Open banking 圖片來源：中國電子銀行網
近年來，國際監管形勢趨嚴，中資銀行成為被海外機構監管關注的重點，滿境外屬地監管的高要求給中資銀行境外分支機構帶來巨大的挑戰。歐盟地區監管機構發布的PSD2監管法令要求轄區內所有提供網上支付服務的銀行必須於2019年9月向第三方免費開放帳戶、交易和支付服務。
在強監管的國際形勢下，境外信息系統建設如果不能滿足PSD2監管要求，歐盟地區的中資銀行將面臨合規風險。中國工商銀行業務研發中心結合自身優勢，快速響應PSD2監管要求，開展了業務研發一體化的探索和實踐，取得了一定的成效。
一、 何為PSD2？
為促進創新和競爭、增加消費者網絡支付的安全性，歐盟基於已有的《支付服務指令》(Payment Service Directive)與《 通用數據保護條例》 (General Data Protection Regulation, GDPR）頒布新的支付服務法令(Payment Service Directive 2,PSD2)。
該法令要求：
一、2019年9月所有歐盟地區的銀行必須為第三方免費開放帳戶查詢、支付和資金確認服務，銀行一般通過提供帳戶信息查詢、支付、資金確認等API接口，供符合監管資質要求的第三方調用，使個人客戶和企業客戶在第三方可以獲取與銀行同等水平的支付服務；
二、網上銀行渠道、手機銀行渠道和第三方API接口渠道等在線支付必須施行強客戶身份認證方式，以便降低電子交易欺詐的風險，並加強對消費者數據的保護。
隨著PSD2法令的實施，英國和歐盟建立了相應的技術標準和指引。歐盟地區所有提供網上支付服務的中資銀行，包括中國工商銀行、中國銀行等在內的中資商業銀行的歐洲分支機構，都必須滿足PSD2監管的要求，研發一套符合標準的API接口，並在2019年3月14日前提供API接口的沙盒測試環境，將於9月份正式上線提供服務。
如果9月份正式上線之前能夠證明接口已經穩定運行3個月以上，具備業務連續性能力，則可以豁免API災備系統。
2019年4月，愛爾蘭銀行、丹麥銀行、滙豐銀行、勞埃德銀行集團和桑坦德銀行因未能如期完成階段性目標，被英國競爭和市場管理局警示發展進度落後，被要求聘用外部專業顧問指導具體核實計劃和推進進度。
二、 歐盟PSD2監管項目的業務研發一體化實踐
在歐盟PSD2的強監管形勢下，中資銀行在歐分支機構面臨巨大的科技系統建設挑戰，必須在監管要求的時間內提供一套第三方支付相關接口、一個開發者門戶網站、一系列API支付的相關報表、一套反欺詐交易監測模型、一系列完整的業務運行報告。
面對系統建設壓力，某些中資銀行通過採購IBM等系統供應商的服務來滿足監管的要求，金融科技實力較強的中資銀行選擇自主開發來滿足多家境外分支機構的需求。
在PSD2監管項目中，中國工商銀行業務研發中心快速響應12家歐洲地區分支機構的PSD2監管需求，結合自身在項目研發前端需求、中端測試、末端服務支持等方面的專業優勢，開展了業務研發一體化的探索和實踐，有效得推動了歐洲地區機構的合規經營。
（一）前端快速響應PSD2需求，基於業務場景推進多家機構需求整合
項目前期，倫敦、盧森堡、法蘭克福、布拉格等各分支機構根據本國轉置的歐盟PSD2監管要求，分別與當地監管進行溝通，提出了基於不同標準的帳戶信息授權、支付和資金確認需求。
如果直接按照各機構的要求單獨立項開發，將造成研發資源、運維管理、監管溝通等資源的重複實施，在短時間內更是無法滿足監管要求，在歐機構將面臨合規風險。
在業務研發前端，項目組根據ECRS分析法，即通過取消(Eliminate)、合併（Combine）、調整順序（Rearrange)、簡化（Simplify）等四大原則來優化需求流程，推進了12家機構基於相同的接口標準進行需求整合，針對各機構特殊要求做差異化處理，如圖1和圖2所示。需求整合保證了產品整合、服務一致、信息共享、流程聯動、渠道協同、內外統籌。
圖1：整合前接口
圖2：整合後接口
項目整合後按照同一套Open Banking標準要求，銀行為第三方TPP提供帳戶查詢、支付服務、資金確認服務時，雙方必須通過接口和頁面交互為終端個人客戶和企業客戶提供強大的客戶認證流程：
圖3 客戶強認證流程
第一步，第三方向銀行發起請求授權流程；第二步，第三方調用銀行頁面進行客戶認證，客戶完成強認證授權；第三步，銀行重新定向至第三方頁面。如圖3所示。
項目組以業務場景為基礎，緊抓業務流和數據流，通過需求驅動測試，測試保障需求質量，為業務研發一體化提供了有效保障。
一是保證業務流完整。項目前端針對帳戶查詢、支付、資金確認三大類場景，配合API門戶註冊流程，明確了端到端的業務流程，並在中端測試、末端支持等階段，以同一套業務流程貫穿始終，需求階段即明確業務流程完整可用、業務場景全面無遺漏，將風險的識別「前移」至需求階段。項目組從終端用戶角度出發，結合歐洲市場上現有的同業業務流程，設計我行業務場景，提供完整的業務流、交互圖和用例文檔推進需求討論。同時，需求驅動測試，測試階段也採用同一套業務流程圖，有側重地進行案例場景的設計，使測試案例更加具有針對性和可複製性，保證版本開發質量與需求提出時一致，管控測試進度明確清晰。
二是保證數據流準確。項目組在業務需求明確後，進一步深入分析報文交互、時序圖、接口文檔、數據交互，明確了後臺各系統、各應用之間的相互關係，促進了與技術開發的溝通，有利於需求參與各方澄清需求，將業務語言準確翻譯為系統語言，大大促進了開發效率的提升。同時，在業務中端的測試階段，項目組利用需求中積累的數據流信息，應用於測試問題的查找和解決，有效保障了項目按進度實施。在數據流從需求到測試的傳遞和驗證過程中，有效減少了信息的衰減，為整體壓縮項目周期奠定了堅實的基礎。
（二）中端積極探索科學方法，依託測試理論建立境外特色API測試方法
歐盟PSD2監管項目是在工行境外首次推廣API相關服務，項目組在業務研發中端測試時，採用了更新穎、更安全的技術標準，基於帳戶信息授權、支付和資金確認等業務場景，探索形成了適應境外監管要求的API測試方法。
在技術安全方面，採用分布式DSF框架搭建了全新的系統，該系統使用PAAS雲部署，支持自動伸縮、滾動升級等PAAS功能；在數據傳輸過程中，引入歐洲最新的RS256加密算法，在系統架構上和數據安全上都具有較強的適用性和安全性。為滿足監管要求，保證API接口的安全性和可用性，分別針對境外API接口進行了安全測試和性能測試。安全測試涵蓋身份鑑別、訪問控制、日誌審計、數據安全性、交易安全性、軟體容錯、資源控制、web應用安全、客戶端安全。性能測試針對多個第三方並發、短時間內大數據並發、多交易場景並發、大量數據請求等四個聯機場景，檢查API的穩定性，確定在大數據、大量重複操作以及系統超負荷的情況下可以正常運行。
圖4 帳戶信息授權業務流程
在測試場景方面，測試設計強調需求雙向跟蹤，實現了需求和測試用例的雙向可追溯。需求驅動測試方向，通過需求用例對應測試場景，以帳戶信息授權場景為例（如圖4所示），通過業務流程圖明確各功能點之間的業務邏輯關係保證並實現測試案例對於需求的全覆蓋。在測試驗證需求方向，通過測試案例逆推需求來源，評估需求用例的有效性。測試設計通過業務流程所對應的數據流（如圖5所示），
將測試案例貫穿，保證跟蹤具體化、可視化，實現了需求功能的全覆蓋和測試案例的有效性。
圖5 帳戶信息授權數據流
在測試方法方面，區別國內API接口標準由銀行自行制定，PSD2項目接口標準由第三方OPEN BANKING組織制定，無法借鑑國內測試經驗。測試過程中，項目組一方面研發新的測試工具，一方面學習第三方接口測試工具（Postman等），經過大量探索和總結，最終形成了適應境外監管要求的API測試方法，通過Postman測試工具完成API接口基礎測試工作，在此基礎上項目組引入場景測試管理。將涉及不同系統的27個接口進行有效串聯，繼而模擬真實用戶的實際使用情況對系統進行測試，根據業務流程，進行接口和測試用例的組合，最大程度提高測試效率、保證測試質量。
（三）末端緊密結合監管要求，面向境外機構提供全方位服務支持
為滿足歐盟和英國監管要求，境外機構必須根據PSD2法令的相關要求按計劃落實PSD2責任，滿足監管在各個關鍵時間點的相關要求，項目組在業務研發末端，以堅持合規導向為原則，從組織明確業務策略、跟蹤第三方聯測、協助準備監管材料、組織編寫優化需求等四大項11小項方面協助各境外機構，全方位服務境外機構，積極滿足監管相關要求。
在組織明確業務策略方面:
一是組織安全介質更換策略，督促各家境外機構明確安全介質硬體到位、新舊認證方式並行、指導切換認證方式、明確客戶通知方式、相關諮詢問題答覆等各個業務環節的策略，使得分行按計劃有序滿足PSD2的安全認證要求;
二是推動與屬地監管機構溝通，針對統一接口實施是否滿足各地屬地監管要求，明確工銀倫敦統一對接OPEN BANKING,並協助各家機構與屬地監管溝通，確認監管認同工行的統一接口策略;
三是促進各機構間採用共同的協議範本，並根據本地監管做差異化處理，各境外機構明確API門戶網站的用戶條款、保密協議以及聯繫方式。
在跟蹤第三方聯測方面:
一是做到全鏈路、閉環的測試日報管理，包括總分行端測試情況、項目關鍵時間點、業務流程圖和數據流程圖等要點，日報內容準確、全面、簡潔，有效推進了項目進展；
二是細緻指導分行測試流程，由於API測試對象為各類接口，與普通UI的測試方式不同，根據不同聯測分行的情況準備數據，並進行API測試流程的特殊指導；
三是應對聯測出現的問題，投產支持團隊克服跨時區障礙，迅速組織業務、技術等相關同事共同分析，儘快定位問題原因並組織解決，保障穩定運行環境。
在協助準備監管材料方面:
一是協助提供業務測試報告、安全測試報告、壓力測試報告，證明測試流程規範，API已經過充分測試，所有發現問題已妥善跟蹤關閉;
二是提供前期用例場景材料和界面截圖，作為PSD2項目的整體組成部分，向境外機構向外審和監管申請豁免;
三是配合答覆監管機構電話和現場詢問的問題，回應監管機構在業務需求和項目測試方面提及的具體問題。
在組織編寫優化需求方面:
一是將PSD2作為迭代化需求管理，項目主體需求完成後，為優化相關功能，組織編寫API門戶優化、報表自動化、地區隔離、監控模型等需求，逐步完善項目整體功能；
二是後續企業網銀相關特色化支付需求，均在PSD2規定的API渠道同步實施，比如布拉格本地清算、工銀歐洲批量支付、華沙VAT分拆支付等。
業務研發一體化的實踐，從前端需求、中端測試、末端支持三個方面入手，為歐洲機構滿足PSD2監管合規要求，提供了強有力的支持。中國工商銀行於2019初成立了業務研發中心，原負責業務需求的產品研發中心和原負責測試的數據中心（北京）有效融合，在業界探索並開啟了業務創新與技術變革深度融合轉型發展的新徵程，致力於打造研發快捷、技術領先、服務優良、體驗極致、生態先進的極致產品。
作者單位：中國工商銀行業務研發中心
文章系作者投稿，文中內容不代表中國電子銀行網和所在單位觀點和立場！轉載請註明來源和作者信息！
責任編輯：王超