2021年二季度银行业监管处罚洞察

前情回顾：

在上一期《【2021年一季度】银行业监管处罚洞察》一文中，我们结合2021年第一季度银保监会对银行业金融机构的处罚信息，多维度解析了一季度监管处罚案件和原因，差异化地剖析了重点监管处罚信息。同时，结合D.FINE合规风险分析分布图对监管重点检查领域进行展示，对大额银行业罚单进行提取解读，提炼重点关注业务领域和主要处罚案由。针对公司治理和监管报送等方面，提供了我们专业化的关注提示。

本期，我们将继续为各位呈现第二季度的银行业监管处罚信息解读，并聚焦个人信息保护的重点领域，提出专业化建议。

2021年二季度银行业罚单数量及金额统计

• 整体上看，2021年第二个季度，中国人民银行、银保监会和外汇管理局针对银行业金融机构共开出509张罚单，其中504张涉及罚金，共计罚金70,371.61万元人民币，其中人民银行开具100张罚单，银保监会开具384张罚单，外汇管理局开出25张罚单。我们关注到二季度公示中，503张处罚信息为监管机构2021年新增发现的，同时还包括对2020年度的1张罚单和2019年度的5张罚单在2021年本季度首次披露。
• 从被罚机构类型上看，股份制商业银行涉及罚单69张，罚金36,114.20万元人民币，其中罚金占比达51.32%；国有大型商业银行涉及罚单137张，罚金15,331.60万元人民币，罚金占比达21.79%；农村商业银行涉及罚单124张，罚金7,174.30万元人民币，罚金占比达10.19%；城市商业银行涉及罚单84张，罚金6,402.76万元人民币，罚金占比9.10%。四者合计罚金占所有机构罚金的92.40%。主要机构类型所涉罚单及罚没金额信息详见图1和图2。
• 全部机构罚单中，我们注意到上市金融机构（A股或H股）共被开具233张机构罚单，罚单数量占机构处罚总量约45.78%；涉及罚没金额约52,202.26万元人民币，占所有机构罚金的74.18%。
  

个人问责情况分析

从个人被问责的角度看，二季度监管处罚主要涉及禁止从事银行业工作年限或取消高管任职资格年限、警告和罚款等。开出涉及个人的罚单507张，年限处罚人次达85人次。其中，取消终身任职资格或禁止终身从事银行业工作共计41人次，这是个很强的信号，取消资格和禁止终身从事银行业工作无疑是针对个人除司法措施之外最严厉的行政处罚措施。从事由维度，个人受到处罚较多的原因主要涉及违规操作、运营管理、理财业务和信贷管理等。

这些地区罚单多又重

经统计，二季度监管针对银行业金融机构开出的罚单涉及31个省市。从罚单数量上来看，二季度有五个省份的罚单数量超过30张，包括浙江省、山东省、上海市、江西省和安徽省。

从罚没金额上来看，除北京外（机构总部处罚不作为对比参照）二季度罚没金额排名前列的省份包括广东省、天津市、浙江省和上海市等，全国罚没总额达51,340.26万元人民币。此外，季度罚没金额超过1,000万元人民币的还有8个省市，包括福建省、云南省、山西省、江西省、黑龙江省、陕西省、湖北省和山东省。前12名省市罚没金额合计为42,513.15万元人民币，约占全国的82.81%。主要地区涉罚单及罚没金额信息详见图4和图5。其中，广东省和天津市罚没金额均超过1亿元人民币：

• 广东省共开具罚单27张，涉及罚没金额为10,617.65万元人民币；
• 天津市共开具罚单10张，涉及罚没金额为10,153.00万元人民币。
  

2021年二季度D.FINE合规风险点分布（机构及个人）

D.FINE解析合规风险分布

通过对二季度监管处罚信息分析，结合D.FINE合规风险分析分布图，我们注意到违规操作、运营管理和信贷管理依然是监管处罚的主要事由；另外，理财业务、同业业务、分支机构管理、贷款发放、支付管理和审慎交易等合规风险点也是监管的重点检查领域。

重点大额案例

我们对二季度罚金超过1,000万元人民币的7张银行业金融机构罚单的处罚案由进行分析：处罚案由出现较多的领域包括同业业务、理财业务、信贷管理、违规操作和票据业务等。

个人信息保护的合规风险提示

通过解析监管机构披露的行政处罚信息，并结合近年来个人信息保护的热点安全事件，我们注意到随着金融行业数字化进程的逐步推进，国家在司法和行政监管方面针对个人信息保护的重视程度和保护力度不断加大。二季度，多家银行因个人信息保护问题被监管机构施以重拳，其中，不乏国有大型银行的身影。归纳根因我们注意到，一方面，主要为银行在业务开展过程中，缺乏体系化的个人信息保护机制，业务部门以需求为导向，IT部门以实现业务部门需求为目标，加之内控合规部门内部监督不足，致使业务在上线运行后，存在不当的信息收集、存储和使用现象，侵害了客户的合法权益。另一方面，对于银行业金融机构在与外部第三方机构开展业务合作过程中，未能进行有效的个人客户信息识别保护与管控，导致个人信息不当外泄，且尚未经过个人信息主体的授权或同意，与此同时，也不乏个人信息因管理不善，而导致泄露的风险事件。

我们重点列示了与个人信息保护相关的法律法规：

• 《中华人民共和国数据安全法》（2021年6月颁布，2021年9月生效）
• 《中国人民银行金融消费者权益保护实施办法》（2020年11月生效）
• 《个人金融信息保护技术规范》(JR/T0171-2020，2020年2月生效)
• 《中华人民共和国网络安全法》（2017年6月生效）
• 《中华人民共和国反洗钱法》（2007年1月生效）

各项法律法规中都明确规定了金融机构及其员工个人不得不当收集、储存和使用个人信息;要求金融机构加强自律管理，对所接触或获取的个人信息严格保密；进行全生命周期管理，强化风险识别和监控，建立健全风险事件处置机制，保障个人金融信息主体合法权益等。我们建议，银行业金融机构应尽快通过内部或外部机构进行个人信息保护现状的全面体检，系统全面地识别和评估机构内个人客户信息安全管理与信息保护的能力，识别重大关键的合法合规风险。

重要合规风险点：

• 个人信息的不当收集，如超出个人授权范围及业务开展所需的最小范围；
• 个人信息的不当使用，如超出被授权的业务或机构范围；
• 个人信息的不当存储，如未经授权或许可违法缓存客户信息；
• 未履行客户身份信息识别的义务（主要为反洗钱方面的客户身份识别要求）；
• 未经同意查询个人信息（如：利用渠道优势违规对个人信息进行查询，未获授权或超过授权范围）。