支付服務指令2

Payment Services Directive 2（PSD2）是歐盟於2015年發布、2018年正式生效的第二代支付服務指令，旨在提升線上支付安全、促進競爭並推動歐盟金融整合。其核心概念是「開放銀行」（Open Banking），要求銀行向第三方支付服務提供商（TPPs）開放客戶帳戶資訊，前提是獲得客戶明確授權。PSD2與GDPR（一般資料保護規則）形成雙重合規壓力：GDPR保護個人資料隱私，PSD2則要求在數據共享的同時確保資料安全。根據GDPR第6條「處理個人資料的合法性」及第9條「特殊類型個人資料」規定，金融數據的共享必須具備明確的法律基礎。在風險管理領域，PSD2與DORA（數位營運韌性法案）共同構成了金融機構的數位風險治理底線，要求企業建立可偵測、可應對、可恢復的技術與營運韌性機制，而非僅依賴傳統的災難恢復計畫。這與ISO 22301的BCM精神高度一致，強調在數位化環境下的持續營運能力。

實務導入PSD2合規的BCM框架通常分為三個階段：第一階段為「風險識別與標準對齊」，企業需根據PSD2第94條要求，識別所有支付服務的威脅情境，並對照ISO 27701（隱私資訊管理）與ISO 22301（業務持續管理）進行缺口分析。第二階段為「技術與流程控制的建立」，包括導入強客戶認證（SCA）機制，確保交易的不可否認性，並建立API存取控制與監控機制，以符合GDPR第25條的「設計隱私」（Privacy by Design）原則。第三階段為「持續監控與演練」，企業需定期進行滲透測試與BCM情境演練，驗證支付系統在遭受DDoS攻擊或系統當機時的恢復時間目標（RTO）與恢復點目標（RPO）。以一家歐洲FinTech公司為例，導入SCA後雖交易轉化率短期下降15%，但詐欺率降低了40%，同時GDPR合規審計一次通過，風險成本反而降低了25%。

台灣企業導入PSD2主要面臨三大挑戰：首先是「法規雙軌壓力」，台灣金管會已依《銀行法》與《電子簽章法》強化數位金融監管，但若企業有歐洲業務，必須同時符合GDPR與PSD2，造成合規成本倍增。其次是「技術人才缺口」，SCA與API安全管理需要兼具金融業務與資訊安全的複合型人才，台灣市場此類人才稀缺。第三是「供應鏈風險管理」，許多台灣企業委託第三方服務商處理支付，但PSD2要求企業對供應商的技術與組織風險負連帶責任。克服策略應為：第一，建立「以GDPR為核心的統一數據治理架構」，一次滿足台灣個資法與GDPR要求；第二，採用ISO 27701認證作為技術基準，系統性管理第三方服務商風險；第三，設定90天導入路徑，優先完成SCA技術升級，再逐步擴展至BCM整合，確保在6個月內完成主要合規節點，避免因未達標面臨最高2%全球年營業額的GDPR罰款。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Payment Services Directive 2相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact