证券时报记者 谢忠翔

支付行业强监管态势持续深化。

近日，中国人民银行官网最新行政许可信息显示，圣亚云鼎支付有限公司进入“已注销许可机构”列表，这是年内第5张被注销的支付牌照。

一边是行业加速出清，另一边是巨额罚单密集披露。

日前，上海瀚银信息技术有限公司因违反清算管理规定等被罚没约7445万元，刷新年内单笔处罚纪录。另据证券时报记者统计，截至7月13日，年内支付机构累计被罚金额已超3.05亿元。

年内五张牌照遭注销

7月7日，央行更新了支付业务许可信息，圣亚云鼎支付被注销后，“已注销许可机构”数量增加至113家。

公开信息显示，圣亚云鼎支付成立于2009年，注册资本1.5亿元人民币，2013年获得央行颁发的支付业务许可证。不过，2023年7月，圣亚云鼎支付的牌照续展申请被央行中止审查。同年7月，圣亚云鼎支付大股东亿利资源集团3000万股权遭法院冻结，亿利资源集团自身债务风险近年持续发酵。

至此，年内被注销牌照的机构数量已增加至5家。此前，河南聚宝支付、广东汇卡商务、开联通支付、上海商联信电子支付的牌照被相继注销，涉及储值账户运营、银行卡收单、预付卡发行与受理等业务。其中，开联通支付因补正材料不齐全被续展“不予受理”，成为首批27家获牌机构中首家因续展未获受理而退出的企业。

博通咨询金融业分析师王蓬博表示，支付牌照数量持续缩减是正常现象，这是监管完善支付行业市场化准入退出机制的直接体现。从被正式注销的机构状态来看，多数早已处于业务停滞或半停滞状态。监管部门通过严格的续展审查，正在逐步清理行业内的“僵尸牌照”，引导资源向经营规范、有持续服务能力的机构集中。

“支付行业监管保持稳步收紧的长期态势，监管工作不再局限于牌照准入环节管控，而是延伸至机构全生命周期的动态管理。”王蓬博认为，随着《非银行支付机构监督管理条例》深入实施，各项审核都有了更细致的依据，牌照续展审核标准持续抬高，监管管控节点向前端的日常风控前移。

巨额罚单再度刷新纪录

与牌照注销相伴的，是支付机构罚单金额的持续抬升。

7月3日，中国人民银行上海市分行公示，上海瀚银信息技术有限公司因违反清算管理、商户管理规定，被没收违法所得6591.99万元并处罚款853万元，罚没合计7444.99万元，刷新年内单笔处罚纪录，直接责任人亦被处以34万元个人罚款，“双罚制”得到严格落实。

值得注意的是，这已是年内最高罚单纪录的又一次刷新。此前，易票联支付因违反支付结算、金融科技、反洗钱管理有关规定，被罚没4834.90万元；开联通支付因未能确保交易信息真实完整可追溯、未严格落实风险监测等7项违法行为，被罚没3843.49万元；汇潮支付因违反清算管理、账户管理、商户管理规定等，被罚没3422.16万元。

“目前，整个支付行业的整体运行已经趋于稳定，但商户实名制管理不到位、反洗钱义务履行不充分、资金结算违规、外包管理混乱等行业长期存在的顽疾，依然没有得到彻底解决，部分机构仍然存在侥幸心理。”王蓬博说。

累计罚没金额超3亿元

据证券时报记者基于公开数据不完全统计，截至7月13日，2026年以来已有34家支付机构收到监管罚单，处罚金额从数万元至7000余万元不等。其中，央行各分支机构年内对支付机构作出的行政处罚，罚没金额合计已超3.05亿元。

统计数据显示，年内已有6家支付机构领到千万元级以上罚单。从违规类型看，账户管理和清算管理成为“重灾区”，违反反洗钱规定、未履行尽职调查义务、交易信息真实性完整性不足等行为屡禁不止。

值得一提的是，本轮被罚机构多为经营十余年的老牌持牌机构，普遍存在长期合规短板、多次违规被罚、牌照续展受阻等共性问题。监管核查已实现从前置商户准入、中台系统运维到后端资金风控的全流程穿透，不再局限于单一业务单点处罚。

央行2026年支付结算工作会议已明确要求，严格实施支付机构穿透式监管和支付业务功能监管。分析人士指出，在“严准入、强监管、重处罚”的基调下，支付行业的监管不再局限于单一业务节点，逐步延伸至机构全业务链条、全运营流程，“双罚制”全面落地，个人追责成为处罚常态，行业强监管、严执法的基调持续强化。

金融业网络安全新规落地 支付行业迎合规新格局

证券时报记者 李颖超

2026年7月以来，金融业网络安全与支付行业合规治理迎来新一轮政策加码和监管行动密集落地期。

从顶层制度填补规则空白，到地方监管整肃违规经营主体，再到头部支付机构主动升级服务体系与账户管理，支付行业正步入“责任更明确、边界更清晰、治理更精细”的新阶段。

统一金融网络安全底线

近日，中国人民银行、国家金融监督管理总局、中国证券监督管理委员会、国家外汇管理局联合起草了《金融业网络安全管理办法（征求意见稿）》（下称《办法》），面向社会公开征求意见，反馈截止时间为2026年8月3日。

《办法》起草说明指出，在金融数字化转型进程中，金融服务对网络的依赖日益加深，金融网络彼此互联互通、紧密交织。网络运行维护复杂度高、供应链安全保障涉及面广、有组织高强度网络攻击时有发生、新兴技术与业务融合应用紧密等风险叠加共振，潜在威胁到金融稳定和金融安全。

《办法》共五章三十三条，包括制定依据、适用范围、网络安全保护总体要求和行业自律要求；网络安全保护义务；监督管理协同以及术语定义、解释权、生效期等。作为金融从业机构，所有境内持牌支付机构被全面纳入监管适用范围，本次新规统一划定金融全行业网络安全合规底线，为支付机构交易系统、客户数据、资金链路、线上服务搭建标准化安全治理框架。

有业内人士表示，支付机构承载海量用户资金、身份信息与实时交易数据，是电信网络诈骗、洗钱及数据泄露的高风险领域。此前，行业网络安全要求分散于支付结算、数据安全等单项法规之中，缺乏统一的金融业专项制度。本次《金融业网络安全管理办法》公开征求意见，标志着统一规则框架正在建立，支付机构将面临系统改造、制度建设、安全评估机制完善等多维度合规要求，网络安全治理将在机构经营中从辅助性风控手段上升为刚性核心指标。

从存量端堵住风险漏洞

证券时报记者观察到，在顶层网络安全新规征求意见的同时，多家持牌支付机构同步开展存量账户精细化整治，通过清理长期不动户降低账户冒用、异常交易等网络安全隐患，形成“顶层制度+机构实操”的双层风险防控体系。

7月7日，深圳市美的支付科技有限公司发布《关于开展单位长期不动户清理的公告》显示，为规范账户管理，防范资金风险，保障账户资金安全，根据中国人民银行《关于加强支付结算管理防范电信网络新型违法犯罪有关事项的通知》等监管规定，开展长期不动户集中清理工作，清理范围为连续2年及以上未发生主动收付交易、无资金往来、无登录的账户。自该通知发布之日起7个自然日，未主动激活的账户依规开展销户清理工作。

此次账户清理并非行业个例。今年4月，网易支付发布关于个人支付账户清理的公告称，将以适当方式酌情分批对连续12个月未使用网易支付登录名或该机构认可的其他方式登录的个人账户进行清理。

在加强风险管控方面，头部支付平台财付通也于近期完成《QQ钱包支付用户服务协议》修订，新版协议于7月30日正式生效，新增资金安全保障、风险分级分类、交易真实性识别、持续尽职调查、动态账户监测等方面的条款。

多地开展无证支付主体整治

来自支付行业的一位风控人士向证券时报记者表示，从风控逻辑来看，长期零交易、零登录的对公、个人账户存在多重网络安全隐患：客户联系方式、经营资质、经办人信息长期未更新，身份核验失效，极易被不法分子收购、冒用于电信诈骗、跑分洗钱；大量沉睡账户持续占用系统运维资源，加大交易异常识别难度，抬高了网络安全监测成本。

“常态化休眠账户清理，已成为支付机构落实网络安全、反洗钱义务的标准化动作，通过压缩无效存量账户，减少网络攻击、账户盗用的风险载体，也与有关金融业网络安全新规‘事前风险管控’的导向高度契合。”该风控人士称。

一边是持牌机构收紧内部账户风控，另一边则是监管持续向外围市场发力，全面整治无资质主体违规使用“支付”字样，厘清支付业务特许经营边界，防范无证机构依托虚假资质开展线上金融业务，规避网络诈骗、资金挪用等跨区域安全风险。

7月9日，中国人民银行深圳市分行公示第二批违规使用金融字样经营主体名单，共计84家机构上榜，其中8家企业名称直接包含“支付”字样。该份名单显示，佳友通电子支付深圳分公司、广东中汇支付网络科技有限公司、深圳乾海盛世移动支付等企业，未取得中国人民银行颁发的支付业务许可，却在工商名称、经营范围标注支付相关业务，极易误导消费者、扰乱正规支付市场秩序。

这是年内深圳进行的第二批专项公示，4月公示的首批名单已有37家含“支付”字样无证支付主体被点名。实际上，全国多地央行分支机构已启动同类专项整治。6月，中国人民银行海南省分行联合市场监管部门一次性公示2357家无证主体，覆盖含“支付、清算、结算、征信”字样企业。此外，新疆等地也持续开展常态化排查清理工作。