西班牙PSD2合规与支付服务

PSD2是欧盟第二版《支付服务指令》。它规范支付服务的提供，加强电子交易的安全，并通过开放银行模式向第三方开放金融生态。

实际上，PSD2影响银行、金融科技公司、支付机构、电子货币机构，以及任何参与支付发起、账户访问、客户认证或相关服务运营基础设施的模式。

它不只是一套技术规则：它是涵盖牌照、安全、治理和持续合规的整体框架。

PSD2直接适用于支付机构、电子货币机构、银行、支付发起服务提供商（PISP）、账户信息服务提供商（AISP），以及围绕支付或账户访问构建服务的金融科技项目。

它也可能间接影响技术服务商、支付处理商、聚合商、white label提供方和运营合作伙伴；其合同和功能模式必须被准确分析，以免在无意中进入持牌专营业务。

关键不在于您如何称呼产品，而在于您的业务实际在做什么。

AISP提供账户信息服务：聚合或呈现用户一个或多个账户的金融信息。PISP代表用户，从其银行账户向商户或收款人发起支付。

这两种模式都需要分析牌照、安全、合同、数据处理、运营控制，以及与账户开立机构之间的关系。仅有技术对接是不够的。

如果您的业务涉及账户访问或支付发起，PSD2分析应当从产品设计阶段就开始。

强客户认证（SCA）要求某些交易使用属于不同类别的两个或以上要素进行认证，并对安全和通信设有具体规则。

除了落实技术层面，还需要审查豁免情形、支付流程、事件、欺诈率、客户体验以及实际运行的证据。只从“产品”角度出发，往往不够。

SCA不能靠商业性说明来抗辩：要靠架构、流程和记录来抗辩。

这取决于您实际提供的服务。如果您执行支付、发行电子货币、发起支付，或作为受监管第三方访问账户，则可能需要特定的牌照或注册。

代价最高的错误，是在未事先确认监管定性的情况下提交申请文件，或者更糟：自以为只是技术服务商而开展业务，实际上却在从事持牌专营业务。

在投入开发、合作伙伴或营销之前，宜先确定监管边界和牌照申请策略。

在PSD2下，外包并不免除责任。将技术、运营服务、客户入驻、反欺诈或支付支持外包出去，需要有治理、控制措施、SLA、监督、业务连续性以及扎实的合同文件。

监管机构既看运营链条，也看机构控制其关键第三方的能力。当合同与实际运营不符时，问题就会出现。

外包不当不会降低合规成本，反而会成倍放大它。

费用取决于业务类型、项目成熟度、业务是否已在运行，以及所需的是诊断、完整的牌照申请，还是持续合规服务。

重要的是不要只看前期的法律费用：监管定性错误、SCA处理不当或申请文件前后矛盾，代价远高于一开始就把工作做好。

在PSD2下，起初看似节省的成本，往往在最要紧的时候变成延误、监管问询和摩擦。