刘颖：电子银行法律风险的几个问题

【摘要】近年来，我国的电子银行业务得到了飞速发展，蕴藏了较大的风险。法律风险是指违反或不遵从法律法规所带来的各当事方遭受损失的可能性，或者法律的不明确或不完善导致各当事方遭受的损失的可能性。电子银行的法律风险包括两方面的内容：第一，法律风险源于对既存法律、法规的违反，此类风险可能使电子银行有关当事方面临民事、行政或刑事责任风险，也可能导致银行声誉贬低、业务机会受限、拓展潜力降低和缺乏合同的可实施性等。第二，法律风险还源于法律规定的模糊或缺失。巴塞尔银行监管委员会认为，与传统银行的法律风险相比较，电子银行的法律风险新增了四个方面：（一）通过电子媒介达成的协议的效力不确定。（二）银行在认证系统中也有可能扮演一种新的的角色，即成为电子认证机构。但现行法律对认证机构的法律地位规定得并不明确。（三）在电子银行时代，电子银行业务与电子货币行为给银行零售业务带来的新特点，使各当事方的权利义务处于不确定状态。（四）消费者保护法是否适用于电子银行业务与电子货币行为不明确。我国《电子签名法》已经基本建立了有关数据电文的法律框架，基本上可以防范第一类电子银行法律风险。确定认证机构的法律地位的关键因素之一是认定认证机构与电子签名依赖方之间的关系的性质，电子签名人与认证机构之间的合同属于德国法上的“附保护第三人作用之合同”。美国《统一商法典》第4A编创立了一整套全新的概念和规则，为建立电子银行法律制度提供了范例。国家对电子商务中的消费者保护和对传统商务中的消费者应实行同等保护原则。互联网金融的发展已经使得非金融机构事实上也在从事部分银行业务。这进一步突显了我国电子银行相关法律法规的不完善，增加了电子银行的法律风险。我国应从多方面健全电子银行法律法规，减少电子银行法律法规不明确、不完善引起的法律风险。

【关键字】电子银行；法律风险；互联网金融；巴塞尔银行监管委员会

一、电子银行法律风险的界定

在实践中，风险作为金融活动和金融市场的内在属性之一已是不争的事实。但是，要在理论上为风险作一个准确的界定并非一件容易之事。有学者认为，风险本身具有多种含义，与其从某一领域的风险专家的定义中为风险找一个“准确的”定义，不如采取折中的方法，在必要的时候采用他们自己的术语和定义。在通常情况下，风险与不同的主题有着模糊的联系，例如，在金融领域，风险一般涉及与投资决定相关的投机风险（speculative risk），但是，越来越多的观点认为金融风险应建立在更广泛的基础上，不仅包括任何机构做出的决定的风险，而且风险还与整个组织机构、过程、管理程序、人力资源及影响决定过程的文化相联系{1}41。尽管如此，仍有众多的学者试图解释何为风险。有关风险，有学者认为，风险与不确定性联系在一起，风险是资产价值、股票价格和盈利情况出现非预期结果的不确定性，从广义上可分为商业风险和金融风险，金融风险，指涉及金融市场交易而带来收益或损失的不确定性，例如利率的变动{2}4。也有学者认为，风险与损失相联系，风险是损失发生的可能性，或可能发生的损失，只有低于预期收益的损失可能才构成风险，金融风险所涉及的损失，不仅包含对原来拥有的资本成本的失去，而且包括机会成本的损失{3}15-20。还有学者认为，一项金融活动或一个金融产品的风险是与不确定性和相应的不利后果相联系的。根据此观点，一个金融产品的价格和收益的波动性可以用来衡量其不确定性，但只有当此种不确定性可能给投资者带来损失时才构成这一投资载体的风险{4}248。虽然存在不同的观点，但经济学上一般认为，所谓金融风险，是指人们在从事金融活动中遭受损失的不确定性。金融活动中变动着的不确定性差异越大，风险也就越大。

关于金融风险所涉及的主体，又有狭义与广义两种不同的理解。狭义的理解认为，金融风险涉及的范围仅指银行、信托投资公司、证券公司等金融机构在经营活动中所面临的风险；而广义的理解认为，金融风险涉及社会经济生活的各个方面，且牵涉各种经济主体。凡是由于经济主体在筹集资金和运作资金而面临的遭受损失的不确定性，均可称为金融风险{5}21。本文对金融风险采取广义的界定，除了金融机构所面临的风险外，也将包括客户在内的其他相关主体面临的风险囊括在内。

近年来，我国的电子银行业务得到了飞速发展。据中国金融认证中心发布的《2013中国电子银行调查报告》显示，中国电子银行业务连续四年呈增长趋势，其中，全国个人网银用户比例较2012年增长了1.7个百分点。在企业网银方面，2013年企业网银用户比例为63.7%，较2012年增长10个百分点；平均每家企业网银活动用户使用网上银行替代了63%的柜台业务，而在2009年，这一比例为50.7%。2013年，76%的企业使用网上银行替代了超过一半以上的柜台业务。与此同时，手机银行业务展现出巨大潜力。2013年全国地级以上城市城镇人口中，个人手机银行用户比例为11.8%，较2012年增长近3个百分点，连续3年呈增长趋势{6}。近两年来，受移动购物需求的推动，移动远程支付[1]得到快速成长，而近场支付[2]由于经历了相当长时间标准纷争和利益博弈，一直没有形成大规模商用，导致发展缓慢。调查数据显示：2013年移动远程支付用户比例为13.3%，较2012年提升了近4个百分点；2014年移动近场支付用户比例为3.6%，较2012年提升了0.4个百分点；用户使用移动远程支付的金额占比为95%，移动近场支付金额占比为5%。移动远程支付中，网上购物是支付金额占比最大的支付场景；移动近场支付中，超市购物和商场购物是支付金额占比最大的场景；手机刷 POS 机是支付金额占比最大的支付方式{6}。

电子银行业务存在着很大的风险。虽然，电子银行风险属于金融风险，但与传统银行风险比起来，电子银行风险更多地来自于电子通信技术的应用。电子通信技术的运用冲破了银行交易的时空局限、降低了银行的运营成本、提高了交易效率，但也潜藏着一系列风险因素。当发生风险事件，客户资金和其他权益的损害难以估算，银行也面临大量损失的风险，甚至酿成系统风险，影响国家金融稳定。根据以上有关风险的界定，本文将电子银行风险界定为：由于计算机系统，特别是互联网和其他电子通信网络在银行业务中的广泛运用而使从事银行活动的各当事人遭受损失的不确定性或可能性。

作为现代银行提供服务的重要渠道，电子银行几乎可以提供传统银行的所有业务，当然，传统银行的风险，如信用风险（Credit Risk）、流动性风险（Liquidity Risk ）、市场风险（Market Risk）也都会出现在电子银行业务中。巴塞尔银行监管委员会（Basel Committee on Banking Supervision）认为，从事电子银行业务的银行可能通过非传统渠道扩展信贷范围，并在传统地理界线外扩宽市场。对于通过远程银行业务程序申请贷款的借款人，如果确定其信用等级的程序不当，将增加银行的信用风险{7}9。巴塞尔银行监管委员会认为，对于从事电子货币业务的银行而言，如果他们不能保证在任何时候都有充足的资金以供赎回和结算，那么流动性风险是值得注意的{7}9。电子银行利用其自身的优势进行多种业务，例如销售自营的理财产品和代售保险、信托产品，这些电子业务有可能增加银行的市场风险。虽然互联网的开放性和多样性使电子银行面临着特殊的风险，但是巴塞尔银行监管委员会认为，电子银行业务和电子货币行为，并未从本质上产生新的风险，但是电子银行业务和电子货币行为的特征增加并修改了与银行活动有关的某些传统风险，特别是增加了法律风险、操作风险、战略风险和信誉风险，因而影响银行风险的整体状况{7}5，{8}1。本文先简单分析操作风险、战略风险和信誉风险，然后专门就法律风险进行研究。

巴塞尔银行监管委员会在2001年将操作风险（Operational Risk）定义为：由不当或者失效的内部控制过程、人员和系统以及外部事件所造成的损失[3]。巴塞尔银行监管委员会将操作风险的来源分成7类：内部诈骗（internal fraud）、外部诈骗（external fraud）、雇员行为及工作场所安全性（employment practices and workplace safety）、客户、产品以及业务活动（clients， products， and business practices）、对实物资产的破坏（damage to physical assets）、业务中止以及系统故障（business disruption and systemfailures）、交易的执行、交付和过程管理（execution， delivery， and process management）{9}2。

电子银行中的信息技术能够以多种方式产生或增加操作风险。第一，外部攻击的风险。电子银行的身份认证、访问限制、银行监管措施、认证机构的可靠性以及与外部的通信等环节都可能会造成安全性风险，黑客可以通过通信网络攻击电子银行系统，从而访问、获取和使用机密信息，实施未经客户授权的交易，可能会给客户和银行造成经济损失。第二，内部攻击的风险。银行内部职员对业务漫不经心、过失或者欺诈篡改账户数据、截留账户资金也可能造成严重的操作风险。第三，电子银行系统设计、实施和维护方面的风险。电子银行本身可能会由于技术缺陷或技术过时遭受服务中断或无法提供完善服务的风险；另外，如果电子银行是依赖外部服务提供商来实施、运行和支持其银行系统，外部服务提供商的技术、管理水平，也可能会影响电子银行系统的运行。第四，客户错误或欺诈性操作的风险。如果银行没有就安全预防问题向客户进行足够的宣传和教育，就会产生误操作风险。另外，由于缺乏足够的措施来验证交易，客户可能会否认他们曾授权过的交易，使银行蒙受损失。第五，认证系统风险。电子银行系统的运作往往依赖于某认证系统（该银行自建的认证机构，或第三方认证机构），其主要负责数字证书的产生、发放及管理，在此过程中也会潜藏一定的操作风险。

美国财政部货币监理署（Office of Comptroller of Currency，简称 OCC）认为，战略风险（Strategic Risk）是指因决策失误、决策的实施不当或对行业变化缺乏响应而对银行收益或资本所造成的不确定性{10}10。战略风险受该银行战略目标的一致性、为实现这些目标而制定的业务战略、为实现目标而利用的资源、实施质量等诸多因素的影响。为实现战略目标而必需的IT 资源包括有形资源（如计算机硬件、软件、传输网络等）和无形资源（如管理能力和才能等）。当银行管理部门未能恰当地计划、管理和监督与IT相关的产品、服务、过程和传送渠道时， IT的应用就会产生战略风险。另外，如果管理部门没有理解、支持或应用互联网技术，而该技术对银行的竞争能力又是至关重要时，或银行使用了某项不可靠的技术时，也会产生战略风险{11}67。

声誉风险（Reputational Risk）是指负面的公众舆论而导致银行资金或客户流失的风险。与传统银行相比，电子银行的声誉风险更具特殊性，其原因主要有以下三个方面：第一，具有重大影响的广泛的系统缺陷，可能造成客户的不便或损失，导致客户停止使用电子银行服务；第二，重大的安全事故、病毒的破坏和黑客的攻击会造成系统故障，造成客户的流失；第三，其他机构出现声誉风险往往引起信心危机，声誉风险不仅针对特定银行，而且会蔓延到整个银行系统，在极端情况下甚至会导致整个电子银行的系统性中断{7}7。

法律风险（Legal Risk）是指违反或不遵从法律法规所带来的损失的可能性，