互联网贷款新规来了？ 我们怎么办？

近日，互联网上流传出一份银保监会发布的《商业银行互联网贷款管理暂行办法(征求意见稿)》(以下简称“《办法》”)再次引爆业内。从行文内容来看，《办法》第一次系统地对包含“自营贷款”“联合贷款”“助贷业务”等在内的“互联网贷款”业务进行了非常细致严格的规定，如果其正式实施，对于几乎所有类型的互联网贷款业务以及各类从业机构都会产生巨大影响，互联网贷款是否会成为“一抓就死”的下一个互金领域也不禁成为了大家担心的问题。
但日子总是要过，俗话说“消除恐惧的最好办法是面对恐惧”，我们对于《办法》中的难点、要点、关注点进行了总结和分析，到底是颠覆还是改良？是机遇还是末日？看完以下内容相信可以解决你的疑虑。
一、《办法》定义的“互联网贷款”并非全新概念
《办法》第三条明确了“互联网贷款”的定义，即“互联网贷款，是指商业银行运用互联网和移动通信等信息通信技术，基于风险数据和风险模型进行交叉验证和风险管理，线上自动受理贷款申请及开展风险评估，并完成授信审批、合同签订、放款支付、贷后管理等核心业务环节操作，为符合条件的借款人提供的用于借款人消费、日常生产经营周转等的个人贷款和流动资金贷款”。
其实，对于“互联网贷款”的规定早已有之。早在2017年8月，就有媒体报道银监会下发了《民营银行互联网贷款管理暂行办法(征求意见稿)》，提及了互联网贷款的定义 ；2018年11月于网络流传的《商业银行互联网贷款管理暂行办法(征求意见稿)》(以下简称“《2018年意见稿》”)也明确了互联网贷款的含义，与本次流传《办法》的定义大体一致 。
此外，从2017年12月的《关于规范整顿“现金贷”业务的通知》(整治办函[2017]141号)(以下简称“141号文”)开始，各地纷纷出台有关助贷、互联网贷款、联合贷款的监管细则，我们将此前与“互联网贷款”相关的正式出台的主要监管规定梳理如下图：

从上述规定来看，《办法》所规定的“互联网贷款”并非新生事物，而且从各地分散的细则走向银保监会的统一监管是大势所趋，市场应该有一定预期，因此对于此前一直严守地方监管要求的机构而言，本次《办法》的影响可能有限，只是对于一些合规细节需要进行调整。但对于一直游走在合规边缘的机构而言，将会面临较大的挑战和调整。
值得注意的是，《办法》明确将两类贷款排除出“互联网贷款”的范畴，即“商业银行线下进行贷款调查、风险评估和预授信后，借款人在线上进行贷款申请及后续操作的贷款”和“商业银行以借款人持有的房屋等资产为抵押物发放的贷款”。我们可以看出，《办法》此次规制的，主要是纯线上类型的贷款业务，而银行基于传统线下获客及风控逻辑发放的贷款，即使在贷中和贷后通过互联网辅助进行一定操作，也不会被认定为《办法》项下的“互联网贷款”，但这里特别要注意的是线下操作要完成全部三个环节，即“调查”、“评估”和“预授信”，才满足相关豁免条件。
《办法》亦排除了“房屋等资产作为抵押物发放的贷款”，这里存在一定不清楚的地方，即是否只有抵押物(土地、车辆、设备)才可以适用，而质押物(如金钱、账户、股权和应收账款)是否可以适用则比较模糊，有必要明确本条中排除的逻辑是说贷款因为有了物的担保，所以已经不是纯粹的互联网贷款管理逻辑了，还是说一定要线下办理抵质押登记手续才足以构成豁免条件。
此外，商业银行的保理业务是否应该参照《办法》执行目前尚未明确。
二、若《办法》正式实施，对各类从业机构影响几何？
(一) 对商业银行的主要合规要求
1.小额、短期要遵循
个人信用贷款的单户授信额度不超过30万，贷款期限不超过1年；流动资金贷款的授信额度可自行确定，但贷款期限超过1年的，需每年对该笔贷款的授信重新评估和审批(第5条)
汉坤评述：
这一条对互联网贷款产品形态的影响是最直接的，也堪称是最严格的，如果正式实施，市面上许多授信额度超过30万或贷款期限超过1年期的个人信用贷款都需要调整。流动资金贷款如果需要每年重新审批授信，那么目前市场上广泛采用的“一次授信、循环使用”的操作方式也会受到影响。
与《2018年意见稿》相比，本次《办法》对个人信用贷款的限额及期限要求不变，但流动资金贷款取消了此前金额上限50万和贷款期限不得超过1年的限制，这也与目前监管部门鼓励小微企业融资的思路保持一致。
《办法》明确消费金融公司不受前述个人贷款授信额度和个人贷款期限要求的限制，我们理解是因为消费金融公司有自己独立的监管规定(《消费金融公司试点管理办法》第21条规定：消费金融公司向个人发放消费贷款不应超过客户风险承受能力且借款人贷款余额最高不得超过人民币20万元)，也意味着消费金融公司未来可能与商业银行在贷款领域进行差异化经营，消费金融公司有着广阔的想象空间。
2. 核心业务不外包
核心风控环节由银行独立开展且有效，不得将授信审查、风险控制、贷款发放、支付管理、贷后管理等核心业务环节委托给第三方合作机构。
具体而言：
(1)自主开展反欺诈。银行要线上对借款人的身份数据、借款意愿进行核验、防止欺诈，并在获得授权后查询借款人征信，进行贷前、贷中调查(第17、18、19条)
(2)自主确定客群及定价。银行要有足够的资源，独立、有效开展互联网贷款风险管理、自主确定目标客户群、授信额度和定价标准(第14、51条)
(3)自主建模并管理。银行不得将风险模型的管理职责外包给第三方机构，并应当加强风险模型的保密管理(第34条)
(4)自主放款收款。银行应对贷款资金的支付进行管理与控制，不得通过合作机构进行贷款支付和本息回收等(联合贷款的合作出资方除外)(第26、51条)
(5)自主监测资金用途。银行应对贷款用途进行监测，加强贷后管理(第28、29条)
汉坤评述：
禁止核心业务外包的原则规定早已有之，可参考141号文规定的“不得将授信审查、风险控制等核心业务外包”，“助贷”业务应当回归本源。
本次《办法》与141号文相比，将“贷款发放、支付管理、贷后管理”也作为核心业务环节，合规要求更加明确。此外，《办法》正文的多个条款还对商业银行在各个核心业务环节中的具体要求予以规定，更具有可操作性，但也对商业银行与第三方机构的合作提出了更高的合规要求，模糊与灰色地带减少。
除了放款、收款等特定事项需由商业银行自行操作外，其他业务环节并非“一刀切”禁止银行与外部机构合作，但前提是银行要确保自身有独立有效的对应业务模块及功能，特别是《办法》花了较大篇幅对银行开展互联网贷款所需的风控模型进行了规定，对银行的建模能力和管理能力提出了更高的要求，就一些银行“风控走过场”的情况做了针对性的规定。
在未来与各类合作机构开展业务的过程中，我们建议银行除确保建立完善相应的独立业务功能外，也需要做到对合作机构推荐的借款人保持一定的“拒单率”，以进一步佐证相关风控机制的有效性。
3. 服务当地慎跨区
地方法人银行开展互联网贷款业务，应主要服务于当地客户，审慎开展跨注册地辖区业务。全国性银行、互联网银行/民营银行、外地分支机构在当地开展业务的，不在此限(第8条)
汉坤评述：
相比《2018年意见稿》设置的明确比例(即地方银行向外省发放的互联网贷款余额不得超过互联网贷款总余额的20%)，稍显宽松，虽然没有制定明确的比例标准，但是监管导向很清楚，并不希望城商行、农商行等借助合作机构变成互联网银行。而与此相对地，互联网银行/民营银行开展互联网贷款业务则不受相应限制。
值得注意的是，银保监会办公厅曾于2019年1月发布《关于推进农村商业银行坚守定位强化治理提升金融服务能力的意见》(银保监办发[2019]5号)，要求“农商行应当严格审慎开展综合化和跨区域经营，原则上机构不出县(区)、业务不跨县(区)。应专注服务本地，下沉服务重心，当年新增可贷资金应主要用于当地”。如果《办法》正式实施，农商行是按照旧规“业务不跨区县”，还是可以按照新规迎来一线生机，目前也不确定。
如何界定“当地客户”或者“行政区域内的客户”存在争议。2019年10月，北京银保监局的文件要求按照客户身份证地址、常住地、主要业务经营地、手机号码归属地、客户登录IP地址等维度，来认定是否异地。《办法》对此并未明确，但如果没有明确的识别标准，亦会对本条的突破带来灰色空间。
4. 营销落实适当性
通过合法渠道和方式获取目标客户数据，开展贷款营销，并充分评估目标客户风险偏好和风险承受能力，有效落实适当性原则，将合适的产品推荐给合适的人(第16条)
汉坤评述：
“适当性原则”在贷款产品中予以明确规定尚属首次。
贷款产品本质上也是属于金融产品的一种，此处参考金融投资产品的投资者适当性制度，要求商业银行在互联网贷款中也要落实适当性原则，体现了监管思路的延续性。
目前贷款营销的流程大致是：
获取用户数据-推送广告-受理用户申请-评估风险。而根据《办法》的规定，今后贷款营销的流程可能需要调整为：
获取用户数据-用户适当性评估-推荐产品-受理申请。
贷款营销过程中涉及到用户数据、用户画像、定向推送等，需要与个人信息保护(特别是个人金融信息保护)的监管要求结合起来。《个人金融信息(数据)保护试行办法》已于2019年10月在行业内征求意见，相信不久也会正式出台。
5. 信息披露要充分
(1)充分披露产品信息。向客户推介互联网贷款产品时以及在合作类贷款产品的借款合同中，要充分披露贷款主体、贷款条件、
实际年利率、年化综合资金成本、还本付息安排、逾期催收和咨询投诉渠道等信息，不得默认勾选、捆绑销售(第16条、第52条)
(2)充分披露银行与合作机构信息。向借款人充分披露银行自身与合作机构信息、合作类产品的信息、自身与合作各方权利责任，避免客户产生品牌混同，按照适当性原则充分揭示合作业务风险(第52条)
汉坤评述：
贷款信息披露也是141号文的一贯要求，但在实践中如何披露，存在不同做法。
对于“实际年利率”和“年化综合资金成本”应当按照何种口径(IRR/APR)披露，此前一直没有定论。近期中国人民银行通过官方微信公众号的一则漫画，指出贷款利率应当按照IRR计算，在一定程度上体现了监管态度。《九民纪要》也规定要“区别对待金融借贷与民间借贷，并适用不同规则与利率标准”，未来关于互联网贷款实际年利率和年化综合资金成本的披露口径有望统一，且金融借款息费水平相比民间借贷应当更低。
综合资金成本的范围到底包括哪些，从141号文到《九民纪要》再到本次《办法》，其实规定的是比较清楚的，从严来看，理论上借款人为借款而支付的各项费用(包括但不限于服务费、咨询费、管理费、担保费、保险费)均应被计入综合资金成本计算。但
对于同时满足(i)存在与贷款无直接关联的真实对应的服务内容；
(ii)定价合理公允；
以及(iii)不属于贷款强制条件的费用(如手机分期时的“碎屏险”、车贷中的“GPS购置费”等)，我们认为仍有空间论证其不落入“综合资金成本”的范畴。
禁止默认勾选、捆绑销售的要求此前也有规定。如银保监会财险部于2019年7月下发《关于开展现金贷等网贷平台意外伤害保险业务自查清理的通知》，禁止搭售保险产品。
对于披露合作机构信息，可能会涉及到目前协议内容的调整，因为目前绝大多数贷款协议都不会清楚地向借款人披露与合作机构之间的合作内容。
6. 合作机构重管理(名单制、禁止收费和变相兜底)
(1)名单制管理+总行审批。合作机构是指在互联网贷款业务中与商业银行开展合作的金融机构和非金融机构。商业银行应对合作机构进行评估并实施名单制管理，而且合作机构准入、合作类产品和具体合作模式应当在银行总行层级履行审批程序(第49、50、51条)
(2)书面协议。银行与合作机构应签订书面合作协议，并明确具体合作内容。书面合作协议应明确约定合作范围、操作流程、各方权责、收益分配、风险分担、客户权益保护、数据保密、审计检查、争议解决、合作事项变更或终止的过渡安排、违约责任等内容(第51条)
(3)禁止事项。银行应当要求合作机构不得以任何形式向借款人收取息费(联合贷款的合作出资方除外)、银行不得接受合作机构直接和变相的风险兜底承诺、银行不得委托有暴力催收等违法违规记录的第三方催收机构进行贷款催收(第51、55、56条)
(4)持续评估。银行应当持续对合作机构进行评估，发现合作机构无法继续满足准入条件的，应当及时终止合作关系(第57条)
汉坤评述：
合作机构”的范围非常广，基本上所有机构都包括了，这一部分的合规要求直接影响各方在
各类互联网贷款项下(包括纯导流、助贷、技术输出、数据合作、催收合作等)的合作模式，意义重大。
明确要求合作机构的准入管理、互联网贷款的运营管理应当由商业银行的总行统一进行，结合后续的监管报送规定，这次监管部门也是对商业银行开展互联网贷款业务提出了更高规格的制度合规要求。
《办法》对银行与合作机构的协议内容作了较为详尽的规定，银行的标准协议文本可能都需要做相应的调整。
合作机构不得向借款人收费的规定源于141号文。关于这条是否排除融资担保公司和保险公司这类金融主体直接向用户收费，从合作机构的定义以及第51条“不得以任何形式”的字面意思来看，
融资担保公司和保险公司不得向借款人收费，但从业务逻辑以及实践操作的角度来看，这一规定的合理性值得商榷，因为融资担保公司和保险公司独立开展业务独立向借款人是有一定内在逻辑和营业范围基础的。
无担保和保险资质的合作机构不得向银行提供直接或变相增信的规定来源于141号文，《办法》中的规定即更加明确对于银行施加了合规义务。
7. 联合出资有限额
(1) 商业银行高管层应当制定有关联合贷款的限额、出资比例、合作机构集中度等风控指标，并由董事会审议批准(第12、13条)
(2) 联合贷款中，银行应当独立对所出资的贷款进行风险评估和授信审批，并将联合贷款总额纳入限额管理，对单笔贷款出资比例实行区间管理(第53、54条)
汉坤评述：
在《2018年意见稿》中对联合贷款的出资比例进行了严格限制，即要求“单笔联合贷款中，作为客户推荐方的商业银行出资比例不得低于30%；接受推荐客户的银行出资比例不得高于70%。作为客户推荐方的商业银行全部联合贷款余额不得超过互联网贷款余额的50%；接受客户推荐的商业银行全部联合贷款不得超过全部互联网贷款余额的30%”。而
本次的《办法》取消了该等比例限制，而是留给从业机构自行决定，有一定的灵活性。
8. 数据保护要遵守
(1)合法、必要、有效的基本原则。银行自行收集、使用借款人风险数据应当遵循合法、必要、有效的原则(第31条)
(2)披露及授权。向借款人获取风险数据授权时，应在线上相关页面醒目位置提示借款人详细阅读授权书内容，并在授权书醒目位置披露授权风险数据内容和期限，并确保借款人完成授权书阅读后签署同意(第52条)
(3)数据来源核实。银行通过外部获取借款人数据时，应当以适当方式确认合作机构的数据来源合法合规，并已获得数据所有权人的明确授权(第30条)
(4)数据保存。保障借款人风险数据在采集、传输、存储、处理和销毁过程中的安全，防范数据泄漏、丢失或被篡改(第32条)
汉坤评述：
对于数据安全与个人信息保护，从2019年开始一直是监管趋严的态势。
《办法》项下有关数据合规的要求与现行的相关法规整体一致，并未实质性地增设新的数据合规要求。
《办法》特别规定银行收集借款人的风险数据时，需要“确保借款人完成授权书阅读”，因此在页面设计及流程展示上，线上的授权书可能要采取弹窗提示、强制阅读一定时间、并由借款人主动勾选同意的方式进行，同时要注意留痕。
何为核实数据来源的“适当方式”，要做到何种程度，不是很明确。结合2019年的“爬虫整治行动”来看，多家行业内领先的大数据风控提供方因涉嫌违规爬取数据而被调查，而其他未被调查的数据服务提供商，其所有数据来源是否均合法合规，可能还要打上一个疑问号。就这一点而言，银行与市场中绝大多数的数据合作方进行合作可能都会有障碍。
就银行确认数据是否合规的方式而言，除了在合作协议中要求合作机构承诺数据来源合法合规，还可以审阅用户的授权文件(比如数据服务提供商要求用户签署的隐私政策)是否存在合规瑕疵、合作机构是否严格按照授权文件收集信息、合作机构是否有权将信息或数据提供给银行等，更严格的做法，银行甚至要审查合作机构通过App收集的个人信息是否合法合规，对该等信息的收集、共享进行独立评估。这对合作机构来说是一个难题，也是倒逼金融助贷类App走向合规。
9. 监管报送要及时
(1) 商业银行开展互联网贷款业务，应当向监管机构提交书面报告，包括业务规划情况、风险管控措施(含重要风险管控指标)、贷款产品情况等(第58条)
(2) 已开展互联网贷款业务的的银行应当进行年度自评估和内部审计，每年4月30日前报送(第60条)
(3) 有关互联网贷款的管理架构与控制机制、系统等发生重大变更的，应当向银保监书面报告(第61条)
(4) 每个互联网贷款产品上线前均应提交产品评估报告(第62条)
汉坤评述：
《办法》中有关监管报送的要求比较全面，要求商业银行自行提交相关报告，
侧重于事前、事中监管，而《办法》正文部分规定的其他监管检查措施则可以
作为事后监管的
补充，进一步强化监管对互联网贷款业务的监督、管理。经历过P2P行业的风险清退之后，监管部门意识到通过互联网发放贷款有别于传统线下借贷，其风险的积聚效应以及传播速度、影响范围也会更大，加强监管也属意料之中。
10. 制度、机制需健全
《办法》中对商业银行施加了很多管理性的要求，要求银行建立健全各项管理制度、风险指标、操作机制等，主要包括：
(1) 制定符合自身特点的
互联网贷款业务规划(第6条)
(2) 在总行层面将互联网贷款业务纳入全面风险管理体系，建立健全
风险管理制度、内部控制机制、网络信息系统和安全防护措施(第7条)
(3) 建立健全互联网
借款人权益保护机制，构建独立的业务咨询和投诉处理渠道(第9条)
(4) 建立健全互联网贷款风险治理架构，明确董事会和高级管理层对互联网贷款风险管理的职责，
并建立适当的考核和问责机制(第11、12、13条)
(5) 建立有效的反欺诈机制、建立人工复核验证机制(第18、21条)
(6) 建立风险模型评审机制，成立专业的模型评审委员会负责互联网贷款风险模型评审工作、确定独立的风险模型验证部门或团队(第37、39条)
(7) 建立联合贷款内部管理制度、明确本行联合贷款授权管理机制(第53条)
汉坤评述：
《办法》要求银行应当建立健全各项与互联网贷款有关的制度、机制，其中有一部分制度和机制，大部分银行应该都已具备，无需过多调整(如风险管理制度、内控机制、反欺诈机制、人工复核机制等)，但也有部分要求属于新增条款，如制定互联网贷款业务规划、成立专业的模型评审委员会、有独立的风险模型验证部门或团队(应该可由银行的IT部门组成)。
明确商业银行董事会承担互联网贷款风险管理的最终责任，要求高管层积极履行各项职责，也是从核心人员的把控上要求银行在互联网贷款业务的运营过程中更加合规、审慎。
(二) 对联合贷款方的主要合规要求
1. 具有贷款资质(第3条)
2. 建立联合贷款内部管理制度，应当独立对所出资的贷款进行风险评估和授信审批(第53条)
3. 充分考虑自身发展战略、经营模式、资产负债结构和风险管理能力，将联合贷款总额按照零售贷款总额或者贷款总额相应比例纳入限额管理，并加强联合贷款合作机构的集中度风险管理。商业银行应当对单笔贷款出资比例实行区间管理，与合作方合理分担风险(第54条)
4. 商业银行可以将贷款发放、本息回收、止付等关键环节操作交由联合贷款的合作出资方执行，且不受限于“不得收取息费”的规定(第51条)
汉坤评述：
一方面，通过互联网开展的联合贷款，其联合出资方一般为商业银行、消费金融公司，也需要参照《办法》规定的商业银行开展“互联网贷款”业务的要求予以执行。特别需要注意的是，虽然《办法》规制的主要对象是商业银行，但《办法》中明确要求消费金融公司除豁免适用有关“30万元+一年期”的规定外，其他规定均需要参照适用《办法》。
另一方面，
《办法》要求联合贷款的出资方要有一套独立的管理制度、独立进行风控审核与授信审批、加强限额管理与集中度管理，强调独立性。
此前市场上有很大一部分联合贷款模式，是一方主要负责流量和风控，另一方负责出资但并不实际履行风控职责，这种合作模式可能面临挑战。
联合贷款的合作出资方可以执行“贷款发放、本息回收、止付等关键环节操作”，而《办法》将合作机构的类型表述为“其他有贷款资质的机构”，并未禁止小额贷款公司作为该等合作出资方，我们理解也算是
间接肯定了小额贷款公司参与联合贷款的资格，但小贷公司的风险控制能力某种程度上肯定无法和银行业金融机构相比。
(三) 对助贷机构的主要合规要求
1. 不得为商业银行提供核心业务环节(主要包括授信审查、风险控制、贷款发放、支付管理、贷后管理)的运作(第7条)
2. 获取的用户数据应当通过合法渠道和方式，即数据来源合法合规，并已取得数据所有权人的明确授权(第16、30条)
3. 配合商业银行做好信息披露，包括贷款产品信息和合作机构信息 (第16、52条)
4. 不得向借款人进行贷款支付(第26条)
5. 具备适当的信息系统服务能力、可靠性和安全性以及敏感数据的安全保护能力(第48条)
6. 配合商业银行进行准入评估(第50条)
7. 不得以任何形式向借款人收取息费(第51条)
8. 不得通过商业银行为自身及其关联方直接或变相进行融资(第51条)
9. 不得进行贷款发放、本息回收、止付等关键环节操作，不得无资质放贷(第51、53条)
10. 不得向商业银行提供直接或变相的增信服务(第55条)
汉坤评述：
通过梳理《办法》规定的银行在与合作机构的合作过程中应当履行的义务，可以反推出助贷机构需要满足的一部分合规要求。事实上，左侧的大部分合规要求自141号文开始一直都有，包括不得为银行提供核心业务外包服务、不得向借款人收取息费、不得提供任何形式的兜底增信等。
由于《办法》针对银行设置了大量新增合规义务，
助贷机构的业务也将连锁式地受到影响，如在C端产品设计上，需要符合“30万元+一年期”的限额及期限要求以便接入银行资金；在合作银行的选择上，城商行、农商行等具有属地性质的银行的业务体量可能未来会有所控制；另外，在具体开展业务的流程中，助贷机构也需要配合银行针对“借款意愿核实”、“合同签署”、“合同储存”、“资金用途监测”等环节调整现有的业务流程。
由于《办法》中进一步重申和强调了数据合规在互联网贷款中重要性，因此助贷平台数据来源的真实性、合法性在未来将会成为助贷机构开展业务的重要前提。就此而言，
拥有自建场景或天然用户流量的助贷平台将展现出更强的竞争优势。
(四) 对纯导流方的主要合规要求
1. 通过合法渠道和方式获取目标客户数据，将合适的产品推荐给合适的人(第16条)
2. 具备适当的信息系统服务能力、可靠性和安全性以及敏感数据的安全保护能力(第48条)
3. 不得以任何形式向借款人收取息费(第51条)
4. 不得向商业银行提供直接或变相的增信服务(第55条)
汉坤评述：
如前所述，《办法》第16条提出贷款营销要遵循适当性原则，
今后贷款营销的流程可能需要调整为：
获取用户数据-用户适当性评估-推荐产品-受理申请。
而目前的纯导流方(如贷款超市、短视频平台、自媒体平台)在帮助持牌资金方进行贷款营销或发布广告时，往往是先获取用户数据，然后在未进行用户适当性评估的情况下向其推荐贷款产品，这一导流模式可能需要调整。
与助贷机构的合规要求类似，纯导流方也要确保数据来源合法合规、不向借款人收费及提供增信。
(五) 对数据服务提供商的主要合规要求
合规要求：
1. 数据来源合法合规、获得用户明确授权(第16、30条)
2. 不得对商业银行的风险模型承担管理职责(第34条)
3. 具备适当的信息系统服务能力、可靠性和安全性以及敏感数据的安全保护能力(第48条)
4. 不得以任何形式向借款人收取息费(第51条)
5. 不得向商业银行提供直接或变相的增信服务(第55条)
汉坤评述：
《办法》第30条要求商业银行“通过适当方式确认合作机构的数据来源合法合规”，这也是通过对银行施加合规义务来倒逼数据服务提供商在数据的收集、使用、共享等环节做到合法合规。2019年开始的“爬虫整治”，暴露了“大数据风控”行业的诸多乱象，未来数据服务提供商未通过合法途径获取的数据可能无法用于互联网贷款合作。
《办法》第34条还要求银行不得将风险模型的管理职责外包给第三方机构，但
未明确禁止“联合建模”，如果数据服务提供商的数据来源合法合规且获得用户明确同意，那么银行与合作方进行联合建模未来应该有一定空间，但该等模型应当由银行承担管理及维护职责。
通过以上分析可以看出，《办法》在全方面规范的基础上，更多秉承的还是“拉开差距”的思路，对于有能力从事互联网贷款业务的大型机构而言，需要做的更多是“改良”的工作，但对于实力有限，实际上无法满足各方面要求的中小型机构而言，通向合规经营的道路可能会更漫长一些。