消费金融公司法律合规风险管理

中国的消费金融公司经过这几年蓬勃发展，逐渐在金融市场中取得了重要地位。然而，消费金融行业发展的过程中也暴露出诸多问题，法律规范本身的滞后性也导致有关消费金融的合规体系建设有待完善，影响了消费金融行业的良好生态。笔者在对相关法律法规梳理的基础上，结合总结消费金融公司在实践过程中诉讼及受处罚的实际情况，就消费金融公司的合规管理体系做了系统性的归纳整理。
整体而言，消费金融公司面临的法律合规风险主要可以概括为公司治理、审慎经营、金融合规、数据安全、信息披露、文明催收、业务外包和销售经营风险八个方面，下文将逐一介绍各个方面的规定情况。
一、消费金融公司应按照《消费金融公司试点管理办法》的要求建立完善的公司治理机制。
本部分所指消费金融公司的公司治理是指公司股东大会、董事会、监事会、高级管理层和其他利益相关者之间的相互关系，包括组织架构、职责边界、履职要求等治理制衡机制，以及决策、执行、监督、激励约束等治理运行机制。除现行《公司法》的相关规定外，2013年11月14日银监会公布的《消费金融公司试点管理办法》对消费金融公司的公司治理集中进行了规定，同时银监会2013年7月9日印发的《商业银行公司治理指引》，2014年9月12日印发的《商业银行内部控制指引》两份文件也应参照适用。
消费金融公司治理应根据自身业务发展需要，根据相关法律法规，建立包括公司章程、董事会议事规则、专门委员会议事规则、监事会议事规则等在内的基础性制度，为公司治理结构的健全提供有效制度保障。
消费金融公司还应依据相关法规和公司章程等，建立有效的经营决策体系，明确各决策机构和职能部门的职权和义务。《消费金融公司试点管理办法》针对消费金融公司的业务特点，对公司出资人的条件和职责进行了规定，且要求公司至少有一名具备五年以上消费金融业务管理和风险控制经验，并且出资比例不低于全部股本15%的出资人；消费金融公司的从业人员需熟悉金融业务，董事和高级管理人员实行任职资格核准制度，董事会、高级管理层、及其他直接责任人，对公司内部控制制度失效、违反审慎经营原则形成重大风险的违规行为将承担个人责任。根据相关法规指引和公司具体情况，董事会还可单独或合并设立包括战略委员会、审计委员会、提名委员会、薪酬委员会、风险管理委员会、关联交易控制委员会、内部运营及信息科技委员会、消费者权益保护委员会等专门委员会，就专业事项提出意见或进行决策，以加强公司的管理和经营。
除具备以上治理结构外，消费金融公司还需完善公司治理相关制度，配备相应的岗位并明确相关职责，保障这些制度的落实执行。具体制度包括但不限于：健全的公司治理架构和内部控制制度；有效的风险管理体系和可靠的业务操作流程及业务经营规则；审慎的资产损失准备制度、定期外部审计制度、业务外包制度、反洗钱、反欺诈及反恐怖融资制度；合法合规的激励约束机制和完善的信息披露制度等。作为互联网类的消费金融公司，除参照银行类金融机构信息管理的相关规范外，依照网络安全和数据安全的相关法律、法规，建立完善的网络安全管理制度、数据安全及合规制度也必不可少。
中国银保监会2019年5月8日印发的《关于开展“巩固治乱象成果促进合规建设”工作的通知》中指出，消费金融公司在公司治理方面的工作要点包括股东滥用权利，损害公司利益；董事会及专业委员会履职有效性不足，监事会监督作用未充分发挥；关键岗位长期空缺、兼任不相容职务；薪酬管理制度不完善或执行不力；违规通过关联交易输送利益等。监管机构在检查过程中，对不能有效落实公司治理的情形将进行处罚，前述这些工作要点都是消费金融公司在公司治理中需要重视的合规问题。
二、消费金融公司还需重点关注并按照《消费金融公司试点管理办法》的要求满足审慎经营的要求。
审慎经营的要求贯穿消费金融公司整个经营过程，相关规定反复强调并对消费金融公司内控制度和风险管理提出精细化和专业化的要求，要求消费金融公司通过加强流动性风险监管标准、强化风险管理基础设施、设置风险处置应急预案等措施加强内部风险管理，并建立外部审计制度，接受监督检查。
中国银监会2011年4月27日下发的《中国银行业实施新监管标准的指导意见》还对各项指标提出了具体监管要求，如流动性覆盖率、同业负债集中度、净稳定融资比例等，对消费金融公司的监管可参照该指导意见的相关规定。
消费金融公司的主要经营业务为发放自主支付的消费贷款和商品贷款，因此法律法规尤其强调了对公司贷款发放前中后整个流程的审慎经营要求。消费金融公司向个人发放消费贷款不得超过20万，且不得设置畸高利率。通过检索消费金融公司作为诉讼当事人的裁判文书可以发现，消费金融公司所涉及的诉讼纠纷中绝大部分是公司作为原告向贷款人提起的金融借贷合同诉讼。根据双方当事人基于真实意思表示订立的借贷合同，法院一般会支持消费金融公司的还款主张，虽然中国人民银行对金融机构的贷款不设上限，但法院判决通常会参考民间借贷的相关规定，只支持不超过24%部分的利息，对超出部分予以调整。
中国银监会2010年2月12日发布的《个人贷款管理暂行办法》对贷款发放的流程进行了规定，消费金融公司不得超越或者变相超越贷款权限审批贷款；在贷前应进行调查，评估客户风险承受能力和信用评级；授权专人审批，并保证审贷分离；加强贷后管理、跟踪监控资金流向。在监管部门的行政处罚公示中，有相当比例的消费金融公司都是在贷款发放过程中出现的违规行为，如贷前审查不到位、贷后审查不到位、以贷收费等。
三、消费金融公司作为非银金融机构还应当参照金融机构的要求，切实履行反欺诈、反洗钱、防范金融犯罪的合规责任。
法律对反欺诈的要求主要集中在审慎经营方面，要求消费金融公司建立风险管理体系并建立可靠业务操作流程。对欺诈的防控分事前、事中、事后三种，包括外部渠道、内部渠道、产品服务与数据集成多个层面，不同层面侧重防控的欺诈行为各不相同，多个维度共同建立起一套防控体系，评估网络欺诈、身份伪冒、卡片窃取、套现、欺诈收款、虚假交易、虚假申请等欺诈行为。
人民银行牵头负责对企业履行反洗钱义务进行监管，并制定相关监管细则，公安部牵头负责打击互联网金融犯罪工作，法律对于反洗钱、防范金融犯罪也有着更为细致的规定。中国人民银行等十部门2015年7月18日发布的《关于促进互联网金融健康发展的指导意见》、银保监会2019年1月29日发布的《银行业金融机构反洗钱和反恐怖融资管理办法》及中国人民银行2016年发布的《金融机构大额交易和可疑交易报告管理办法》、2018发布的关于《进一步加强反洗钱和反恐怖融资工作》、《加强反洗钱客户身份识别有关工作》、《加强反洗钱客户身份识别有关工作》、《进一步做好受益所有人身份识别工作有关问题》的四个通知，要求消费金融公司完善客户身份识别的内部控制制度和操作规范，按要求保存身份识别工作记录和获取的身份资料；加强洗钱与恐怖融资的高风险领域及跨境汇款业务等的风险防控和管理，履行大额交易和可疑交易报告义务，向中国反洗钱监测分析中心报送大额交易和可疑交易报告；并通过设立专门的反洗钱机构，培训专业人员，安排专人负责该内控制度的有效实施，配合相关机构打击洗钱和金融犯罪活动。
四、消费金融公司，尤其是以互联网形式开展消费金融业务的，或者与互联网类公司合作开展消费金融业务的，应高度重视并防范相应的数据安全及合规风险。
为防范系统和数据安全风险，消费金融公司应按照《网络安全法》、《网络安全等级保护条例》及相关国家标准，建立相应的系统和数据安全保障体系，包括但不限于网络安全等级保护、关键信息基础设施保护、网络关键设备和网络安全专用产品强制认证、网络安全审查、网络服务实名制、网络安全事件应急、网络安全漏洞管理、电信业务资质监管和密码管理等相关规定。
在数据合规层面，由于消费金融公司业务涉及大量个人信息尤其是敏感信息，所以数据合规是其合规工作的重要一环。2020年，国家市场监督管理总局修订的《信息安全技术个人信息安全规范》、中国人民银行发布的《个人金融信息保护技术规范》，从安全技术和安全管理两个方面，规定了个人信息数据在收集、传输、存储、使用、处理、删除、销毁等生命周期各环节的安全防护要求，以遏制个人信息非法收集、滥用、泄露等乱象。
近年来在金融行业数据合规问题逐渐凸显。如在数据获取环节，某线上信用卡管理平台因未经某银行授权而通过爬虫程序对银行用户信息进行抓取受到警方调查，引发金融行业关注。中国人民银行对消费金融公司作出的行政处罚案例中，违反国务院2013年发布的《征信业管理条例》未经授权查询个人信息是较为常见的违规行为。再例如，在数据处理环节，金融机构在产品开发、行业分析和精准营销场景中，使用通过收集、汇聚、分析个人信息形成的用户画像，需要从个人信息保护的角度审视这一过程，用户画像中对个人信息主体的特征描述不应包含违法和歧视性内容，并且除为实现个人信息主体授权同意的使用目的所必需外，应消除明确身份指向性，避免精确定位到特定个人。在数据存储方面，依据反洗钱规定的要求，消费金融公司需要将用户身份资料和交易记录保存五年以上，需要注意这一过程中的个人信息安全，以及存储期限届满后数据的删除与销毁问题，或通过去标识化等处理后进行存储。
此外，在数据治理方面，中国银保监会2018年5月21日颁布了《银行业金融机构数据治理指引》，规定消费金融公司作为受银行业监督管理机构监管的其他金融机构参照执行。该指引集中对数据治理提出了具体要求，消费金融公司应本着全覆盖、匹配性、持续性、有效性的原则，建立数据治理体系、数据战略、自我评估机制、加强统一管理，并将公司的数据治理纳入监管，及时向银行业监督管理机构报告备案，该指引还明确了公司高级管理层会为数据治理承担最终责任，并建议公司内部设立首席数据官、数据治理归口管理部门等。
五、消费金融公司应建立完整的合规催收制度和行为指引，应对催收领域的合规风险。
有效的催收是保证消费金融公司回笼本金、获取收益的重要一环。在催收方面，消费金融公司面临较多的投诉，贷款人以消费金融公司不当催收侵害其名誉权、财产权为由提起诉讼的情况也时有发生。
我国现阶段并没有催收方面的统一法律或规范，中国互联网金融协会于2018年3月28日颁布的《互联网金融逾期债务催收自律公约》作为行业自律性规范可以作为参考。该自律公约对会员的催收行为进行了约束，消费金融公司基本都是该协会会员，需要自觉遵守该公约。公约要求公司从业务、人员、信息管理等方面健全内控制度，建立科学的业务系统并组建有专门高级管理人员负责的专业催收团队，同时畅通外部投诉处理机制。此外，在《关于促进互联网金融健康发展的指导意见》、《关于开展“巩固治乱象成果促进合规建设”工作的通知》等文件里面也对合法催收做了一些原则性的规定，同时不当催收的行为也被纳入了中国互联网金融信息举报平台的举报范围里。
前述规定中强调的文明催收，具体做法包括催收人员需主动表明身份、出示相关材料；催收全程需录音录像；需在恰当的时间以恰当方式频率进行等。催收人员需严格遵守行为规范，不得骚扰无关人员，不得威胁恐吓债务人及相关第三人，不得向他人透露债务人信息，不得侵害债务人人身财产权利，不得诱导逼迫债务人新增借贷或非法途径筹集资金偿债等。
笔者认为，现阶段的催收规范尚待完善，消费金融机构可以参照成熟国家的经验进一步完善自己的催收体系。例如《美国法典》第15篇，专门规定了“公平债务催收行为法”，在避免滥用、欺骗和不公平债务催收行为的同时，保护声誉良好的催收者，免受不公平的侵害，保护消费者免受非法催收的侵害。在该法案中，明确规定了催收人在停止与消费者沟通后的提醒义务，以及催收人在初次沟通后的债务确认义务，并为债务人质疑该笔债务提供足够的时间（30天），另外也包括禁止使用误导性陈述等规定。
六、消费金融公司应对客户进行充分的信息披露与风险提示，建立合格投资者制度，提升投资者保护水平。
消费金融公司应本着真实、准确、完整、及时的原则，在不违背法律对国家秘密、商业秘密及个人隐私有关规定的前提下，对包括组织与治理信息、财务与审核信息、网站或平台信息、重大事项信息、运营信息、备案信息、项目信息在内的相关信息进行披露，促进公司稳健经营和控制风险。
互联网金融协会2017年10月11日发布的《互联网金融信息披露互联网消费金融》(T/NIFA 2-2017)团体标准适用于从事互联网消费金融的会员单位，并规定非会员的从业机构宜参考该标准开展信息披露。消费金融公司都是该协会会员，传统消费金融公司在展业中越来越依托互联网技术，也出现了纯粹依靠线上模式获得客源的消费金融公司，因此该标准适用于消费金融公司。该团体标准定义并规范了27项披露指标，其中强制性披露指标23项，鼓励性披露指标4项，分为从业机构信息和业务信息两个方面。在业务信息披露方面，根据标准，从业机构应披露催收管理、信用报送、资金来源、规模以及逾期情况等信息。其中，催收管理内容包括对产品消费者的催收主体、催收方式、流程及行为规范等信息。由此进一步提高互联网消费金融从业机构的信息透明度，从而更有效地保障消费者合法权益，促进行业健康有序发展。
七、消费金融公司在将部分业务外包给专业机构的过程中，应重视并防范业务外包风险。
为实现专业分工，提高经营效率，消费金融公司时常会将部分业务外包给专业机构。本部分所指业务外包风险，除了消费金融公司将自己部分业务外包给第三方之外，也包括与第三方进行合作的情形。有关业务外包的规定散见于对消费金融公司各特定行为进行约束的规则，具体包括：
（一）业务外包：消费金融公司需制定与业务外包相关的政策和管理制度，向银行业监督管理机构报告外包风险和规避措施，且不得将授信审查以及与贷款决策和风险控制核心技术密切相关的业务外包。贷款相关事项不可全部委托第三方，但可将特定事项的调查审慎外包。
（二）催收外包：消费金融公司需审慎选用外包机构，若外包管理不力，对债务人或第三人造成人身财产损失等，公司将承担相应责任。
（三）数据处理外包：消费金融公司需确保该第三方具备足够的数据安全能力，且委托处理行为未超过个人信息主体授权同意的范围；公司应与处理者订立协议，厘清双方在数据安全及合规处理方面的责任义务。
（四）第三方合作：因消费金融公司负有反洗钱和金融犯罪的义务，在与第三方合作时也应根据相关法律和规定签订包括反洗钱和防范金融犯罪要求的合作、代理协议，并确保不因合作、代理关系而降低反洗钱和金融犯罪执行标准。此外，消费金融公司还应加强对第三方合作机构征信活动的监督，确保征信授权合规以及征信信息安全。
（五）增信服务：消费金融公司不应接受无担保资质的第三方机构提供的增信及变相增信服务。
八、消费金融公司应关注监管机构就金融市场运行中出现的具体问题，制定出台的有关规定，防范销售经营过程中的其他合规风险。
根据中国人民银行2019年12月27日修订的《金融消费者权益保护实施办法》等规定，消费金融公司在业务办理过程中需本着公开透明的原则，充分履行告知义务，保障金融消费者的知情权、财产权、选择权、求偿权、受教育权、受尊重权等相关权益。
此外，银监会和人民银行对特定领域的消费金融业务也实施了监管。针对校园贷、现金贷乱象，2017年银监会印发了《关于进一步加强校园网贷整治工作的通知》、《关于进一步加强校园贷规范管理工作的通知》，人民银行政整治办印发了《关于规范整顿现金贷业务的通知》。监管部门叫停了校园贷业务，未经银行业监督管理部门批准设立的机构不得进入校园为大学生提供信贷服务；消费金融公司的现金贷业务受限，不得发放无指定用途的个人贷款或者为无放贷业务资质的机构提供资金发放贷款或共同出资发放贷款；同时也不得投资或变相投资以校园贷、现金贷等为基础资产发售的产品。在贷款发放过程中，消费金融公司也应极力避免出现前述不当催收、畸高利率、侵犯个人隐私和重复授信的问题。
综上，消费金融公司应高度关注在经营过程中的各类风险，同时建立健全风险防控体系。例如：公司董事会应当根据公司风险状况、发展规模和速度，建立全面的风险管理战略，对风险管理状况进行评估，督促高级管理层有效地识别、计量、监测、控制并及时处置公司面临的各种风险。此外，将风控责任落实到具体的部门和责任人也非常重要，公司的法定代表人或主要负责人对公司合规负全面领导责任，包括为风险防控工作提供人力、财力、物力保证等。公司应建立独立的风险防控合规部门、任命风险防控负责人，并保证该部门具备足够的职权与资源开展风险防范工作。其职责可包括：参与风控决策，定期更新风控政策和相关规程，对公司风险管理情况进行监督，提出对策建议并督促整改风险隐患，开展风险评估，风险防范培训及应对风险事件等。
附表：消费金融公司行政处罚情况一览表