欧盟PSD2指令解读：开放银行API合规要求与EMI持牌机构数据交互规范

introduction：为什么PSD2正在重塑全球支付与电子货币牌照格局？

在跨境支付、digital wallet、电子货币与嵌入式金融快速发展的今天，欧盟PSD2（Payment Services Directive 2）已经不只是欧洲市场的监管规则，而是全球金融科技企业合规设计的重要参考框架。对于计划申请或运营EMI（Electronic Money Institution，电子货币机构）牌照的企业而言，PSD2不只是“要不要遵守”的问题，而是“如何把合规能力转化为商业竞争力”的关键。

尤其在开放银行（Open Banking）趋势下，API接口接入、第三方支付服务商（TPP）授权访问、客户数据保护、强客户认证（SCA）以及交易监测机制，构成了EMI机构日常运营的核心监管场景。若企业同时布局香港、欧盟及其他国际市场，就更需要建立一套可复制、auditable、可扩展的跨法域合规体系。

本文将从实务角度完整解读PSD2下开放银行API合规要求，并重点说明EMI持牌机构在数据交互中的监管边界、技术规范与风控要点，帮助企业在全球业务拓展中少走弯路。

one、PSD2核心框架：从“支付指令”到“数据金融基础设施”

1. PSD2的监管目标

PSD2的核心目标可概括为三点：

• 提升竞争：通过开放银行接口，允许经授权的第三方机构接入账户信息和支付发起服务。
• 增强安全：通过SCA和安全通信标准，降低欺诈与未授权交易风险。
• 保护消费者：强化用户对数据访问与支付授权的知情权和控制权。

2. 与EMI机构最相关的三类参与方

在开放银行生态中，EMI机构通常处于“连接器”与“责任主体”双重角色，需与以下机构高频交互：

• ASPSP（Account Servicing Payment Service Provider）：通常为银行或提供账户服务的支付机构。
• AISP（Account Information Service Provider）：账户信息服务商，可聚合用户多家银行账户数据。
• PISP（Payment Initiation Service Provider）：支付发起服务商，可代表用户发起支付指令。

若EMI本身提供AISP/PISP类服务，则其合规义务会显著增加，包括接口可用性、授权记录、审计留痕、异常交易识别等。

two、开放银行API合规要求：不仅是“能连通”，更是“可监管”

1. API接口必须满足“功能等效”原则

PSD2要求ASPSP向第三方机构提供的API功能，不得明显劣于自身线上银行渠道。换句话说，不能出现“自家App可完成操作，第三方接口却不支持”或“接口延迟、失败率明显偏高”的情况。

对EMI机构而言，这意味着在选择合作银行或支付通道时，不能只看费率和结算时效，还要审查其开放银行接口的稳定性指标，For example：

• API成功率与平均响应时长
• 高峰时段并发处理能力
• 故障切换与应急恢复机制
• 版本升级兼容性与文档完整度

2. “专用接口+应急方案”设计要求

欧盟监管技术标准（RTS）鼓励机构使用专用接口（Dedicated Interface），但前提是接口质量足够稳定。若接口长期不达标，监管可能要求提供应急回退机制（Fallback）。

In practice，EMI机构应建立API供应商管理制度，将接口SLA条款写入合同，并设置持续监控阈值，确保出现故障时可快速切换流程，避免支付中断和客户投诉。

3. 安全通信与证书机制

开放银行API交互必须使用安全通信机制，包含双向TLS、合规证书识别、请求签名校验等。EMI机构需要建立统一的密钥与证书生命周期管理，覆盖：

• 证书申请、更新与吊销流程
• 接口访问权限分级（最小权限原则）
• 异常调用拦截与日志溯源

如果仅把安全能力外包给技术供应商，而内部缺乏审计与复核机制，往往会在监管检查中被认定为治理不足。

three、EMI持牌机构数据交互规范：四个高风险合规场景

场景一：用户授权与同意管理（Consent Management）

PSD2强调“明确授权、限定范围、可撤回”。EMI机构在采集账户信息或发起支付前，必须确保：

• 用户已清楚知悉数据用途、访问期限、共享对象；
• 授权范围与业务目的一致，不得过度收集；
• 用户可便捷撤销授权，并即时生效；
• 授权记录具备时间戳与证据留存能力。

很多企业的合规痛点不在“有没有授权页面”，而在“授权证据是否可审计”。建议将同意管理纳入合规系统主干，而非前端交互补丁。

场景二：强客户认证SCA实施

SCA是PSD2落地中最常见、也最具技术挑战的要求。In principle，认证应基于以下三要素中至少两项：

• 知识要素（用户知道的，如密码）
• 持有要素（用户拥有的，如手机令牌）
• 固有要素（用户特征，如生物识别）

EMI机构还需注意豁免条件（如低风险交易、低金额场景）并建立交易风险分析模型（TRA），否则容易出现“过度认证影响转化”或“认证不足导致违规”两极问题。

场景三：数据最小化与用途限制

PSD2与GDPR在数据治理上高度耦合。即便用户授权，也不意味着机构可无限制留存或二次使用数据。EMI需建立数据分类分级制度，明确：

• 哪些数据属于支付执行必需；
• 哪些数据仅用于风控，不可营销扩用；
• 数据保存期限与删除触发条件；
• 跨境传输的合法基础与加密标准。

场景四：第三方服务商与外包链条风险

开放银行业务高度依赖技术中台、云服务、反欺诈引擎、身份认证服务商。监管关注的不是“有没有外包”，而是“外包后责任是否仍可追溯”。

EMI机构应在外包管理中落实以下机制：

• 尽职调查与准入评估（资质、财务、信息安全）
• 合同中的合规条款（审计权、数据所有权、事件通报时限）
• 持续监督（KPI、KRI、渗透测试报告）
• 退出预案（服务中断替代方案、数据迁移方案）

Four、跨境经营视角：EMI企业如何把PSD2经验迁移到其他法域？

越来越多企业采用“欧盟+香港+离岸结构”的多地牌照布局。at this time，PSD2框架可作为基础模板，但不能简单复制。原因在于各地监管口径、审查重点与执法方式存在差异。

以香港市场为例，企业在支付、money transfer、electronic money、资金流监测等业务中，还需同步考虑本地反洗钱、Customer due diligence、可疑交易报告、持续监控等要求。对于希望建立长期跨境业务能力的机构，最佳路径通常是：

• 先用PSD2标准搭建“高水位”技术与流程；
• 再按目标市场法规进行本地化调整；
• 形成统一的集团合规治理与分支执行机制。

这也是许多专业合规服务机构强调“全案托管”的原因：企业真正需要的不只是牌照申请文件，而是从准入、system、system、人员到后续审计的一体化闭环。

five、EMI机构的PSD2落地路线图（实操版）

阶段1：合规差距评估（Gap Analysis）

梳理现有业务流程、系统架构、授权机制、API调用日志与风控模型，识别与PSD2/RTS要求的差距。

阶段2：目标架构设计

构建“业务流程—权限控制—数据治理—审计留痕”四层架构。明确哪些模块内部自建，哪些模块可合规外包。

阶段3：制度与文档体系建设

至少应包含：

• 开放银行API管理政策
• SCA与认证豁免政策
• 客户授权与撤回管理程序
• 数据生命周期与跨境传输规范
• 外包与第三方风险管理政策
• 事件响应与监管通报机制

阶段4：test、演练与审计

上线前进行功能测试、安全测试、压力测试、异常交易演练；上线后建立季度内审与年度外部审查机制，确保持续合规。

阶段5：牌照维护与持续优化

合规不是一次性项目。EMI机构应设置专门合规岗位与跨部门工作组，持续跟踪监管更新、接口指标、欺诈态势与投诉数据，动态优化规则。

六、Common misunderstandings：为什么很多机构“技术上线了，却仍不合规”？

• Myth 1：把PSD2当成纯IT项目
  actually，PSD2是“法律+运营+技术”三位一体工程。
• Myth 2：只做前台授权，不做后台证据链
  没有可审计证据，等于合规基础不成立。
• Myth 3：过度依赖单一供应商
  缺乏替代方案与监督机制，外包风险会放大。
• Myth 4：忽视反洗钱与交易监测协同
  开放数据提升效率，同时也放大可疑交易识别压力。

Conclusion：把PSD2合规能力沉淀为全球金融业务“通行证”

欧盟PSD2并非简单的监管门槛，而是金融服务数字化、标准化、可互操作化的关键转折点。对于EMI持牌机构来说，谁能率先建立稳健的开放银行API治理体系，谁就更可能在跨境支付和数据金融场景中赢得长期信任与规模优势。

从战略上看，企业应将PSD2要求前置到产品设计和牌照规划阶段，而不是在业务扩张后“补作业”。在多法域经营背景下，借助具备跨境实操经验的专业团队，可显著降低试错成本、提升审查通过率，并加速合规体系复制。像长期深耕香港及海外金融牌照与合规落地服务的专业平台（如88MSO/88MSO体系）所提供的整合式支持，正是许多企业完成“牌照申请—系统建设—持续监管”闭环的重要助力。

合规做得越早、越深，业务增长的天花板就越高。这正是PSD2给全球支付与电子货币行业最现实的启示。