菲律宾支付牌照要续期和年检吗?BSP OPS/EMI 持续合规义务与商户复核周期表(2026)
我在马卡蒂一家跨境服务公司负责支付与合规对接。去年续签支付服务合同的时候,老板问了我一个问题:"他们那张牌照是哪年拿的?要不要年检?会不会明年就过期了?"我当时答不上来。国内做生意的人习惯了证照有有效期、每年要年审,于是自然会假设菲律宾的支付牌照也是这样。花了两周把相关规定和服务商提供的材料对了一遍之后,我发现这个问题本身需要拆开:菲律宾的支付资质更接近"持续合规才持续有效",而不是"到期换证"。这篇文章把我整理的结论写下来:OPS 注册和 EMI 牌照各自靠什么维持有效,持牌机构有哪些周期性义务,以及作为商户,我们应该按什么节奏复核服务商的资质。牌照本身是什么,可以先看BSP OPS 支付业务牌照是什么和EMI 电子货币机构与商业银行的差别。
先纠正一个误区:不是"到期换证",而是"持续合规"
菲律宾央行对支付机构的监管依据主要有两条线。一条是《国家支付系统法》(共和国第 11127 号法)及其配套的央行通告,要求支付系统运营商向央行注册,取得注册证书后方可经营;另一条是电子货币相关通告,规定发行电子货币的机构须取得相应牌照。就我读到的规定和服务商出示的文件而言,这两类资质都不像市政营业许可那样印着一个固定的到期日、每年去换一张新证。它们持续有效的条件,是机构持续满足资本、治理、报告、反洗钱和消费者保护等要求;一旦不满足,央行可以采取限制业务、处罚乃至撤销资质的措施。
所以"要不要年检"的准确说法是:没有一个叫"年检"的单一动作,但有一整套按月、按季、按年和按事件触发的持续义务,加起来比一次年检要重得多。具体条款会随央行通告更新,任何一家机构的实际义务也以它收到的批文为准,下面的梳理只能当作理解框架,不能代替向服务商索取原件核对。
OPS 注册:靠什么维持有效
支付系统运营商的范围很宽,凡是运营支付系统、提供清算或结算服务、或者为他人的收付款提供通道与技术处理的主体,都可能落入其中。取得注册之后,机构需要持续做到的事情大致有这几类:
- 信息变更报备:公司名称、股权结构、董事与高管、经营地址、业务模式或所运营的支付系统发生变化时,要向央行报告,重大变更可能需要事先取得认可。
- 治理与风险管理:按央行对运营商的治理要求,保持董事会与管理层的职责分工、风险管理、业务连续性和信息安全安排。
- 定期报告:按要求报送经营与交易数据、事件报告以及年度财务资料。
- 监管费用:按规定缴纳相关的注册与年度费用。
- 配合检查:接受央行的现场与非现场监督。
这里有一个今年需要特别留意的背景:央行就暂停受理新的运营商注册申请发布过征求意见稿,我们在BSP 拟暂停受理 OPS 新注册里做过报道。无论该草案最终如何落地,它传递的信号很清楚:存量资质的持续合规状况会被看得更重,新进入者的窗口在收窄。对商户来说,这意味着服务商"现在是否仍然合规"比"当年是否拿到过"更值得核实。
EMI 牌照:持续义务更重的一类
电子货币机构直接持有用户资金,义务比单纯的运营商更重。除了与上面类似的报备、治理和报告要求之外,还有几项与资金安全直接相关:
- 资本要求:按机构类别维持不低于规定水平的资本,规模扩大后要求可能随之提高。
- 备付资产:对已发行未兑付的电子货币余额,持续保有足额的高流动性资产,并与自有资金隔离管理。
- 账户与交易限额:按用户的认证等级执行余额与交易限额。
- 反洗钱:作为反洗钱法下的义务主体,执行客户尽职调查、交易监测、可疑与大额交易报告,并保存记录。
- 消费者保护与投诉处理:建立投诉受理机制并按要求报告处理情况。
- 信息安全与外包管理:对系统安全、数据保护和关键外包安排负责。
反洗钱义务对商户的直接影响,见菲律宾支付反洗钱 AMLA 合规。两类资质在持续义务上的差别,可以用下表对照:
| 维度 | OPS 注册 | EMI 牌照 |
|---|---|---|
| 监管依据 | 国家支付系统法及配套通告 | 电子货币相关通告 |
| 是否持有用户资金 | 视业务模式而定,以处理与传递支付指令为主 | 是,发行电子货币并保管对应资金 |
| 资本与备付要求 | 以治理与运营稳健为主 | 有明确的资本与备付资产要求 |
| 定期报告 | 经营与交易数据、事件报告、年度财务资料 | 在此基础上增加电子货币余额、备付资产等报告 |
| 变更管理 | 股权、高管、业务模式变更须报备或事先认可 | 同左,且要求通常更严 |
| 失效方式 | 违规后被限制、处罚或撤销注册 | 违规后被限制、处罚或撤销牌照 |
真正每年要"续"的是哪些证照
支付资质本身不按年换证,但一家持牌机构作为菲律宾公司,确实有一批按年更新的基础证照和申报。这些文件有明确的年份,恰好是商户最容易核对的东西:
- 市政营业许可(Mayor's Permit 或 Business Permit):每年年初向所在城市更新,证上印有年份。
- 证券交易委员会年度申报:公司每年提交载明股东、董事和高管的一般信息表,以及经审计的财务报表。
- 税务申报:按期向税务局申报并保持登记状态有效。
- 年度审计:由外部审计师出具审计报告。
核对这些文件的意义在于:一家连市政许可都没有更新、年度申报缺失的公司,很难让人相信它在央行那边的持续义务履行得很好。相反,这些基础文件齐全且年份连续,是持续经营的一个基本信号。
判断一家支付服务商是否可靠,不是看它能否拿出一张多年前的证书扫描件,而是看它今天是否仍在央行公布的名单上、主体名称是否与合同签约方一致。SMARTPAY 以持有 BSP OPS 注册与 EMI 牌照的主体对外提供服务,我们也建议商户把名单核对当成例行动作,而不是签约时的一次性手续。
合规周期表:持牌方做什么,商户查什么
把上面的内容按时间节奏排开,就是我现在内部在用的周期表。左边是持牌机构一般会涉及的事项,右边是商户这边对应可以做的复核动作。周期是我们自己的管理节奏,不是法规规定的期限。
| 节奏 | 持牌机构侧的典型事项 | 商户侧的复核动作 |
|---|---|---|
| 持续 | 备付资产保有、交易监测、限额执行、投诉处理 | 关注结算是否按约定到账、对账差异是否能得到解释 |
| 每月 | 内部合规检查与部分例行报送 | 脚本自动核对央行公布名单中是否仍有该主体 |
| 每季 | 定期监管报告 | 查看央行与媒体有无针对该机构的处罚或限制公告 |
| 每年 | 市政许可更新、年度申报、审计报告、监管年费 | 索取当年市政许可、最新年度申报与审计报告首页,与合同主体比对 |
| 事件触发 | 股权或高管变更、业务模式调整、重大事故报告 | 收到服务商变更通知时重做一次完整尽调,必要时补签协议 |
完整的尽调步骤可以参考支付服务商合规怎么核查,时间紧的话用五分钟核验清单。
把复核做成自动任务
靠人记日历迟早会漏。我们把每月的名单核对写成了一个定时脚本:下载央行官网公布的名单文件,检查服务商的注册主体名称是否还在里面,同时记录文件指纹,名单一有更新就提醒人工看一眼。名单的下载地址请从央行官网相应栏目复制,这里用变量代替:
#!/usr/bin/env bash
# 每月核对:服务商主体是否仍在 BSP 公布的名单中
set -euo pipefail
LIST_URL="${BSP_LIST_URL:?请填入从 BSP 官网复制的名单文件地址}"
ENTITY="${PROVIDER_LEGAL_NAME:?请填入合同上的服务商注册主体全称}"
WORKDIR="$HOME/compliance/bsp-list"
mkdir -p "$WORKDIR"
TODAY=$(date +%F)
FILE="$WORKDIR/list-$TODAY.pdf"
curl -fsSL "$LIST_URL" -o "$FILE"
NEW_HASH=$(shasum -a 256 "$FILE" | cut -d' ' -f1)
OLD_HASH=$(cat "$WORKDIR/last.sha256" 2>/dev/null || echo "none")
echo "$NEW_HASH" > "$WORKDIR/last.sha256"
if [ "$NEW_HASH" != "$OLD_HASH" ]; then
echo "[$TODAY] 名单文件有更新,请人工复核"
fi
if pdftotext "$FILE" - | grep -qiF "$ENTITY"; then
echo "[$TODAY] OK: $ENTITY 仍在名单中"
else
echo "[$TODAY] ALERT: 名单中未找到 $ENTITY,请立即人工确认"
exit 2
fi脚本找不到名称不等于资质失效,可能只是名单排版或名称写法变了,所以它的作用是触发人工确认,而不是自动下结论。名单怎么查、证书怎么辨真伪,见菲律宾央行认证怎么核实。
每年和事件触发的复核,我们用一张供应商合规台账来管,每个服务商一条记录,到期前自动提醒:
{
"provider_legal_name": "EXAMPLE PAYMENTS INC.",
"contract_party_matches_bsp_list": true,
"authorizations": ["OPS_REGISTRATION", "EMI_LICENSE"],
"evidence": {
"bsp_list_last_checked": "2026-10-01",
"business_permit_year": 2026,
"latest_annual_filing_received": true,
"latest_audit_report_received": true
},
"review": {
"monthly_list_check": "auto",
"annual_document_refresh_due": "2027-02-28",
"event_triggers": ["ownership_change", "officer_change", "settlement_account_change"]
},
"open_issues": []
}资质出问题时,商户会看到什么信号
持牌机构的合规状况恶化,很少是突然发生的。回头看我们接触过的几个案例,事前都有迹象:结算账户的户名从公司名换成了另一家公司甚至个人;结算周期在没有书面说明的情况下被拉长;索取当年的市政许可或审计报告时一再推脱;合同签约主体与央行名单上的名称对不上,被解释为"关联公司";客服渠道从企业邮箱变成了只有即时通讯账号。出现其中任何一条,都应当把事件触发的复核提前做掉。
应对上,我们的原则是不把所有流水压在一家身上:主通道之外保留一条已经完成对接、随时可以切换的备用通道,在途资金的规模控制在自己能承受的范围内,合同里写明资质变化时的通知义务和资金返还安排。不同资质类型的区别可以参考BSP OPS、EMI 与 VASP 三类牌照解读。
常见问题
BSP 的支付牌照有有效期吗?
就目前的规定框架看,OPS 注册和 EMI 牌照都以持续合规为有效条件,不是按固定年限换证。个别机构的批文可能附带条件或期限,所以要以服务商出示的批文原件和央行公布的名单为准。
那服务商说的"今年年审已通过"指的是什么?
多半指的是市政营业许可更新、年度申报或年度审计这类公司层面的例行事项,而不是央行的某项年检。可以请对方说明具体是哪一份文件,并提供当年的版本。
商户多久核查一次服务商资质比较合适?
我们的做法是名单每月自动核对一次,公司证照和审计资料每年更新一次,服务商发生股权、高管或结算账户变更时立即复核。节奏可以按你的交易规模调整。
服务商不在央行名单上,但说自己是持牌机构的合作方,可以吗?
要看资金由谁持有和结算。如果资金始终在持牌机构名下的账户里流转,合作方只做技术或销售,需要核实的是那家持牌机构以及两者之间的协议;如果资金进入了非持牌方的账户,风险就完全不同了。
央行名单多久更新一次?
更新频率由央行决定,并不固定。所以我们用脚本记录文件指纹,名单一变就提醒人工查看,而不是假设它每月或每季更新。
服务商被处罚或被撤销资质,商户的在途资金怎么办?
首先看合同约定和资金当前所在的账户,其次尽快停止新增交易并切换备用通道,同时书面要求对方说明资金返还安排。事前控制在途资金规模、保留备用通道,比事后追讨有效得多。
OPS 新注册暂停的草案对已经合作的商户有影响吗?
草案针对的是新申请,对已注册机构的现有业务没有直接改变。间接影响是市场上"正在申请中"的说法会更难兑现,选择服务商时应当只认已经在名单上的主体。
写在最后
回到老板的那个问题,我现在的回答是:他们的支付资质不会在某一天自动过期,但也不是拿到之后就一劳永逸;它每天都靠持续合规维持着,而我们能做的,是用固定的节奏去确认这件事仍然成立。每月核对名单,每年更新证照和审计资料,有变更就重做尽调,再配一条备用通道,这套做法花不了多少时间,却能把最大的那类风险提前看见。如果你想了解 SMARTPAY 的持牌主体信息,或者想对一下自己的服务商复核清单,欢迎通过 Telegram 联系@LouisSMARTPAY,或邮件联系[email protected]。