关于《欧洲央行关于系统性重要支付系统监管要求的条例》（SIPS条例）拟议修订的公众咨询的回应

定义主要评论摘要和欧洲系统答复

• 背景：针对2025年7月欧洲中央银行关于系统重要性支付系统（SIPS）监管要求的修订草案，欧洲系统收到了少量系统重要性支付系统运营者的反馈。
• 主要反馈及答复：
  • “管理”定义修订：受访者建议修订“管理”定义，以反映不同的治理模式。欧洲系统将“执行董事”替换为“总经理”，并强调管理概念的功能性。欧洲中央银行也修订了定义，删除了对潜在服务提供者的明确引用，但保留了对外包风险的评估要求。
  • “董事会”定义：欧洲系统修订了“董事会”定义，明确在分支机构被认定为SIPS运营商时，“董事会”指该分支机构的法人董事会。
  • 网络安全相关定义：欧洲系统精简了“网络安全”、“网络事件”和“网络威胁”的定义，并明确操作风险范围包括信息技术事件。欧洲中央银行将进行适当性评估，但该指南不适用于SIPS运营商。

治理 - 有罪判决或处罚记录

• 定罪或处罚记录：欧洲系统决定不实施严格禁止SIPS运营商管理机构成员有定罪或处罚记录的要求，而是要求在履行治理诚信要求时考虑此类记录的相关性和重要性。
• 新引入的第12(9)条：部分受访者对新引入的严格禁止要求提出评论，要求澄清其预期及其与现有框架的重叠性。欧洲中央银行适当性评估指南不适用于SIPS运营商。

集团内外包

• SIPS运营商的责任：欧洲系统澄清，第22条关于外包的要求仅涵盖第三方服务提供的一个子类别，不类推适用于其他服务提供者。
• 集团内部外包：欧洲系统认为集团内部外包与第三方外包风险相同，应受相同要求约束，包括退出策略的要求。
• 关键职能外包：部分受访者要求第22条中概述的要求仅适用于关键职能的外包，并明确SIPS运营商的责任范围。

网络风险

• 退出策略要求：欧洲系统明确指出，SIPS运营商必须报告至少任何对SIPS产生负面影响的主要网络事件，并要求此类事件不仅向主管当局报告，也要向管理机构报告。
• 审计权和检查权：欧洲系统将第22(5)条下规定的审计计划和对外包服务提供商的检查权仅适用于关键外包，但合同安排确保SIPS运营商行使审计权的义务仍然存在。

TIBER-EU框架

• 分支机构测试：针对分支机构作为法律从属部分可能需要接受与TIBER-EU框架下的渗透测试相似的测试，欧洲系统认为主管当局可以接受由各自法律实体进行的测试，并补充称此类测试应涵盖分支机构相关控制和系统的有效性。

总结

• 欧洲系统根据公众咨询反馈对SIPS条例进行了修订，明确了管理、董事会、网络安全等关键定义，并对集团内外包、网络风险和TIBER-EU框架下的测试提出了具体要求。欧洲中央银行适当性评估指南不适用于SIPS运营商，且对关键职能外包和网络事件报告提出了明确要求。