【新规速递】商业银行互联网贷款管理暂行办法

中国银行保险监督管理委员会令（2020年第9号）

《商业银行互联网贷款管理暂行办法》已于2020年4月22日经中国银保监会2020年第4次委务会议通过。现予公布，自公布之日起施行。

主席郭树清

2020年7月12日

商业银行互联网贷款管理暂行办法

第一章总则

第一条为规范商业银行互联网贷款业务经营行为，促进互联网贷款业务健康发展，依据《中华人民共和国银行业监督管理法》《中华人民共和国商业银行法》等法律法规，制定本办法。

第二条中华人民共和国境内依法设立的商业银行经营互联网贷款业务，应遵守本办法。

第三条本办法所称互联网贷款，是指商业银行运用互联网和移动通信等信息通信技术，基于风险数据和风险模型进行交叉验证和风险管理，线上自动受理贷款申请及开展风险评估，并完成授信审批、合同签订、贷款支付、贷后管理等核心业务环节操作，为符合条件的借款人提供的用于消费、日常生产经营周转等的个人贷款和流动资金贷款。

第四条本办法所称风险数据，是指商业银行在对借款人进行身份确认，以及贷款风险识别、分析、评价、监测、预警和处置等环节收集、使用的各类内外部数据。

本办法所称风险模型，是指应用于互联网贷款业务全流程的各类模型，包括但不限于身份认证模型、反欺诈模型、反洗钱模型、合规模型、风险评价模型、风险定价模型、授信审批模型、风险预警模型、贷款清收模型等。

本办法所称合作机构，是指在互联网贷款业务中，与商业银行在营销获客、共同出资发放贷款、支付结算、风险分担、信息科技、逾期清收等方面开展合作的各类机构，包括但不限于银行业金融机构、保险公司等金融机构和小额贷款公司、融资担保公司、电子商务公司、非银行支付机构、信息科技公司等非金融机构。

第五条下列贷款不适用本办法：

（一）借款人虽在线上进行贷款申请等操作，商业银行线下或主要通过线下进行贷前调查、风险评估和授信审批，贷款授信核心判断来源于线下的贷款；

（二）商业银行发放的抵质押贷款，且押品需进行线下或主要经过线下评估登记和交付保管；

（三）中国银行保险监督管理委员会规定的其他贷款。

上述贷款适用其他相关监管规定。

第六条互联网贷款应当遵循小额、短期、高效和风险可控的原则。

单户用于消费的个人信用贷款授信额度应当不超过人民币20万元，到期一次性还本的，授信期限不超过一年。中国银行保险监督管理委员会可以根据商业银行的经营管理情况、风险水平和互联网贷款业务开展情况等对上述额度进行调整。商业银行应在上述规定额度内，根据本行客群特征、客群消费场景等，制定差异化授信额度。

商业银行应根据自身风险管理能力，按照互联网贷款的区域、行业、品种等，确定单户用于生产经营的个人贷款和流动资金贷款授信额度上限。对期限超过一年的上述贷款，至少每年对该笔贷款对应的授信进行重新评估和审批。

第七条商业银行应当根据其市场定位和发展战略，制定符合自身特点的互联网贷款业务规划。涉及合作机构的，应当明确合作方式。

第八条商业银行应当对互联网贷款业务实行统一管理，将互联网贷款业务纳入全面风险管理体系，建立健全适应互联网贷款业务特点的风险治理架构、风险管理政策和程序、内部控制和审计体系，有效识别、评估、监测和控制互联网贷款业务风险，确保互联网贷款业务发展与自身风险偏好、风险管理能力相适应。

互联网贷款业务涉及合作机构的，授信审批、合同签订等核心风控环节应当由商业银行独立有效开展。

第九条地方法人银行开展互联网贷款业务，应主要服务于当地客户，审慎开展跨注册地辖区业务，有效识别和监测跨注册地辖区业务开展情况。无实体经营网点，业务主要在线上开展，且符合中国银行保险监督管理委员会其他规定条件的除外。

在外省（自治区、直辖市）设立分支机构的，对分支机构所在地行政区域内客户开展的业务，不属于前款所称跨注册地辖区业务。

第十条商业银行应当建立健全借款人权益保护机制，完善消费者权益保护内部考核体系，切实承担借款人数据保护的主体责任，加强借款人隐私数据保护，构建安全有效的业务咨询和投诉处理渠道，确保借款人享有不低于线下贷款业务的相应服务，将消费者保护要求嵌入互联网贷款业务全流程管理体系。

第十一条中国银行保险监督管理委员会及其派出机构（以下简称银行业监督管理机构）依照本办法对商业银行互联网贷款业务实施监督管理。

第二章风险管理体系

第十二条商业银行应当建立健全互联网贷款风险治理架构，明确董事会和高级管理层对互联网贷款风险管理的职责，建立考核和问责机制。

第十三条商业银行董事会承担互联网贷款风险管理的最终责任，应当履行以下职责：

（一）审议批准互联网贷款业务规划、合作机构管理政策以及跨区域经营管理政策；

（二）审议批准互联网贷款风险管理制度；

（三）监督高级管理层对互联网贷款风险实施管理和控制；

（四）定期获取互联网贷款业务评估报告，及时了解互联网贷款业务经营管理、风险水平、消费者保护等情况；

（五）其他有关职责。

第十四条商业银行高级管理层应当履行以下职责：

（一）确定互联网贷款经营管理架构，明确各部门职责分工；

（二）制定、评估和监督执行互联网贷款业务规划、风险管理政策和程序，合作机构管理政策和程序以及跨区域经营管理政策；

（三）制定互联网贷款业务的风险管控指标，包括但不限于互联网贷款限额、与合作机构共同出资发放贷款的限额及出资比例、合作机构集中度、不良贷款率等；

（四）建立互联网贷款业务的风险管理机制，持续有效监测、控制和报告各类风险，及时应对风险事件；

（五）充分了解并定期评估互联网贷款业务发展情况、风险水平及管理状况、消费者保护情况，及时了解其重大变化，并向董事会定期报告；

（六）其他有关职责。

第十五条商业银行应当确保具有足够的资源，独立、有效开展互联网贷款风险管理，确保董事会和高级管理层能及时知悉风险状况，准确理解风险数据和风险模型的作用与局限。

第十六条商业银行互联网贷款风险管理制度应当涵盖营销、调查、授信、签约、放款、支付、跟踪、收回等贷款业务全流程。

第十七条商业银行应当通过合法渠道和方式获取目标客户数据，开展贷款营销，并充分评估目标客户的资金需求、还款意愿和还款能力。商业银行应当在贷款申请流程中，加入强制阅读贷款合同环节，并设置合理的阅读时间限制。

商业银行自身或通过合作机构向目标客户推介互联网贷款产品时，应当在醒目位置充分披露贷款主体、贷款条件、实际年利率、年化综合资金成本、还本付息安排、逾期清收、咨询投诉渠道和违约责任等基本信息，保障客户的知情权和自主选择权，不得采取默认勾选、强制捆绑销售等方式剥夺消费者意愿表达的权利。

第十八条商业银行应当按照反洗钱和反恐怖融资等要求，通过构建身份认证模型，采取联网核查、生物识别等有效措施识别客户，线上对借款人的身份数据、借款意愿进行核验并留存，确保借款人的身份数据真实有效，借款人的意思表示真实。商业银行对借款人的身份核验不得全权委托合作机构办理。

第十九条商业银行应当建立有效的反欺诈机制，实时监测欺诈行为，定期分析欺诈风险变化情况，不断完善反欺诈的模型审核规则和相关技术手段，防范冒充他人身份、恶意骗取银行贷款的行为，保障信贷资金安全。

第二十条商业银行应当在获得授权后查询借款人的征信信息，通过合法渠道和手段线上收集、查询和验证借款人相关定性和定量信息，可以包括但不限于税务、社会保险基金、住房公积金等信息，全面了解借款人信用状况。

第二十一条商业银行应当构建有效的风险评估、授信审批和风险定价模型，加强统一授信管理，运用风险数据，结合借款人已有债务情况，审慎评估借款人还款能力，确定借款人信用等级和授信方案。

第二十二条商业银行应当建立人工复核验证机制，作为对风险模型自动审批的必要补充。商业银行应当明确人工复核验证的触发条件，合理设置人工复核验证的操作规程。

第二十三条商业银行应当与借款人及其他当事人采用数据电文形式签订借款合同及其他文书。借款合同及其他文书应当符合《中华人民共和国合同法》《中华人民共和国电子签名法》等法律法规的规定。

第二十四条商业银行应当与借款人约定明确、合法的贷款用途。贷款资金不得用于以下事项：

（一）购房及偿还住房抵押贷款；

（二）股票、债券、期货、金融衍生产品和资产管理产品等投资；

（三）固定资产、股本权益性投资；

（四）法律法规禁止的其他用途。

第二十五条商业银行应当按照相关法律法规的要求,储存、传递、归档以数据电文形式签订的借款合同、信贷流程关键环节和节点的数据。已签订的借款合同及相关数据应可供借款人随时调取查用。

第二十六条授信与首笔贷款发放时间间隔超过1个月的，商业银行应当在贷款发放前对借款人信用状况进行再评估，根据借款人特征、贷款金额，确定跟踪其信贷记录的频率，以保证及时获取其全面信用状况。

第二十七条商业银行应当按照借款合同约定，对贷款资金的支付进行管理与控制，贷款支付应由具有合法支付业务资质的机构执行。商业银行应加强对支付账户的监测和对账管理，发现风险隐患的，应立即预警并采取相关措施。采用自主支付方式的，应当根据借款人过往行为数据、交易数据和信用数据等，确定单日贷款支付限额。

第二十八条商业银行应遵守《个人贷款管理暂行办法》和《流动资金贷款管理暂行办法》的受托支付管理规定，同时根据自身风险管理水平、互联网贷款的规模和结构、应用场景、增信手段等确定差异化的受托支付限额。

第二十九条商业银行应当通过建立风险监测预警模型，对借款人财务、信用、经营等情况进行监测，设置合理的预警指标与预警触发条件，及时发出预警信号，必要时应通过人工核查作为补充手段。

第三十条商业银行应当采取适当方式对贷款用途进行监测，发现借款人违反法律法规或未按照约定用途使用贷款资金的，应当按照合同约定提前收回贷款，并追究借款人相应责任。

第三十一条商业银行应当完善内部审计体系，独立客观开展内部审计，审查评价、督促改善互联网贷款业务经营、风险管理和内控合规效果。银行业监督管理机构可以要求商业银行提交互联网贷款专项内部审计报告。

第三十二条互联网贷款形成不良的，商业银行应当按照其性质及时制定差异化的处置方案，提升处置效率。

第三章风险数据和风险模型管理

第三十三条商业银行进行借款人身份验证、贷前调查、风险评估和授信审查、贷后管理时，应当至少包含借款人姓名、身份证号、联系电话、银行账户以及其他开展风险评估所必需的基本信息。如果需要从合作机构获取借款人风险数据，应通过适当方式确认合作机构的数据来源合法合规、真实有效，对外提供数据不违反法律法规要求，并已获得信息主体本人的明确授权。商业银行不得与违规收集和使用个人信息的第三方开展数据合作。

第三十四条商业银行收集、使用借款人风险数据应当遵循合法、必要、有效的原则，不得违反法律法规和借贷双方约定，不得将风险数据用于从事与贷款业务无关或有损借款人合法权益的活动，不得向第三方提供借款人风险数据，法律法规另有规定的除外。

第三十五条商业银行应当建立风险数据安全管理的策略与标准，采取有效技术措施，保障借款人风险数据在采集、传输、存储、处理和销毁过程中的安全，防范数据泄漏、丢失或被篡改的风险。

第三十六条商业银行应当对风险数据进行必要的处理，以满足风险模型对数据精确性、完整性、一致性、时效性、有效性等的要求。

第三十七条商业银行应当合理分配风险模型开发测试、评审、监测、退出等环节的职责和权限，做到分工明确、责任清晰。商业银行不得将上述风险模型的管理职责外包，并应当加强风险模型的保密管理。

第三十八条商业银行应当结合贷款产品特点、目标客户特征、风险数据和风险管理策略等因素，选择合适的技术标准和建模方法，科学设置模型参数，构建风险模型，并测试在正常和压力情境下模型的有效性和稳定性。

第三十九条商业银行应当建立风险模型评审机制，成立模型评审委员会负责风险模型评审工作。风险模型评审应当独立于风险模型开发，评审工作应当重点关注风险模型有效性和稳定性，确保与银行授信审批条件和风险控制标准相一致。经评审通过后风险模型方可上线应用。

第四十条商业银行应当建立有效的风险模型日常监测体系，监测至少包括已上线风险模型的有效性与稳定性，所有经模型审批通过贷款的实际违约情况等。监测发现模型缺陷或者已不符合模型设计目标的，应当保证能及时提示风险模型开发和测试部门或团队进行重新测试、优化，以保证风险模型持续适应风险管理要求。

第四十一条商业银行应当建立风险模型退出处置机制。对于无法继续满足风险管理要求的风险模型，应当立即停止使用，并及时采取相应措施，消除模型退出给贷款风险管理带来的不利影响。

第四十二条商业银行应当全面记录风险模型开发至退出的全过程，并进行文档化归档和管理，供本行和银行业监督管理机构随时查阅。

第四章信息科技风险管理

第四十三条商业银行应当建立安全、合规、高效和可靠的互联网贷款信息系统，以满足互联网贷款业务经营和风险管理需要。

第四十四条商业银行应当注重提高互联网贷款信息系统的可用性和可靠性，加强对互联网贷款信息系统的安全运营管理和维护，定期开展安全测试和压力测试，确保系统安全、稳定、持续运行。

第四十五条商业银行应当采取必要的网络安全防护措施，加强网络访问控制和行为监测，有效防范网络攻击等威胁。与合作机构涉及数据交互行为的，应当采取切实措施，实现敏感数据的有效隔离，保证数据交互在安全、合规的环境下进行。

第四十六条商业银行应当加强对部署在借款人一方的互联网贷款信息系统客户端程序（包括但不限于浏览器插件程序、桌面客户端程序和移动客户端程序等）的安全加固，提高客户端程序的防攻击、防入侵、防篡改、抗反编译等安全能力。

第四十七条商业银行应当采用有效技术手段，保障借款人数据安全，确保商业银行与借款人、合作机构之间传输数据、签订合同、记录交易等各个环节数据的保密性、完整性、真实性和抗抵赖性，并做好定期数据备份工作。

第四十八条商业银行应当充分评估合作机构的信息系统服务能力、可靠性和安全性以及敏感数据的安全保护能力，开展联合演练和测试，加强合同约束。

商业银行每年应对与合作机构的数据交互进行信息科技风险评估，并形成风险评估报告，确保不因合作而降低商业银行信息系统的安全性，确保业务连续性。

第五章贷款合作管理

第四十九条商业银行应当建立覆盖各类合作机构的全行统一的准入机制，明确相应标准和程序，并实行名单制管理。

商业银行应根据合作内容、对客户的影响范围和程度、对银行财务稳健性的影响程度等，对合作机构实施分层分类管理，并按照其层级和类别确定相应审批权限。

第五十条商业银行应当按照合作机构资质和其承担的职能相匹配的原则，对合作机构进行准入前评估，确保合作机构与合作事项符合法律法规和监管要求。

商业银行应当主要从经营情况、管理能力、风控水平、技术实力、服务质量、业务合规和机构声誉等方面对合作机构进行准入前评估。选择共同出资发放贷款的合作机构，还应重点关注合作方资本充足水平、杠杆率、流动性水平、不良贷款率、贷款集中度及其变化，审慎确定合作机构名单。

第五十一条商业银行应当与合作机构签订书面合作协议。书面合作协议应当按照收益和风险相匹配的原则，明确约定合作范围、操作流程、各方权责、收益分配、风险分担、客户权益保护、数据保密、争议解决、合作事项变更或终止的过渡安排、违约责任以及合作机构承诺配合商业银行接受银行业监督管理机构的检查并提供有关信息和资料等内容。

商业银行应当自主确定目标客户群、授信额度和贷款定价标准；商业银行不得向合作机构自身及其关联方直接或变相进行融资用于放贷。除共同出资发放贷款的合作机构以外，商业银行不得将贷款发放、本息回收、止付等关键环节操作全权委托合作机构执行。商业银行应当在书面合作协议中明确要求合作机构不得以任何形式向借款人收取息费，保险公司和有担保资质的机构除外。

第五十二条商业银行应当在相关页面醒目位置向借款人充分披露自身与合作机构信息、合作类产品的信息、自身与合作各方权利责任，按照适当性原则充分揭示合作业务风险，避免客户产生品牌混同。

商业银行应在借款合同和产品要素说明界面等相关页面中，以醒目方式向借款人充分披露合作类产品的贷款主体、实际年利率、年化综合资金成本、还本付息安排、逾期清收、咨询投诉渠道、违约责任等信息。商业银行需要向借款人获取风险数据授权时，应在线上相关页面醒目位置提示借款人详细阅读授权书内容，并在授权书醒目位置披露授权风险数据内容和期限，确保借款人完成授权书阅读后签署同意。

第五十三条商业银行与其他有贷款资质的机构共同出资发放互联网贷款的，应当建立相应的内部管理制度，明确本行与合作机构共同出资发放贷款的管理机制，并在合作协议中明确各方的权利义务关系。商业银行应当独立对所出资的贷款进行风险评估和授信审批，并对贷后管理承担主体责任。商业银行不得以任何形式为无放贷业务资质的合作机构提供资金用于发放贷款，不得与无放贷业务资质的合作机构共同出资发放贷款。

商业银行应当按照适度分散的原则审慎选择合作机构，制定因合作机构导致业务中断的应急与恢复预案，避免对单一合作机构过于依赖而产生的风险。

第五十四条商业银行应当充分考虑自身发展战略、经营模式、资产负债结构和风险管理能力，将与合作机构共同出资发放贷款总额按照零售贷款总额或者贷款总额相应比例纳入限额管理，并加强共同出资发放贷款合作机构的集中度风险管理。商业银行应当对单笔贷款出资比例实行区间管理，与合作方合理分担风险。

第五十五条商业银行不得接受无担保资质和不符合信用保险和保证保险经营资质监管要求的合作机构提供的直接或变相增信服务。商业银行与有担保资质和符合信用保险和保证保险经营资质监管要求的合作机构合作时应当充分考虑上述机构的增信能力和集中度风险。商业银行不得因引入担保增信放松对贷款质量管控。

第五十六条商业银行不得委托有暴力催收等违法违规记录的第三方机构进行贷款清收。商业银行应明确与第三方机构的权责，要求其不得对与贷款无关的第三人进行清收。商业银行发现合作机构存在暴力催收等违法违规行为的，应当立即终止合作，并将违法违规线索及时移交相关部门。

第五十七条商业银行应当持续对合作机构进行管理，及时识别、评估和缓释因合作机构违约或经营失败等导致的风险。对合作机构应当至少每年全面评估一次，发现合作机构无法继续满足准入条件的，应当及时终止合作关系，合作机构在合作期间有严重违法违规行为的，应当及时将其列入本行禁止合作机构名单。

第六章监督管理

第五十八条商业银行首次开展互联网贷款业务的，应当于产品上线后10个工作日内，向其监管机构提交书面报告，内容包括：

（一）业务规划情况，包括年度及中长期互联网贷款业务模式、业务对象、业务领域、地域范围和合作机构管理等；

（二）风险管控措施，包括互联网贷款业务治理架构和管理体系，互联网贷款风险偏好、风险管理政策和程序，信息系统建设情况及信息科技风险评估，反洗钱、反恐怖融资制度，互联网贷款合作机构管理政策和程序，互联网贷款业务限额、与合作机构共同出资发放贷款的限额及出资比例、合作机构集中度等重要风险管控指标；

（三）上线的互联网贷款产品基本情况，包括产品合规性评估、产品风险评估，风险数据、风险模型管理情况以及是否符合本办法相关要求；

（四）消费者权益保护及其配套服务情况；

（五）银行业监督管理机构要求提供的其他材料。

第五十九条银行业监督管理机构应当结合日常监管情况和商业银行风险状况等，对商业银行提交的报告和相关材料进行评估，重点评估：

（一）互联网贷款业务规划与自身业务定位、差异化发展战略是否匹配；

（二）是否独立掌握授信审批、合同签订等核心风控环节；

（三）信息科技风险基础防范措施是否健全；

（四）上线产品的授信额度、期限、放款控制、数据保护、合作机构管理等是否符合本办法要求；

（五）消费者权益保护是否全面有效。

如发现不符合本办法要求，应当要求商业银行限期整改、暂停业务等。

第六十条商业银行应当按照本办法要求，对互联网贷款业务开展情况进行年度评估，并于每年4月30日前向银行业监督管理机构报送上一年年度评估报告。年度评估报告包括但不限于以下内容：

（一）业务基本情况；

（二）年度业务经营管理情况分析；

（三）业务风险分析和监管指标表现分析；

（四）识别、计量、监测、控制风险的主要方法及改进情况，信息科技风险防控措施的有效性；

（五）风险模型的监测与验证情况；

（六）合规管理和内控管理情况；

（七）投诉及处理情况；

（八）下一年度业务发展规划；

（九）银行业监督管理机构要求报告的其他事项。

第六十一条互联网贷款的风险治理架构、风险管理策略和程序、数据质量控制机制、管理信息系统和合作机构管理等在经营期间发生重大调整的，商业银行应当在调整后的10个工作日内向银行业监督管理机构书面报告调整情况。

第六十二条银行业监督管理机构可以根据商业银行的经营管理情况、风险水平和互联网贷款业务开展情况等对商业银行与合作机构共同出资发放贷款的出资比例及相关集中度风险、跨注册地辖区业务等提出相关审慎性监管要求。

第六十三条银行业监督管理机构可以通过非现场监管、现场检查等方式，实施对商业银行互联网贷款业务的监督检查。

银行业监督管理机构开展对商业银行互联网贷款业务的数据统计与监测、重要风险因素评估等工作。

第六十四条商业银行违反本办法规定办理互联网贷款的，银行业监督管理机构可根据《中华人民共和国银行业监督管理法》责令其限期改正；逾期未改正，或其行为严重危及商业银行稳健运行、损害客户合法权益的，应采取相应的监管措施。严重违反本办法的，可根据《中华人民共和国银行业监督管理法》第四十五条、第四十六条、第四十七条、第四十八条规定实施行政处罚。

第七章附则

第六十五条商业银行经营互联网贷款业务，应当依照本办法制定互联网贷款管理细则及操作规程。

第六十六条本办法未尽事项，按照《个人贷款管理暂行办法》《流动资金贷款管理暂行办法》等相关规定执行。

第六十七条外国银行分行参照本办法执行。除第六条个人贷款期限要求外，消费金融公司、汽车金融公司开展互联网贷款业务参照本办法执行。

第六十八条本办法由中国银行保险监督管理委员会负责解释。

第六十九条本办法自公布之日起施行。

第七十条过渡期为本办法实施之日起2年。过渡期内新增业务应当符合本办法规定。商业银行和消费金融公司、汽车金融公司应当制定过渡期内的互联网贷款整改计划，明确时间进度安排，并于办法实施之日起1个月内将符合本办法第五十八条规定的书面报告和整改计划报送银行业监督管理机构，由其监督实施。

违法发放贷款罪之“违反国家规定”的认定

违法发放贷款罪之“违反国家规定”的认定

违法发放贷款罪规定于《刑法》第186条第1款：“银行或者其他金融机构的工作人员违反国家规定发放贷款，数额巨大或者造成重大损失的，处五年以下有期徒刑或者拘役，并处一万元以上十万元以下罚金数额特别巨大或者造成特别重大损失的，处五年以上有期徒刑，并处二万元以上二十万元以下罚金。”

所谓银行，是比较容易理解、识别的，主要是指《商业银行法》第2条：“本法所称的商业银行是指依照本法和《中华人民共和国公司法》设立的吸收公众存款、发放贷款、办理结算等业务的企业法人”。本案的主体主要是商业银行的工作人员。所谓其他金融机构，比如是否包括小额贷款公司，存在不同的观点。

对于“数额巨大或者造成重大损失的”，《最高人民检察院公安部关于公安机关管辖的刑事案件立案追诉标准的规定（二）》第37条规定得比较明确：银行或者其他金融机构及其工作人员违反国家规定发放贷款，涉嫌下列情形之一的，应予立案追诉：（一）违法发放贷款，数额在二百万元以上的；（二）违法发放贷款，造成直接经济损失数额在五十万元以上的。

关键问题就在于“违反国家规定”的内容，这是违法发放贷款罪之“违法”的内容。“违法”的内容本身是很广泛的，但只有“违反国家规定”，才能认定为违法发放贷款罪之“违法”。

《刑法》第96条规定：“本法所称违反国家规定，是指违反全国人民代表大会及其常务委员会制定的法律和决定，国务院制定的行政法规、规定的行政措施、发布的决定和命令。”因此，必须根据该条来确定“违反国家规定”的内容。

例如，《商业银行法》第35条规定：“商业银行贷款，应当对借款人的借款用途、偿还能力、还款方式等情况进行严格审查。商业银行贷款，应当实行审贷分离、分级审批的制度。”

第36条规定：“商业银行贷款，借款人应当提供担保。商业银行应当对保证人的偿还能力，抵押物、质物的权属和价值以及实现抵押权、质权的可行性进行严格审查。经商业银行审查、评估，确认借款人资信良好，确能偿还贷款的，可以不提供担保。”

第40条规定：“商业银行不得向关系人发放信用贷款；向关系人发放担保贷款的条件不得优于其他借款人同类贷款的条件。前款所称关系人是指：（一）商业银行的董事、监事、管理人员、信贷业务人员及其近亲属；（二）前项所列人员投资或者担任高级管理职务的公司、企业和其他经济组织。”

这些是最基本的贷款原则，违反这些原则，就是违反“国家规定”。比如，银行工作人员对借款人提供的虚假交易合同知情，同意了发放贷款，就是对借款用途没有严格审查，即使借款人有抵押，银行工作人员仍然涉嫌违法发放贷款。

违反1996年的《贷款通则》是否属于刑法意义上的“违反国家规定”？从形式上判断，这一文件是由中国人民银行发布，不符合刑法所规定的国家规定的条件，显然不属于“国家规定”。因此，单纯以违反1996年的《贷款通则》为依据来认定“违反国家规定”，是违反罪刑法定原则的。

但也要看到，由于法律规定地较为原则，需要有关部委制定部门规章予以执行法律，这些部门规章可以作为理解有无违背法律规定的参考，但不能单纯以这些部门规章作为最终依据，最终仍然要上升到法律，才能认定“违反国家规定”。

《商业银行法》第35条、第36条均规定银行工作人员履行“严格审查”的义务。我们就需要确定法律意义上的严格程度，以此认定行为人有无违法“严格审查”要求。假如部门规章、地方性法规制定更加严格的要求，行为人违背这一要求，会面临一定的责任，但不属于违背《商业银行法》的要求。

与“严格审查”的义务对应，部门规章提出了“尽职调查”的要求。

《个人贷款管理暂行办法》第13条规定：“贷款人受理借款人贷款申请后，应履行尽职调查职责，对个人贷款申请内容和相关情况的真实性、准确性、完整性进行调查核实，形成调查评价意见。”

第14条规定：“贷款调查包括但不限于以下内容：（一）借款人基本情况；（二）借款人收入情况；（三）借款用途；（四）借款人还款来源、还款能力及还款方式；（五）保证人担保意愿、担保能力或抵（质）押物价值及变现能力。”

第15条规定：“贷款调查应以实地调查为主、间接调查为辅，采取现场核实、电话查问以及信息咨询等途径和方法。”

尽职调查职责意味着，超出尽职调查能力范围之外，即使结果最后出现了问题，但你履行了勤勉尽职的义务，就不应该受到苛责。

例如，辽宁省丹东市中级人民法院作出(2019)辽06刑终65号刑事判决指出：

（1）借款人恒大公司提供了《购销合同》、增值税发票等证据用以证实该公司账面上存有该批钢管。

（2）上诉人邹某力作为第一调查人，应汇同丹东工行的第二调查人（即证人郝某）、监管公司工作人员（即证人管某）对质物进行现场勘察，对涉案质物是否账、实相符进行审查。

（3）涉案质物是钢管，其重量直接影响其价值，但其重量无法通过直观方式获知，必须经过检斤称重。而丹东工行出具的《情况说明》证实，银行因不具有核实数量和监管的条件，特将此项业务委托给专业的监管公司。而监管公司的工作人员证实，监管公司同样不具有检斤条件。

（4）由于发放贷款的专业机构和监管质物的监管公司均不具有检斤条件，确实使涉案钢管存在账、实不符的风险，但该风险是由于相关工作制度、机制不完善所导致，不应归咎于上诉人邹某力个人。换言之，在银行等机构不能提供检斤条件的情况下，上诉人邹某力在现有工作制度、机制的框架下，对涉案质物进行核实，不具有违法性。

《商业银行法》第35条、第36条只是规定对借款用途、偿还能力、还款方式、担保情况的“严格审查”，部门规章可能会规定更广泛的审查内容，假如行为人调查了借款人部分资产，明确借款人具有偿还能力，但对借款人其他财产没有调查，这时候不能认为其“违反国家规定”。

例如，山西省侯马市人民法院（2017）晋1081刑初5号刑事判决指出：

（1）一方面，本案指控的“在担保贷款贷前调查中对借款人的经营库存进行认真清点及登记造册，到相关单位（房产局、法院）调查借款人房产状况及负债情况，对预付款项来源进行核实”则属于更进一步的调查，在法律法规、业务管理规定中均未明确予以规定，不宜认定为违法发放贷款罪中的违反国家规定。

（2）另一方面，《中华人民共和国商业银行法》第五十二条规定商业银行的工作人员应当遵守法律、行政法规和其他各项业务管理规定，《个人贷款业务管理办法》属于银行内部制定的业务管理规定，违反该办法从而就违反了《中华人民共和国商业银行法》，属于违反国家规定。据此认定被告人行为触犯违法发放贷款罪。

第一个观点其实属于“形式的否定”，因为法律法规没有规定进一步的调查，就断定进一步的调查不属于违反国家规定，没有实质地判断这种调查是否属于履行《商业银行法》规定的严格审查的义务，如果能够得出肯定的答案，那么就可以认为行为人没有履行严格审查的义务，违反了国家规定。

第二个观点其实属于“形式的肯定”，认为违反《个人贷款业务管理办法》从而就违反了《商业银行法》，属于违反国家规定，这种跳跃式的逻辑，忽视刑法、其他法律与部门规章的区别、刑法的相对独立性，显然是错误的。其实，《商业银行法》第52条所指的法律、行政法规和其他各项业务管理规定是非常广泛的，包括不得贪污、职务侵占、受贿、收回扣等，而违法发放贷款罪的“违法”仅仅指跟发放贷款有关的“国家规定”，不可能所有违反《商业银行法》的行为都属于刑法中的“违反国家规定”。

作者：黎智鹏，广东红棉律师事务所律师，专注于刑事辩护，承接全国各地案件。

重磅发布！互联网贷款新规落地：个人贷款上限20万元

为了规范商业银行互联网贷款业务经营行为，银保监会制定的《商业银行互联网贷款管理暂行办法》从7月17日开始正式施行。

《办法》对互联网贷款加强了风险管理、合规机构管理、消费者保护、事中事后监管等要求。业内人士认为，新规的最大亮点是肯定了助贷市场和机构的作用，鼓励商业银行以合作的方式吸收新技术推动信贷行业变革与创新。

云南财经大学首席教授金融学院院长熊德平：“对于市民对于我们广大的金融需求者是有好处的，首先金融科技化是金融发展的潮流，把互联网的技术金融科技通过法制化手段，带到了我们市民和金融消费者的生活当中，让我们贷款地更加安心更加放心。”

《办法》对贷款人、贷款的用途、额度和使用时间都做了非常具体的界定。

云南财经大学首席教授金融学院院长熊德平：“互联网贷款限制数额不能超过20万，期限原则上不超过一年，用途主要是个人消费或者经营的周转资金，明确规定不得用于购房、抵押还款，也不得用于长期的投资或者购买股票、证券、期货等高风险金融资产。”

熊德平说，知法守法也是每个金融需求主体应尽的义务。

云南财经大学首席教授金融学院院长熊德平：“比如说我们贷款人用途用在哪里，那我们申报的时候，我们要如实说明，但我们自己也要自觉地监督执行。”

《办法》还强化了消费者保护，明确商业银行应该建立互联网借款人权益保护机制，对借款人的数据来源、使用、保管等问题提出了明确要求。此外，《办法》按照34原则设置两年过渡期，在过渡期内，商业银行应该对照《办法》制定整改方案并有序实施，对不符合《办法》规定的业务逐步有序压降。两年后商业银行所有存续互联网贷款业务都应遵循新规规定实施。

云南财经大学首席教授金融学院院长熊德平：“这个新规对于规范我们国家互联网金融发展起到了很好的作用，明确了主体，明确了客体，明确了时间要求，明确了贷款的用途贷款的额度，这个除了对于商业银行有收益以外，对于我们其他很多互联网公司相关金融业务应该也有启发和借鉴作用。”

记者：王博黄剑

编辑：留言斐语