一起，彼此缺少必要的安全隔离。低安全级别的应用可能会成为攻击高安全级别应用的跳板，从而在不同安全强度的应用和接口间形成“木桶效应”，导致各渠道的支付接口集中暴露。

　　五、监管对策

　　（一）完善聚合支付业务监管规定

　　目前人民银行将聚合支付机构定位为外包机构，建议参照目前外包机构管理规定，针对聚合支付平台的特点，进一步完善现有外包机构管理法规。特别是要厘清聚合支付机构和银行、持牌支付机构在支付业务上的责任，明确收单机构应对外包聚合支付机构的行为负责，形成间接监管态势，从而堵住聚合服务机构的违法违规通道。

　　（二）制定聚合支付安全技术规范

　　鉴于聚合支付庞大的支付入口体量，及其与消费者、支付机构、银行的中心型连接模式，聚合支付机构存在单点风险。一旦服务中断可能影响支付市场秩序。同时消费者已逐步形成非现金支付习惯，一旦聚合支付服务中断，可能对消费活动和社会活动造成一定的混乱。因此，有必要从行业层面对聚合支付机构的技术安全性提出更高标准。可参照“首次发卡系统安全性和技术合规性”要求，以及支付机构分类评级和续展的相关要求，制定聚合支付安全技术规范，提高聚合支付机构技术的安全性。

　　（三）加强聚合机构的资质管理

　　聚合支付的出现在一定程度上解决了商户和支付服务机构多头连接带来的重复对接、运维复杂、资源浪费、支付服务费高等问题，有助于网络支付向更为集约化发展，提升支付产业整体效率和营利能力。若不涉及资金结算，聚合机构实际上是支付服务机构的网络支付收单外包服务商，建议严格参照《关于加强银行卡收单业务外包管理的通知》（银发[2015]199号）等相关规定，强化外包业务风险管理责任，规范其服务行为，严防大数据聚集和系统单点故障等风险，维护市场秩序。若涉及资金结算，聚合机构将转变成为二清机构，非法从事支付结算业务，或出现聚合机构对商户资金的挤占、挪用、“跑路”风险，将严重影响客户资金安全，对此类行为应进一步加大打击力度，严格规范管理。

　　（四）加强聚合支付的商户资质审核

　　针对聚合机构与支付服务机构在商户拓展过程中产生的委托代理关系，一是要求支付服务机构切实履行商户资质审核的最终责任，不得将聚合支付商户的资质审核、受理协议签订等工作交由聚合机构办理；二是要求支付服务机构的全面尽职调查，审慎选择合作的聚合机构，严格审核聚合机构提交的商户经营情况、财务状况、服务能力等注册申请材料，确保商户信息的真实性和完整性，必要时应开展现场核查。