中国人民银行阳泉市中心支行 李瑞红

　　手机银行能够使得客户利用移动终端实现查询、缴费、支付、理财等金融服务，其快速、便捷和易用的特点带动了银行业务的快速发展和支付工具的根本性变革，更加密切了金融产业、网络通信和移动终端厂商的合作，凸显了经济领域各行业的一体化发展趋势。然而，任何事物都有两面性，手机银行在高速发展的同时，潜在风险也在不断暴露。本文收集整理了国外手机银行发展的特点，总结了手机银行的技术发展历程，并对手机银行风险控制提出了建议。

　　一、国外手机银行发展的特点

　　国外手机银行起步较早，发展程度和特色各异，目前比较有代表性的国家和地区有日本、韩国、美国和欧洲。日本手机银行业务的最大特点是推动该业务的主体是移动运营商，而不是银行。移动运营商利用自身在产业链中的优势地位，整合终端厂商和设备提供商的资源，联合银行提供手机银行业务。在日本，手机银行的安全管理受到高度重视，终端可以直接使用J a v a 和S S L，交易的信号经过多重加密，并与各银行间使用专线网，因此，银行业和消费者对这一业务的信赖程度十分高。同时，移动运营商把移动支付作为重点业务予以积极推进，目前手机银行在日本已经成为主流支付方式。

　　韩国手机银行业务已形成一定规模，韩国几乎所有零售银行都能提供手机银行业务。韩国人在购买新手机时，会选择具备特殊记忆卡插槽的手机，用以储存银行交易资料，并进行交易信息加密。在韩国，有几万家餐馆和商店拥有能通过红外线读取手机上信用卡信息的终端，使顾客能够通过手机完成支付。韩国手机银行业务飞速发展的关键在于银行业对手机银行业务的高度重视和积极推进。

　　美国的手机银行业务近年来进入快速发展阶段。市场分析公司comScore 的分析报告显示，截至2011 年6 月，美国约有13.9% 的移动通信用户，即3200 万人曾经使用过手机银行，比2010 年第四季度增长了21%，其中仅客户端应用形式的手机银行用户就有1200万人，相比2010 年第四季度增长了45%。

　　早在W A P 技术出现的时候，欧洲的运营商就已经考虑如何把移动通信和金融服务联系在一起。comScore 公司经过调查得知，2011 年3 月欧洲5 个主要国家(英、法、德、西班牙、意大利)有2000 万人使用手机银行，比半年前增加了15% ;手机银行用户占移动用户总数的8.5%。

　　我国手机银行业务的发展潜力不容小觑，截至2012 年上半年，农业银行、中国银行、建设银行、招商银行等8 家上市银行的手机银行客户累计突破1.5 亿户，交易金额大幅度提升。各大银行均在积极开展手机银行业务，以期在信息化变革中分得“一杯羹”。

　　二、手机银行技术发展历程

　　手机银行随技术的突破渐次发展。每一次技术突破都使手机银行业务上一个新的台阶。手机银行采用的技术主要有STK、SMS、U S S D、B R EW、WA P、J A V A移动客户端应用等。

　　基于短消息( S M S ) 的手机银行由手机、G S M 短信中心和银行系统构成。在手机银行的操作过程中，客户通过S I M 卡上的菜单对银行发出指令，SIM 卡根据客户指令生成规定格式的短信并加密，通过G S M 网络发出短信给相应的银行系统，银行处理客户的请求，并把结果转换成短信格式发给客户。

　　基于S T K 卡的短消息方式是将银行服务的菜单写入特制的S T K 卡，从而便于客户的菜单式操作，同时，S T K 卡本身有比较完善的身份认证机制，能有效保障交易安全。其缺陷是S T K 卡的容量有限，通常只能在卡里写入一家银行的应用程序，而且不能更改，O T A 空中下载技术虽可以更新S T K 卡里的内容，对服务进行升级，但仍然比较麻烦;短信的存储转发机制使得交易在网络运营商的服务器中留下记录;业务和商业模式存在缺陷，尽管可以将换卡手续改在银行柜台办理，但这需要银行与网络运营商更深层次的合作。

　　USSD 即非结构化补充数据业务，是一种基于G S M 网络的新型交互式数据业务。U S S D 消息通过7 号信令通道传输，可与各种应用业务保持对话。USSD 将现有G S M 网络作为一个承载实体，可自行制定符合本地客户需求的相应业务，对原有的通信系统几乎没有影响。USSD 方式的优势在于客户不需要换卡，适用于大多数型号的G S M 手机;实时在线，一笔交易仅需一次接入。其局限则是不同类型手机的界面显示有较大差异;从银行端到手机端的下行信息无法实现端到端的加密。目前，该业务在我国尚未普及。

　　WAP 为无线应用协议的简称，是开发移动网络上类似互联网应用的一系列规范的组合，它使新一代无线通信设备能可靠地接入Internet。由于无线网络系统和固定网络系统不同，加上移动终端的屏幕和键盘都很小，所以WA P不适于采用H T M L(超文本标识语言)，而需采用专门的WML(无线标记语言)。W A P 方式的优势在于开发量小，仅需在网上银行的基础上开发W M L 的版本;字符内容浏览，实时交易;GPRS 的出现，改善了浏览速度。其局限在于客户手机需要支持W A P 协议;只能处理文字，可交互性差，界面简单。

　　B R EW(无线二进制运行环境)是一种基于C D M A 网络的技术。客户可以通过下载应用软件实现各种功能。B R EW 位于芯片软件系统层和应用软件层之间，提供通用的中间件集成在芯片上，不必通过中间代码就可以直接执行。运营商也可以通过无线方式为客户下载、升级软件。B R EW 支持各种加密算法。B R EW 在安全性和终端表现的一致性上要优于J a v a方式，但因为是高通公司的专利技术，开放性不如Java。

　　最新的智能手机一般专门定制手机银行客户端应用程序。比如Andriod 手机采用J2ME 平台，可以按照需要使用J a v a 技术开发、下载、运行新的应用。J2M E的配置和框架使得应用程序安装的灵活性得到很大提高。其优势在于能实时在线交互式对话;图形化界面，操作简便;采用1024位的RSA 认证加密技术和128 位的三重D E S 加解密技术，安全性较高。i P h o n e 手机银行客户端虽然采用不同的开发工具和运行环境，但同样基于移动通信的分组交换网络。

　　与网上银行相比，手机银行以移动通信运营商的专用网络接入，在安全保密性上更胜一筹，而网上银行以开放的Internet 为载体，易受各种黑客、病毒侵入。手机银行的弱项是客户终端功能偏弱，无线接口的数据传输速率较慢。但随着移动3G 网络和智能手机的应用普及，这些瓶颈已被逐渐克服，手机银行面临广阔的发展空间。

　　三、手机银行的风险控制

　　手机银行业务风险主要表现为操作风险、声誉风险和法律风险。因信息科技风险在操作风险中占比较高，特提出来单独讨论。

　　1. 信息科技风险

　　手机银行的特殊运行环境要求银行必须选择特定技术解决方案。技术方案在设计上潜在的缺陷或漏洞，在实际运行过程中会使银行和客户面临实际风险，不仅会给客户造成经济上的损失，还会给银行及相关机构带来经济上和声誉上的损失。

　　手机银行系统应当配备适当的安全措施，如防火墙、入侵检测系统、监控系统和快速恢复机制以保障数据安全。手机银行系统的完整性保护机制应当能够对系统、文件编码进行完整性检测，以禁止所有未经授权的软件和硬件篡改。为防止黑客利用手机安全漏洞来拦截客户信息，采用端对端的应用层加密可以提高传送信息的安全性。这种安全机制用来保障敏感信息从输入设备到接收端的全程数据安全加密;且敏感信息不能在网络系统、服务器、网关和其他传输通道中使用明码。当手机银行客户需要输入密码和个人身份号码时，数据应立即被加密，同时必须保证机密信息传输的单向性。为了保证加密和身份鉴定通信过程中的数据完整，当手机通信线路传输特性突变或通信过程被阻断时，系统应重复进行身份鉴定过程。

　　2. 操作风险

　　操作风险主要是指因客户在进行手机银行业务操作时不熟悉相关知识和操作方式所导致的风险，或是银行内部人员对手机银行业务操作失误致使客户遭受损失的风险。

　　在银行内控方面，防范操作风险最有效的方法是制定尽可能详细的业务规章制度和操作流程，使内控制度建设与业务发展同步，并提高对制度的执行力。银行要切实强化风险责任的追究机制，加大对责任人员的查处力度，并强化教育，提高银行员工综合素质。同时监管部门要加强对手机银行业务的监管。客户疏于防范也构成手机银行操作风险的一部分。银行应该指导客户正确使用手机银行，降低客户对手机银行的操作风险。此外，当客户使用手机浏览网页或访问移动应用程序时，银行应提醒其采取和网上银行相同的预防措施，如安装手机安全软件、注意软件高级权限的变化、尽量通过官方网站下载软件、购物时使用安全的超文本传输协议输入敏感的付款数据等。

　　3. 声誉风险

　　所谓声誉风险，是指由于银行的负面公众舆论引发的银行客户严重流失的风险。声誉风险包括使公众对银行整体运行产生持续负面印象的行为，这些行为严重地损害了银行建立和维持客户关系的能力。如果公众对银行处理临界问题的能力丧失信心，也会引发声誉风险。对开展手机银行服务的银行来说，若不能持续地提供安全、准确和及时有效的手机金融服务，银行的信誉将受到损害。

　　防范声誉风险的重点是防范利用手机银行进行金融欺诈的行为，以及加强银行内部的操作风险控制，采取必要措施有效地识别、评估、监测、控制及缓释操作风险。银行应建立和完善科学的操作规范和严格的内部制约机制，执行职责分离、关键岗位轮岗、强制性休假和离岗审计制度。任何进入系统的操作必须在系统运行记录中记载。防范利用手机银行进行金融欺诈，应适时对登录手机银行的重点客户加强监控，尤其应对大额资金进出的背景进行监控。按照巴塞尔协议监管核心原则和《关于洗钱、扣押、没收犯罪所得公约》等国际条约，以及《中华人民共和国反洗钱法》，手机银行应进行交易跟踪，并通过数据挖掘软件，对可疑资金交易进行分析，防范利用手机银行进行非法资金交易。

　　银行应将手机银行声誉风险管理纳入公司治理及全面风险管理体系，主动、有效地防范声誉风险，建立相关的声誉事件分类分级管理和应急处理机制，提高对手机银行引发的声誉事件的应对能力。

　　4. 法律风险

　　手机银行的法律风险来自违反法律、法规的可能性及有关交易各方的法律权利和义务的不明确。目前，我国《消费者保护法》对手机银行运作的适用性还不明确，客户通过电子媒介所达成协议的有效性也具有不确定性，这些都可能引

　　发手机银行的法律风险。

　　在客户信息披露和隐私权保护方面，手机银行也面临法律风险。主要体现在三个方面：一是第三人侵权和违法犯罪行为引发的法律风险，表现为手机银行客户的密码或电子签名被冒用;二是未适当执行手机指令的法律风险，表现为客户通过银行的电子签名验证后，发出了正确的交易指令，但由于手机银行交易系统故障等原因没有及时、正确执行交易指令，从而给客户造成损失;三是风险揭示不充分的法律风险，表现为客户被犯罪分子欺诈后，以银行对手机银行法律风险没有充分揭示为由，要求银行承担责任，此类情况主要是由于客户缺乏自我保护意识造成的。上述法律风险归纳为一点，就是手机支付的安全问题。来自艾瑞市场调研的数据显示，由于网络欺诈、网络“钓鱼”等现象的持续泛滥，近六成智能手机用户表示担心手机支付的安全。这在很大程度上影响了手机银行业务的推广。解决这一问题最好的策略就是在保持手机银行业务较快发展的基础上，做好法律风险防范。这需要社会、银行、消费者三个层面共同努力来实现。

　　就社会而言，相关部门要进一步完善手机银行业务的相关法律法规，从制度上保障手机银行的使用安全。依据我国现行《合同法》、《会计法》、《票据法》、《支付结算办法》等法律来拟定手机银行与客户或合作方的相关协议;依据《中华人民共和国计算机信息系统安全保护条例》、《信息安全等级保护管理办法》等制定信息技术安全方面的标准和流程，以保障手机银行的技术安全;依据银监会颁布的《电子银行业务管理办法》、《电子银行安全评估指引》、《商业银行信息科技风险管理指引》、《商业银行操作风险管理指引》、《银行业金融机构外包风险管理指引》等规章以及关于客户信息管理及个人金融信息保护方面的规范要求，制定有关业务流程和业务处理规定，保障手机交易安全和日常运维管理规范。此外，监管部门应切实发挥监管职能，推出具有针对性的规范性文件，指导手机银行业务依法有序开展。

　　就银行而言，要建立统一的手机银行风险控制平台，对手机银行交易进行实时监控，出现问题及时处理;进一步完善手机银行合同文本，区分客户与银行的责任，防范法律风险;加强手机银行业务的全流程管理，尤其是手机银行账户的开立、规章制度的执行和操作风险管理、媒体舆情监测等;加强与同业、银联、公安部门之间的沟通和联系，在发生手机银行风险案件时，及时通报信息，实现信息共享。

　　就消费者而言，要牢固树立安全消费、理性消费的观念，注意防范交易风险，例如要妥善保管自己的手机和密码，谨防欺诈;在手机银行业务操作完毕后，应及时退出程序;提高自身风险防范意识。