《银联卡收单机构mPOS业务风险防控指引》.docx

银联卡收单机构mPOS业务风险防控指引（中国银联风险管理委员会第五届第一次会议审议通过）1. 总则1.1 编写目的 为协助收单机构防范mPOS收单业务风险，促进mPOS业务快速规范发展和风险可控，根据《银联卡收单机构商户风险管理规则》（银联风管委〔2014〕3号）、《银联卡收单机构商户风险管理指南》（银联风管委〔2004〕9号）、《银联卡收单机构小微商户风险防控指引1.0版》（银联风管委〔2014〕2号），特制定本指引。1.2 业务范围本指引仅对mPOS用于小微商户收单应用场景提出风险防范要求和建议。小微商户的定义和标准参照《银联卡收单机构小微商户风险防控指引1.0版》执行。1.3 适用范围本指引适用于银联网络内开展mPOS收单业务的收单机构，仅供收单机构在业务开展过程中参考。 1.4 名词解释 mPOS终端：通过与使用特定应用程序的终端上位机连接的外接专用设备采集银联卡相关信息（含交易密码）并加密，由终端上位机传输交易信息并提示操作方完成交易的专用设备。简称“终端”。 终端上位机：mPOS架构中受理终端的上位机，进行应用处理和后台交互，该终端上位机可以为收银机、POS主机，也可以为手机、平板电脑等通用移动设备。简称“上位机”。 终端应用软件：终端上位机搭载的应用软件，是完成存储、处理或传输交易信息的应用程序集合，包括支付应用软件、收银软件、商户或收单机构增值应用等。 远程入网申请和审核：指商户通过特定应用软件或网站向收单机构递交入网申请材料，收单机构在接到申请后以非现场方式完成商户资质审核。2. 总体要求2.1 收单机构资质 具备中国人民银行颁发的银行卡收单业务许可、加入银联网络开展银联卡收单业务的成员机构，包括银行业金融机构和非金融支付机构。2.2 风控制度 收单机构应根据mPOS业务的风险特性，建立覆盖事前、事中和事后的mPOS收单业务风险防控制度。2.3 账户信息安全收单机构不得以任何形式存储银行卡磁道信息或芯片信息、卡片验证码、卡片有效期、个人标识码等敏感信息，并应采取有效措施防止特约商户和外包服务机构存储银行卡敏感信息。收单机构应遵循银联卡账户信息安全管理规则和标准，推动商户及第三方机构按要求开展账户信息安全合规评估，并落实账户信息在系统、应用软件及mPOS终端的存储、访问、传输、销毁等各个环节的风险防控要求。3. 商户拓展及入网审查3.1 商户拓展基本要求小微商户的准入要求按照《银联卡收单机构小微商户风险防控指引1.0版》执行。mPOS收单业务商户拓展相关限制要求参见《银联卡收单机构商户风险管理规则》“风险禁入商户类型”和“谨慎发展的商户类型”，收单机构不得拓展商户或其法定代表人（负责人）信息已报入中国银联风险信息共享系统“可疑商户”类信息的商户。mPOS终端不得向从事赌博、博彩类、色情服务类、出售违禁药品、毒品、黄色出版物、军火弹药等其他与本国法律、法规相抵触业务的商户发放。3.2 商户申请资料要求收单机构应对商户实行实名制管理，收集保存小微商户填写、上传的资料信息，申请资料信息包括但不限于：a. 用户信息：商户名称、商户类别、营业执照编号、商户经营场所地址、税务登记证号码、业务范围、业务员数量、负责人姓名、负责人身份证号码、手机号码；b. 收单银行结算账户信息：收款账户号（个人借记卡账号或单位银行结算账户）、收款账户姓名或单位名称、收款卡片绑定手机号码；c. 终端邮寄信息：邮寄地址、收货人姓名、联系电话；d. 商户营业执照照片（或营业执照替代材料，收单机构可参照《银联卡收单机构小微商户风险防控指引1.0版》2.1.2条款相关内容对替代材料进行收集）；e. 营业场所照片（显示商户店牌、地址、商品货架、收银台）；f. 法人或负责人身份证正反面照片；g. 收款卡片正面照片或合法拥有单位银行结算账户的证明文件照片；h. 可以体现经营商品和服务内容的负责人手持身份证正面在营业场所的照片。建议收单机构采用即时拍照或即时视频方式收集d-h条款所述照片，防止资料照片被挪用、转卖、伪造及变造。3.3 商户入网审查 收单机构应参照《银联卡收单机构商户风险管理指南》“第3章 商户拓展及审查”、《银联卡收单机构小微商户风险防控指引1.0版》“第二章 商户入网审查”相关要求制定mPOS商户入网审查标准和流程。mPOS商户入网审查原则上采用现场审核方式，谨慎开展远程审核。收单机构应对商户拓展人员和外包服务机构加强管理和监督，严禁协助虚假或不良商户伪造、变造申请资料，落实《银行卡收单业务管理办法》“第十六条”本地化经营和管理要求。 3.3.1 现场审核 收单机构对mPOS商户的现场审核应按照《银联卡收单机构商户风险管理指南》中“3.6 高度重视商户现场调查”和《银联卡收单机构小微商户风险防控指引1.0版》“2.3商户现场调查”的相关要求，