• 【發(fā)布單位】中國人民銀行
• 【發(fā)布文號(hào)】中國人民銀行公告〔2011〕第14號(hào)
• 【發(fā)布日期】2011-06-16
• 【生效日期】2011-06-16
• 【失效日期】--
• 【文件來源】中國人民銀行
• 【所屬類別】國家法律法規(guī)

非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證管理規(guī)定

非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證管理規(guī)定
中國人民銀行公告〔2011〕第14號(hào)

    為做好《非金融機(jī)構(gòu)支付服務(wù)管理辦法》（中國人民銀行令〔2010〕第2號(hào)發(fā)布）實(shí)施工作,，保障非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證工作規(guī)范有序開展，中國人民銀行制定了《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證管理規(guī)定》,，現(xiàn)公布實(shí)施,。
中國人民銀行
二〇一一年六月十六日

非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證管理規(guī)定
    第一章 總 則
    第一條 為加強(qiáng)非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)的信息安全管理與技術(shù)風(fēng)險(xiǎn)防范，保證其系統(tǒng)檢測(cè)認(rèn)證的客觀性,、及時(shí)性,、全面性和有效性,，依據(jù)《非金融機(jī)構(gòu)支付服務(wù)管理辦法》（中國人民銀行令〔2010〕第2號(hào)發(fā)布）,、《非金融機(jī)構(gòu)支付服務(wù)管理辦法實(shí)施細(xì)則》（中國人民銀行公告〔2010〕第17號(hào)公布）制定本規(guī)定,。
    第二條 非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證，是指對(duì)申請(qǐng)《支付業(yè)務(wù)許可證》的非金融機(jī)構(gòu)（以下統(tǒng)稱非金融機(jī)構(gòu)）或《非金融機(jī)構(gòu)支付服務(wù)管理辦法》所指的支付機(jī)構(gòu)（以下統(tǒng)稱支付機(jī)構(gòu)）,，其支付業(yè)務(wù)處理系統(tǒng),、網(wǎng)絡(luò)通信系統(tǒng)以及容納上述系統(tǒng)的專用機(jī)房進(jìn)行的技術(shù)標(biāo)準(zhǔn)符合性和安全性檢測(cè)認(rèn)證工作。
    第三條 非金融機(jī)構(gòu)在申請(qǐng)《支付業(yè)務(wù)許可證》前6個(gè)月內(nèi)應(yīng)對(duì)其業(yè)務(wù)系統(tǒng)進(jìn)行檢測(cè)認(rèn)證,；支付機(jī)構(gòu)應(yīng)根據(jù)其支付業(yè)務(wù)發(fā)展和安全管理的要求,，至少每3年對(duì)其業(yè)務(wù)系統(tǒng)進(jìn)行一次全面的檢測(cè)認(rèn)證。
    第四條 本規(guī)定所稱的檢測(cè)機(jī)構(gòu)應(yīng)按照國家有關(guān)認(rèn)證認(rèn)可的規(guī)定取得資質(zhì)認(rèn)定,，通過中國合格評(píng)定國家認(rèn)可中心的認(rèn)可,，并取得中國人民銀行關(guān)于非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)授權(quán)資格。
    第五條 本規(guī)定所稱的認(rèn)證機(jī)構(gòu)應(yīng)經(jīng)國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)批準(zhǔn)成立,，通過中國合格評(píng)定國家認(rèn)可中心的認(rèn)可,，并取得中國人民銀行關(guān)于非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)認(rèn)證授權(quán)資格。
    第六條 中國人民銀行負(fù)責(zé)檢測(cè),、認(rèn)證資格的認(rèn)定和管理工作,，并定期向社會(huì)公布通過檢測(cè)、認(rèn)證資格認(rèn)定的機(jī)構(gòu)名單及其業(yè)務(wù)范圍,。
    第七條 非金融機(jī)構(gòu)或支付機(jī)構(gòu)在檢測(cè)認(rèn)證過程中應(yīng)與檢測(cè)機(jī)構(gòu)和認(rèn)證機(jī)構(gòu)建立信息保密工作機(jī)制,。
    第八條 支付機(jī)構(gòu)不得連續(xù)兩次將業(yè)務(wù)系統(tǒng)檢測(cè)委托給同一家檢測(cè)機(jī)構(gòu)。
    第二章 檢 測(cè)
    第九條 非金融機(jī)構(gòu)或支付機(jī)構(gòu)在實(shí)施業(yè)務(wù)系統(tǒng)檢測(cè)前,，應(yīng)作如下準(zhǔn)備：
    （一）與檢測(cè)機(jī)構(gòu)簽訂書面合同,，合同應(yīng)明確規(guī)定保密條款；
    （二）與檢測(cè)機(jī)構(gòu)就檢測(cè)的范圍,、內(nèi)容,、進(jìn)度等事項(xiàng)進(jìn)行溝通，制定詳細(xì)的檢測(cè)計(jì)劃,，并簽字確認(rèn),；
    （三）向檢測(cè)機(jī)構(gòu)提交所申請(qǐng)檢測(cè)認(rèn)證的業(yè)務(wù)系統(tǒng)與生產(chǎn)系統(tǒng)的一致性聲明。
    第十條 檢測(cè)應(yīng)嚴(yán)格遵守中國人民銀行制定的技術(shù)標(biāo)準(zhǔn)和檢測(cè)規(guī)范,，真實(shí)反映非金融機(jī)構(gòu)或支付機(jī)構(gòu)業(yè)務(wù)系統(tǒng)技術(shù)標(biāo)準(zhǔn)符合性和安全性狀況,，保證非金融機(jī)構(gòu)或支付機(jī)構(gòu)業(yè)務(wù)系統(tǒng)符合國家信息系統(tǒng)安全等級(jí)保護(hù)第三級(jí)的基本要求。
    第十一條 業(yè)務(wù)系統(tǒng)檢測(cè)應(yīng)包括但不限于：
    （一）功能測(cè)試,。
    驗(yàn)證業(yè)務(wù)系統(tǒng)的功能是否正確實(shí)現(xiàn),，測(cè)試其業(yè)務(wù)處理的準(zhǔn)確性。
    （二）風(fēng)險(xiǎn)監(jiān)控測(cè)試,。
    評(píng)估業(yè)務(wù)系統(tǒng)的風(fēng)險(xiǎn)監(jiān)控,、預(yù)警和管理措施，測(cè)試其業(yè)務(wù)系統(tǒng)異常交易,、大額交易,、非法卡號(hào)交易,、密碼錯(cuò)誤交易等風(fēng)險(xiǎn)的監(jiān)測(cè)和防范能力。
    （三）性能測(cè)試,。
    驗(yàn)證業(yè)務(wù)系統(tǒng)是否滿足業(yè)務(wù)需求的多用戶并發(fā)操作,，是否滿足業(yè)務(wù)性能需求，評(píng)估壓力解除后的自恢復(fù)能力,，測(cè)試系統(tǒng)性能極限,。
    （四）安全性測(cè)試。
    評(píng)估業(yè)務(wù)系統(tǒng)在網(wǎng)絡(luò)安全,、主機(jī)安全,、應(yīng)用安全、數(shù)據(jù)安全,、運(yùn)行維護(hù)安全,、電子認(rèn)證安全、業(yè)務(wù)連續(xù)性等方面的能力及管理措施,，評(píng)價(jià)其業(yè)務(wù)系統(tǒng)的安全防控和安全管理水平,。
    （五）文檔審核。
    驗(yàn)證業(yè)務(wù)系統(tǒng)的用戶文檔,、開發(fā)文檔,、管理文檔等是否完整、有效,、一致,，是否符合相關(guān)標(biāo)準(zhǔn)并遵從更新控制和配置管理的要求。
    第十二條 檢測(cè)機(jī)構(gòu)應(yīng)于檢測(cè)完成后10個(gè)工作日內(nèi)向非金融機(jī)構(gòu)或支付機(jī)構(gòu)提交正式的檢測(cè)報(bào)告（一式四份）,。
    第十三條 檢測(cè)報(bào)告應(yīng)包括以下內(nèi)容：
    （一）支付服務(wù)業(yè)務(wù)系統(tǒng)名稱,、版本；
    （二）檢測(cè)的時(shí)間,、范圍,；
    （三）檢測(cè)設(shè)備、工具及環(huán)境說明,；
    （四）檢測(cè)機(jī)構(gòu)名稱,、檢測(cè)人員說明；
    （五）檢測(cè)內(nèi)容與檢測(cè)具體結(jié)果描述,；
    （六）檢測(cè)過程中發(fā)現(xiàn)的問題及整改情況,；
    （七）檢測(cè)結(jié)果及建議；
    （八）申請(qǐng)檢測(cè)認(rèn)證的業(yè)務(wù)系統(tǒng)與生產(chǎn)系統(tǒng)的一致性聲明,；
    （九）其他需要說明的問題,。
    第十四條 非金融機(jī)構(gòu)或支付機(jī)構(gòu)在收到檢測(cè)機(jī)構(gòu)出具的檢測(cè)報(bào)告后，應(yīng)及時(shí)將檢測(cè)報(bào)告及相關(guān)材料提交認(rèn)證機(jī)構(gòu),，并申請(qǐng)認(rèn)證,。
    第三章 認(rèn) 證
    第十五條 非金融機(jī)構(gòu)或支付機(jī)構(gòu)在實(shí)施支付服務(wù)業(yè)務(wù)系統(tǒng)認(rèn)證前,，應(yīng)與認(rèn)證機(jī)構(gòu)簽訂書面合同，合同應(yīng)明確規(guī)定保密條款,。
    第十六條 認(rèn)證應(yīng)秉承客觀、公正,、科學(xué)的原則,，按照國家有關(guān)認(rèn)證認(rèn)可法律法規(guī)及中國人民銀行關(guān)于非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)的技術(shù)標(biāo)準(zhǔn)和認(rèn)證要求實(shí)施。
    第十七條 認(rèn)證機(jī)構(gòu)應(yīng)及時(shí)處理認(rèn)證申請(qǐng),，并在正式受理申請(qǐng)后的20個(gè)工作日內(nèi)向非金融機(jī)構(gòu)或支付機(jī)構(gòu)通告認(rèn)證結(jié)果,，對(duì)合格機(jī)構(gòu)出具認(rèn)證證書。
    第四章 監(jiān)督與管理
    第十八條 支付機(jī)構(gòu)正式開辦支付業(yè)務(wù)后,，有下列情況之一的,，應(yīng)及時(shí)進(jìn)行檢測(cè)：
    （一）出現(xiàn)重大安全事故；
    （二）業(yè)務(wù)系統(tǒng)應(yīng)用架構(gòu)變更,、重要版本變更,；
    （三）生產(chǎn)中心機(jī)房場(chǎng)地遷移；
    （四）其他中國人民銀行要求的情況,。
    第十九條 檢測(cè)認(rèn)證程序,、方法不符合國家檢測(cè)認(rèn)證相關(guān)規(guī)定和中國人民銀行相關(guān)要求，或檢測(cè)認(rèn)證結(jié)果嚴(yán)重失真的,，中國人民銀行及其分支機(jī)構(gòu)可以要求重新進(jìn)行檢測(cè)或認(rèn)證,，因此而產(chǎn)生的費(fèi)用由違反規(guī)定的檢測(cè)機(jī)構(gòu)、認(rèn)證機(jī)構(gòu)承擔(dān),。
    第二十條 檢測(cè)機(jī)構(gòu)或認(rèn)證機(jī)構(gòu)未按照中國人民銀行制定的檢測(cè)認(rèn)證規(guī)范和相關(guān)要求進(jìn)行檢測(cè)認(rèn)證活動(dòng),，或未嚴(yán)格堅(jiān)持科學(xué)、公正的原則進(jìn)行檢測(cè)認(rèn)證工作并造成不良后果的,，中國人民銀行視其情節(jié)輕重給予以下處罰：
    （一）通報(bào)批評(píng),；
    （二）責(zé)令限期改正，整改期間暫停相關(guān)檢測(cè)認(rèn)證工作,；
    （三）整改不力的,，取消其從事非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)或認(rèn)證資格，并報(bào)國家認(rèn)證認(rèn)可監(jiān)督管理部門備案,。
    第五章 附 則
    第二十一條 本規(guī)定由中國人民銀行負(fù)責(zé)解釋,。
    第二十二條 本規(guī)定自發(fā)布之日起施行。