2. 合规评审的法律法规工具箱

做金融科技产品合规评审，第一步不是打开产品文档，而是先确定“用哪一层规则去评”。我国金融科技领域的规则体系呈明显的层级结构：法律与行政法规定方向，部门规章与规范性文件定边界，行业标准定技术与接口要求，自律规则定业务操作与市场约束。四层规则效力不同、颗粒度不同，评审时的适用顺序和引用方式也不同。把它们当成一个“工具箱”，按层级检索、按效力适用，才能避免用自律规则去否定法律要求，或用推荐性标准去替代强制性规定。

四层规则体系与效力关系

第一层是法律与行政法规，包括《网络安全法》《数据安全法》《个人信息保护法》《反洗钱法》《电子签名法》以及《征信业管理条例》《非银行支付机构监督管理条例》等。它们规定的是底线义务，例如个人信息处理的合法性基础、数据出境的安全评估、客户身份识别要求。第二层是部门规章与规范性文件，由人民银行、金融监管总局、证监会等发布，如《银行保险机构信息科技外包风险监管办法》《金融数据安全 数据生命周期安全规范》配套要求、支付业务相关管理办法等，特点是可操作、有明确罚则。第三层是行业标准，包括国家标准（GB/T）与金融行业标准（JR/T），如 JR/T 0197《金融数据安全 数据安全分级指南》、JR/T 0171《个人金融信息保护技术规范》，多数为推荐性，但一旦被监管文件引用或被合同约定，即产生约束力。第四层是自律规则，如中国互联网金融协会、中国支付清算协会发布的业务规范、自律公约，以及清算机构的技术与业务规则，效力最弱但更新最快、颗粒度最细。

检索方法：从业务事实到规则条文的映射

合规评审的检索不是“把法规读一遍”，而是建立“业务事实—规则条文”的映射。以一款面向个人用户的消费信贷 App 为例，评审前先拆出事实要素：收集了身份证号、银行卡号、通讯录、位置信息；与三家外部数据服务商合作做风控评分；用户协议中约定了数据用于营销。据此检索：收集身份证号、银行卡号触发《个人信息保护法》敏感个人信息条款与 JR/T 0171 的 C3 级个人金融信息要求；通讯录、位置信息涉及最小必要原则；外部数据服务商合作触发《银行保险机构信息科技外包风险监管办法》与数据出境相关要求；营销使用触发单独同意要求。这样检索出来的不是一堆法规名称，而是一张可逐条核对的义务清单。

检索渠道上，优先使用官方来源：国家法律法规数据库、人民银行与金融监管总局官网“规章规范性文件”栏目、全国标准信息公共服务平台、金融标准全文公开系统。第三方数据库可作为线索，但引用前必须回到官方原文核对文号、施行日期与修订状态。特别要注意“已废止但被旧文档引用”和“新规已施行但产品未更新”两类时间差问题。

适用规则：效力冲突与从严原则

当多层规则对同一事项要求不一致时，适用顺序是：上位法优于下位法，特别规定优于一般规定，新规定优于旧规定；若下位规则要求更严，则在不违反上位法的前提下按更严者执行。例如某自律规则要求交易日志留存 3 年，而部门规章要求留存 5 年，评审结论应取 5 年。再如推荐性标准 JR/T 0197 本身不强制，但若监管文件明确“数据分级应参照 JR/T 0197 执行”，或产品合同约定“按该标准执行”，则它在本次评审中即成为强制判据。

可执行成果：规则适用对照表

把上述方法固化为一张可填写的对照表，是本节最直接的交付物。评审时逐行填写，即可形成规则适用结论。

使用这张表时，先填“业务事实”，再逐层检索“适用规则”，最后写“评审判据”。判据必须是可验证的，例如“是否有单独同意弹窗”可以现场截图核对，“是否加密存储”可以查数据库字段与密钥管理记录。若某行无法给出可验证判据，说明规则检索尚未落到操作层，需要继续向下位规则或技术标准细化。这样，法规工具箱才真正从“知道有哪些规则”变成“知道每条规则怎么用”。