非银行支付机构分类评级管理办法
现行《非银行支付机构分类评级管理办法》自 2026年2月1日 起执行。它不是一部网络安全专项法规，但系统安全是支付机构分类评级的七个独立模块之一，占15分，评级结果又直接影响监管重点、现场与非现场检查频率，因此值得纳入支付安全合规体系。
法规概览
| 项目 | 内容 |
|---|---|
| 文件 | 《非银行支付机构分类评级管理办法》 |
| 文号 | 银发〔2025〕250号 |
| 印发日期 | 2025年12月24日 |
| 执行日期 | 2026年2月1日 |
| 评级频率 | 每年一次 |
| 评级模块 | 公司治理、业务规范、备付金管理、用户权益保护、系统安全、反洗钱措施、经营稳健性 |
| 系统安全权重 | 15分 / 100分 |
| 评级结果 | A（AAA/AA/A）、B（BBB/BB/B）、C（CCC/CC/C）、D、E，共5类11级 |
安全负责人关注点
系统安全不是辅助项，而是独立评级模块
系统安全与反洗钱、经营稳健性同为15分模块。人民银行建立由支付结算部门牵头，科技、反洗钱等部门参与的评级机制，因此网络与技术风险会直接进入机构级监管评价。
落实与验收。
- 将年度分类评级作为安全治理的一个外部结果指标，而不是临近监管报送时临时准备材料。
- 建立“评级要素 → 安全控制 → 责任团队 → 运行证据 → 整改状态”的持续映射。
- 将现场检查、非现场监管、技术风险提示和历史整改结果纳入年度准备。
验收标准。
- 系统安全评级材料能够直接来自日常安全治理和运行证据，而不是年度临时补写。
- 历次监管、检测认证和内部审计问题均能追溯整改、复测和关闭依据。
- 同一安全控制在制度、系统配置、运行记录和报送材料中的表述一致。
评级会改变后续监管强度
分类评级结果是人民银行制定监管计划、配置监管资源和采取审慎监管措施的重要依据。评级越低，监管关注和检查强度相应提高；因此安全问题的影响不只是一项技术整改，还可能通过机构评级放大为持续监管影响。
安全负责人应把重大系统安全缺陷、长期未整改问题和监管重复发现的问题纳入管理层风险视图，并关注它们对整体评级和监管检查的潜在影响。
自评材料本身也是监管风险
办法规定支付机构参与年度自评；未提交自评报告和说明材料，或者材料存在虚假记载、误导性陈述或者重大遗漏，属于直接评为E类的情形之一。
验收标准。
- 自评结论能够追溯到底层证据和责任人。
- 对无法证明、尚未整改和存在争议的事项如实说明，不通过补造材料形成“已合规”结论。
- 安全、支付合规、反洗钱等模块使用一致的事实口径。
与安全法规的关系
分类评级办法回答的是“监管如何评价支付机构整体风险”，并不替代具体安全义务。系统安全建设仍应主要依据：
- 《非银行支付机构监督管理条例》及实施细则；
- 《中国人民银行业务领域数据安全管理办法》（3号令）；
- 《中国人民银行业务领域网络安全事件报告管理办法》（4号令）；
- 网络安全法、数据安全法、个人信息保护法等通用法规；
- 适用的金融网络与数据安全标准。
因此更适合把本办法作为监管结果层：底层法规定义义务，安全控制负责落实，分类评级综合评价机构风险。