（一）风险管理合规与网络安全

作为在线运行的支付机构，网络安全始终是第一要事。因此，支付机构应当做好安全预案，不论是在用户注册过程，还是网站或应用程序等页面，均应当在风险告知书中进行风险警示。

在一起比较少见的支付宝败诉案例中，法院在（2014）凉民初字第2986号民事判决书中是如此表述的：被告支付宝（中国）网络技术有限公司作为网络经营者，负有安全注意义务，保证其网络系统、服务器和程序的安全性，保障买卖双方的利益。相对于原告，被告支付宝（中国）网络技术有限公司对原告的财产丢失更具有举证的优势。本案中，被告支付宝（中国）网络技术有限公司均未对网络运行过程中与损害事实相关联的内容，举证证明自己提供有安全保障的运行环境，也未因违反义务而造成原告的财产损失，因此，被告支付宝（中国）网络技术有限公司应当对因违约行为造成原告的损失予以赔偿。

在王化龙与中国银行股份有限公司长沙市高桥支行、支付宝（中国）网络技术有限公司等银行卡纠纷申诉、申请民事裁定一案中，支付机构和银行间责任关系是值得一探究竟的。自被申请人王化龙于2013年12月16日向申请人申请办理借记卡及存入钱款之日起，双方即成立了储蓄存款合同关系。该合同合法有效，双方均无异议。王化龙银行账户内资金被他人盗转的主要原因，是王化龙在申办银行卡时以他人的手机号码作为银行卡预留号码，且将个人身份证及户籍信息、银行卡卡号告知他人。他人利用王化龙上述个人信息注册支付宝账户后，通过支付宝平台将王化龙银行账户内资金转走。故原审认定王化龙对自身经济损失应负主要责任无误。申请人作为发卡行，支持通过实名注册第三方支付平台账户，验证银行资料并通过短信验证等方式进行快捷支付，符合银监会与中国人民银行的要求，但是并不能据此免除其充分、明确告知申请人相应风险的提示义务，尤其应告知申请人银行与支付宝公司之间协议以及依托快捷支付进行资金操作的可能性。

根据过错程度以及本案事实，原审酌定双方按6∶4的责任比例分责，符合《中华人民共和国合同法》第一百二十条“当事人双方都违反合同的，应当各自承担相应的责任”的规定。因本案存在违约责任与侵权责任的竞合，原审经确认，被申请人王化龙主张违约赔偿请求权，但王化龙与支付宝公司并未成立银行卡储蓄存款合同关系，故原审未判决支付宝公司承担赔偿责任并无不当。

（二）风险管理合规与用户信息(www.daowen.com)

在网络安全法下，支付机构的用户个人信息保护责任也将越来越大。支付机构应当根据网络安全法，以及《个人信息安全规范》等，以“最小化”原则采集、使用、存储和传输客户信息，并告知客户相关信息的使用目的和范围。支付机构不得向其他机构或个人提供客户信息，法律法规另有规定，以及经客户本人逐项确认并授权的除外。值得一提的是，中国银监会曾在2018年3月发布了《银行业金融机构数据治理指引》征求意见稿，对银行业的数据治理提出了具体的要求。

（三）风险管理合规与备付金管理

支付机构的客户备付金，根据《支付机构客户备付金存管办法》规定，是指支付机构为办理客户委托的支付业务而实际收到的预收待付货币资金。

支付机构应当在备付金存管银行开立至少一个自有资金账户。支付机构的备付金专用存款账户应当与自有资金账户分户管理，不得办理现金支取。支付机构应当按季计提风险准备金，存放在备付金存管银行或其授权分支机构开立的风险准备金专用存款账户，用于弥补客户备付金特定损失以及中国人民银行规定的其他用途。

2017年1月13日，央行发布《关于实施支付机构客户备付金集中存管有关事项的通知》，规定自2017年4月17日起，支付机构应将备付金按比例交存专用存款账户，不计利息。2017年3月，央行又下发了《支付机构将部分客户备付金交存人民银行操作指引》，提出“自2017年4月17日起，支付机构暂通过商业银行将部分客户备付金交存至人民银行”。