法規與監理 2024年12月

融資公司法即將上路!

BNPL急需納管
撰文:劉書甯

為「山道猴子的一生」引發熱議的融資公司放款亂象,已持續一年多,成為外界矚目的焦點,而這些融資公司的租賃母公司,尤其是現在所謂的三大租賃公司,包括中租、和潤、裕融等三大集團,更可說處於暴風中心,但另一方面,租賃公司這種出租機器設備、提供中小企業融資的功能,的確在很多中小企業由小壯大的過程中,給予重要的協助。如鴻海集團董事長郭台銘,早年他也曾是租賃公司的客戶,接受過租賃公司的資金援助。

這樣看來,租賃公司在產業融資上,並非沒有貢獻,那麼,到底該用什麼角度來檢視租賃公司和融資公司的管理呢?

「融資公司法」呼之欲出 BNPL業務納管在即

一家大型行庫高層指出,雖然很多在銀行貸不到資金的民眾,轉往租賃融資公司借錢,可以貸到資金,但這些民眾所借出的資金,早就超過其還款能力,而且融資公司要求很高的利息,根本不是民眾能還得起,另外還有一種就是「假交易」,像很多中古車融資「先買後貸」,交易根本是幌子,這些就是外界指責最多的亂象,也正是該管理的地方。

兆豐金控董事長董瑞斌就直截了當地釐清,租賃公司的業務和先買後付(BNPL),是不同層次的問題,現在大部分的BNPL,並非由租賃公司自己來做,而是由旗下的子孫公司來進行,他認為,真正該好好管理的、有迫切性的,是BNPL的業務,而且他主張,的確有立「融資公司法」專法的必要性,未來上路之後,租賃公司旗下承作BNPL的子孫公司都要納管:「不該用機構別,而是要用行為及產品來管理!」目前,銀行公會已對專法內容委外研究,專法草案內容預計在12月中旬就會出爐。

董瑞斌認為,租賃公司對企業收取比銀行更高的利息,若從承擔信用風險的角度來看,並非沒有道理。舉例來說,租賃貸放的對象,是很難在金融機構找到貸款的,例如債信不好、跳票或不願提供財務資料,或嫌銀行審核速度太慢,因而轉向租賃公司借款,這時租賃或融資公司貸放給這些企業,就得承受信用風險,這些高利率也和所承受的信用風險有關。

不過儘管如此,董瑞斌認為,租賃融資公司承作BNPL業務,仍必須要納管。

BNPL亂象叢生 金保法不足以因應

董瑞斌認為,真正在做BNPL業務的往往並非租賃公司本身,而是租賃業的子孫公司,若要抑制和管理,就要透過專法的力量,光是金保法(金融消費者保護法)本身是不夠的。董瑞斌直言,金保法的很多罰則,並不足以約束融資公司做BNPL業務,因為這些都是高利可圖,繳個罰款,對業者而言根本不算什麼,難以有真正的拘束力。

事實上,金管會主委彭金隆先前也指出,金保法把租賃公司納管,也只是過渡時期的方式,並非永久之計,亦即,金管會其實也已做好未來訂定融資公司法專法的準備,現在就看銀行公會委外研究出來的內容,作為規劃未來融資公司法的藍圖。

董瑞斌進而分析,BNPL在很多國家,如美國、英國、香港及新加坡都有專法伺候。在香港,這就是個人貸款,一定要放到銀行法,BNPL最早是瑞典的銀行KLARNA所提出,而且是在瑞典拿到銀行執照的,而美國高盛也有成立子公司來做,後來都收掉了:「因為法遵成本太高,而且不賺錢!」可見得其他國家都有納管。

他進而比較,金融消保法和融資公司法,後者不是機構別,而是直接從是否提供該產品或服務的「行為」來納管,他進而直接列舉,英國也是用產品和服務內容,而非機構別來管,否則管不到。

據了解,銀行公會也已觀察5個國家、地區經驗,進而正式向金管會建議應該訂定「租賃融資公司專法」來納管相關的BNPL、中古車融資等「影子銀行」業務,才是正本清源之道,這5個例子包括美國、英國、日本、新加坡、香港等國家、地區的管理經驗。

銀行業高層引述銀行公會所觀察到的上述5國經驗指出,像美國,已在今年5月22日發布新解釋令,認定透過數位帳戶取得的BNPL借貸應該要納入其專法「誠實借貸法」(Truth in Lending Act)來管理;英國也在2023年2月提出BNPL相關草案,並擬將業者納入金融行為監理局管理;另外,日本已有包括貸金業法、利息限制法、分期付款銷售法等,來管理BNPL業務。

香港則是金融管理局已明訂BNPL屬信貸產品,因此要由銀行營運準則及公平待客規定來納管,而且還對提供BNPL服務的影子銀行,以「放債人條例」管理,並採取「證照制」,要求這些提供BNPL業務的影子銀行,亦即非金融機構,都必須取得「放債人牌照」。而新加坡則已在2022年推出BNPL的認證制度,並且在金融管理局的指導下指揮金融科技協會和BNPL業者進行,還訂定了BNPL行為準則,倘若有違者,將被撤銷認證,而且要從BNPL業者名冊移除,須告知金融管理局業者的異動。

從金保法到授信實務守則的過渡

這些國家的經驗,顯示BNPL不但應該要有專責制度,尤其是認證制度來好好管理,而且,多半都由當地金融監理機關出任作為管理者,未來這也將會是台灣立法該走之路。

而在訂定融資公司法的專法,或是金管會用金保法來納管租賃公司之前,目前已知,銀行公會理監事會議將在12月先行通過的租賃業「授信實務守則」,以銀行的力量在過渡時期給予管理,主要內容包括了租賃公司若有提供BNPL的業務或是中古車融資,銀行的授信SOP作業必須做到四大重點,首先是檢視相關放款規模大小,其次必須進一步檢視特定客群的放款集中度,再者須簽署「切結書」切結對中古車融資,或是BNPL已經有建立風控機制,或內部已訂有「消費者保護規定」,才能取得銀行的放款。最後是銀行必須要在聯徵中心的資料上面做註記。

其中,在營運面,銀行這套租賃業「授信實務守則」,也將要求銀行必須檢視租賃融資公司的營運模式、財務槓桿比率、融資信用風險管理、備抵呆帳提列政策、消費者保護措施、對租賃公會規範遵循的情況等6大面向,就是為了避免租賃融資公司對消費者浮濫放款的結果,一方面導致消費者借了錢卻還不出來,另一方面還讓租賃融資公司壞帳竄升,兩敗俱傷,害人害己。

至於財務面,對於檢視財務槓桿比率方式,銀行公會未來將要求業者必須評估租賃公司包括營運資金的來源、結構,以及資金用途和規模大小,是否對稱合理,對租賃公司具體檢視的財務指標,包括了實收資本、淨值、營業收入、收款天期、營業週期、同業額度及餘額等,都必須納入指標,來全面檢視其向銀行借款的財務槓桿是否過大,升高銀行授信風險。

對於很多租賃公司其實債台高築、壞帳一堆但未處理,此次銀行公會所訂定的規範,也將一併納管。銀行公會將在對租賃公司的授信實務守則中要求,租賃公司包括不良債權、逾放比、備抵呆帳覆蓋率、獲利情況、償債能力等面向,都必須衡量;除此之外,租賃公司的「應收帳款」的變化,銀行公會也將要求全體國銀去加強檢視,尤其要檢視其應收帳款的資產品質,亦即,看公司有否浮濫放款給企業、消費者。

此外,未來在這套最先上路的「授信實務守則」之下,銀行對租賃業的借款不會斷炊,但租賃業必須和銀行業在資訊通報上更合作無間。銀行業者也指出,銀行公會將向聯徵中心建議,目前已有17家融資租賃業者加入了代理客戶查詢聯徵中心信用資料作業,應由聯徵中心加強相關查核,及這些業者在報送資料時的正確性及即時性,以避免資料揭露不完整或產生遞延時間差,導致銀行徵信出現死角。

目前僅北市租賃公會有訂定自律規範,此次銀行公會訂定授信實務守則也將要求,這些想向銀行借款的租賃公司,全部都要在放款業務中引進北市租賃公會的自律規範,像是契約是否公正透明、客訴處理、資訊揭露、債務協調處理、委外催收機制是否妥適,這些都將成為銀行檢視的重點;若這些公司在獲得銀行授信之後傳出重大負面新聞,銀行也必須立即採取因應措施。

在各界壓力之下,銀行業者已有備而來,銀行公會要訂授信實務守則,並且協助金管會搜集融資公司法的內容,但租賃公會則有不同的看法。首先,租賃公會就不贊成把上述的中租、裕融、和潤等3家公司,納入金保法的範圍,理由似乎也有道理,因為只納入這3家,針對性太強,有違立法原則,更何況公會不只這3家公司,有39家會員,另外,目前更有6千多家融資公司,這也讓3家公司更不平,為何只有他們要納入金保法管理。

這3家租賃業者之所以抗拒被納入金保法,還有另一個原因,如此一來,其行銷、廣告、獎酬制度,全部都要被金保法所管。尤其這3家公司認為,BNPL的業務只占其中一小部分,通常借款人所貸的金額平均只有5萬元,卻要把爭議的案子送金融評議中心,因此,業者用「大炮打小鳥」來比喻,並且主張,倘若真的要管,他們寧可走「經濟部聯合輔導中心」路線,事實上,該中心現已在處理很多中古車融資,還有BNPL的爭議案。

留意納管配套 避免地下金融崛起

儘管租賃業者有不平之鳴,但目前的融資公司放款亂象的確也是眼見的事實,因此透過納管以及專法管理的確有其必要性,只是在納管之後,如何避免連在租賃公司都借不到錢的民眾、小企業,不得不轉往地下錢莊去借錢,反而肥了這些地下金融業者,將是政府在管理時也必須深思,且同步拿出配套措施的重點。(本文作者為長期關注金融領域的現任資深媒體人)

猜你喜歡

2025年8月

AI的零點擊資安攻擊來了

「安全始於設計」原則,近年來已經逐漸在資安界扎根。與其在寫完程式之後,才用人工或自動化工具找出漏洞,還不如一開始就選擇那些在語言層級上本就無法寫出某些類型錯誤的程式語言。舉例來說,若捨棄各種已有數十年歷史的C語言,改用如Rust等較為現代的語言,便能從根本上排除大量的資安漏洞。然而,就在傳統軟體界逐漸接受這個新思維的同時,人工智慧的迅速崛起,卻大幅動搖了這項理念。一旦給了大型語言模型(LLMs)讀取或操作系統資源的權限,它卻可能出現邏輯來源不明、行為難以預測的狀況。有時候,這些風險可以靠修改提示語的上下文、交由其他模型進行驗證,或者為特定錯誤情境設計固定回應來處理。但因為LLMs背後的技術邏輯是由資料訓練出來的,不是人工設計的,這些方法只能頭痛醫頭、腳痛醫腳,無法用來確實防護整體資安。因此,大型語言模型的安全並不是靠設計就能確保不會出錯,而是靠統計方法降低出錯的機率。儘管這些都是眾所周知的危險,但直到2025年6月EchoLeak事件,這些風險才真正首次爆開。微軟Copilot自推出之初就充滿爭議,它的預設權限極廣,且不完全透明。其中最令人擔心的,就是使用Copilot+的電腦,會定期截取使用者的螢幕畫面,並搜尋畫面中的內容。Copilot+甚至還會自動掃描使用者的Email信箱,將冗長的內容整理成簡短摘要。EchoLeak攻擊就利用了這個功能。它向受害者發送電子郵件,而收件者甚至不需要打開Email或點擊任何內容,就可以製造資安界公認最難防範也最高明的「零點擊」(Zero-Click)攻擊。這封Email內含惡意指令,讓LLM反過來對自己發動攻擊,協助攻擊者搜尋系統上最機敏的資料,然後將這些資料外洩出去,在這段過程中它可以繞過許多原本保護機密資訊的安全措施。雖然這個漏洞目前並未在真實環境中被使用,而且微軟已經修補完成,但相同原理的攻擊,未來很有可能產生。EchoLeak攻擊的技術稱為「提示語注入」(Prompt Injection),也就是讓使用者透過特定語句,說服模型忽略系統的原始設定。最著名例子就是「忽略所有先前指令」。這種攻擊之所以難以預防,是因為LLM目前不具備有效的「輸入清理機制」(Input Sanitation)。傳統資料庫系統可以設計防線,讓系統將像「Drop Table」這類的語句視為純文字資料,而不是實際執行的刪除指令。但對LLMs來說,每一段文字都被一視同仁當作指令,沒有明確區分命令與內容。攻擊者正是透過這種混淆來下達他們真正的指令。專家正在開發一些針對提示語清理的解決方案,可能即將問世。德國研究團隊在2025年1月的論文中提出一個辦法:將系統內建的指令,轉譯成一種只有AI才能看懂的秘密語言。AI在處理語言時,會把大量的輸入壓縮進有限的語意空間,因而可能出現語意重疊的情況,使得看似亂碼的字串也會被模型認為具有特定含義,這種特性有點像是看到一個特定的雜訊畫面,卻能接收到某個具體意義。透過這類作法,模型能更明確區分內建系統指令與一般使用者的對話內容,避免將惡意語句誤認為內部指令。然而,這類方案依然基於大型語言模型的黑箱特性,專家目前還在爭論它到底算不算是本文一開始提到的「安全始於設計」的理想。假設這類方案能逐漸改良並逐漸推廣,類似EchoLeak的攻擊空間將會大幅縮小。但真正該擔心的是,LLM的資安漏洞無邊無際。根據開放網路應用安全計畫(OWASP)組織2025年提出的「LLM十大安全漏洞」(OWASP Top 10 for LLMs),提示語注入僅是最關鍵的一種攻擊方法,但並非唯一。當AI能夠主動幫我們執行的任務數量越來越多,種類越來越廣,「過度代理」(Excessive Agency)這類問題也將日益複雜,成為資安領域的重要挑戰。隨著AI深入各種工作流程,企業對它的管理方式將不再只是資安層面的防禦問題,會更像是新進員工的培訓與信任建立過程。剛導入的AI系統不宜立刻接手敏感任務,但若完全不建立起任何信任關係,企業恐怕也將錯失這場自網際網路以來最具顛覆性的技術革命。(作者為金融研訓院̮外聘研究員;譯者為劉維人)