出資發放貸款、支付結算、風險分擔、資訊科技、逾期清收等方面開展合作的各類機構，包括但不限於銀行業金融機構、保險公司等金融機構和小額貸款公司、融資擔保公司、電子商務公司、非銀行支付機構、資訊科技公司等非金融機構。

第五條下列貸款不適用本辦法：

（二）商業銀行發放的抵質押貸款，且押品需進行線下或主要經過線下評估登記和交付保管；

（三）中國銀行保險監督管理委員會規定的其他貸款。

上述貸款適用其他相關監管規定。

第六條網際網路貸款應當遵循小額、短期、高效和風險可控的原則。

單戶用於消費的個人信用貸款授信額度應當不超過人民幣20萬元，到期一次性還本的，授信期限不超過一年。中國銀行保險監督管理委員會可以根據商業銀行的經營管理情況、風險水平和網際網路貸款業務開展情況等對上述額度進行調整。商業銀行應在上述規定額度內，根據本行客群特徵、客群消費場景等，制定差異化授信額度。

商業銀行應根據自身風險管理能力，按照網際網路貸款的區域、行業、品種等，確定單戶用於生產經營的個人貸款和流動資金貸款授信額度上限。對期限超過一年的上述貸款，至少每年對該筆貸款對應的授信進行重新評估和審批。

第七條商業銀行應當根據其市場定位和發展戰略，制定符合自身特點的網際網路貸款業務規劃。涉及合作機構的，應當明確合作方式。

第八條商業銀行應當對網際網路貸款業務實行統一管理，將網際網路貸款業務納入全面風險管理體系，建立健全適應網際網路貸款業務特點的風險治理架構、風險管理政策和程式、內部控制和審計體系，有效識別、評估、監測和控制網際網路貸款業務風險，確保網際網路貸款業務發展與自身風險偏好、風險管理能力相適應。

網際網路貸款業務涉及合作機構的，授信審批、合同簽訂等核心風控環節應當由商業銀行獨立有效開展。

第九條地方法人銀行開展網際網路貸款業務，應主要服務於當地客戶，審慎開展跨註冊地轄區業務，有效識別和監測跨註冊地轄區業務開展情況。無實體經營網點，業務主要在線上開展，且符合中國銀行保險監督管理委員會其他規定條件的除外。

在外省（自治區、直轄市）設立分支機構的，對分支機構所在地行政區域內客戶開展的業務，不屬於前款所稱跨註冊地轄區業務。

第十條商業銀行應當建立健全借款人權益保護機制，完善消費者權益保護內部考核體系，切實承擔借款人資料保護的主體責任，加強借款人隱私資料保護，構建安全有效的業務諮詢和投訴處理渠道，確保借款人享有不低於線下貸款業務的相應服務，將消費者保護要求嵌入網際網路貸款業務全流程管理體系。

第十一條中國銀行保險監督管理委員會及其派出機構（以下簡稱銀行業監督管理機構）依照本辦法對商業銀行網際網路貸款業務實施監督管理。

第二章風險管理體系

第十二條商業銀行應當建立健全網際網路貸款風險治理架構，明確董事會和高階管理層對網際網路貸款風險管理的職責，建立考核和問責機制。

第十三條商業銀行董事會承擔網際網路貸款風險管理的最終責任，應當履行以下職責：

（一）審議批准網際網路貸款業務規劃、合作機構管理政策以及跨區域經營管理政策；

（二）審議批准網際網路貸款風險管理制度；

（三）監督高階管理層對網際網路貸款風險實施管理和控制；

（四）定期獲取網際網路貸款業務評估報告，及時了解網際網路貸款業務經營管理、風險水平、消費者保護等情況；

（五）其他有關職責。

第十四條商業銀行高階管理層應當履行以下職責：

（一）確定網際網路貸款經營管理架構，明確各部門職責分工；

（二）制定、評估和監督執行網際網路貸款業務規劃、風險管理政策和程式，合作機構管理政策和程式以及跨區域經營管理政策；

（三）制定網際網路貸款業務的風險管控指標，包括但不限於網際網路貸款限額、與合作機構共同出資發放貸款的限額及出資比例、合作機構集中度、不良貸款率等；

（四）建立網際網路貸款業務的風險管理機制，持續有效監測、控制和報告各類風險，及時應對風險事件；

（五）充分了解並定期評估網際網路貸款業務發展情況、風險水平及管理狀況、消費者保護情況，及時了解其重大變化，並向董事會定期報告；

（六）其他有關職責。

第十五條商業銀行應當確保具有足夠的資源，獨立、有效開展網際網路貸款風險管理，確保董事會和高階管理層能及時知悉風險狀況，準確理解風險資料和風險模型的作用與侷限。

第十六條商業銀行網際網路貸款風險管理制度應當涵蓋營銷、調查、授信、簽約、放款、支付、跟蹤、收回等貸款業務全流程。

第十七條商業銀行應當通過合法渠道和方式獲取目標客戶資料，開展貸款營銷，並充分評估目標客戶的資金需求、還款意願和還款能力。商業銀行應當在貸款申請流程中，加入強制閱讀貸款合同環節，並設定合理的閱讀時間限制。

商業銀行自身或通過合作機構向目標客戶推介網際網路貸款產品時，應當在醒目位置充分披露貸款主體、貸款條件、實際年利率、年化綜合資金成本、還本付息安排、逾期清收、諮詢投訴渠道和違約責任等基本資訊，保障客戶的知情權和自主選擇權，不得采取預設勾選、強制捆綁銷售等方式剝奪消費者意願表達的權利。

第十八條商業銀行應當按照反洗錢和反恐怖融資等要求，通過構建身份認證模型，採取聯網核查、生物識別等有效措施識別客戶，線上對借款人的身份資料、借款意願進行核驗並留存，確保借款人的身份資料真實有效，借款人的意思表示真實。商業銀行對借款人的身份核驗不得全權委託合作機構辦理。

第十九條商業銀行應當建立有效的反欺詐機制，實時監測欺詐行為，定期分析欺詐風險變化情況，不斷完善反欺詐的模型稽核規則和相關技術手段，防範冒充他人身份、惡意騙取銀行貸款的行為，保障信貸資金安全。

第二十條商業銀行應當在獲得授權後查詢借款人的徵信資訊，通過合法渠道和手段線上收集、查詢和驗證借款人相關定性和定量資訊，可以包括但不限於稅務、社會保險基金、住房公積金等資訊，全面了解借款人信用狀況。

第二十一條商業銀行應當構建有效的風險評估、授信審批和風險定價模型，加強統一授信管理，運用風險資料，結合借款人已有債務情況，審慎評估借款人還款能力，確定借款人信用等級和授信方案。

第二十二條商業銀行應當建立人工複核驗證機制，作為對風險模型自動審批的必要補充。商業銀行應當明確人工複核驗證的觸發條件，合理設定人工複核驗證的操作規程。

第二十三條商業銀行應當與借款人及其他當事人採用資料電文形式簽訂借款合同及其他文書。借款合同及其他文書應當符合《中華人民共和國合同法》《中華人民共和國電子簽名法》等法律法規的規定。

第二十四條商業銀行應當與借款人約定明確、合法的貸款用途。貸款資金不得用於以下事項：

（一）購房及償還住房抵押貸款；

（二）股票、債券、期貨、金融衍生產品和資產管理產品等投資；

（三）固定資產、股本權益性投資；

（四）法律法規禁止的其他用途。

第二十五條商業銀行應當按照相關法律法規的要求,儲存、傳遞、歸檔以資料電文形式簽訂的借款合同、信貸流程關鍵環節和節點的資料。已簽訂的借款合同及相關資料應可供借款人隨時調取查用。

第二十六條授信與首筆貸款發放時間間隔超過1個月的，商業銀行應當在貸款發放前對借款人信用狀況進行再評估，根據借款人特徵、貸款金額，確定跟蹤其信貸記錄的頻率，以保證及時獲取其全面信用狀況。

第二十七條商業銀行應當按照借款合同約定，對貸款資金的支付進行管理與控制，貸款支付應由具有合法支付業務資質的機構執行。商業銀行應加強對支付賬戶的監測和對賬管理，發現風險隱患的，應立即預警並採取相關措施。採用自主支付方式的，應當根據借款人過往行為資料、交易資料和信用資料等，確定單日貸款支付限額。

第二十八條商業銀行應遵守《個人貸款管理暫行辦法》和《流動資金貸款管理暫行辦法》的受託支付管理規定，同時根據自身風險管理水平、網際網路貸款的規模和結構、應用場景、增信手段等確定差異化的受託支付限額。

第二十九條商業銀行應當通過建立風險監測預警模型，對借款人財務、信用、經營等情況進行監測，設定合理的預警指標與預警觸發條件，及時發出預警訊號，必要時應通過人工核查作為補充手段。

第三十條商業銀行應當採取適當方式對貸款用途進行監測，發現借款人違反法律法規或未按照約定用途使用貸款資金的，應當按照合同約定提前收回貸款，並追究借款人相應責任。

第三十一條商業銀行應當完善內部審計體系，獨立客觀開展內部審計，審查評價、督促改善網際網路貸款業務經營、風險管理和內控合規效果。銀行業監督管理機構可以要求商業銀行提互動聯網貸款專項內部審計報告。

第三十二條網際網路貸款形成不良的，商業銀行應當按照其性質及時制定差異化的處置方案，提升處置效率。

第三章風險資料和風險模型管理

第三十三條商業銀行進行借款人身份驗證、貸前調查、風險評估和授信審查、貸後管理時，應當至少包含借款人姓名、身份證號、聯絡電話、銀行賬戶以及其他開展風險評估所必需的基本資訊。如果需要從合作機構獲取借款人風險資料，應通過適當方式確認合作機構的資料來源合法合規、真實有效，對外提供資料不違反法律法規要求，並已獲得資訊主體本人的明確授權。商業銀行不得與違規收集和使用個人資訊的第三方開展資料合作。

第三十四條商業銀行收集、使用借款人風險資料應當遵循合法、必要、有效的原則，不得違反法律法規和借貸雙方約定，不得將風險資料用於從事與貸款業務無關或有損借款人合法權益的活動，不得向第三方提供借款人風險資料，法律法規另有規定的除外。

第三十五條商業銀行應當建立風險資料安全管理的策略與標準，採取有效技術措施，保障借款人風險資料在採集、傳輸、儲存、處理和銷燬過程中的安全，防範資料洩漏、丟失或被篡改的風險。

第三十六條商業銀行應當對風險資料進行必要的處理，以滿足風險模型對資料精確性、完整性、一致性、時效性、有效性等的要求。

第三十七條商業銀行應當合理分配風險模型開發測試、評審、監測、退出等環節的職責和許可權，做到分工明確、責任清晰。商業銀行不得將上述風險模型的管理職責外包，並應當加強風險模型的保密管理。

第三十八條商業銀行應當結合貸款產品特點、目標客戶特徵、風險資料和風險管理策略等因素，選擇合適的技術標準和建模方法，科學設定模型引數，構建風險模型，並測試在正常和壓力情境下模型的有效性和穩定性。

第三十九條商業銀行應當建立風險模型評審機制，成立模型評審委員會負責風險模型評審工作。風險模型評審應當獨立於風險模型開發，評審工作應當重點關注風險模型有效性和穩定性，確保與銀行授信審批條件和風險控制標準相一致。經評審通過後風險模型方可上線應用。

第四十條商業銀行應當建立有效的風險模型日常監測體系，監測至少包括已上線風險模型的有效性與穩定性，所有經模型審批通過貸款的實際違約情況等。監測發現模型缺陷或者已不符合模型設計目標的，應當保證能及時提示風險模型開發和測試部門或團隊進行重新測試、優化，以保證風險模型持續適應風險管理要求。

第四十一條商業銀行應當建立風險模型退出處置機制。對於無法繼續滿足風險管理要求的風險模型，應當立即停止使用，並及時採取相應措施，消除模型退出給貸款風險管理帶來的不利影響。

第四十二條商業銀行應當全面記錄風險模型開發至退出的全過程，並進行文件化歸檔和管理，供本行和銀行業監督管理機構隨時查閱。

第四章資訊科技風險管理

第四十三條商業銀行應當建立安全、合規、高效和可靠的網際網路貸款資訊系統，以滿足網際網路貸款業務經營和風險管理需要。

第四十四條商業銀行應當注重提高網際網路貸款資訊系統的可用性和可靠性，加強對網際網路貸款資訊系統的安全運營管理和維護，定期開展安全測試和壓力測試，確保系統安全、穩定、持續執行。

第四十五條商業銀行應當採取必要的網路安全防護措施，加強網路訪問控制和行為監測，有效防範網路攻擊等威脅。與合作機構涉及資料互動行為的，應當採取切實措施，實現敏感資料的有效隔離，保證資料互動在安全、合規的環境下進行。

第四十六條商業銀行應當加強對部署在借款人一方的網際網路貸款資訊系統客戶端程式（包括但不限於瀏覽器外掛程式、桌面客戶端程式和移動客戶端程式等）的安全加固，提高客戶端程式的防攻擊、防入侵、防篡改、抗反編譯等安全能力。

第四十七條商業銀行應當採用有效技術手段，保障借款人資料安全，確保商業銀行與借款人、合作機構之間傳輸資料、簽訂合同、記錄交易等各個環節資料的保密性、完整性、真實性和抗抵賴性，並做好定期資料備份工作。

第四十八條商業銀行應當充分評估合作機構的資訊系統服務能力、可靠性和安全性以及敏感資料的安全保護能力，開展聯合演練和測試，加強合同約束。

商業銀行每年應對與合作機構的資料互動進行資訊科技風險評估，並形成風險評估報告，確保不因合作而降低商業銀行資訊系統的安全性，確保業務連續性。

第五章貸款合作管理

第四十九條商業銀行應當建立覆蓋各類合作機構的全行統一的准入機制，明確相應標準和程式，並實行名單制管理。

商業銀行應根據合作內容、對客戶的影響範圍和程度、對銀行財務穩健性的影響程度等，對合作機構實施分層分類管理，並按照其層級和類別確定相應審批許可權。

第五十條商業銀行應當按照合作機構資質和其承擔的職能相匹配的原則，對合作機構進行准入前評估，確保合作機構與合作事項符合法律法規和監管要求。

商業銀行應當主要從經營情況、管理能力、風控水平、技術實力、服務品質、業務合規和機構聲譽等方面對合作機構進行准入前評估。選擇共同出資發放貸款的合作機構，還應重點關注合作方資本充足水平、槓桿率、流動性水平、不良貸款率、貸款集中度及其變化，審慎確定合作機構名單。

第五十一條商業銀行應當與合作機構簽訂書面合作協議。書面合作協議應當按照收益和風險相匹配的原則，明確約定合作範圍、操作流程、各方權責、收益分配、風險分擔、客戶權益保護、資料保密、爭議解決、合作事項變更或終止的過渡安排、違約責任以及合作機構承諾配合商業銀行接受銀行業監督管理機構的檢查並提供有關資訊和資料等內容。

商業銀行應當自主確定目標客戶群、授信額度和貸款定價標準；商業銀行不得向合作機構自身及其關聯方直接或變相進行融資用於放貸。除共同出資發放貸款的合作機構以外，商業銀行不得將貸款發放、本息回收、止付等關鍵環節操作全權委託合作機構執行。商業銀行應當在書面合作協議中明確要求合作機構不得以任何形式向借款人收取息費，保險公司和有擔保資質的機構除外。

第五十二條商業銀行應當在相關頁面醒目位置向借款人充分披露自身與合作機構資訊、合作類產品的資訊、自身與合作各方權利責任，按照適當性原則充分揭示合作業務風險，避免客戶產生品牌混同。

商業銀行應在借款合同和產品要素說明介面等相關頁面中，以醒目方式向借款人充分披露合作類產品的貸款主體、實際年利率、年化綜合資金成本、還本付息安排、逾期清收、諮詢投訴渠道、違約責任等資訊。商業銀行需要向借款人獲取風險資料授權時，應在線上相關頁面醒目位置提示借款人詳細閱讀授權書內容，並在授權書醒目位置披露授權風險資料內容和期限，確保借款人完成授權書閱讀後簽署同意。

第五十三條商業銀行與其他有貸款資質的機構共同出資發放網際網路貸款的，應當建立相應的內部管理制度，明確本行與合作機構共同出資發放貸款的管理機制，並在合作協議中明確各方的權利義務關係。商業銀行應當獨立對所出資的貸款進行風險評估和授信審批，並對貸後管理承擔主體責任。商業銀行不得以任何形式為無放貸業務資質的合作機構提供資金用於發放貸款，不得與無放貸業務資質的合作機構共同出資發放貸款。

商業銀行應當按照適度分散的原則審慎選擇合作機構，制定因合作機構導致業務中斷的應急與恢復預案，避免對單一合作機構過於依賴而產生的風險。

第五十四條商業銀行應當充分考慮自身發展戰略、經營模式、資產負債結構和風險管理能力，將與合作機構共同出資發放貸款總額按照零售貸款總額或者貸款總額相應比例納入限額管理，並加強共同出資發放貸款合作機構的集中度風險管理。商業銀行應當對單筆貸款出資比例實行區間管理，與合作方合理分擔風險。

第五十五條商業銀行不得接受無擔保資質和不符合信用保險和保證保險經營資質監管要求的合作機構提供的直接或變相增信服務。商業銀行與有擔保資質和符合信用保險和保證保險經營資質監管要求的合作機構合作時應當充分考慮上述機構的增信能力和集中度風險。商業銀行不得因引入擔保增信放鬆對貸款品質管控。

第五十六條商業銀行不得委託有暴力催收等違法違規記錄的第三方機構進行貸款清收。商業銀行應明確與第三方機構的權責，要求其不得對與貸款無關的第三人進行清收。商業銀行發現合作機構存在暴力催收等違法違規行為的，應當立即終止合作，並將違法違規線索及時移交相關部門。

第五十七條商業銀行應當持續對合作機構進行管理，及時識別、評估和緩釋因合作機構違約或經營失敗等導致的風險。對合作機構應當至少每年全面評估一次，發現合作機構無法繼續滿足准入條件的，應當及時終止合作關係，合作機構在合作期間有嚴重違法違規行為的，應當及時將其列入本行禁止合作機構名單。

第六章監督管理

第五十八條商業銀行首次開展網際網路貸款業務的，應當於產品上線後10個工作日內，向其監管機構提交書面報告，內容包括：

（一）業務規劃情況，包括年度及中長期網際網路貸款業務模式、業務物件、業務領域、地域範圍和合作機構管理等；

（二）風險管控措施，包括網際網路貸款業務治理架構和管理體系，網際網路貸款風險偏好、風險管理政策和程式，資訊系統建設情況及資訊科技風險評估，反洗錢、反恐怖融資制度，網際網路貸款合作機構管理政策和程式，網際網路貸款業務限額、與合作機構共同出資發放貸款的限額及出資比例、合作機構集中度等重要風險管控指標；

（三）上線的網際網路貸款產品基本情況，包括產品合規性評估、產品風險評估，風險資料、風險模型管理情況以及是否符合本辦法相關要求；

（四）消費者權益保護及其配套服務情況；

（五）銀行業監督管理機構要求提供的其他材料。

第五十九條銀行業監督管理機構應當結合日常監管情況和商業銀行風險狀況等，對商業銀行提交的報告和相關材料進行評估，重點評估：

（一）網際網路貸款業務規劃與自身業務定位、差異化發展戰略是否匹配；

（二）是否獨立掌握授信審批、合同簽訂等核心風控環節；

（三）資訊科技風險基礎防範措施是否健全；

（四）上線產品的授信額度、期限、放款控制、資料保護、合作機構管理等是否符合本辦法要求；

（五）消費者權益保護是否全面有效。

如發現不符合本辦法要求，應當要求商業銀行限期整改、暫停業務等。

第六十條商業銀行應當按照本辦法要求，對網際網路貸款業務開展情況進行年度評估，並於每年4月30日前向銀行業監督管理機構報送上一年年度評估報告。年度評估報告包括但不限於以下內容：

（一）業務基本情況；

（二）年度業務經營管理情況分析；

（三）業務風險分析和監管指標表現分析；

（四）識別、計量、監測、控制風險的主要方法及改進情況，資訊科技風險防控措施的有效性；

（五）風險模型的監測與驗證情況；

（六）合規管理和內控管理情況；

（七）投訴及處理情況；

（八）下一年度業務發展規劃；

（九）銀行業監督管理機構要求報告的其他事項。

第六十一條網際網路貸款的風險治理架構、風險管理策略和程式、資料品質控制機制、管理資訊系統和合作機構管理等在經營期間發生重大調整的，商業銀行應當在調整後的10個工作日內向銀行業監督管理機構書面報告調整情況。

第六十二條銀行業監督管理機構可以根據商業銀行的經營管理情況、風險水平和網際網路貸款業務開展情況等對商業銀行與合作機構共同出資發放貸款的出資比例及相關集中度風險、跨註冊地轄區業務等提出相關審慎性監管要求。

第六十三條銀行業監督管理機構可以通過非現場監管、現場檢查等方式，實施對商業銀行網際網路貸款業務的監督檢查。

銀行業監督管理機構開展對商業銀行網際網路貸款業務的資料統計與監測、重要風險因素評估等工作。

第六十四條商業銀行違反本辦法規定辦理網際網路貸款的，銀行業監督管理機構可根據《中華人民共和國銀行業監督管理法》責令其限期改正；逾期未改正，或其行為嚴重危及商業銀行穩健執行、損害客戶合法權益的，應採取相應的監管措施。嚴重違反本辦法的，可根據《中華人民共和國銀行業監督管理法》第四十五條、第四十六條、第四十七條、第四十八條規定實施行政處罰。

第七章附則

第六十五條商業銀行經營網際網路貸款業務，應當依照本辦法制定網際網路貸款管理細則及操作規程。

第六十六條本辦法未盡事項，按照《個人貸款管理暫行辦法》《流動資金貸款管理暫行辦法》等相關規定執行。

第六十七條外國銀行分行參照本辦法執行。除第六條個人貸款期限要求外，消費金融公司、汽車金融公司開展網際網路貸款業務參照本辦法執行。

第六十八條本辦法由中國銀行保險監督管理委員會負責解釋。

第六十九條本辦法自公佈之日起施行。

第七十條過渡期為本辦法實施之日起2年。過渡期內新增業務應當符合本辦法規定。商業銀行和消費金融公司、汽車金融公司應當制定過渡期內的網際網路貸款整改計劃，明確時間進度安排，並於辦法實施之日起1個月內將符合本辦法第五十八條規定的書面報告和整改計劃報送銀行業監督管理機構，由其監督實施。