美联储Kelvin Chen: 加强API监管安全连接银行与金融科技

网贷零壹财经 · 零壹财经 2018-09-08

关键词：美联储 2018朗迪峰会 金融科技监管 API 数据安全

美联储监管考虑如何安全连接金融科技、银行与消费者。

9月7日，2018朗迪中国峰会在上海举办，零壹财经的主办“合规与发展”分论坛上，美联储委员会金融科技专家Kelvin Chen围绕美联储对金融科技监管发表了主题演讲，他表明在美国，监管考虑如何安全连接金融科技、银行与消费者，让银行更好进行金融服务，并保证数据安全。

Kelvin Chen 认为，美国大型银行会对很多机构提供API（接口），监管要考虑的是如何制定API开放规则，确立银行责任。对于不愿意或没有能力开发API的银行，数据整合者利用金融科技可以提供相关服务，问题就在于数据整合者处于银行体系外，如何监管？银行因为担责，设计了API的开发限制。

因此，美联储想推行一致的监管，让机构都遵守必要条款。

以下是演讲全文：

Kelvin Chen：大家好，谢谢大家邀请我，我的名字是Kelvin Chen，来自美联储。我给大家介绍一下我自己，我之前是在纽约当一个诉讼律师的，我的专长是消费者保护法律。我们还建立了另外一个关于消费者保护的委员会，以保护消费者权益。我是差不多在一年前的时候，加入到美联储的。我想要讲美联储要做一些什么事情，来保护消费者。我必须要非常清楚地知道，我今天是以个人的身份来到这里，所以不要把我的演讲和我现在工作的机构联系在一起。之前我们的演讲有一部分是来自我们美联储的一位专家，大部分的工作是在去年4月份完成的。但我觉得，今年他的作品仍然对于我们的现实有着非常大的意义。

如果我们回到二到三年前，来考虑到现在的问题，当时有很多银行在思考的问题是金融科技会不会伤害到银行，是否会变成一个零和博弈的情况。我想到的例子，是在美国的大会议上面，有一个消费者的会议，他是和银行家相关的。他们有一个演讲者，来自加利福尼亚。还有一个搏击场，一个是来自金融科技公司和银行业的公司，这就是他们如何拉拢关系的。

我想到现在的一个杂志曾经做过的文章，说到苹果手机和他的生态系统。当时苹果手机被创造出来的时候，人们没有想到那时候苹果手机的影响，但是事实上他只想做一个手机，只是一个可以打电话的手机，也没有想到过设计一个生态系统。但是所有的一切，都已经发生了变化，基本上每个人都会一天解锁十几次手机屏，一早起来就会打开手机。我们花了很长的时间在手机上，但是我们没有听音乐也没有打电话，我们在用应用，用苹果商店里面的应用。苹果不用投资、不用推广，只需要打开这样一个生态系统，有API告诉你说哪里可以用GPS、哪里可以拍照片，只需要给他30%的手续费。那么现在苹果的应用中心下载量，应该是五百亿，苹果是占了三分之一的收入。这和美联储有关系，因为我们考虑金融科技的时候，我承认我不知道中国情况，但是美国金融科技在美国你可以用它发信息，可以用苹果手机定位，也可以支付手段。

但是最重要的功能是银行，因为在美国，如果你想消费存款，你一定要在你的软件中有存款。如果有银行间的服务，像用信用卡的服务，你要有银行。你需要国家银行作为你的伙伴，作为监管我们就很在乎这种行为。你和银行打交道，就是和监管者打交道。你必须知道银行和监管者的一些具体情况。

那么这有什么问题呢？在我的主旨演讲提到过这个。因为银行并不是API公司，也不是网络公司。在美国银行的系统你看这个系统，我是工程师，我二十年前读工程，但是我没有学过酷宝（英译），这是老的系统。另外一个部分就是在美国，银行有着很长的历史，其实很多电脑系统在银行里不断整合叠加，我们说我们系统技术的时候，许多都是由云一些系统支持的。如果你看一下银行的主体系统的话，都是由很好的主机组成的。另外的部分就是一些监管政策，是我们API系统有之前就写的。所以手机的生态环境不这么重要，因为银行和APP智能手机不一样，他分别是两个系统的。美国内化了一些基本，对于银行来说。

其实这个就是非常刻意，消费者说你不要告诉别人的密码，有牵扯到数据的遗失情况。然后银行就要对一些服务商负责，银行要了解服务商的一些情况。这些情况对于API的生态系统不是特别符合。比如在美国，在银行和第三方服务之前，他们在开始之前就会评估机构，看一下机构的运行情况，分类风险，对银行运营的风险，对于商业的风险、欺诈的风险，还有一些名誉受损的风险，这些监管者是希望银行做到这一点。

如果你的名誉受损的话，用户担心他们的钱款流失。对于智能手机来说其实并不是如此，举个例子就是有一个特殊的美国智能手机的游戏，在美国这个特殊游戏发出的时候，是有不同的API。用谷歌的API验证你的身份，这是一个普通的API。如果你用新的API的话，其实就不用输入新密码的话，只要打名字，你的笔划打完之后名字就出来。你如果登录谷歌，就可以用谷歌的账号登录其他的系统，因为谷歌都有你的账户信息。

这个游戏的启示，就是你用了不对的API，几周之后看一下这个技术说这是凯文，但是他有凯文的邮件、账户情况、信息，这其实是一个再现的过程，是一个整合的API。有时候不能用这样信息，但是有些确实是用这样系统的。那银行界发生什么呢？他会看成银行账户，转账可以重新定位你的账户，这些行为就非常有问题。如果用这个游戏的话，他们比如说很大的资金，我们玩这个游戏。这是我们美国的担心，我们想帮助银行现代化，美联储并没有采取相应的行动，对于银行和金融机构应该更好连接。许多人在谈前沿技术、有趣的技术，比如人工智能，有人谈一些金融科技的其他因素。但是我在想这个水管，你怎么把几点安全连接在一起？其实我不知道中国这个情况，但是在美国这个情况非常特殊，因为业界、金融科技和银行还有监管者，在想怎么连接的问题，这个生态环境变化的也比较快。所以在一端，我们有很大的银行，他有自己的API。这个就是银行自我定位，就像苹果这样一个平台非常大，他们对很多人都提供了API，可以查银行账户的基金，也可以调用银行账户的基金。我们要好好考虑一下规则，开发者的责任是什么。因为你开发API，其实这样的说法不对。API不是开发出来的，你开发出来的时候要签条款，这个条款对于API的用途是不同的，并不是单一的条款。比如说地图的API，是一个比较简单，你条款就要比较简单。但如果你签了一个比较复杂的，技术虽然一样，但是你去定位消费者的位置，我希望条款可能会不同。所以我们考虑银行的时候，也要考虑这些部分，这是大银行的情况。

我们也有一些情况，在另外的范围里面有另外一种方法。银行要不就不愿意，要不就没有能力开发API，因为很贵、很复杂、花费很多时间。比如说美国有四千个银行，我引用一下因为金融科技可以得到很多信息，投资账户、退休账户都可以得到。他们不想搞四千个数据库，那有些中介我们叫做数据整合者，这些整合者从不同的数据库整合信息。他们做的方式，就是金融科技整合者问用户的密码，然后整合者把用户的密码和用户名再整合起来。这样整合者和银行，其实是两个不同的系统。

所以有些银行比较担心，20%到40%的登录者，是整合者的，并不是用户自己登录的。其实你很难分清是谁登录的。从人的角度来讲，SK（音）角度讲有很多登录的记录，但是你不能够看出到底是整合者或者是黑客或者是用户自己登的。

另外强调一下，我并不是说这是不好的东西。一些很小的银行，他是唯一进入金融科技的方法，一些社区银行你想用快速支付的一些工具，你如果不下API的话，只能用数据整合者的方法。那么这个问题就在于这些数据整合者是在银行体系之外的，所以美国的银行受制于不同的规则、不同的数据协议。如果协议被破坏的话，他们要受惩罚。但是如果他们不是银行体系的话，他们可能不受这些，一旦违反协议就比较麻烦。他们是和银行签的协议，我说银行对于这些风险有责任，所以说的还不清楚，数据的整合者到底属于什么身份。许多数据整合者有责任有条款，但是消费者不太清楚这些条款，不太清楚发生了什么事。比如你是消费者，你下载了新的软件，你用了几周不喜欢这个软件了，许多用户会把软件删掉，继续做自己的事。可是删除软件，其实不是说就断绝了你和金融科技公司的关系，你可以删除软件，继续用你的手机。你这个合同还是在的，金融科技整合者还是有你的银行密码和用户名的，要根据你签的协议，你删除软件，删除了几年，你的数据整合者还可以调用你的数据。你可以改密码，但是你怎么告诉整合者要删除信息呢？其实是一个很难的沟通渠道。

这是我们现在所面临的问题，许多银行想让数据整合者进行明确的决定。有时候有些集团签定协议说仅仅这些条件可以用，他们也设计了API的某些限制可以使用。一方面来讲，银行的担心也是很合理的，因为担心安全性和客户的信息透露，也要保护客户的利益。因为银行可以看出数据到整合者，但是银行看不出第三方、第四方，可能这个数据已经经了几手了。另外方面来说数据整合者和金融科技公司，也提出了很有道理的点。他说银行是和金融科技的竞争者，许多情况下金融科技也是和银行竞争的，所以创新非常快。他们说银行有理由不打开他们的系统，因为这些理由和竞争是有关的，我们要看一下这个合同是不是有不利于我们的条款。所以作为监管者，我们有必要告诉机构我们要监管保证安全，还要遵守一些必要条款。更广义来说，我们非常想推行那些和法律条文一致的监管，并不是说偏向消费者或者是哪一方，但是也不想对于银行方利益受损。

我们希望要银行和客户的关系能够公平一点，当苹果手机十年之前推行出来的时候，就像我之前说的游戏一样，他们打开三个API。其实美国的金融科技路在何方，还是很难说，到底是长期的还是暂时的。我们连接想一下什么办法最好，怎么让银行的平台能够更好进行金融的服务，保证数据安全。因为消费者比较信赖银行，变化正在进行。去年变化就已经来了，因为监管者现在慢慢参与进来，各方也参与进来，监管者、银行、金融科技，我们不应该只集中在一些技术问题，比如说API如何开发。我们要自己想一下，我们要哪些条规条例条款标准，在这个环境能够适用，谢谢大家！

专题推荐：金融毛细血管

零壹智库推出“金融毛细血管系列策划”，通过系列文章、系列视频、系列报告、系列研讨会和专著，系统呈现“金融毛细血管”的新状态、新功能、新价值、新定位。