近日，中国人民银行发布《关于印发<条码支付业务规范（试行）>的通知》，（下称“《规范》”）以及配套技术安全规范文件《条码支付安全技术规范（试行）》和《条码支付受理终端技术规范（试行）》，自2018年4月1日起实施。业内人士普遍认为，支付领域中便捷与风险往往紧密相连，条码支付迎来明确的制度规范，将使得条码支付业务更加安全，发展空间更规范、更宽广，有利于形成一个健康长远发展的支付市场。
《规范》包括了条码支付业务资质和清算管理要求，以及商户实名制、风险评级、风险监测等诸多内容，不过公众最关心的莫过于，将对二维码、条形码等扫码支付进行分级和限额管理，尤其是扫描静态条码支付单日将不能超过500元，曾一度引发各种担忧。
但笔者认为，静态条码支付单日限额500元等分级、分类风险管理恰恰是这次规范的最大亮点之一，在没有牺牲支付便捷性的同时，确保了老百姓“扫一扫”这一付款方式更安全。
央行条码支付新规要求，银行、支付机构应根据《条码支付安全技术规范(试行)》关于风险防范能力的分级，对个人客户的条码支付业务进行限额管理。新规按验证安全性从高到低分四级限额：A级为动态条码并需要包括数字证书或电子签名在内的两类及以上有效要素验证，不限额度；B级为动态条码并需要两类及以上有效要素验证，可以不包括数字证书、电子签名等在内，单日限额不超过5000元；C级为动态条码并验证要素少于两类的，单日限额不超过1000元；D级是指用静态条码的，单日不能超过500元。
在靴子正式落地之前，曾舆论误读认为，单日限额不能超过500元，会极大束缚条码支付的应用。道理很简单，因为我们日常支付超过500元地方并不少，例如到超市买一双皮鞋、一套衣服，很容易就超过500元。
但从分级限额来看，央行并不是简单限制每天500元，即除了静态条码以外还有动态条码支付可供大额支付选择。只不过是根据支付交易安全验证的级别不同，如静态的普通密码；数字证书、电子签名或一次性密码等；脸、指纹、声纹这些生物特征，对应不同级别的支付额度。这也是规范落地后，各种质疑声自动消除的根本原因所在。
实际上，央行对静态条码限制在每天500元是事出有因的，甚至可以说是有苦衷的。根据此前的实践来看，条码支付的安全风险主要集中在静态条码，因为静态条码(如贴在墙上的二维码)很容易被篡改，而且很容易携带木马或病毒，并最终导致付款风险。退一万步来讲，《规范》将静态条码限额规定在每天500元，就算是消费者被骗了，其造成的损失也是在可控范围。
央行将静态条码限制在单日500元，实际上是充分考量了安全性与便捷性之间的平衡的。据统计数据显示，2015-2016年，主流支付机构每日条码支付95%以上都在500元以下，2017年上半年，主流支付机构条码支付人均每日金额是108元。换句话来说，500元的静态码限额已覆盖绝大部分使用条码支付付款客户的需求。更何况，只要消费者采取验证级别更高动态条码（多为一次性），是完全可以满足大额支付需求的。此外，静态条码和动态条码的每日交易额设限都不针对商户，因此对商家并无影响。
正如业内人士分析，新规主要是为了帮消费者排除风险商户，防范和遏制不法分子利用条码支付隐藏木马病毒、进行洗钱、欺诈等犯罪活动。根据风险识别、承受能力大小、安全验证等级等不同对金融消费者进行分类管理，是金融风险防控的最重要原则，也是全世界范围内所公认的监管举措之一。
虽然，条码支付新规对消费者与商家的支付便捷性影响不大，但会深刻改变我国第三方支付的市场格局，或出现“强者恒强”的格局。因为央行新规对第三方支付机构提出了许多安全性、规范性要求，例如参照银行卡刷卡手续费定价标准科学合理定价等，这无疑是需要“遵从成本”的，尤其是一些违规违法行为将付出更高的代价，最严厉的可能面临吊销支付牌照等处罚，对于一些不符合监管要求、规模较小的第三方支付机构而言，意味着此前的监管套利所带来的生存空间将越来越小，而市场将进一步向实力更强的第三方支付巨头聚集。（作者系中国不良资产行业联盟首席经济学家盘和林）