引言

2026年8月25日，十四届全国人大常委会第二十四次会议审议了《中华人民共和国银行业监督管理法（修订草案二次审议稿）》（以下简称“二审稿”）。二审稿于8月28日公布，向社会公开征求意见。

本文围绕二审稿中的风险处置、分类分级监管、股东与实际控制人监管、消费者保护等重点制度的修订展开分析，并讨论相关规定的适用边界与配套规则需求。全文分上下两篇：上篇已于9月16日发布，重点分析风险处置和分类分级监管制度（银行业监管法二十年大修：制度整合与法律边界 ——《中华人民共和国银行业监督管理法（修订草案二次审议稿）》评析（上））；本篇为下篇，重点探讨股东与实际控制人穿透式监管及消费者保护制度。

一、股东与实际控制人的穿透监管——既有股权监管规则的三重升级

股东和实际控制人监管并非本次修法新设的制度。2018年《商业银行股权管理暂行办法》第40条即要求：“银监会及其派出机构应当加强对商业银行股东的穿透监管，加强对主要股东及其控股股东、实际控制人、关联方、一致行动人及最终受益人的审查、识别和认定。”2021年《银行保险机构大股东行为监管办法（试行）》进一步确立了大股东自有资金出资、股权结构逐层说明、信息报送与行为负面清单的全流程要求。本次修法的重要变化，在于将既有股权监管实践中的部分成熟要求提升至法律层面，并加强其与监管措施、法律责任的衔接。具体可归纳为三重升级：

一是层级提升，将规章、规范性文件确立的部分成熟要求上升为法定义务；二是范围扩展，适用对象由商业银行“主要股东”“大股东”扩展至全部银行业金融机构的股东与实际控制人，并将股东适格条件穿透至主要股东的控股股东、实际控制人（第23条第2款）；三是责任闭环，既有规则项下的股东义务主要依靠责令转让股权、限制股东权利等监管措施落地，二审稿新增对股东、实际控制人的直接罚则（第76、78条），与第30至32条的义务条款、第54条的监管措施、第73条的资格罚相衔接，形成“义务—措施—处罚”的完整责任链条。各环节核心规则归纳如下：

就处罚措施而言，限制股东权利、责令转让股权在《银行保险机构大股东行为监管办法（试行）》第50条和《商业银行股权管理暂行办法》第48条中已有授权，但系针对以非自有资金出资、隐藏实际控制人、对银行保险机构进行不正当干预或限制、或者滥用股东权利造成商业银行违反审慎经营规则的情形，且责令转让股权仅明确针对控股股东。第54条第2款将措施依据从部门规章上升为法律，且措施对象概括为任何滥用股东权利或控制地位的股东、实际控制人，责令转让股权的监管对象也不再局限于控股股东。具体而言，股东、实际控制人滥用股东权利或者控制地位，损害机构、存款人和其他客户合法权益的，监管机构应当责令限期改正；逾期未改正或者情节严重的，可以采取第1款规定的九项措施，并禁止其再次投资银行业金融机构。结合第1款第（七）项，监管机构可责令负有责任的股东、实际控制人限期转让股权、转移实际控制权、退回一定期限内分配的红利和其他收入，或者限制其权利。

两个层面的问题由此产生。其一，认定标准。“滥用股东权利”“滥用控制地位”的构成要件、与第32条禁止行为条款的关系，条文未作界定，裁量空间较大。其二，执行路径。股东逾期不转让股权时如何落地，2022年征求意见稿曾明确规定监管机构可以申请人民法院强制执行，二审稿未保留这一表述，强制转让股权是循行政强制执行路径还是须诉请司法程序、股权对价如何确定与支付，均有待明确。与此同时，责令转让股权、限制股东权利、禁止再次投资等措施直接处分民事财产权利与投资资格，相对人的陈述申辩、听证以及复议诉讼等程序保障如何嵌入实施流程，建议在后续审议与配套规则中予以细化。值得肯定的是，第54条第3款确立了整改验收后三日内解除措施的机制——措施的存续以风险或违规状态的持续为前提，整改到位即须解除，这使“措施不得超出必要限度”的必要性约束获得了可操作的判断节点。

对于股东和实际控制人的处罚措施还包括了行业禁入。除第54条第2款的“禁止再次投资”外，第73条还规定，提交虚假申请文件或采取其他欺诈手段骗取设立许可的，负有责任的股东、实际控制人“不得再次投资银行业金融机构”。但与第54条第2款的规范处境不同，第73条的“不得再次投资”位于法律责任章，不在第54条第3款整改验收解除机制的覆盖范围内，条文未设置复权安排——对比《商业银行股权管理暂行办法》第50条，现行规章下监管机构可“禁止其一定期限直至终身”入股商业银行，期限本有弹性，第73条的表述在文义上则属于对投资资格的长期剥夺。

上述修订如何影响投资银行业金融机构的实务操作？对拟入股银行业的投资者而言，自有资金属性证明与股权结构穿透披露此前已是主要股东入股的既有要求，法律通过后其刚性进一步增强，我们建议在交易文件中就审批不通过、穿透审查不通过等情形设置充分的风险分配条款；对存量股东而言，出资来源自查、违规代持清理、关联交易合规自查宜尽早启动；对银行机构而言，股东名册管理、股权变动报告与信息披露配合义务（第31、53条）的落地执行需要明确内部归口，避免机构因股东违规而连带暴露于监管措施之下。

二、强化银行业消费者权益保护体系

全国人大常委会法工委发言人在8月21日记者会上明确表示，二审稿从统筹消保工作、增加侵害消费者合法权益的禁止行为种类、规定机构民事责任三个方面强化消费者权益保护。具体而言：

第33条确立监管机构对从业人员从业行为的监督管理职权，同时第34条列举机构及其从业人员不得实施的十类行为——与一审稿相比新增强制捆绑搭售、违反适当性管理规定、不正当催收、禁止挪用资金，多项内容可在《银行保险机构消费者权益保护管理办法》第11条（适当性管理）、第26条（禁止强制捆绑搭售）、第29条（禁止挪用占用客户资金）、第41条（催收行为规范）中找到直接对应，本次统一上升为法律义务并经第81条与罚则衔接；

第35条从组织机制层面规定，国务院银行业监督管理机构负责统筹银行业消费者权益保护工作，建立健全银行业消费者权益保护制度，指导依法设立银行业消费纠纷调解组织，建立健全投诉处理机制和消费纠纷多元化解机制；

第81条第2款，从责任救济层面，规定“银行业金融机构从业人员违反本法规定，造成存款人和其他客户损害的，银行业金融机构应当依法承担民事责任”，从而强化了从业人员有关行为与金融机构对外民事责任之间的联系。

其中，第81条第2款的实务影响最为直接。以往员工挪用资金、违规销售等事件中，机构常以“员工个人行为”或者“越权行为”为由抗辩免责，客户面临举证难、追偿难的问题。这一条款旨在改变这一局面，与《民法典》第1191条用人单位责任规则相衔接，将显著压缩机构切割责任的空间。需要提示的是：其一，条文表述为“依法承担民事责任”，具体案件中仍须判断损害、因果关系及责任范围，机构依据内部制度向有故意或者重大过失的员工追偿的权利不受影响；其二，列举式禁令降低了执法认定难度、压缩了行政裁量，代销、贷款附加销售、客户风险测评、贷后催收等环节将成为监管检查和执法关注的重点领域。

三、其他值得关注的制度变化

（一）监管者履职约束的强化（第13、83条）

本次修法并非仅约束市场主体：第13条强化对监管机构工作人员兼职和离职后从业的管理，与《公务员法》第107条的离职从业限制相衔接；第83条明确违法行为涉嫌犯罪时的移送以及与监察程序的衔接，与《行政处罚法》《监察法》的相关规定相衔接。监管权力的行使同样被纳入法治框架，这一维度有助于平衡观察本次修法的整体取向。

（二）金融许可证使用规范的法律化（第25、74条）

金融许可证管理并非新设制度：2021年《银行保险机构许可证管理办法》已对许可证的颁发、保管、公示与使用作出系统规定，其第15条明确“任何单位和个人不得伪造、变造、转让、出租、出借银行保险机构许可证”（该办法于2026年修订，但前述条文仍然保留）。二审稿第25条的核心作用是将上述要求提升至法律层级，并与第74条罚则相衔接——转让、出租、出借金融许可证的，没收违法所得并处违法所得一倍以上十倍以下罚款，情节严重的可吊销金融许可证。结合第26条对“变相从事”银行业务及“可能产生混淆、误导的名称”的禁止，非法金融活动的取缔依据（第72条，定额罚在现有《银行业监督管理法》基础上提高至一百万元以上一千万元以下）也更加充分，“监管既要管合法更要管非法”的要求有了法律支撑。

（三）第三方服务机构监管（第46条）与数据规则

监管机构会同有关部门加强对会计师事务所、律师事务所、资产评估机构、信息技术服务机构的监管。就信息技术服务机构而言，《银行保险机构信息科技外包风险监管办法》早已建立外包风险管理框架，但既往监管抓手主要是约束银行的外包管理行为；第46条将约束对象延伸至服务机构本身：信息技术服务机构不得擅自截取、存储、转发、使用机构或客户数据，违者依第79条处罚（该条同时明确“法律、行政法规另有规定的，从其规定”，与《数据安全法》等罚则形成衔接）；情节严重的，监管机构可责令银行业金融机构暂停或终止与其合作，机构拒不执行的另依第75条处罚。需要说明的是，第三方服务机构系在信息报送、配合检查、业务规范与相应责任等特定层面受到监管要求，并非被全面纳入与银行机构相同的监管体系；但对深度嵌入银行业务链条的科技服务商而言，这仍是一个直接的行为合规新约束。

（四）跨境监管规则的精细化

第10条规定，未经监管机构同意，境外监管机构不得在境内调查取证；境内机构向境外监管机构提供与业务活动有关的文件、资料，须经监管机构与国务院有关主管部门双重同意——这一“境外取证限制＋资料出境双重同意”的结构，与《证券法》第177条相近。与2022年征求意见稿“文件、资料、数据”的表述相比，二审稿删去“数据”二字，第75条罚则亦相应表述为“违反规定向境外监督管理机构提供文件、资料”——数据出境事宜回归网络安全、数据安全与个人信息保护的法律体系调整，条款边界更为清晰，但机构跨境传输场景下的合规判断仍需综合多部法律。第48条反制条款的表述亦较一审稿更为精准，适用范围从“外国国家”扩展至“任何国家或者地区”。此外应与上述跨境监管合作安排相区分的是第84条的域外适用条款：对境外银行业金融活动扰乱境内市场秩序或损害我国公民、法人和其他组织合法权益的，依法追究法律责任；与2022年征求意见稿相比，删除了“危害国家主权、安全、发展利益”的表述，与《证券法》《期货和衍生品法》的域外效力条款表述趋于一致。

（五）监管科技与检查手段的更新（第9、50条）

第9条要求监管机构加强科技运用、推进大数据建设，与《银行保险监管统计管理办法》确立的监管数据信息化方向一脉相承；第50条则将现场检查措施明确覆盖机构“运用信息技术、人工智能技术等科技手段管理业务数据的系统”，使法定检查对象跟上机构数字化的现实。严格依据条文用语，上述规定解决的是检查对象与检查手段问题，并未直接设定算法审查权限；数据治理、模型风险的可解释性要求是否以及如何进入检查实践，可作为后续适用问题持续观察。

四、结语

二审稿呈现的，不只是监管规则与处置工具的增加，更是对银行业治理约束、风险干预和责任承担关系的进一步整合。其制度效能的实现，既有赖于法律授权的明确，也有赖于后续规则对启动条件、裁量标准、损失分配及救济程序的细化；对于制度建设而言，则应在提高监管效能的同时，以清晰的权责和可预期的程序稳定市场预期。唯有如此，强化监管才能切实转化为银行业稳健运行和提升金融服务实体经济质效的长效保障。