第二章：金融监管体系基础
各位好，我是老张。今天咱们聊聊金融监管体系这个地基。说实话，很多做RegTech的朋友，一上来就扎进技术细节，结果做出来的东西跟监管要求对不上。我见过太多这样的案例了。
金融监管体系，说白了就是一套规则。你想想看，没有红绿灯的十字路口会怎样？金融体系也一样。巴塞尔协议、反洗钱法规、数据保护条例，这些都是金融世界的「红绿灯」。
2.1 巴塞尔协议框架：银行的「体检标准」
巴塞尔协议，我习惯叫它「银行界的体检标准」。它主要解决一个问题：银行到底该留多少钱在手里，才能扛得住风险？
我个人习惯把巴塞尔协议的发展分成三个阶段来看：
| 版本 | 核心要求 | 我的理解 |
|---|---|---|
| 巴塞尔I（1988） | 资本充足率≥8% | 简单粗暴，一刀切 |
| 巴塞尔II（2004） | 三大支柱：最低资本、监管审查、市场纪律 | 开始讲「精细化」了 |
| 巴塞尔III（2010） | 提高资本质量、引入杠杆率、流动性覆盖率 | 08年金融危机后的「补丁包」 |
我在项目中遇到过一件事。有个客户做银行核心系统改造，他们觉得巴塞尔III的流动性覆盖率（LCR）计算太复杂，想简化。我直接说：不行。LCR是监管红线，简化了就是给自己埋雷。后来他们按标准做了，去年银保监会检查，一次通过。
核心要点：巴塞尔III要求银行的优质流动性资产至少能覆盖30天的净现金流出。这个30天，是监管层算过的「黄金救援期」。
2.2 反洗钱（AML）与反恐融资（CTF）法规
反洗钱这块，我做了快十年。说实话，这是RegTech最活跃的领域之一。为什么？因为传统的人工筛查效率太低了。
AML/CTF的核心逻辑其实很简单：
- 客户身份识别（KYC）——你得知道你的客户是谁
- 交易监控——盯着异常交易
- 可疑交易报告（STR）——发现问题要上报
- 记录保存——留好证据，至少5年
嗯，这里要注意。很多公司觉得KYC就是「看看身份证」，太天真了。真正的KYC要穿透到实际受益人。我曾经帮一个支付公司做合规改造，发现他们80%的商户背后实际控制人都是同一个人。这就是典型的「壳公司」洗钱手法。
避坑指南：我曾经见过一个团队，用简单的规则引擎做交易监控，结果每天产生上万条误报。后来我建议他们引入机器学习模型，把误报率降到了5%以下。记住：规则引擎是基础，但AI才是未来。
反恐融资（CTF）和AML很像，但有个关键区别：CTF关注的是资金来源，而AML关注的是资金去向。恐怖分子的钱往往是小额、分散的，跟传统洗钱的大额交易完全不同。
2.3 数据保护法规：GDPR与CCPA
数据保护，这两年越来越重要。GDPR（欧盟通用数据保护条例）和CCPA（加州消费者隐私法案）是两个标杆。
我简单对比一下：
| 维度 | GDPR | CCPA |
|---|---|---|
| 适用范围 | 处理欧盟居民数据的任何组织 | 年收入超2500万美元的加州企业 |
| 核心权利 | 被遗忘权、数据可携带权 | 知情权、删除权、选择退出权 |
| 罚款上限 | 全球年营收的4%或2000万欧元 | 每次违规2500美元（故意） |
你想想看，GDPR的罚款有多狠？全球年营收的4%。我有个客户是做跨境电商的，他们之前把用户数据存在美国服务器上，结果被德国监管机构盯上了。最后花了300万欧元做合规改造，才把这事儿摆平。
警告：很多中国公司觉得「我在国内，GDPR管不到我」。错！只要你处理了欧盟居民的数据，哪怕你人在北京，GDPR一样能罚你。别问我怎么知道的，我帮人处理过这种案子。
CCPA虽然比GDPR温和一些，但也不能小看。它给了消费者「选择退出」的权利，也就是说，用户可以说「我不想让你卖我的数据」。这对做数据交易的RegTech公司来说，是个大挑战。
2.4 中国金融监管体系：一行两会与地方金融监管局
中国的金融监管体系，我习惯用「1+2+N」来记：
- 1：中国人民银行（央行）——管货币政策和宏观审慎
- 2：银保监会 + 证监会——管具体金融机构
- N：地方金融监管局——管地方金融组织（小贷、担保、融资租赁等）
这里有个关键点：地方金融监管局是2017年以后才逐渐强化的。以前很多地方金融组织是「三不管」地带，现在不一样了。我去年帮一个省级金融监管局做监管沙盒系统，他们要求所有地方金融组织的数据必须实时上报。说白了，就是要「看得见、管得住」。
为什么会这样？因为P2P爆雷、非法集资这些事，很多都是地方金融组织搞出来的。中央监管机构管不过来，那就把权力下放给地方，同时压实地方责任。
我的建议：做RegTech产品，一定要搞清楚你的客户归谁管。如果是银行，找银保监会；如果是券商，找证监会；如果是小贷公司，找地方金融监管局。搞错了监管主体，产品做得再好也没用。
知识体系总览
下面这张图，是我自己画的监管体系框架图。你可以把它当成一个「导航地图」：
这张图把四大支柱串起来了。你仔细看，底层都是RegTech的应用场景。说白了，监管体系是「道」，RegTech是「术」。道不变，术要跟着变。
好了，这一章的内容就到这儿。记住：做RegTech，先懂监管，再谈技术。顺序搞反了，后面全是坑。
公众号:蓝海资料掘金营，微信deep3321