开放银行其实是技术的应用,因而具有两面性。风险的形式出现了新的特点和新的变化。在金融服务效能的提升同时,风险的敞口也更多。李伟提出要树立正确的开放理念:开放金融服务,而不是金融资质;开放数字能力,而不是原始数据;开放双向赋能,而不是单向付出
文 |《财经》记者 严沁雯 张威
编辑 | 袁满
开放银行其实是技术的应用,因此要对其两面性有清醒认识,警惕因开放带来的风险。9月25日上午,在外滩大会“开放金融与未来”专场论坛上,中国人民银行科技司司长李伟在演讲中作出了上述表示。
“开放银行是当代金融发展的一个非常重要的领域,所以我们也在这些方面推出了一些标准。我们没有把它直接叫做开放银行,而是叫做API(ApplicationProgramming Interface,应用程序接口)的应用。”李伟强调,当前开放银行已逐渐成为中国商业银行提升获客能力、增强用户粘性的新途径,对促进银行业转型升级更好地服务实体,具有重要的作用。然而开放银行其实是技术的应用,技术的应用具有两面性。
对于如何规范开放银行的发展,李伟提出应树立正确的开放理念、加强金融能力的输出、强化内部风险防控以及深入应用监管科技,强化开放银行的数字监管四个方面的建议。
金融APP跑马圈地时代结束
通过回顾商业银行的金融服务发展经历,可以窥得银行服务理念的转变。在会上,李伟介绍了中国商业银行从网点模式到APP模式、再到如今的API模式的演进历程。
早期的商业银行把展业的重点放在了线下渠道,通过传统的实体网点,依托后台的账户,以面对面的服务,为客户提供存、贷、汇服务。在此阶段,商业银行把网点数量、网点的拓展、账户的数量和增量放在了首位,是跑马圈地的阶段。
随着经济生活的快速发展、人民生活的水平的快速提升,基于实体网点的服务与百姓多样化服务需求之间的矛盾越来越突出。“现在服务的网点是固定的,服务的时间也是固定的,老百姓只能在规定的时间、规定的地点去享受规定的服务,大家感受肯定不好。”
李伟表示,对于银行而言,实体网点需要投入大量的人力、物力、财力,受时空因素的限制,服务能力的拓展受到制约,网点营运的效率和成本矛盾凸显。
统计数据显示,近5年以来,我国银行业实体网点的增量在放缓,特别是2018年以来,已经由正转负:2018年净减少100家,2019年净减少600家。新冠疫情进一步压缩银行网点的生存空间,截至9月中旬,今年已经减少600家网点,达到去年总量,网点撤并压力更加凸显。
随着通讯技术的快速发展和移动终端的广泛普及,商业银行为了拓展金融服务供给的渠道,将金融服务向移动端转移。打造手机银行、移动支付等APP,实现了银行服务从面对面向非接触式的转变。APP的模式使银行服务渠道扩展成本进一步降低,普惠性增强,受众面增加。在此阶段,商业银行的商业的思维也从二八定律向长尾理论转变。
然而,在内外部因素的冲击下,APP发展快速以后,从银行自身服务来看,商业银行预计承载的金融服务和产品结合不够紧密,与实体经济的融合度不深,难以满足客户的个性化多元化的需求,各家银行的APP活跃度并不高。
从市场用户的角度来看,目前大家惯用的两大移动支付APP已经占据移动支付市场的90%以上。“老百姓的习惯就基本养成了,大家也不太愿意往手机里装太多的APP,移动金融APP的跑马圈地时代也基本结束。”李伟提到。
近年来,商业银行转变发展理念,依托金融科技不断释放创新原动力,通过API技术,将银行业务整合解构和模块封装,支持合作方以“乐高拼接”的方式,在不同的应用场景自行组合和创新,实现了与合作方的优势资源互补,打造开放共享、融合共赢的数字金融的新生态。
API模式的兴起也收到了国内外的广泛关注,欧盟、英国、新加坡等国家纷纷探索基于API的开放银行发展新路径。在央行去年出台的《金融科技发展规划》里,也明确要借助API深化跨界合作,拓展金融服务的广度与深度。
技术应用两面性,警惕业务风险
回顾商业银行金融服务的发展历程,当前开放银行已逐渐成为中国商业银行提升获客能力、增强用户粘性的新途径,对促进银行业转型升级更好地服务实体,具有重要的作用。然而在李伟看来,开放银行其实是技术的应用,技术的应用具有两面性。
一方面,风险的形式出现了新的特点和新的变化。在金融服务效能提升的同时,风险的敞口也更多,风险管控的链条更长,风险挖掘的效率更加明显。
李伟指出,首先是在数据安全方面。API连接服务提供者、场景建设者、交易发起者等众多主体,数据泄露的风险点增多,任何一方数据保护存在薄弱环节,都有可能危及数据的安全。一旦开放API存在设计缺陷或是权限设置不当,恶意攻击者就可以非法获取客户的数据,应用方就可能违规使用信息。
在网络攻击方面,API接口具有公共共享的属性,通过API连接银行端和外部应用端,事实上延伸了银行的网络。风险传导的路径增多,容易被恶意调用并发起攻击,导致服务中断、业务连续性被中断等情况。如果完整性校验安全加固措施不够到位,还存在被恶意篡改、逆向调试等风险。
此外,在业务风险方面,从事前到事后都有需要警惕的风险。
事前如果缺少健全的授权机制,资质不佳的外部合作方式有可能浑水摸鱼,非法盗用银行的服务、银行的数据,增加业务的风险;事中,外部合作方可能超范围使用银行提供的接口,将日常的缴费接口用于理财,或是将接口二次打包给未经授权的调用方使用,这将对银行的反欺诈、反洗钱等业务管理带来新的挑战;事后,若是没有完善的开放银行风控体系,缺少健全的资金赔付、纠纷投诉等机制,一旦发生跨机构跨行业的纠纷,就有可能出现权责不清、相互推诿,最终将损害金融消费者的利益。
开放银行的四点规范意见
目前,我国开放银行还没有准确的定义,但在李伟看来,开放银行主要指以平台合作为基础,通过API技术,在保证信息安全的前提下,推动金融与其他行业数据规范融合共享,实现金融与民生服务实体经济深度融合的新商业模式。他为开放银行总结了三个主要特点:开放的API、数据共享、平台的合作。
对于开放银行的规范发展,李伟也提出了几点意见。
第一点是要树立正确的开放理念,推动金融数字化转型。开放银行健康发展的关键是坚持合规的原则,筑牢守正的底线。
首先,开放的是金融服务,不是金融资质。开放银行的本质是开放服务,无论业务的形态、模式如何变化,初心仍然是将金融服务融入实体经济和老百姓的日常生活。金融机构绝不能将金融的资质违规转包给合作方,必须确保金融的持牌经营。
其次,开放的是数字能力,而不是原始数据。数据共享是开放银行发挥协同效应的重要基础。如何在数据保护和共享之间取得平衡,关键是要处理好数据使用权和所有权的关系。商业银行还是要秉持“最小够用、用而不存”的原则,发挥数据要素的倍增作用,稳健地开展开放银行。
最后,开放的是双向赋能,不是单向付出。金融业务离不开实体经济的沃土,实体经济的发展也离不开金融的活水。开放银行要坚持“引进来和走出去”相结合的理念,通过双向赋能建立金融业务和实体经营二者之间相互依托、相辅相成的良性生态体系。
第二点是加强金融能力的输出,提升服务便民利企的水平。
在金融为民方面,商业银行要加强教育、医疗、交通、社保等领域的产品共建、数据共享,结合自身的禀赋,通过API、SDK等方式将金融服务产品和科技能力进行输出,打造服务场景化、业务扁平化、能力综合化的经营模式。服务不再只是承载于银行自身的实体网点和电子渠道,真正实现无处不在,无微不至。
在金融利企方面,要通过服务模块化的输出与插件式的对接,将金融服务深度融入经济社会发展的毛细血管,为中小微企业输血供氧,彰显金融服务的独特价值,有效提升金融服务的可得性和满意度。
第三点是强化内部风险防控,保障开放服务安全可靠。商业银行始终要把风险管理作为发展开放银行的根基和命脉。
现在有很多新的技术,可以让我们建立数据可信共享和安全使用的机制。对于外部网络的攻击,还要注意避免出现整个网络安全防守体系的短板效应。针对业务的风险,要加强身份认证、权限的管理和应用的授权。
第四点是深入应用监管科技,强化开放银行数字监管。开放银行是金融和科技深度融合的产物,给传统的监管手段和能力都提出了新的挑战。
与传统的银行不同,开放银行与众多的实体构成了“你中有我,我中有你”的混合结构,必须强化监管科技研究与应用,利用人工智能、大数据、区块链等信息技术,建立数字化的监管规则库、监管知识图谱和智能化的数字监管平台,探索数字化新型监管的范式,识别开放银行的边界、解构业务数据,落实各项监管的要求。