互联网贷款风险

罚单与互联网贷款

银保监会网站2022年12月20日披露的罚单显示，宁波银保监局2022年12月12日连开25张罚单，涉及六家银行、一家保险公司及十三位个人，合计被罚款1648万元。其中，GS银行宁波市分行因一项违法违规行为被罚款200万元，YC银行宁波分行因一项违法违规行为被罚款50万元，GD银行宁波分行因两项违法违规行为被罚款70万元，宁波TS银行因六项违法违规行为被罚款420万元、因十项违法违规行为被处罚360万元，LS银行宁波分行因一项违法违规行为被处罚40万元，宁波YC农商银行因六项违法违规行为被罚款440万元。前述六家银行共涉及以下违法违规行为。

表1. 六家银行涉及的违法违规行为

本次宁波TS银行因“互联网贷款异地客户识别机制不完善”被处罚再次揭示了监管机构收紧银行互联网贷款监管的信号。

2022年7月12日，银保监会颁布《关于加强商业银行互联网贷款业务管理提升金融服务质效的通知》（银保监规〔2022〕14号），总体上此次14号文是对2021年24号文《关于进一步规范商业银行互联网贷款业务的通知》的进一步补充，主要是过渡期延长，新增贷中支付环节等管理要求。

同时24号文也是对2020年的9号令《商业银行互联网贷款暂行办法》进一步进行了大幅补充：需要分散合作机构的集中度风险（25%），降低合作机构自身的杠杆率（出资30%），限制城商行异地扩张冲动（禁止异地发放贷款）；结合此前央行和银保监会对互联网存款的新规（禁止第三方引流和禁止城农商行异地互联网吸收存款），从资产和负债两端分别对互联网存款和互联网贷款进行严格约束。

银保监会有关部门负责人在答记者问时指出：商业银行仍存在履行贷款主体责任不到位，授信审批、贷款发放、资金监测等核心风控环节过度依赖合作机构等问题，与监管要求尚有一定差距，不利于业务持续发展。因此，14号文的发布对银行互联网贷款业务总体上是“收”，对开办此业务的城商银行、农商银行等地方性商业银行影响较大，但也有助于遏止对异地贷款风险管控不到位的风险。

有关互联网贷款跨区域经营的限制主要体现在24号文中，该文合规要点如下：

1、落实风险控制要求。商业银行应强化风险控制主体责任，独立开展互联网贷款风险管理，并自主完成对贷款风险评估和风险控制具有重要影响的风控环节，严禁将贷前、贷中、贷后管理的关键环节外包。

2、加强出资比例管理。商业银行与合作机构共同出资发放互联网贷款的，应严格落实出资比例区间管理要求，单笔贷款中合作方出资比例不得低于30%。

3、强化合作机构集中度管理。商业银行与合作机构共同出资发放互联网贷款的，与单一合作方（含其关联方）发放的本行贷款余额不得超过本行一级资本净额的25%。

4、实施总量控制和限额管理。商业银行与全部合作机构共同出资发放的互联网贷款余额不得超过本行全部贷款余额的50%。

5、严控跨地域经营。地方法人银行开展互联网贷款业务的，应服务于当地客户，不得跨注册地辖区开展互联网贷款业务。无实体经营网点、业务主要在线上开展，且符合银保监会其他规定条件的除外。

关于互联网贷款跨区域经营，2020年9号令也有原则规定，其第九条规定，地方法人银行开展互联网贷款业务，应主要服务于当地客户，审慎开展跨注册地辖区业务，有效识别和监测跨注册地辖区业务开展情况。无实体经营网点，业务主要在线上开展，且符合中国银行保险监督管理委员会其他规定条件的除外。在外省（自治区、直辖市）设立分支机构的，对分支机构所在地行政区域内客户开展的业务，不属于前款所称跨注册地辖区业务。第六十二条规定，银行业监督管理机构可以根据商业银行的经营管理情况、风险水平和互联网贷款业务开展情况等对商业银行与合作机构共同出资发放贷款的出资比例及相关集中度风险、跨注册地辖区业务等提出相关审慎性监管要求。

据统计，2022年上半年银保监针对互联网贷款罚单共涉及5个处罚事由，开出5张罚单。此处处罚事由为发放互联网借户贷款不合规、线上贷款业务风险管理不到位、线上贷款资金被用于购房及购买股票等证券产品、线上经营性贷款被挪用于购买商品房、与个别互联网公司联合发放的互联网贷款不符合监管要求。

风险分配与互联网贷款

《商业银行互联网贷款管理暂行办法》规定，商业银行互联网贷款是指“商业银行运用互联网和移动通信等信息通信技术，基于风险数据和风险模型进行交叉管理，线上自动受理贷款申请及开展风险评估，并完成授信审批、合同签订、贷款支付、贷后管理等核心业务环节操作，为符合条件的贷款人提供的用于消费、日常生产经营周转等的个人贷款和流动资金贷款”。互联网贷款发放的基本依据为互联网贷款合同。正是基于互联网贷款合同电子化、程序审查虚拟性和非接触性，网络诈骗分子“灵敏”地嗅到了诈骗的“机会”：利用非法获取的储户信息，不以诈骗储户既有资金为目的，而是以诈骗储户信息并使用信息为手段，诈骗互联网贷款。下面案例就是在这种情形下实施的。

案情展开

2021年8月13日，因遭投诉涉嫌电信诈骗，湖南张某使用的尾数3344手机主卡被南京警方封号。张某发现后立即使用副卡尾数3244手机向湖南当地报警，并同时向南京警方提起书面申诉，无果。自2021年9月13日下午4点29分开始，张某收到自称“南京警方李某”的电话，并在连续通话1.5小时中，按对方要求下载了对方要求的APP，在该APP上填写了自己在湖南某银行开设的银行储蓄卡号及相关信息，同时上传了本人半身照片等全部个人信息。最后，根据“南京警方李某”的要求，张某在手机收到验证码后，填注到APP上。17点49分结束通话后，张某收到4条转账短信，发现自己账户上的20万元分4次被转走。张某立即意识到被诈骗，向当地警方报案。

当地警方决定立案侦查，并发出立案决定书。侦查中查封了骗子收款账户上的10万元。侦查发现：（一）张某账户上的20万元现金是通话时，虚假的“南京警方李某”利用骗取的张某信息，在某银行办理的互联网贷款，贷款期限1年，利率6.18%，按月还息到期一次性还本；（二）贷款人在发放贷款活体验证时，没有保留活体验证的影像资料，银行唯一保存的1张活体验证相片截图，明显可以看出是拼接；（三）发起互联网贷款的地址，不是原告手机所使用的网络ID和WLANMAC地址。现诈骗案件正在侦查中。期间，张某将该骗子诈骗贷款情况书面报告南京警方。南京警方向张某出具了《情况说明书》，明确封号错误，并依法呈请上级解除对尾数3344的手机号通话和相关信息的封禁。

张某因某银行每月扣除自己账户上的款项归还贷款利息，起诉到法院，诉请确认张某与某银行之间贷款合同无效，并判令某银行归还所有已经扣除的款项（利息）。裁判观点认为：（一）根据《最高人民法院关于在审理经济纠纷案件中涉及经济犯罪嫌疑若干问题的规定》第十一条，裁定驳回原告起诉；（二）根据贷款所获款项存入原告的账户被骗走的事实，原告已经事实上取得贷款，应当承担合同责任；（三）根据原告意思表示不真实的客观事实，应当认定贷款不是原告的行为，贷款合同对原告不具有约束力。

商业银行互联网贷款法律风险分配，与其他合同法律风险的分配有明显的区别。一般合同的法律风险，通常是来自于合同本身义务而产生的责任，依据《民法典》规定，包括缔约过失责任、预期违约责任、违约责任、无效（被撤销）责任、第三人原因违约责任、双方违约责任、后合同责任、附随责任、违约责任等。而本案的互联网贷款合同，除了合同本身的风险外，还包括行业行为的风险。即根据《商业银行互联网贷款管理暂行办法》，合同行为相对方的虚拟性构成了缔约行为风险、意思表示真实与否的风险。本文所陈述案例事实并不复杂。复杂的是如何评价商业银行互联网贷款被诈骗签订合同约束力问题。具体到本案中，复杂之一在于，原告是否可以因刑事原因而驳回起诉？之二在于，原告与被告之间的合同是名义合同，还是真实达成了合同？之三是原告的贷款行为意思表示是否真实？将逐一进行辨析。

本案是否因涉刑事而驳回原告起诉的辨析

《最高人民法院关于在审理经济纠纷案例中涉及经济犯罪嫌疑若干问题的规定》中的驳回起诉的逻辑起点，大前提之一是“不属于经济纠纷案件”，之二是“有经济犯罪嫌疑的”，小前提是本案原告可能有经济犯罪嫌疑，逻辑导出结论是驳回起诉。

（一）本案小前提不具备。本案事实审理中，有证据证明，原告已经报警，公安机关基于原告的报案确认了刑事立案。从犯罪构成的结构来剖析，既找不到原告主观上犯意（原告并不需要这笔钱），又客观上找不到原告犯罪的结果。所以，做出本案原告有犯罪嫌疑的判断这个小前提不成立，驳回起诉是一个不适当的选择。

（二）本案逻辑结论不完整。基于原告犯罪嫌疑的或然性，做出驳回起诉的结论，可知逻辑结构并不完整。根据法条，驳回原告起诉的结果不是单一的，而应当同时履行“将有关材料移送公安机关或检察机关”这一义务。这里司法解释用的是“应当”，是义务性规范，而不是授权性规范。法院裁定驳回起诉，但肯定不会移送。因为法院自己也清楚，该案的最大问题是另有诈骗嫌疑人，原告不是嫌疑人。公安、检察收到移送材料，也会做出不予立案的决定书。此时可以得出结论，驳回起诉的裁定值得商榷。

（三）本案法理不容许。裁判理由需要法官在裁判时能够用法理说服人。《全国法院民商事审判工作会议纪要》（以下简称《九民纪要》）正是提供了这样一个法理，它明确规定“同一当事人因不同事实分别发生民商事纠纷和涉嫌刑事犯罪，民商事案件与刑事案件应当分别审理”。能够很清楚地发现，本案正是《九民纪要》所列需要防止的。本案是否符合《九民纪要》第一百三十条所称的民刑交叉案件中止审理条件？该法条唯一的要求是“以刑事案件审理结果为依据”，本案原告提起的合同效力之诉，不是侵权或者其他赔偿之诉，并不需要以刑事案件审理结果为依据。由于案涉互联网贷款合同是正在履行的、与诈骗刑事案件相对独立的合同，诈骗案件的裁判结果对合同效力之诉没有任何法律上证据价值。本案最有价值的证据包括：证明原告具有主观明知或者应当主观明知实施了贷款行为与否的证据，证实被告签约过程中是否贷款人商业银行违反规定，《九民纪要》正是从法理的角度分析认为，风险控制不严格造成订立了互联网贷款合同，不能因为涉及诈骗刑事案件而驳回起诉，法院应当径行裁判。

互联网贷款缔约行为建模

解决非因刑事原因需要驳回起诉的问题后，需要从合同缔约角度去定义互联网贷款行为。本案互联网贷款合同行为是否有效，核心因素就是贷款发放过程审查是否到位。为判断上述内容，有必要给商业银行互联网贷款合同的缔约行为建模，有效找到合同可能成立的时间，有利于直观地看出法律行为性质和法律意义。

根据下图，可以确定，要约和承诺两个过程在这个合同的达成中是完整的。既然内容达成协议过程是完整的，那么问题出在哪呢？对照模型，结合庭审案件事实，能够发现，问题出在一个地方，就是发起申请人是谁？整个商业银行互联网贷款，银行最重要的动作，就是核实是“谁”在贷款的问题。《商业银行互联网贷款管理暂行办法》第十九条规定“……反欺诈机制……防范冒充他人身份恶意骗取银行贷款的行为……”。为此，管理机构应当要求商业银行建立“风险评估、授信审批和风险定价模型”“风险监测预警模型”“人工复核验证机制”“采用数据电文形式签订借款合同及其他文书”。

图1. 商业银行互联网贷款的申请流程与合同生效流程模型图

缔约行为的意思虚假，是否构成储户的法律责任

从前述可以判断出，商业银行互联网贷款行为合同订立唯一不足是，订立贷款合同要约发出人是“谁”的责任由谁来承担。

关于合同成立与生效

关于合同的成立时间，《民法典》第四百八十三条规定“承诺生效时合同成立……”。第一百三十七条规定，采用数据电文形式的，形成的意思表示时间是“数据电文进入该特定系统时生效”。本文所列商业银行互联网贷款合同，数据电文进入特定系统是客观事实，合同形式具备了所有成立和生效的要件。但根据商业互联网贷款合同的审查建模，可以清楚地看出，商业银行在此种贷款中，除了按一般合同原则形成合同形式外，最重要的实质要件是审查申请贷款人的真实性。只有通过合同阅读、人脸识别（生物活体验证）、短信验证，商业银行做到确认申请贷款人就是储户本人，才能做出完整合同的承诺。如果任何一个审查环节产生判断异常，均应当终止承诺。

关于第三人实施欺诈对本案的影响问题

《民法典》第一百四十九条明确规定，第三人实施欺诈行为，使一方在违背真实意思情况下实施的民事法律行为，对方知道或者应当知道该欺诈行为的，受欺诈方有权请求人民法院或者仲裁机构予以撤销。本案存在一种可能，那就是由于不法分子（第三人）的欺诈，导致原告作出了违背真实意思表示的贷款申请。案件的庭审材料显示，原告根本就没有做出贷款的意思表示。有证据证明，甚至本案直到第二天，原告才发现，被骗走的账户上资金是贷款来的。

关于案涉商业银行互联网借款的民事行为的效力

《民法典》第一百三十三条规定，民事法律行为是民事主体通过意思表示设立、变更、终止民事法律关系的行为。本案中，原告并没有做出意思表示，而是由不知道的第三人做出的意思表示，该意思表示只是借用了原告的身份，并非原告的意思表示。故案涉合同对原告没有约束力。可以认为，由于商业银行在互联网贷款中的超级优先地位，管理机关监管准则中，就已经明确银行需要确定申请发起人。具体到本案中，首先，作出贷款意思表示的网络ID和WLAN MAC地址，并非原告手机所使用的网络ID和WLAN MAC地址；其次，假冒的原告活体验证使用的照片是合成照片，并且该照片存档于商业银行档案。根据本文建立的模型，可以看出商业银行错误的活体验证，使骗子成功获取他虚假意思表示的承诺，责任当然是商业银行的；最后，由于商业银行互联网贷款的操作方是商业银行，商业银行对操作过程中所涉及的风险防控措施，应当以证据形式保存。所以证明原告是贷款意思表示当事人的证明责任，应当分配给商业银行。

互联网贷款业务“相较于传统商业银行依赖于人工识别和操作的消费金融或小微信贷业务，……很大程度上降低中低收入劳动者获取信贷服务的成本，进而提升金融服务的可及性”。商业银行新业务由于风险控制机制不完整，导致被虚假意思表示骗取了贷款，属于业务拓展过程必然要产生的风险。