国际清算银行报告：虚拟银行及其超越（下）

翻译：对外经贸大学金融科技实验室

6

数据治理注意事项

如上所述，随着越来越多的活动在线上进行，消费者的数字足迹急剧增加。先进的计算技术使这种不断扩大的数据足迹能够从访问个人的大量综合交易和位置数据-个人的“信息资本”-中受益。传统上，经济系统确保个人和企业对其创造的资产拥有所有权，但数据并非如此。缺乏所有权给个人和企业带来的成本是缺乏这种所有权会带来的好处。

在全球范围内，大多数国家都有隐私法承认个人对其数据的权利。这些法律赋予数据主体—在这种情况下为消费者和企业–通过授予或拒绝同意使用和传输这些数据来控制其数据的机会。然而，消费者发现很难有效地管理这种同意，原因有两个。首先，服务提供商通常会在消费者注册使用提供商的服务时寻求同意使用和传输数据。由于这种同意是为广泛的可能性而事先征求的，因此它的性质是广泛和全面的。其次，新创建的数据通常被收集并保留在专有孤岛中，并以不兼容的格式存储在各种机构中。消费者可能会发现很难共享他们的数据，因为他们在跨机构合并数据请求方面的选择有限。因此，作为数据保管人的服务提供商实际上是数据的实际所有者。无法访问的数据，包括孤立在孤岛中的数据，对消费者和社会来说代表着巨大的成本。

要纠正这一点，需要一个基于同意的细粒度数据治理系统，该系统对用户友好且交易成本低。这样的系统还可以避免要消费者提供前述的广泛、全面的同意。各个司法管辖区正在开发基于同意的数据治理系统，以便数据主体可以从他们的数据中获得全部价值，同时保持对其的控制。考虑到所涉及的数据量以及保持数据安全的需要，这种基于同意的系统需要是数字化的。关键是同意请求-每次共享数据-要细化，指定请求的数据、保留多长时间以及谁将处理它们。以这种方式，可以实现目的限制、数据最小化、保留和使用限制，以及避免事前广泛、全面的同意。同意框架应该是开放的、可撤销的、安全的和接受审计的。

对于要在管辖范围内广泛采用的同意系统，它应该对数据主体-和数据用户友好，并以低交易成本运作。在数据主体目前处于重大障碍的系统中的情况下，通过专业数据受托人的参与，其作为数据主体的倡导者的主要任务是确保对系统的信任以及同意架构的广泛采用将显着增强规则得到遵守。

即使在设计最好的系统中，确保使用限制也是一个挑战，因为使用当前可用的技术很难执行。然而，技术的进步为保证使用限制的解决方案提供了空间。使用机密计算环境将使数据用户能够处理数据，以及提取分析结果，但不能访问个人身份信息数据。

7

综合监管框架

正如我们所见，潜在借款人的实时交易和位置数据所产生的信息资本是新银行模式的一个基本特征——它可以增强金融包容性和中介作用。但是，随着客户偏好的变化，进入银行业的公司越多中央银行和金融监管机构越发迫切地需要确保对新的金融架构进行监管，在不影响基本监管目标的情况下，实现数字金融的包容性和促进中介的好处。同时，如前所述，数据主体对其创建的数据拥有代理权的数据治理系统是必不可少的。

香港建立了一个许可和监管制度——同样适用于现有银行和新成立的银行——旨在管理来自任何来源的全方位风险，包括所有权结构或技术偏差，但是，既不能损害往往依赖于技术创新的发展目标，也不能损害金融稳定的监管目标。这就需要一个旨在维持上述平衡的综合监管框架。该框架如何处理数据处于开发的早期阶段，而新生的基于同意的数据共享平台仅限于商业交易。本节介绍监管框架如何应对这些挑战。

a.整体方法

香港金融管理局在监管和监管中采用了以风险为本和技术中立的方法，着眼于促进金融包容性和创新，并提供更好的客户体验。因此，在实施监管框架时，香港金融管理局关注金融活动或交易的内在特征，以及由此产生的风险。不应仅仅因为新技术应用而引入不适当的豁免或要求。这有助于维持有利于创新和竞争市场的环境，同时确保最终用户不必承担不当风险。

香港金融管理局于2019年上半年向八家虚拟银行发放银行牌照。它们均于2020年正式向公众提供服务。在其短暂的运营期内，公众对虚拟银行的接受度很高，尤其是在存款方面;随着他们推出更广泛的产品和客户体验，他们的客户群和增长率可能会进一步增加。截至 2021 年 9 月底，虚拟银行共签约客户约 110 万，相当于成年人口（20 岁以上）的约 17.5%，吸引了超过 240 亿港元（约合 30 亿美元） ) 存款。虚拟银行发放的贷款总额仍然很小，约为 40 亿港元。这些贷款仍保留在银行的资产负债表上，并由其客户存款和资本基础提供资金。

香港的虚拟银行主要从事零售银行业务，重点服务于个人和中小企业——信贷中介程序需要更好地服务的人群。因此，在发牌阶段，所有虚拟银行银行申请人提交一份详细而可信的商业计划书，解释虚拟银行打算如何符合金管局在香港引入虚拟银行的目标，包括促进金融包容性，以及改善客户界面。一旦获得拍照，金管局将密切关注每家虚拟银行的运营情况，包括与其提交的计划相关的情况。作为这项工作的一部分，它评估了与个人和企业，特别是中小企业的金融包容性有关的新产品和服务的开发。在客户可能对新产品不那么熟悉的情况下,要求虚拟银行加强披露，以确保充分保护消费者。

在评估申请时，保留对现有银行的基本许可要求——财务资源的充足性，包括资本、风险管理、控制系统和高级管理人员的适合度等因素。这也适用于大型科技申请人，他们可能对受监管银行的风险管理和内部控制期望不熟悉。无论所有权结构如何，虚拟银行的董事会和高级管理层都应拥有具备适当专业知识和经验的成员，以确保虚拟银行的风险得到适当的监控和控制。

与现有银行一样，向金管局提供相关财务和其他信息也成为一项持续的义务。因此，基于活动的监管原则适用（“相同的活动，相同的监管”）。通过这种方式，可以确保虚拟银行牌照不是影子银行活动和监管套利的途径。

同时，根据综合监管方法，选择虚拟银行的程序进一步包括提交和审查董事会和高级管理层的技术专长和经验证据。进一步的要求是申请人证明有能力制定适当的风险管理框架并建立董事会和高级管理委员会来监督公司的信息技术治理。在获得银行牌照后，在业务开始之前，要审查关于银行技术风险管理的独立评估报告。在业务开始运作后，金管局将持续监管重点放在虚拟银行的信息技术治理、系统弹性和稳定性以及网络安全上，并为此进行现场检查和桌面审查。

虚拟银行被认为会带来两个额外的独特风险：——(i) 拥有和控制银行的公司的多样性；以及(ii) 以数据和技术为基础的业务模式——要求将香港的监管框架扩展到现有银行。如下文更详细讨论的那样，由于许多控股公司以前没有金融经验，包括独立的机构以及银行、非银行金融机构和科技公司之间的合资企业。这种类型的监管显然是基于实体而非活动的。

b.谁来监管，为什么？

在香港经营的虚拟银行与现有银行的监管相同。他们必须作为本地注册银行运营。大股东应为信誉良好并受香港或其他地方认可当局监管的银行或金融机构，否则将适用额外规定。

如前所述，虚拟银行可能由经营非银行业务的实体拥有，因此大股东有可能在香港以外的地方注册，或者是在当地注册的公司，但既不是金融控股公司也不是金融控股公司的子公司。在这种情况下，集团内的虚拟银行必须由在香港注册成立的控股公司拥有多数股权。在执行这项规定时，金管局对控股公司施加了监管条件，以减轻金管局的主要关切——其大股东或其集团的任何关联方可能对香港的虚拟银行构成风险。大股东是一部分。

直接控股公司须遵守类似于虚拟银行通常须遵守的关键审慎要求的监管条件（例如，遵守对资本充足率、流动性、大额风险敞口、集团内部风险敞口和资产抵押的审慎限制，确保其首席执行官和董事的适当性，并实施有效的公司治理）。

虚拟银行的所有者包括拥有从事非金融活动的其他重要集团实体的多元化企业集团，因此，在多元化企业集团中，大股东可能是最终控股公司或中间控股公司。在这种情况下，金管局会对最终/中间控股公司施加监管条件。这些条件主要是使金管局能够获得相关信息（除了经审计的账目、任何重大资本减值或杠杆增加的通知，以及董事会和首席执行官的任何变动），以评估集团内其他地方的活动对虚拟银行构成的任何潜在风险并加以控制。特别是，最终控股公司必须提交一份年度独立审查报告，说明其财务状况，在需要时向虚拟银行及时提供资本和流动性支持的能力，以及任何可能对虚拟银行的安全和稳健性产生不利影响的内在业务风险（包括非金融活动）。该报告的调查结果将在确定银行资本要求的年度监督审查过程中予以考虑。

c.基于技术的商业模式风险

虽然虚拟银行须遵守适用于现有银行的相同监管要求，但金管局已在适当的情况下，以与虚拟银行活动的风险状况和业务模式相称和相关的方式调整其要求。例如，在个人贷款领域，金管局观察到，对银行的传统监管要求，例如收集借款人的损益表，可能会使银行难以依靠替代数据开发新的贷款产品。有鉴于此，在2018年，他们允许银行放贷最多为银行资本基础的10%用于新的个人贷款。在这种情况下，允许偏离传统的贷款做法。随后在 2019 年，认识到即使这些上限也可能对处于初始增长阶段的虚拟银行具有约束力，金管局完全取消了 10% 的限制，允许银行为此类新的个人贷款产品设定自己的限制。也就是说，预计银行将在推出此类新产品之前与金管局讨论其计划。

使用基于技术的金融架构往往涉及业务规模的迅速扩大。在监管虚拟银行时，金管局会定期监察业务扩张的步伐，并着重确保业务扩张的速度不会过快而对银行的系统和风险管理能力造成过度压力。特别关注虚拟银行的风险管理和内部控制是否足以管理相关风险，包括银行的员工资源以及应对开户申请和客户交易激增的运营能力。如有必要，金管局要求虚拟银行在为推出重大或新的业务措施开绿灯之前，聘请独立人士评估其风险管理系统和内部控制。

金管局还要求虚拟银行申请人制定退出计划，以便在有需要时虚拟银行能够有秩序地解除其业务运营，而不会对客户和金融体系造成干扰。例如，该计划规定了启动退出计划的触发因素、要采取的流程和程序、与客户和其他利益相关者（包括监管机构）沟通的策略，以及用于偿还的资金来源和渠道。虚拟银行必须不断审查其退出计划。

金管局意识到，引入虚拟银行可能会给银行业带来竞争压力，从而可能导致银行增加风险承担，对个别银行甚至整个银行业的稳定性造成不利影响。由于虚拟银行仍处于运营初期，其对竞争的影响还有待观察。也就是说，在向虚拟银行授予银行牌照后不久，它们就引入了免费开户，以及没有月费或最低余额的账户。作为回应，一些现有银行也取消了基本银行账户的月费或最低余额费用。到目前为止，虚拟银行被证明是竞争压力的来源，迫使现有银行加快采用技术并扩大其数字产品。

数字时代的竞争也可以反映出获取数据和迅速扩大规模以利用网络效应的动机。金管局会监察虚拟银行是否采取掠夺性策略（即以在营运初期大幅亏损为代价，积极扩大市场份额）。金管局尤其会考虑虚拟银行在促销活动中提供的优惠定价，以及银行的整体业务策略是否可持续，以及是否有可靠的中期盈利计划。

一般来说，金管局不会干预个别银行的商业决策。它关注的重点是银行采用的定价和销售做法是否会导致它们放松风险管理标准，从而对个别银行或整个银行系统的稳健性产生不利影响。金管局可能会考虑采取的行动包括:要求虚拟银行放慢或暂停其促销活动、要求银行委托独立方审查其治理和内部控制、施加更严格的资本要求，或限制或暂停其业务活动。

d.数据治理

如第 6 节所述，数字平台上提供的数据对于信用评估、增加获得信贷的机会并降低借款人现有信贷额度的成本非常宝贵。机器学习和大数据分析等创新与云计算相结合，促进了以前未开发的大型数据存储库的使用。但是，如果缺乏有效的数据治理框架，借款人将无法获得前面所述的许多好处，因为他们无法对其数据进行控制。

为提高数据共享效率，并使中小型企业能够有效利用其数字活动产生的数据为自己服务，金管局于 2020 年宣布了商业数据交换 (CDI)，这是金管局金融科技 2025 战略的重要组成部分。顾名思义，CDI 专注于商业交易。金管局概念验证研究的第一阶段侧重于利用贸易相关数据促进贸易融资，并于 2020 年底前完成。第二阶段的重点是利用支付数据促进替代信用评分，于 2021 年 10 月完成。参与者包括来自电子商务、支付和电信行业的金融机构和数据供应商。

借助 CDI，数据用户（银行）和数据提供者之间不再存在多个一对一的连接，而是每个银行和数据提供者将拥有一个与可互操作平台的单一连接，从而提高数据共享效率。作为基于同意共享的安全系统，CDI在运行时应遵循目的限制、数据最小化和数据共享存储限制的原则。CDI 将使潜在的中小企业借款人能够验证他们的身份和同意，允许中小企业通过 CDI 平台向贷方提供相关数据-例如历史营业额、贸易对手类型和信用表现。通过改进对各种贷方的信用分析，它应该允许中小企业从他们生成的数据中获益更多（图 6）。CDI 将于 2022 年下半年全面揭开面纱。现阶段，CDI 并未延伸至个人消费者。

随着虚拟银行的出现，金管局确定的一个关键风险领域是客户保护，包括数据隐私。数据收集和使用的效率不仅会增加消费者欺诈和不当销售的风险，还会导致潜在的隐私侵犯。为了控制这些风险，CDI 纳入了端到端的数据加密以及其他保障措施。在CDI正式启动时，将公布治理框架，以确保CDI用户遵守网络安全和数据保护规则。金管局已采取措施，在银行的开放 API 举措以及银行使用数据分析和人工智能方面加强消费者保护。这些措施旨在保护客户利益，无论银行是直接提供服务还是与第三方服务提供商合作提供服务。

就 CDI 的引入使贷款人更容易获得最新的借款人数据而言，一些可能因缺乏抵押品而被排除在外的公司可能仍然能够进入信贷市场。CDI 的建立表明，公共部门可以为提高数据可用性的基础设施做出贡献。同时，在央行提供的监管框架下，CDI 旨在尊重批准和数据安全原则。

全球多个司法管辖区正在开发数据治理平台，其设计存在重大差异。最近在印度推出的 Account Aggregator 模型有一个基于同意的数据治理系统——用于收集、处理和共享数据——它是开放的、可互操作的，并且同意是细化的、可撤销的、可审计和安全的。该系统由获得印度储备银行许可的批准管理者锚定，他们确保数据主体（在这种情况下为消费者和企业）从他们创建的数据中受益。该系统为 CDI 和其他基于同意的数据共享系统提供了重要的指导，以供未来调整。其他司法管辖区，如新加坡，也引入了中央银行监管的平台，以减轻数据共享中隐私和金融创新之间的权衡，但在设计上有重要区别。

e.系统、模型和算法治理

为在科技创新与消费者利益之间取得平衡，金管局建议银行实施与所涉风险相称的消费者保护措施。例如，在银行开放 API 举措方面，金管局发出通告，要求银行遵守《银行业务守则》中的消费者保护原则，并遵守其银行产品和服务的其他监管要求。银行必须解决所有相关的消费者保护问题，例如公平对待客户、信息披露和透明度、防止欺诈、补救机制、责任和结算安排以及潜在的虚假陈述风险。

此外，金管局为银行的大数据分析和人工智能（BDAI）应用制定了一些指导原则，以解决消费者保护和风险管理方面的问题。这些原则包括：

(i) 出于治理目的，银行董事会和高级管理层仍对所有 BDAI 驱动的决策和流程负责。因此，他们应该确保 BDAI 模型能够被轻易解释，包括任何算法（即没有“黑箱”借口）。作为金管局监管工作的一部分，银行必须证明其 BDAI 举措符合指导原则，以及相关风险得到管理。

(ii) 银行应确保 BDAI 模型为客户产生客观、合乎道德和公平的结果，其中包括允许人工干预的可能性，以在必要时减轻不负责任的贷款决策（例如，在涉及较高风险或自动决定影响的情况下）。

此外，人工智能 (AI) 模型应经过严格验证和持续监控，以确认其准确性和适当性，并确保它们继续按预期运行。鉴于人工智能和数据分析中蕴含的偏见可能不利于金融包容性，这一点就显得尤为重要。如前所述，这些原则在本质上是有意的高层次性质，因为金管局注意到，过分规定或僵化的要求可能会阻碍进一步的人工智能相关技术的开发。出于这个原因，银行以反映其人工智能应用的性质和所涉及的风险水平的方式应用这些原则。此外，预计银行将根据其人工智能模型的性质和风险水平以不同的频率进行模型评估。

8

结论

尽管过去十年在增加银行账户访问方面取得了重大进展，但使用金融系统进行储蓄和借贷的比例仍然很低。这不仅是发展中国家的问题，也是教育水平和收入高的司法管辖区的问题。

技术有望缩小这一差距。尽管寻求信贷的个人和小公司传统上需要提供抵押品，或者对许多银行来说不经济，但消费者和公司在网上和其他地方不断扩大的数字足迹创造了可供银行用作信息资本来提供贷款的数据，减少对抵押品的依赖。同时，由于技术的使用降低了交易成本，银行将能够更好地为低利润、高风险的客户提供服务。更一般地说，银行技术堆栈将使不同的服务提供商能够进入堆栈的各个层以使用并获得数据的好处。我们对亚洲虚拟银行活动的广度、客户人口统计数据的多样性以及所有权结构的创新组合的研究表明，普惠金融可以向前迈出重要一步。

过去，个人和公司通常只使用一家银行来满足他们所有的金融需求，尽管随着时间的推移，提供金融服务的竞争越来越激烈。银行业数字化程度的提高使这一竞争更进一步。通过非捆绑式银行堆栈，可以在更多平台上提供金融服务，为越来越多的人口提供更多种类的金融产品，同时也可以在受监管的系统内以法定货币结算。

公共举措的变革性影响在亚洲（包括香港）的发展中显而易见。金管局为虚拟银行制定了一个监管框架，旨在通过允许大型科技/金融科技公司以及非银行金融机构控制股权的多样化所有权结构来寻求利益——促进创新和包容性。同时，除了维持以活动为基础的监管目标外，金管局亦会考虑科技对个别银行及金融系统构成的风险，这些风险是由没有金融业经验的大型科技公司参与而来的。

新银行模式中数据的不可或缺性提高了数据隐私标准的重要性，该标准可以减轻对客户安全和隐私的任何风险。虽然对于大多数司法管辖区来说，这项工作正在进行中，但建立开放、非歧视和可互操作的系统是关键。该问题的一种解决方案——在印度和新加坡已经出现，在香港也正在开发中

是在中央银行监管下创建一个平台，促进与金融服务提供商共享个人数据，但必须征得客户同意。目前，香港正在开发的系统只适用于商业交易。中央银行对同意共享平台的监督旨在确保维护消费者保护和内容的原则以及数据安全。

向信息资本的过渡和对信息资本的日益依赖凸显了虚拟银行面临的几个关键挑战：数据的有效性以及随之而来的对无担保贷款所必需的借款人的严格监控和评估。对于要求虚拟银行和实体银行遵守相同法规的债务解决机制，无担保贷款，特别是无追索权贷款，使贷款人面临比提供抵押贷款更高的损失风险。为了将潜在损失降至最低，虚拟银行依赖于强大的监控，包括更频繁和多维度的信用评估输入，以及提供更好地满足借款人还款能力的定制贷款。因此，从有形抵押品向信息资本转变的最终结果是对信息收集的更大依赖以及对用户信用状况的更持续和更有力的评估。

本报告未涵盖新银行模式对金融体系的全部副作用。这些副作用如何在整个商业周期中发挥作用，以及贷款期限的缩短是否与对金融系统依赖程度的降低相结合实物抵押品将减轻或放大金融系统的顺周期性，这是一个悬而未决的问题。基于数据的信贷分配可能会降低借款人与其银行家之间关系的价值，这在其他情况下已被证明可以提高银行处理危机和事后借款人债务财务重组的能力。金融生态系统的新进入者将与现有银行建立竞争和互补关系。虽然虚拟银行可能会引领这一技术转型，但现有银行将寻求管理其 IT 遗留系统和复杂组织结构的负担以缩小差距。理想情况下，当被授予对自己数据的控制权时， 消费者将能够从两全其美的产品中进行选择。