央行近日发布了《条码支付业务规范》(试行)，根据风险防范能力的分级对个人客户的条码支付业务进行限额管理，新规自4月1日起实施。
备受关注的条码(二维码)支付，终于有了明确的制度规范。
根据央行规定，对于使用动态条码(如手机上实时生成的条码)进行支付的，风险防范能力根据交易验证方式不同分为A、B、C三级，同一客户单日累计交易限额分别为自主约定、5000元、1000元。而如果风险防范能力达到D级，即使用静态条码的，同一客户单个银行账户或所有支付账户单日累计交易金额应不超过500元。
条码支付明确便民小额地位
事实上，自21世纪初，国内外市场主体便开始尝试将条码技术应用于移动支付领域。在我国，中国银联最早着手研发条码支付。不过，由于部分支付机构采取持续补贴、交叉补贴的方式推广条码支付业务，大搞“跑马圈地”，导致条码支付安全问题不断暴露，2014年3月，央行一度叫停线下二维码支付服务。
但是，部分支付机构并未真正停止条码支付业务的拓展。2014年9月，支付宝、微信支付再次布局二维码支付。随着智能手机不断普及，这种条码支付方式因其门槛较低、成本低廉、支付便捷，受到了商户、消费者和银行、支付机构的青睐。现在，几乎每一部智能手机都可支持支付宝和微信支付的二维码支付，市场形成了双寡头垄断的局面。
2016年8月，支付清算协会向会员单位下发《条码支付业务规范(征求意见稿)》。一位业内人士表示，这对于支付市场而言无异于宣告曾一度被紧急叫停的二维码支付业务正式回归。而本次业务规范的正式出台，则在进一步明晰细化征求意见稿的基础上，更清晰地释放出条码支付业务需回归小额、便民本质的监管信号。
制度设计降低支付诈骗风险
不过这种支付方式的缺点也比较明显。二维码通过几何图形来记录数据和储存信息，这样的功能可能携带非法链接或代码。如果二维码支付终端缺乏识别与拦截功能，就可能产生安全漏洞和隐患。而二维码本身的可视化特性，在互联网环境下以图形化方式传输，容易受到攻击，容易传播木马、病毒，造成用户资金损失和信息泄露。
中国支付清算协会执行副会长兼秘书长蔡洪波指出，很多不法分子就是针对条码防护能力弱、使用环境可控性差这些特点实施诈骗。如静态条码被调换、伪造条码进行欺诈、条码中嵌入木马病毒程序等导致客户个人信息泄露和账户资金被盗用等。
因此，央行此次出台的《规范》，围绕“交易额度管理”等制度设计达到技术安全水平与使用便捷之间的平衡。交易额度的设定一方面可以防止条码支付交易超过其匹配的安全防护能力，另一方面是给予消费者选择权，同时也鼓励银行和支付机构采用更多的验证要素来提升安全水平。
《规范》将条码支付分为付款扫码和收款扫码。付款扫码是指付款人通过手机、Pad等移动终端识读收款人展示的条码完成支付的行为，是用户主动扫码付款，俗称“主扫”；收款扫码是指收款人通过识读付款人移动终端展示的条码完成收款的行为，是用户被动扫码支付，俗称“被扫”。
由于在此前的试点应用中，条码支付风险乃至用户资金损失多发生于“主扫”，特别是“主扫”静态条码，《规范》以限制静态扫码限额和约束银行、支付机构开展付款扫码服务的具体行为与风控措施并要求他们提供客户权益受损解决机制等具体条款，积极引导付款人“主扫”经过安全加密和设置有效期(一般为一次性条码)的动态条码，将商户的较大金额收款行为也引导到“被扫”上来，使条码支付更加安全可靠，大幅度降低基于条码的支付诈骗风险。
对于此前失手支付市场江山的银行业来说，业内人士分析称，尽管银行前期丧失了对客户、场景以及数据的掌控，但伴随着支付机构备付金集中存管、网联统一接入、银联“云闪付”发力，依托二、三类账户深耕支付业务或许会成为摆在银行业面前的机会。
额度满足绝大部分支付需求
那么静态码支付限额500元，对人们日常的电子支付会不会有影响呢？市场统计数据显示，95%的条码支付业务为单笔500元以下的小额交易，2017年上半年笔均100元左右。
蔡洪波表示，总体来看，各项单日累计交易额度能够有效满足绝大部分客户使用条码支付进行付款的需求，基本上不会影响消费者使用的便利性体验，同时也能够显著提高条码支付的安全水平。
中国人民大学重阳金融研究院高级研究员董希淼表示，日常影响是非常小的。“假如我们买一个烤红薯5元，500元够买100个烤红薯了，这并不会影响卖烤红薯大爷的生意。因为这500元限额是针对用户而言，对商户并无限制，大爷一天卖1000个烤红薯都是妥妥的。”
董希淼同时建议，“以后使用条码支付时，尽量不要拿手机扫描别人的静态条码，而是要让别人扫描你的手机。那种事先张贴在墙上的二维码是静态的，安全性远低于手机上实时生成的动态二维码。”
拉卡拉支付股份有限公司合规总监唐凌表示，“在扫码支付的风险案件中静态码占比很高，那每天就限额500元，即便是被骗，投资者损失也可控。如用动态码付款，风险自然少，支付额度就会提升。这也是监管政策的一个良好导向。”
关婧李国辉