2. 互联网金融法律规范体系
理解互联网金融的法律风险，第一步不是背条文，而是看清“谁说了算、哪一层管什么、冲突时听谁的”。我国互联网金融规范体系并非一部法律统管，而是由法律、行政法规、部门规章、规范性文件、行业标准与自律规则六个层级叠加构成，效力由高到低、颗粒度由粗到细。业务合规判断的基本顺序是：先看法律与行政法规的禁止性规定，再看部门规章的许可与资质要求，最后用规范性文件、行业标准和自律规则校准操作细节。
一、六个层级的效力与分工
法律由全国人大及其常委会制定，是效力最高的层级。与互金直接相关的主要有《民法典》（合同、担保、侵权）、《刑法》（非法吸收公众存款罪、集资诈骗罪、帮助信息网络犯罪活动罪等）、《个人信息保护法》《数据安全法》《网络安全法》《电子商务法》《证券法》《反洗钱法》。法律通常只设定底线，不规定具体业务参数，但一旦触碰即可能承担刑事或重大民事责任。
行政法规由国务院制定，典型如《防范和处置非法集资条例》《非银行支付机构监督管理条例》。行政法规是“法律落地”的关键一环，它把法律的原则性禁止转化为可认定的行为标准，例如《防范和处置非法集资条例》明确了“未经依法许可或者违反国家金融管理规定，以许诺还本付息等方式向不特定对象吸收资金”的认定要件。
部门规章由人民银行、金融监管总局、证监会等制定，以部令形式发布，如《商业银行互联网贷款管理暂行办法》《网络小额贷款业务管理暂行办法》《非银行支付机构监督管理条例实施细则》。规章直接设定准入条件、资本与杠杆约束、集中度限额、合作机构管理等硬性指标，是业务模式设计的直接依据。
规范性文件是监管部门以通知、意见、办法、提示等形式发布的文件，如《关于进一步规范商业银行互联网贷款业务的通知》《关于规范整顿“现金贷”业务的通知》。它虽效力低于规章，但更新快、针对性强，往往规定出资比例、单户限额、跨区域经营等具体口径，实务中必须逐条比对。
行业标准由全国金融标准化技术委员会等组织制定，如移动金融客户端应用软件安全规范、个人金融信息保护技术规范（JR/T 0171）。标准本身多不直接创设处罚，但一旦被规章或规范性文件援引，即成为合规义务的一部分，也是监管检查时的技术判据。
自律规则由行业协会发布，如中国互联网金融协会、中国银行业协会、中国支付清算协会的业务规范与自律公约。自律规则约束力来自会员资格与声誉机制，但常被监管作为“行业普遍做法”参考，在认定机构是否尽到审慎义务时具有事实上的影响力。
二、核心监管机构职责划分
互联网金融监管不是单一部门职责，而是“一行一局一会”加多部门协同。中国人民银行负责支付清算、反洗钱、征信、金融消费者权益保护中的部分职能以及宏观审慎管理，其发布的支付机构监管规则、反洗钱义务要求是互金业务的底层约束。国家金融监督管理总局统一负责除证券业之外的金融业监管，互联网贷款、互联网保险、消费金融公司、小贷公司等主要由其及派出机构监管，消费者权益保护也是其重点。中国证监会监管互联网证券、基金销售、股权众筹等涉证券业务。工信部、网信办、公安部则从App备案、数据安全、个人信息保护、涉网犯罪打击等角度形成交叉约束。
实务中常见误区是“只盯对口监管部门”。例如一款助贷产品，资金端受金融监管总局约束，支付通道受人民银行约束，用户数据受网信办与工信部约束，营销内容还可能受市场监管总局约束。合规清单必须按业务链条逐环节对应监管主体，而不是按公司注册地或牌照类型简单归类。
三、穿透式监管的四个维度
穿透式监管的核心是“实质重于形式”，防止通过多层嵌套、通道包装、合作方代持等方式规避持牌要求。具体可从四个维度理解：
- 穿透产品：不看产品名称看底层资产。名为“技术服务费”“会员权益”的收费，若实质是利息或变相利息，仍应计入综合融资成本并受利率上限约束。
- 穿透主体：识别实际控制人、最终受益人和实际经营主体。通过多层股权、VIE、代持隐藏的实控人，在准入审查和关联交易认定中会被还原。
- 穿透资金：追踪资金来源、归集路径与最终流向。资金池、期限错配、自融、挪用备付金等，都是穿透资金后暴露的典型问题。
- 穿透责任：合作机构不能成为规避持牌义务的“白手套”。银行不得将授信审查、风险控制等核心环节外包，助贷机构不得以“技术服务”名义实质放贷。
四、实务中的层级检索与判断方法
面对一项具体业务，建议按以下顺序做规范检索，避免遗漏或误用：
- 定性：先判断业务实质属于支付、放贷、资管、保险、证券还是纯技术服务，确定适用的核心规章。
- 查禁止：检索法律与行政法规中的禁止性规定，确认是否存在刑事或重大民事风险。
- 查准入：检索部门规章中的牌照、资本、股东、高管资质要求，确认是否具备或需要取得许可。
- 查口径：检索规范性文件中的比例、限额、区域、合作机构管理等具体口径，逐条比对业务参数。
- 查标准与自律：核对行业标准中的技术安全、个人信息保护要求，以及自律规则中的业务规范，作为操作层面的补充。
- 做穿透复核：从产品、主体、资金、责任四个维度反向验证，确认不存在以形式安排规避实质监管的情形。
以互联网贷款为例，假设某平台与银行合作开展助贷，单笔贷款年化综合成本为24%，平台收取“技术服务费”6%，银行收取利息18%。按穿透逻辑，技术服务费若与贷款发放直接挂钩、按放款金额比例收取，实质属于融资成本的一部分，应合并计算综合成本并受司法保护上限约束；同时，银行不得将授信审查、合同签订、贷后管理等核心环节外包，平台若实际承担风险审批与贷后催收，则可能被认定为实质放贷。这一判断过程，正是“层级检索+穿透复核”的典型应用。
掌握这套体系后，合规工作就不再是零散地“找文件”，而是先定位层级、再对应机构、最后用穿透逻辑检验业务实质。层级决定效力，机构决定口径，穿透决定定性，三者结合才能形成可落地的合规判断。