CPMI：支付、清算与结算体系中DLT技术应用的分析框架

中国信息通信研究院与腾讯研究院区块链联合课题组 巴洁如 腾讯研究院高级研究员

国际清算银行（BIS）是由60个国家中央银行组成的国际性金融组织，服务于各国央行的货币和金融市场稳定政策目标，促进国际金融合作，是中央银行的银行。BIS下设支付与市场基础设施委员会（CPMI），通过监测和分析各国支付、清算与结算体系的发展情况，强化各国中央银行在支付体系监管领域的交流与合作，推动支付、清结算系统标准制定等，促进各国支付、清算与结算体系的安全、高效运行，支撑金融和宏观经济稳定发展。

2017年2月，CPMI发布《支付、清算与结算体系中的分布式账本技术》报告，围绕DLT技术在支付、清结算领域的发展情况，提出了较为全面的分析框架，对于市场主体对区块链技术的应用与研究具有一定参考价值，我们将其中部分重点内容编译如下。

为更好地理解DLT技术在支付、清算与结算体系中的发展情况，CPMI工作组初步搭建了一种结构化分析框架，以进一步评估DLT应用所带来的效益和风险及其相关影响。该分析框架由四个核心部分构成，（1）范围：DLT技术的功能和特性，及其有效实施的影响因素；（2）效率：DLT技术对于支付体系效率的影响；（3）安全性：DLT技术对于支付体系安全的影响；（4）金融市场影响：DLT技术可能对整体金融市场带来的广泛影响。DLT技术目前仍处于早期发展阶段，CPMI在分析框架中也提出了未来技术演进和应用过程中，需市场参与者和监管机构共同探索解决的核心问题。

一、理解DLT系统

DLT系统在功能、特性、设计和流程等方面存在显著差别，为更好地对DLT系统及其影响进行分析，可采用一种结构化方式来帮助理解系统服务的功能和特性，以及可能影响系统有效实施的关键因素。

（一）DLT系统的功能和特性

DLT技术的本质是存储和维护信息的账本。DLT系统一般可实现以下一种或多种与账本维护相关的核心功能：（1）交易记录的保存；（2）资产的转移或账户余额的更新；（3）自动化工具的应用。DLT系统还可提供一些辅助性功能或服务，比如数据查询、筛选和分析。在理解DLT系统的功能和特性时，应进一步分析其可能解决的问题、产业链可能受到影响的环节、设计方式及受影响的参与者和用户范围。

1. 识别DLT解决的问题

理解DLT系统的功能和特性，首先需识别DLT系统所能解决的问题，或如何对现有服务和流程实现效率改进，如简化操作流程、降低运营成本、拓宽金融服务接入渠道，以及提高普惠金融水平等。通过提高自动化水平，DLT系统可降低对人工操作的需求，从而提高效率和准确性。在分析DLT系统的应用优势的同时，还应考虑相关成本和可能带来的新型风险，并在效率与风险之间寻求合理平衡。

2. 识别对于产业链的影响

识别DLT系统将对产业链中的哪些环节产生影响及其影响程度，比如，是为市场带来了全新的概念（颠覆式创新），还是作为改善现有服务效率的手段（渐进式创新），有助于进一步明确所提供服务的功能和特性。支付、清结算产业链包含以下几个基本环节：

（1）客户身份识别环节：涉及电子身份，以及了解你的客户（KYC）、反洗钱和反恐怖融资合规领域的相关流程； （2）交易前环节：涉及支付指令的创建、验证和传输等流程，包括确认资产所有权状态，为清结算活动建立数据连接； （3）清算环节：涉及交易信息传输、对账和确认等流程，同时可能包括交易轧差和建立最终结算头寸等流程； （4）结算环节：涉及特定资产或金融工具的转移等流程，或根据协议约定由金融市场基础设施及其参与者履行的特定义务； （5）结算后环节：涉及结算完成后特定活动的相关流程，比如交易对账、记录和报告，本金和利息的支付，以及合同条款的执行等。

有的DLT系统可能仅对支付、清结算流程中的个别环节产生影响，比如侧重于清算环节流程改造的系统，可能带来交易主体之间数据共享的新方式，但不涉及交易结算流程。而还有一些DLT系统则可能引入全新的端到端交易处理模式，比如不仅能够实现信息的交换，同时还能在账本中以特定资产形式进行价值交换。

3. 识别DLT方案的设计、技术和流程

不同的DLT系统在设计、技术和相关流程方面存在较大差异，这些差异反映出系统提供服务的特性、技术发展、组织架构、当地市场结构和业务模式，以及其他国别因素方面存在的差异。对这些差异化因素的分析有助于进一步理解DLT技术所能解决的问题，以及所能带来的效率改进。

4. 识别可能受到影响的市场参与者

识别哪些市场参与者和用户将受到DLT技术应用的影响，有助于分析其对于金融体系效率和安全的潜在影响，比如，DLT系统对于某些市场参与者所产生的效益，可能对另一部分市场主体形成风险。市场参与者的范围主要包括金融市场基础设施、银行及其他金融机构、客户以及相关监管机构。此外，由于金融市场呈现出全球化特征，受到影响的市场参与者可能所处不同国家或地区。

（二）DLT技术有效实施的关键因素

市场主体需对可能影响DLT系统发展和应用的各类因素进行分析。部分DLT系统仅涉及单一或小范围主体，而另一些系统则需大规模普及，即需达到系统参与者数量的临界容量（critical mass），才能充分发挥潜在优势。此外，技术应用可能还需对市场进行基础性和结构性调整，比如市场实践和惯例方面的调整。环境、技术和商业因素将对DLT系统的应用产生影响：

1. 环境因素：包括机构对新技术的接受程度，市场规模、结构和实践，监管和法律条件，以及产业协调与合作水平等因素； 2. 技术因素：包括技术成熟度，与现有系统和业务流程的互联互通性等因素； 3. 商业因素：通过降低成本、提高利润等方式，能够带来更高投资回报的DLT系统，更有可能为机构和市场所采用。

二、对于效率的潜在影响

业界普遍认为，DLT技术有望进一步提高金融市场运行效率。效率本身是一个较为宽泛的概念，一方面应考虑DLT系统方案自身的设计、功能和资源需求，另一方面，资产转移的速度和成本，以及DLT系统是否能更好地满足市场需求，也是评估其应用效率的标准。对交易速度和成本的影响，可从交易对账、信用和流动性管理，以及自动化所带来的效益优势等维度来考量。

（一）交易处理速度

DLT系统有望减少不同参与者在信息共享环节中的摩擦，简化现有交易处理流程，从而进一步提高交易结算速度。DLT系统提高的交易处理速度，一般是针对产业链整体而言，而在某一基础设施内部，反而可能导致结算延迟，比如，与RTGS系统相比，DLT系统中的交易验证和共识机制，比中心化组织采用的流程更为复杂，因此交易结算可能需花费更长时间才能完成。

核心问题：

• 从交易处理速度角度，DLT系统将对现有支付、清结算流程产生何种影响？这些影响与现有流程相比，效率如何？

（二）交易处理成本

需在维护和更新分布式账本的总体成本，与目前市场实践和其他替代性解决方案的成本之间进行比较。为降低产业链特定环节的成本，行业主体正在探索各类DLT方案的应用。除此之外，还需考虑DLT方案对整体市场和社会成本所带来的影响。另外，DLT系统还可能导致市场参与者在成本分摊上的变化，比如，在传统系统运营模式中，一个机构（金融市场基础设施）直接承担维护成本，再向系统参与者收取费用；而在允许参与者共同维护和更新账本的DLT系统中，账本维护的责任由参与者共同承担，为保证系统正常运转，负责运行特定节点的系统参与者的直接成本可能会提高。

核心问题：

• 与现有流程相比，采用DLT系统是否能够降低总体成本？ 这些成本如何在参与者之间进行重新分配？
• 在分布式环境中，DLT系统的运行可能产生哪些社会成本？

（三）对账速度和透明度

对账是确保交易内部记录在不同主体之间相互匹配的重要机制。由于涉及在不同主体的账本之间对账，且需以不同格式进行信息存储，传统对账流程一般需投入大量时间和人工劳动。通过DLT技术的应用，实现以统一格式在交易主体之间共享信息，从而减少数据差异，提高对账速度，减少繁重的后台业务操作。经过对账后的数据，可以全部或部分共享给其他市场参与者，以进一步提高市场透明度；或向相关监管部门共享数据，以高效履行监管报送义务。虽然有助于提高对账速度，降低对账成本，但信息和数据的共享仍应在数据和隐私保护之间进行权衡。

核心问题：

• DLT系统对市场参与者的对账流程将产生何种影响？
• 哪些交易信息可以面向其他市场参与者及相关监管部门开放？这些主体通过何种方式获取这些交易信息？

（四）信用和流动性管理成本

交易处理速度的提升，加之对账工作量的减少，可能在特定市场中带来实时或准实时交易笔数的增长，对与支付、清结算活动相关的信用和流动性需求产生影响。在RTGS系统中，实时或准实时交易能够降低流动性风险，但相应会对流动性提出更高的要求。与目前的金融市场基础设施情况类似，交易速度的加快使市场参与者收到资金和证券的时间缩短，流动性释放速度相应得以提高。然而，并非所有DLT系统都必然引入实时或准实时交易模式。对于能够实现实时或准实时功能的DLT系统，需进一步分析其对流动性和信用管理所产生的影响，这种影响取决于DLT系统的具体设计方式及其可能带来的市场行为变化。

核心问题：

• DLT系统对于市场参与者，支付、清结算体系以及金融市场将产生哪些信用和流动性方面的影响？这些影响与现有模式相比，效率如何？

（五）自动化合同工具的效率优势

DLT技术的一个核心特征是可编程性，实现特定功能的自动执行。智能合约等自动化合同工具的应用，有利于特定合同条款的履行，比如，在贷款合同中使用智能合约，在到期日条件满足时，自动完成本金和利息支付。通过减少交易过程中的人为干预因素，合同条款的自动执行有助于提高效率，减少人为错误发生的几率。自动化合同工具及其他增值功能，可以显著简化后台业务操作和交易记录管理流程。但与此同时，自动执行的应用程序可能为金融生态体系带来新的挑战和风险，比如，自动化合同工具自身无法防范恶意或错误代码，如果出现此类代码执行，则无法确保账本数据的完整性，产生严重后果。此外，合同和代码的同步自动执行，还可能导致金融体系中出现不利和无法预测的行为模式。同样，合同和代码之间存在相互依存关系，可能为风险的传播和扩散提供渠道。

核心问题：

• 在包含自动化合同工具的DLT系统中，哪些要素可以自动执行，以何种方式执行？
• DLT系统如何防范恶意、错误代码的出现？
• DLT系统可通过哪些程序或机制来防范、监测和快速处理恶意、错误代码的执行？

三、对于安全性的潜在影响

对系统可能带来的实质性风险进行识别、监测和管理，是各类支付、清算与结算系统方案的一项核心公共政策目标。技术和系统设计可以让一种系统方案逐步健全，但同样可能成为风险来源。此外，在压力情景中，系统可能成为不稳定性和不确定性的传导渠道，带来金融传染效应。

（一）操作和安全风险

DLT系统具备提高支付、清结算业务安全性的潜力，同时也可能产生新的风险。DLT系统对于安全性的最终影响，需在技术和相关流程变化的优劣势之间进行权衡。

弹性和可靠性。推动DLT应用的核心因素之一是其能够强化系统弹性和可靠性。DLT系统设计的分布式特征，以及多个同步账本和多个处理节点的结构，有望降低单点故障（single point-of-failure）风险。如果系统中的某个账本或某个节点出现故障或损坏，仍可通过其他节点保障交易的正常处理。鉴于防范网络攻击的重要性，监管部门尤为关注操作弹性和可靠性的提升。但同时，系统中节点数量的增加，也为攻击者提供了额外的入口，从而对账本的机密性、完整性和可用性构成威胁。

安全性。DLT系统的安全性对于金融体系的安全稳健运行具有重要意义。公钥等加密工具在确保现有系统安全运行方面发挥着核心作用，并对DLT系统的发展和应用至关重要。虽然目前的加密工具的有效性已得到检验，并得以广泛应用，但技术的不断进步可能会削弱现有加密工具的安全性和有效性。在治理结构偏薄弱的DLT系统中，系统参与者可能无法及时采取有效措施对出现的安全威胁作出反应，因此这类系统的安全性尤为受到关注。将DLT系统整合进现有基础设施，或是从现有系统迁移至DLT系统的过程中，还可能出现技术以外的安全漏洞，产生较大的操作影响。因此，除加密工具的应用之外，DLT系统可能还需采取分层安全措施，并利用其他安全工具，确保系统稳健运行。

系统运行能力和可扩展性。支付、清结算系统一般需应对交易笔数的剧烈波动，因此系统需具备可扩展性。系统运行能力有两个主要组成部分，一是日常交易的处理能力；二是交易峰值时期的处理能力，包括在市场压力或波动时期的处理能力。如果DLT系统无法满足这两方面要求，将对支付、清结算活动的安全性产生负面影响。DLT系统的可扩展性取决于多方面因素，包括账本中保存的数据类型、使用的共识机制以及系统的中心化程度等。

核心问题：

• DLT系统的核心操作风险包括哪些？特别是可能对系统弹性、可靠性、安全性、运行能力和可扩展性产生影响的风险？DLT系统如何管理这些风险？
• 在DLT系统中，操作风险及其管理方式与传统系统有何不同？
• 除了加密工具之外，DLT系统如何采取分层安全措施保障系统运行？

（二）结算问题

DLT系统的优势之一是能够缩短交易处理周期。除了对支付、清结算效率产生影响之外，DLT系统还可能对安全性带来影响。在安全性方面，应对结算的核心要素进行分析，包括最终结算资产，如何在操作层面进行结算，以及如何实现法定结算最终性的要求。

结算资产。有的DLT系统仅涉及对账本中的资产余额进行记录和更新，即通过借记、贷记方式记录头寸变动情况；有的DLT系统涉及账本中数字资产的转移，即记录仅存在于账本中的特定数字资产的所有权转移情况；而另一些DLT系统则涉及账本外的实物资产转移，在账本中记录以电子化方式体现的实物资产的变动情况。

结算操作。在部分DLT系统中，通过账本更新和同步所有权变化需花费一些时间，比如，更新数据可能不代表进行结算，因为在同步账本中跨节点实现共识仍需要时间。在采用POW共识机制的DLT系统中，结算是概率性的，即账本中交易确认的次数越多，撤销的可能性越低。如果涉及两种资产的相互交割，比如证券与资金的同步交收，两个币种的相互兑换，结算操作则更为复杂。许多涉及价值交换的DLT系统，一般需要另一个金融市场基础设施参与。

法定结算最终性。结算最终性是一个法定时点，在这个时点，资产或金融工具的转移，或是义务的履行是无条件且不可撤销的，并且不受参与者破产或丧失偿债能力的影响。在传统系统中，结算最终性发生在一个明确清晰的时点，以完善的法律基础为支撑。但对于DLT系统而言，结算最终性可能并不明确，在依靠共识算法实现结算最终性的DLT系统中，可能并不具备唯一的结算最终性时点。此外，现行的法律框架也无法为DLT系统中的结算最终性提供明确依据。

核心问题：

• 账本中应记录哪些资产所有权变动情况？
• DLT系统中所反映的资产或记录的法律性质是什么？
• 如何在账本中完成结算？由谁进行？与传统系统有何不同？
• 现行法律框架如何规定DLT系统中的结算最终性？
• 在涉及价值交换的结算中，如何实现券款对付（DvP）等涉及两种资产之间的相互交收？如果两种资产在不同账本之中，或一种在DLT系统中，另一种在传统金融市场基础设施中，如何进行结算？

（三）法律风险

完善、明确、透明和可执行的法律基础是支付、清结算系统运行的核心要素。如果存在法律适用上的模糊性，或缺乏法律基础的确定性，DLT系统将会增加法律风险。由于DLT技术在支付、清结算业务中的应用仍是新生事物，因此其法律依据与传统系统相比可能并不完善，比如如何确定管辖和适用法律。另一方面，DLT也可用于帮助降低特定法律风险，比如，在具有法律约束力协议中，自动执行某些条款（如自动支付利息），可以降低合同主体不履约的风险。

系统的法律基础由法律框架构成，法律框架既包括规范财产、合同和责任的一般性法律法规，也包括系统自身的规则、程序和协议。专有权、结算最终性等法律问题，应当由系统方案明确规定，为系统参与者所理解，并以现行法律法规所支持。目前，DLT系统中涉及资产所有权、资产转移、主体权利义务关系的法律基础仍缺乏明确性。一般而言，系统方案可通过标准化规则或协议，对权利、义务和流程进行界定和规范。在这种情况下，应重点考虑这些法律安排是否具备健全性和可执行性。而跨境交易模式中的法律问题更为复杂，支撑业务开展的法律法规需得到多个司法管辖区的承认或采纳。

核心问题：

• DLT系统是否具备完善、健全和可执行的法律基础？特别是在多个司法管辖区运行的DLT系统？
• 如何确定和处理潜在的法律冲突？
• DLT系统参与者的权利和义务包括哪些？以何种方式进行规定？争议解决机制是什么？

（四）治理问题

治理结构存在两面性，比如，通过改进决策流程，或纳入更广泛的系统参与者，可以提高DLT系统的安全性。而如果治理结构过于复杂，则会降低风险事件的相应速度，从而削弱系统安全性。在涉及信息共享和账本维护的DLT系统中，需慎重设计其治理结构。部分开放型DLT系统出现的风险事件，进一步凸显了治理结构及决策执行的重要性。

核心问题：

• DLT系统采用哪种治理结构？是否具备健全的决策、风险管理、紧急事件响应措施，以及是否具备稳健的监督机制？
• DLT系统是否涉及跨主体的信息共享和账本维护？这些主体和利益相关方（包括直接和间接参与者）是否明确？系统的治理结构如何界定主体各自的责任？
• DLT系统是否具备清晰的决策机制？ 如何就系统变化形成一致意见？

（五）数据管理和保护

DLT系统记录、维护和共享数据的方式，将影响支付、清结算业务的安全性。数据的结构化是对任何数据存储系统的基本要求之一，而数据的维护应当使任何合法主体都可以验证相关历史记录，即数据应具备可追溯性。数据不丢失、不受破坏或篡改是数据可追溯性的基本要求。数据完整性对于DLT系统的安全性至关重要。此外，数据的可追溯性也是KYC、反洗钱和反恐怖融资合规的核心要求之一。但同时，应当在数据的可追溯性与隐私权、特定信息保密需求之间进行权衡。

根据系统的具体设计，可能需要建立不同水平的数据隐私保护机制。有的DLT系统允许所有节点获得账本副本，允许节点读取全部历史交易记录。但在金融行业中，DLT系统参与者本身可能并不希望，或不被允许提供完整数据。在这种情况下，应当对信息的获取施加一定限制，比如，通过对数据进行加密，节点即便可以获得完整的账本副本，但也仅能读取许可范围内的账本信息。而在某些情况下，节点只能保存与之相关的数据。无论隐私保护水平如何设计，都应建立适当的控制措施，在允许节点就账本状态和交易有效性达成一致的同时，对数据访问进行必要限制。

DLT系统的另一个优势是账本中数据的不可篡改性，即数据一旦记录在账本中，系统参与者不可单方面对其进行修改。由于涉及数据完整性要求，不可篡改的属性是DLT系统安全的重要保障。尽管存在对数据不可篡改的需求，但在特定条件下，仍需对某些数据进行修改，比如发生记录错误、欺诈等事件时。应允许在账本中进行交易数据的更正或撤销，包括通过创建新的交易记录等方式。在代码自动执行的场景中，数据不可篡改性的问题应得到充分重视，以快速更正代码错误等。因此，DLT系统需建立治理和操作程序，以解决例外事件中的交易处理问题。

核心问题：

• DLT系统如何确保数据的完整性，包括数据的可追溯性？
• DLT系统中的数据是否不可篡改？ 如果是，当数据或交易处理环节发生错误时，如何处置？
• DLT系统如何解决数据隐私和保密问题？

四、对金融市场的广泛影响

随着DLT系统的发展并逐渐步入生产阶段，它们还可能对金融市场整体产生广泛影响。金融体系存在各类相互连接，比如，金融机构可能是多个支付系统和其他金融市场基础设施的参与者；证券结算一般需多个系统的支持，通过支付系统进行资金转移，通过证券结算系统进行证券交割。另外，金融机构、支付系统和其他金融市场基础设施可能分布在不同国家和地区。

（一）互联互通和标准化问题

目前，金融行业主体正在对多种DLT系统进行测试，未来可能还将出现更多提供不同、相似或补充功能的DLT系统。因此，技术层面的一个挑战是如何在不同的DLT系统之间，以及在DLT系统和传统系统之间实现通信和连接，以确保各类金融交易的顺利进行。通过建立底层连接，降低应用和整合成本，互联互通标准的发展有助于实现系统之间的通信和连接。标准化建设领域的成果将推动DLT系统的在金融行业的应用和普及，实现网络规模效益。

核心问题：

• DLT方案中考虑或已经采用了哪些系统、平台、层或其组合？
• DLT系统应考虑或已经使用了哪些协议？
• 协议代码是开源的还是专有的？在与其他系统进行交互时，专有代码是否具备灵活性？

（二）金融市场架构

DLT系统可能对金融市场整体架构产生影响。有的DLT系统更多作为现有系统的渐进式升级，并不会对现有业务模式带来显著变化。而有的开放型DLT系统，通过取代某些机构或功能，可能导致金融市场去中介化发展（脱媒化），这种业务模式上的变化可能影响目前金融市场的竞争格局，从而带来市场架构的调整。同时，DLT系统还可能引入新型、非银行市场参与者，这类市场主体目前仍未完全涵盖在监管框架内。

核心问题：

• DLT系统将对现有金融中介机构的作用带来何种变化？是否会引入新的市场参与者？
• DLT系统将对目前的金融业务和监管模式带来何种变化？

（三）更广泛的金融市场风险

DLT系统可能对金融市场风险产生影响。在相互连接的金融体系中，DLT技术的优势是可以实现跨机构的数据共享，以进一步提升市场透明度，提高跨系统风险管理的有效性。但与此同时，DLT技术也可能带来一定负面影响，比如，在未来可能出现的自动化合同工具组合应用的情况下，宏观经济条件可能在多个金融市场基础设施中触发追加保证金通知，由此带来金融体系中的流动性需求提高，可能引发系统性风险事件。因此，应进一步分析自动化工具在金融体系中的相互关联性，并评估是否需采取补充性保护措施，防范金融风险传导。

核心问题：

• 在目前的发展和应用阶段，DLT系统是否会带来更广泛的金融市场风险？未来还可能带来哪些风险？
• DLT系统与其他系统（包括不同DLT系统之间）之间可能存在哪些相互连接？