非银行支付机构监督管理条例实施细则
支付系统改造需要同时考虑业务设施、许可事项、连续性和数据处理变化。本文依据中国人民银行令〔2024〕第4号正式文本及政府公开全文，重点展开安全与技术团队的实施接口。
法规概览
| 项目 | 内容 |
|---|---|
| 公布与施行 | 2024年7月9日公布，自公布之日起施行 |
| 文件身份 | 中国人民银行令〔2024〕第4号 |
| 适用主体 | 非银行支付机构及相关许可、运营和监管活动 |
| 日期口径 | 第75条规定细则所称“日”为工作日；明确写明自然日的事项另按其表述 |
| 易混淆文件 | 2025年第4号令是业务领域网络安全事件报告办法，不能只用“4号令”区分 |
监督管理条例提供基础义务，细则落到具体条件；人民银行网络安全事件报告办法另行规定相应事件的分级和时限。
安全要求与实施
支付设施与主要经营场所共同核对
法规要求｜第13—16条。 结合治理、风险管理、业务流程及设施要求准备相应材料；第16条规定生产中心机房原则上应与主要经营场所位于同一省、自治区、直辖市。
边界。 “主要经营场所”不能直接替换成注册住所；机房迁移、架构改造也不能一律写成需要同一种许可。应按实际变化分别核对设施、许可和重大事项报告要求。
| 实际变化 | 实施检查 | 验收证据 |
|---|---|---|
| 生产机房迁移 | 核对迁移前后所在地、主要经营场所、设施和报告条件 | 实际部署、机房资料、适用性判断及必要手续 |
| 核心系统改造 | 核对业务流、资金流、安全边界和恢复能力 | 设计、测试、切换、回滚及生产验证 |
| 云或外包变化 | 核对核心技术控制、供应商访问及数据位置 | 合同与真实权限、部署和数据流一致 |
| 主体或经营事项变化 | 核对是否属于批准、变更或报告事项 | 对应条款、批准文件或报送记录 |
表中是项目组织方法，不是细则对每类技术变更统一设定的审批清单。
应急预案覆盖支付、资金与用户信息
法规要求｜第57—58条。 应急预案覆盖支付业务系统连续性、备付金及用户信息泄露等风险；用户权益保障安排还涉及信息保护、投诉处理、损失赔付及退出等内容。
验收示例。 模拟支付主链路故障并伴随用户信息风险，检查技术止损、交易状态核对、资金及用户影响分析、投诉沟通和报告判断是否并行。主备系统能够启动，不等于支付链路已恢复；应进一步验证未完成交易、重复处理、账务与相关外部依赖。
内部恢复目标、值班和演练频率应结合适用制度与业务分析确定，不自行把某个工程目标写成细则统一强制数字。
保存期限先匹配记录和适用上位法
法规要求｜第61条。 细则对用户资料、交易记录规定相应保存要求，涉及调查的记录还需按条件延长保存。使用该条时，必须继续核对后续上位法。
现行衔接。 2025年1月1日起施行的修订《反洗钱法》第34条要求相关客户身份资料在业务关系结束后、客户交易信息在交易结束后至少保存十年。适用这些要求时，不能仅依据细则原有五年设置删除策略。
验收。 为记录类型分别登记法律依据、起算事件、最短期限、调查保全和访问权限。核对归档、备份和删除任务的真实配置；一般技术日志、客户资料和交易信息属于不同对象，不能把十年机械扩展到全部日志，也不能以隐私删除请求直接覆盖法定保留。
重大事项与网络安全事件分别判断
法规要求｜第63—64条等。 重大事项、风险事件按相应人民银行规定报告；第64条列明的有关事项发生变化后，应在规定的10日内报告，按第75条的口径理解为工作日。
细则没有为所有系统故障统一另设一个首报小时数。涉及网络安全事件时，继续按2025年专项办法及其他适用规则判断，不把“事项变更10个工作日”用于事件首报。
实施。 报告矩阵分别保存事项类型、触发事实、适用条款、起算点、接报对象、时限和回执。第46条关于获准变更后的完成报告，与第64条列明事项变化后的报告，应按各自条件管理，不能合并成一个通用“变更备案”。
业务退出后验证数据与责任交接
法规要求｜第48条及相关用户保障规定。 终止业务需要处理用户权益、信息数据及相关交接等事项，不能只关闭系统入口。
验收。 将账户和交易、法定保留记录、应移交数据、应删除副本、供应商权限及用户沟通分别登记。由明确责任方验证移交完整性、历史检索能力和不再继续处理的状态；数据删除与法定保存分别判断。
一个机房迁移项目的证据链
项目立项时确认主要经营场所和新旧机房、业务与资金链、数据存放及第三方权限；据实际变化判断必要的批准、变更或报告程序。切换前完成安全和连续性验证，切换后核对交易完整性及相关记录，保存适用报送回执。
最终应能通过同一项目编号追到适用判断、审批、配置、切换结果和报告，而不是只提供一份“迁移成功”的汇报。