物聯網在供應鏈金融的應用場景及數據合規要點

劉緒光

在暢通國民經濟循環、保障產業鏈供應鏈的穩定運行大背景下，物聯網作為金融科技的重要手段，成為金融機構在供應鏈金融市場上的重要核心競爭力。本文重點介紹物聯網技術在供應鏈金融中的應用及數據合規要點，以助力金融機構防控金融風險，服務實體經濟，解決中小微企業融資難題，打造高質量供應鏈、產業鏈。

2020年4月，中共中央、國務院正式發布《關于構建更加完善的要素市場化配置體制機制的意見》，首次明確數據是一種新型生產要素。黨的十九屆五中全會審議通過的《中共中央關于制定國民經濟和社會發展第十四個五年規劃和二〇三五年遠景目標的建議》進一步提出推進數據要素市場化改革、加快數字化發展。受新一輪新冠肺炎疫情和國際局勢變化影響，部分工業企業產業鏈供應鏈受阻，市場主體面臨較大困難，新的經濟下行壓力進一步加大。金融作為現代經濟核心，一直與技術相互穿插、聚合、激蕩和動態發展。近年來，隨著人工智能、大數據、云計算、物聯網、第五代移動通信技術（5G）、區塊鏈等新一代信息技術日趨成熟、高度融合，金融數字化轉型已是大勢所趨，物聯網技術在供應鏈金融中的應用也越來越受到行業的關注。

物聯網固化產業鏈、供應鏈，疏通社會融資信用堵點

物聯網在供應鏈金融領域廣泛運用的背后是一種對數據資源的有效使用。基于物聯網的數據采集處理有利于解決企業和金融機構之間的信息不對稱問題，推動金融業務促進實體經濟發展，緩解中小企業融資難題，是發揮數據要素價值、促進數據有效應用的有益嘗試。“物聯網+供應鏈金融”將資金、信息與實體企業相結合，在授信準入、貸后管理等領域探索突破，誕生了一系列創新模式，如大宗商品動產質押、數字信用體系等。

“物聯網+供應鏈金融”開啟大宗商品動產融資業務新階段

動產融資是供應鏈金融的基礎。近年來，鋼貿、煤炭等成為許多銀行不愿提及的“敏感詞匯”。行業信用惡化導致銀行、借款人、貸押監管機構等各方之間的信任度有所下降，銀行沿用多年的倉單質押、互聯互保等傳統的大宗商品融資業務模式受到前所未有的挑戰，企業普遍陷入融資困境。傳統動產融資貸款需要聘請第三方監管公司對質押物進行監管，監管的質量和準確性，主要取決于監管公司的管理能力和現場監管人員的履責程度，融資面臨重復抵質押、押品不足值、押品不能特定化、貨權不清晰、監管過程不透明、監管方道德風險、預警不及時等一系列風險。對于企業來說，傳統動產質押需要將企業的物資轉移到銀行所信任的三方庫，增加企業物流支出，影響經營效率。

隨著金融科技的發展，物聯網、區塊鏈等技術在供應鏈金融領域的應用為解決動產質押風控難題提供了絕佳路徑。銀行借助物聯網實現對動產的無遺漏監管，通過全過程、全環節監控，賦予動產以不動產的屬性，大大降低動產質押風險，重振銀行動產融資。

在物聯網動產融資業務模式下，利用物聯網技術實現對動產質押物的24小時不間斷監控，提高風險防控能力；運用區塊鏈技術將貨物及貨物所對應的人、車、庫、器等信息都登記在區塊鏈上，解決各方信任問題。通過物聯網證據鏈實現貨物所有權轉移，確保質押物權屬清晰、沒有爭議，所有環節實現“閉環操作”。通過物聯網金融科技與銀行信貸系統的結合創新，實現全程無抵押、無擔保、無信用評級的物聯網金融新模式，助力防控金融風險，服務實體經濟。

“物聯網+供應鏈金融”推動數字信用新秩序

目前，銀行主要依靠客戶提供的財務報表和銀行資金流水信息，掌握信貸客戶生產運營情況，缺乏有效監控實體企業運行狀況的手段。通過客戶經理貸后定期或者不定期現場實地檢查，人力成本較高，信息更新滯后，難以全面真實反映企業實際經營情況。

利用物聯網技術，在貸前環節，監控企業關鍵生產數據，如在企業廠區出入口、生產車間等關鍵位置部署智能視頻設備和物聯網通信設備，采集企業人員進出信息、車間人員密度信息，運用區塊鏈技術進行數據安全可信傳輸，建立企業數據模型；在貸中環節，對企業生產要素實時及歷史數據進行分析，改進貸款融資風險額度模型；在貸后環節，對監測數據進行匯總。這有效解決了授信業務中困擾銀行的貿易背景真實性和抵質押監管安全性等難點問題，提高了數據獲取效率和風控水平。

金融的核心支撐是信用體系，物聯網技術賦能供應鏈金融，打破信息不對稱，打造數字信用體系，實現了資金流、信息流、實體流的三流合一，降低虛擬經濟風險，破解中小微企業貸款難問題，為提升供應鏈金融服務創造了機遇。

賦能數據要素價值釋放，嚴守數據應用安全合規邊界

隨著物聯網技術與供應鏈金融深度融合發展，潛在的數據合規、安全問題層出不窮。近些年來，我國建立了較為完善的數據合規法律體系，包括《網絡安全法》《數據安全法》《個人信息保護法》《關鍵信息基礎設施安全保護條例》，以及相關監管規則，共同構建了這一規則體系。面對安全管理的高標準、嚴要求，一方面要在進一步強化個人信息保護的基礎上，劃定紅線，明確原則，審慎授權，提升內外部風險甄別、防范和化解能力：另一方面要注重防范數據合規使用風險，完善數據合規使用標準，縱觀數據采集、存儲、處理、分析等重要環節，建立覆蓋全生命周期的數據治理和安全管理體系，加強制度建設和數據應用教育培訓，切實保護物聯網數據在供應鏈金融應用中的合規使用。

構建物聯網金融數據全生命周期安全治理體系

數據采集。目前，金融業務中的物聯網數據采集形式主要有三種：一是直接從內置物聯網設備或類似屬性零部件中獲取數據。金融機構與數據資產所有方形成合作伙伴關系，在不侵犯數據相關權利的前提下，通過接口改造等方式，將數據接入金融機構物聯網平臺。二是對缺乏內置物聯網設備的資產進行改造，賦予其物聯網屬性，并從中獲取數據。金融機構與資產所有方簽訂合作協議，在多數情況下，由金融機構提供相關服務，直接將所獲取的物聯網數據加以應用，承擔設備費用，并與產業方簽署數據授權、用途、保密等協議。三是通過外部工具，針對資產、物件所處環境規模化獲取數據。如用大型外置設備采集數據，涉及前期較大成本投入，金融機構通常與戰略合作伙伴共同投資大型設備，如衛星，一起承擔、分攤大型監測設備資產成本。由于數據源本身的宏觀性、公共性，通過大型設備采集的數據可能并不需要經由外部授權，直接應用于風險預警即可。

數據存儲。金融業務數據須采取安全加密措施進行儲存，收集個人信息后，應立即進行去標識化處理，對去標識化后的數據與可用于恢復識別的信息分開管理，并對超出保存時限的數據予以刪除，存儲設備須具有備份和恢復功能。

數據利用。金融機構利用數據不能超過與個人信息主體約定的范圍，經過處理無法識別特定個人信息且不能復原的除外。金融機構應采取相應保護措施：一是匿名化，完全不能識別、經過匿名化處理的數據不屬于個人信息；二是去標識化，保留個體顆粒度，如采取假名、加密、哈希函數等方式，可借助額外信息復原個人信息，去標識化處理的數據仍屬于個人信息，其使用同樣需要符合授權范圍。

數據共享。基于金融機構數據應用的合規性要求，金融機構鮮有直接將數據與外部合作伙伴進行共享，即使是與關聯業務單位共同就某一物聯網數據進行場景研發、運用，也通常需要客戶同時向金融機構及其關聯方進行授權。但從某些角度看，金融機構可以實現在不泄露客戶隱私的情況下，將物聯網數據所產生的價值與客戶進行共享。

物聯網數據在供應鏈金融應用中的合規性探討

上文已從數據采集、存儲、利用、共享等重要環節，闡述了金融數據生命周期安全防護，下文將以問答的形式，對物聯網技術在供應鏈金融應用中的常見數據合規問題予以討論。

物聯網設備收集、處理個人信息是否具備合法性基礎

根據《個人信息保護法》規定，收集、處理個人信息，應當遵循合法、正當、最小、必要的原則，應明示收集和處理個人信息的目的、方式及范圍。原則上，收集、處理個人信息應取得個人信息主體的同意。而作為例外情形，包括“為訂立、履行個人作為一方當事人的合同所必需，或者按照依法制定的勞動規章制度和依法簽訂的集體合同實施人力資源管理所必需”等特殊情況下，可以在沒有個人同意的情況下，處理相關個人信息。但是，個人信息處理者仍應當遵循各項處理原則、規制，不能非法、過度處理個人信息。

在處理物聯網數據前，個人信息處理者可能難以取得個人信息主體的知情同意。物聯網數據采集設備布設在移動物體或環境中，信息采集過程是自動持續發生的，不同于普通互聯網環境下個人用戶對數據信息收集的主動甄別和選擇，物聯網環境下個人數據信息的收集是被動發生的，如個人信息主體并非有關金融業務、服務的消費者或平臺的注冊用戶，那么個人信息處理者和個人信息主體間的交互與連接點僅限于物聯網設備。但物聯網設備和服務幾乎無法向個人展示其隱私政策，特別是那些設置在公開場所的設備，很難完全告知個人其正在收集數據，人們意識不到物聯網設備的存在，更不能退出被動的數據收集活動。因此，物聯網數據信息獲取存在處理個人信息未取得合法性基礎的風險。

如何開展物聯網數據分類分級管理和保護

物聯網收集的數據和信息不僅是海量的，而且是異常復雜、立體、個性化的，除了可能屬于征信數據、金融數據外，還可能屬于國家、各個行業、地區的重要數據，企業商業秘密、個人信息等。哪些數據需要法律的特殊保護，以及保護的范圍、邊界、程度，哪些物體產生的數據可以作為公開資料或者經授權可以公開，值得金融機構關注。

重要數據

《數據安全法案》明確國家建立數據分類分級保護制度，根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者個人、組織合法權益造成的危害程度，對數據實行分類分級保護。此外，各地區、各部門還會按照數據分類分級保護制度，確定本地區、本部門以及相關行業、領域的重要數據具體目錄，對列入目錄的數據進行重點保護。參考《網絡數據安全管理條例（征求意見稿）》第七十三條，重要數據包括工業、電信、能源、交通、水利、金融、國防科技工業、海關、稅務等重點行業和領域安全生產、運行的數據，關鍵系統組件、設備供應鏈數據，以及達到國家有關部門規定的規模或者精度的基因、地理、礦產、氣象等人口與健康、自然資源與環境國家基礎數據。

在數據類型上，物聯網設備通常用于監測農業、工業等領域的生產情況，如利用衛星采集農莊農田的氣候數據、利用土壤監測設備采集土地情況數據、利用設備手環監測企業生產運行情況、產能利用率、倉庫庫存等信息。由于國家、地區、有關行業主管部門尚未制定有關重要數據的目錄、清單、類型，目前金融機構無法判斷物聯網設備收集的數據是否屬于重要數據。由于有關數據可能包含重點行業和領域安全生產、運行的數據，以及地理、氣象等數據，不排除物聯網設備收集的數據屬于重要數據。

其他類型數據

物聯網收集的數據除了屬于重要數據，還可能屬于企業商業秘密、個人信息，有關法律法規對安全管理提出了要求。例如《征信業務管理辦法》規定，從事征信業務及其相關活動，應當保護信息主體合法權益，保障信息安全，防范信用信息泄露、丟失、毀損或者被濫用，不得危害國家秘密，不得侵犯個人隱私和商業秘密。《個人信息保護法》規定個人信息處理者應當對其個人信息處理活動負責，并采取必要措施保障所處理的個人信息的安全。

物聯網信息數據的合法使用人在使用中如何制定詳盡規則，如保密期限、保密等級、儲存標準、安全保護標準等，尚無一套完備的法律體系作為指導依據。金融機構在實踐中可參考全國信息安全標準化技術委員會于2021年制定的《網絡安全標準實踐指南——網絡數據分類分級指引》關于網絡數據分類分級原則、框架和方法，指導自身數據分類分級工作。

數據能否作為依據

金融機構基于物聯網技術產生的客觀信息數據可作為業務決策依據或參考，但因為物聯網技術和物聯網金融領域法律制度尚不完善，金融機構依賴物聯網客觀信息數據作為決策依據產生的糾紛能否得到法律上的保護，尚存在不確定性，例如將通過物聯網監測的客觀信息數據作為貸后依據，要求疑似風險客戶提前清償貸款等。物聯網在收集客觀信息數據時如果遭遇數據被篡改、復制、破壞或部分遺失，導致結果判斷的不準確，則可能產生法律糾紛。

金融機構應保證有關物聯網數據客觀反映客戶的生產經營等情況，在發現客戶風險時，可要求客戶予以說明，并通過其他數據交叉驗證風險是否真實存在，防范數據不準確、數據模型偏差等風險。

物聯網設備安裝范圍廣泛、安裝數量多，可能存在數據被篡改、復制、破壞、遺失的風險。企業可通過信息安全等級保護，制定相關信息安全防護措施加以防范。國標GB∕T22240-2020《信息安全技術 網絡安全等級保護定級指南》明確將物聯網感知、網絡傳輸、處理應用等特征要素作為定級保護對象，國標GB∕T 22239-2019《信息安全技術 網絡安全等級保護基本要求》對物聯網網絡安全等級保護提出了具體、細致的要求。

結語

物聯網是互聯技術進一步延伸的產物，在高速發展的現代社會中的作用將更加重要。伴隨數字技術不斷發展，我們樂觀期待，金融業可以在安全、合規的前提下，通過企業架構的演進和治理模式的變革，促進業務與業務鏈接、業務與技術融合，推動金融科技在實體業務多場景中落地與應用，引領業務突破和發展，形成越發強大的金融科技生態體系。本文對金融機構利用物聯網技術開展供應鏈金融業務及其應用中的數據合規問題進行了深入剖析，并根據相關金融數據保護的監管要求提出了數據合規建議，以期為金融機構發展新型供應鏈金融提供借鑒。