支付发起及账户信息服务（依现行制度，不把拟议框架当新牌照）

本项须先区分“替客户发出支付指令”和“只读取账户资料”。例如，结账工具在客户指示下从其银行账户向商户发起EFT，与预算应用只汇总余额、流水及支出分类，处理的是不同权限。SARB开放银行咨询文件用PISP和AISP描述这些商业功能，但该文件是咨询和政策讨论，不是凭名称即可领取的现行双用途牌照。

现行Directive 2 of 2024第3—5条已监管使用屏幕抓取或类似工具代付款人发起EFT贷记支付的活动，要求登记或SARB给予的登记豁免，并要求发起前取得付款人知情同意。登记豁免不得被解释为当然免除其余同意、数据安全或消费者保护义务。对银行API、跳转认证等不同技术路径，应向SARB提交架构及指令链确认是否落入该指令，不能因不用抓取密码就自行认定不适用。

如经营者还为两名或以上客户提供支付指令处理服务，应另检视SO条件；如接受付款人资金替其向多名受益人支付，或替受益人向多名付款人收款，应检视TPPP。SO指令第3.1.4条禁止以SO身份把客户支付资金转入自身账户，SO与第三方支付部门须分开。现有登记或授权不自动赋予吸收存款、发行电子货币、清算结算或跨境汇兑权限。

• 只读账户聚合：单独分析数据取得、使用目的、银行接口及隐私责任。
• 代客EFT发起：先核对Directive 2 of 2024登记／个案豁免及付款同意。
• 叠加处理或资金接收：分别核对SO授权与TPPP登记，不以商业名称代替活动分类。

支付发起适用于电商收银、账单支付或其他由客户账户向指定受益人付款的流程。其价值在于减少手动填写收款资料，并把发起结果回传商户；但“发起成功”不等于资金已经最终到账。Directive 2 of 2024第2.5.2及5.3.8.1条明确关注把普通EFT误称即时付款的问题，只有实际使用实时付款路径或符合其列明的行内交易情形，才可作与之相符的到账表述。

只读账户信息服务适合个人多银行账户总览、收入支出分析和客户授权下的财务资料整理。SARB咨询文件举例说明申请贷款前可利用聚合流水分析收支，但这不意味着账户信息服务商因此取得放贷、征信局经营或投资顾问权限。若把数据用于新的信用评估、营销或其他用途，须重新检视该用途的法律分类与POPIA处理依据。

从产品设计看，银行认可的API与明确的授权界面有助于减少客户误以为正在银行网页登录的风险。现行专项指令要求清楚告知凭证实际交给谁、如何保护、付款最终性及投诉渠道；未经银行等清算参与者书面许可，不得在前端冒用其品牌。优势应体现在可验证的接入和授权体验，而不是宣传“监管支持抓取密码”或“与银行卡相同的撤回退款权”。

落入Directive 2 of 2024的申请由法人向SARB提出，第5.1.2—5.1.4条要求南非主管机构出具的注册或设立文件及南非营业地点证明。经营者还须展示股权结构、资金来源、未来三个财政年度预算，以及IT、数据安全、行政、风险和会计内控。单有公司注册证或银行账户并不满足支付发起登记条件，SARB可因条件未达标拒绝登记并说明理由。

专项登记条件还包括向SARB展示并由其批准拟采用的知情同意取得方式，证明有保护付款人资料和网银凭证的系统，并由治理机构批准客户条款和受益人准入政策。在并非自己就是受益人的模式下，须在合作前和持续经营中核实受益人真实身份、业务合法性及交易异常，不能先接入全部商户再补合规。

SO不是这项登记的替代品。2026年10月SO条件第4.1条要求同时检视是否运营系统、向至少两名相关人士提供支付指令服务，以及全部服务合计每月超过10,000笔交易／指令或R10,000,000。低于该SO触发值不等于EFT专项登记豁免，SARB仍可要求疑似开展SO业务者申请。只读账户信息模式应先作法律分类和POPIA分析，本次没有核实到可直接套用的独立AISP申请清单。

• 明确只读、发起、支付处理及客户资金接收各模块的实际执行主体。
• 针对API等边界模式向npsdirectives@resbank.co.za取得适用性确认。
• 需要SO授权的，按现行SARB SO条件向SO@resbank.co.za办理。

Directive 2 of 2024第5.1.4条要求披露所有权，包括股东、受托人和最终受益所有人的姓名及经核证身份证明，同时提交组织架构。不能只提交南非子公司的直接股东名称而不交代最终控制关系；实际文件范围应与SARB要求对应。已读专项指令没有给本项设定统一外资比例、独立董事人数或本地董事人数，不能从其他金融牌照搬用限制。

第5.2.1条要求雇用或委任具相关经验和资格的合规人员，以及承担风险管理和合规职能的人员，风险范围明确包含欺诈、运营和IT。关键人员须诚实正直，任命时向SARB提供履历、身份证明、实体地址及资格证书。该处key person并非当然等于FAIS框架的Key Individual，未发现本项必须参加统一FAIS考试或聘用固定人数的规定。

治理机构须批准客户条款和受益人准入政策；第5.3.6及5.3.9条还要求投诉处理负责人及为合规声明出具证明的审计功能或合格内部审计师。若属2024网络安全指令范围，应配置负责网络安全的高级管理人员与有相关技能的技术专家。独立的数据合规层面，Information Regulator要求信息官登记后履职；信息官登记不是SARB支付经营批准，也不能替代上述支付合规岗位。

• 股东／受托人／UBO：身份、最终所有权及控制关系。
• 合规与风险人员：任命、经验资格、履历和地址证明。
• 投诉负责人、审计功能及信息官：分别安排职责和法定报告接口。

自有资本方面，已读现行Directive 2 of 2024没有为该专项登记列出统一最低兰特金额，第5.1.4条采用资金种类与来源、设立和运营资本投入、借款人资金安排及三年可衡量预算的审查方式。若资金来自贷款，须披露贷款人名称及其住所地。未来Authorisation Framework草案中的活动分类及最低资本，不得写成现行登记的硬性金额。

营运现金应与自有资本分开测算。三年预算须证明企业能维持适当系统、资源和程序，实务上应具体覆盖银行接口、基础设施、合规人员、安全测试、审计及投诉退款处理。另依第5.3.8.1条，须有应对欺诈和退款所致付款人／受益人损失的保险或担保机制；其保额或担保额度未在所读指令中给出统一数值，须结合业务风险取得SARB认可。

若另外申请SO授权，现行第4.3条要求持续经营能力、持续记账、合适的财务报表与适用审计、足够客户索赔保险，并要求最新财年外部审计师报告经核证副本，其财年结束时间应在申请前12个月内。新设企业没有完整审计年度时如何提供替代证明，应个案问询，不能自行免除。

客户资产与上述资金不得混同：SO身份不得让客户支付款经由其自身账户；若另有代收代付，须另核定TPPP及银行安排。客户过账款不能当作营运现金或股东资本。顾问费、律师费、技术服务费和银行商业收费均是不同成本，本次未核实到本专项登记统一官方收费表，不能宣称固定官费、免费办理或把顾问报价称为法定资本。

适用EFT发起专项登记时，第5.1.4(b)条明确要求南非营业地点的实体地址证明，并非仅填一个电子邮箱或外国母公司地址。第5.2.1条另要求提交关键人员实体地址证明。已读指令没有规定必须独立租赁多少平方米、配备多少工位或一律禁止共享办公；关键在于地址和真实经营、人员管理及记录控制能否相互印证。

SARB依第6条可以实施现场或非现场检查，检查可涉及营业地点、人员和计算机系统。因而，实务准备应能说明何处管理发起业务、谁能调用交易和授权记录、外包技术团队如何接受控制。注册地址、实际营业地址和数据中心地址若不同，应分别标识，避免把邮寄服务地址描述为实际安全运营中心。

只读账户信息服务未核实到普遍适用的“AISP必须南非独立办公室”专门规定，但仍须履行POPIA的责任方身份及地址告知，并落实数据安全和外包合同。数据送境外集团或云端时，须按POPIA第72条核对跨境传输依据；属于支付机构的，还须遵守网络安全指令的云外包风险与问责要求。南非营业地址不等于所有服务器一律必须在境内，本次也未据此作全面数据本地化结论。

EFT专项登记的法定基础包来自第5.1.4条：实体注册或设立文件、南非营业实体地址证明、所有权及股东／受托人／UBO经核证身份证明、组织架构、资本及资金来源、贷款人资料、未来三个财年预算，以及治理和内控说明。这些文件应能对应到同一个实际提供发起服务的法律主体，而非把集团内不同公司的材料拼成一套申请。

证明符合第5.2及5.3条时，还应准备关键人员履历与任命支持文件、受益人尽调流程、治理机构批准的用户条款、支付风险归责和退款方案、保险或担保证明、投诉制度，以及审计和持续报告安排。付款人知情同意界面尤其重要，须清楚说明凭证处理方、加密保护、EFT不可自行撤回的性质和每笔付款授权；界面演示、数据流程及操作留痕是证明机制真实有效的实务材料，不应全部留到正式上线后才设计。

只读聚合模块应另备数据字段和用途清单、银行或数据提供者接口协议、隐私告知、数据处理依据和访问撤销安排、POPIA外包合同及跨境传输分析；这些是数据合规证据，不是已经存在的统一AISP申请表。如叠加SO，另按现行条件提供银行或PCH SO互操作确认、SLA、业务连续性计划和至少年度测试审计的灾备计划声明，以及相关财务证明。

• 先画出付款指令流、资金流及账户资料流，标明各法律主体和接口。
• 登记材料、技术证据与银行合同分别归档，注明版本和批准责任人。
• 申请表最新版及合规证明格式应向SARB索取确认，不能以草案附件冒充现行表格。

第一步是完成经营模式分类，把只读账户聚合、客户支付发起、支付指令处理和代收代付分开。对API、技术外包或平台既当商户又替第三方发起的复杂结构，可依Directive 2 of 2024第8.1条先向SARB询问适用性。问题应附真实界面、付款授权方式、涉及账户及资金去向，单问“是否需要开放银行牌照”不足以支持可执行的监管答复。

适用专项登记的，依第5.1.3条向国家支付系统部门负责人提交至npsdirectives@resbank.co.za，附第5.1.4资料及符合登记条件的证据。SARB审核资料、同意取得方式和安全安排，并可补充问询或要求整改；不符合条件可被拒绝。申请发出、收到回执、银行愿意合作或参加创新项目均不等于已登记，正式经营应以实际登记或明确豁免及适用条件为准。

需要SO的并行申请按2026年10月条件第6条电子提交SO@resbank.co.za，且授权按具体服务范围作出。涉及TPPP的应先向银行披露代收代付，再按现行移交安排与TPPP@resbank.co.za核对登记材料。PASA原办理职能已转交SARB；支付网络运营与行业协作事项不能被误当作PayInc发出的经营批准。

• 分类及监管预沟通。
• 提交专项登记，并视实际功能办理SO／TPPP事项。
• 回复问询、修订同意和安全机制、确认实际登记／授权条件。
• 完成银行接入和测试，并启用持续报送后再按获准范围经营。

材料准备时间取决于南非实体与地址、资金来源证明、人员配置、银行合作和安全架构是否已经具备。Directive 2 of 2024于2024年11月15日公布，第7.1条规定公布90日后生效，该90日不是申请审批时限。已读专项指令和现行SO条件未公布统一登记批准服务时限，不能承诺一个固定获批月份，也不能把补件阶段视作默示批准。

重要制度切换已有明确日期：支付准入职能于2026年8月11日转到SARB；PASA认可撤回于2026年9月2日生效。现行SARB SO条件文件由官网2026年10月发布，第2.1条明确公布后替代旧PASA条件。因此新SO申请不能继续不加核对地采用过渡初期的旧清单，既有申请则应向SARB确认适用版本及补件范围。

获得登记后的固定节点比预计审批月份更可操作：专项指令第5.3.9.2条要求每年3月31日及9月30日报合规证明，第5.3.10.1条要求每月15日或之前报月度交易量值，发现相关数据安全事件后立即报告。2026年9月官方行业材料将未来授权框架的公布列为2026年11月计划；计划日期本身不代表最终文本已公布、已生效或新申请窗口已开放。

收购目标公司时，应先核实它实际持有的是Directive 2 of 2024登记、SO授权、TPPP登记中的哪些资格，以及是否仅为纯数据服务或某家银行的承包商。股份交易保留同一法人，与把客户合同、系统和业务转入另一公司是不同事项；已读专项指令没有提供可自由转让给买方的PISP／AISP许可证。资产收购后新经营主体是否需重新登记，应在交割前向SARB书面确认。

对SO，2026年10月条件第5.1条明确要求向SARB报告管理层、所有权及业务性质重大变化；第4.4.5条则要求对可能影响支付系统风险的重大系统或流程变更，在实施前提交考虑和批准。不能把前者一律改写成所有持股超过某百分比均须事先控制人批准，已读文件未给该通用比例；也不能以已经报了股权变化为理由跳过系统变更的事前批准。

对专项EFT登记，所有权和UBO披露属于申请材料，关键人员任命时须提交履历、身份、地址及资格证据。收购更换合规或风险负责人、改变商户准入、加入代收资金或切换银行接口，均应重新检视原有条件与合同；本次未核实到专项登记统一股权变更比例或固定报备天数。若控制交易同时改变数据责任方或处理用途，还须更新隐私告知与合法处理安排，不能把客户网银凭证作为可出售客户资产移交。

专项登记经营者须落实逐笔知情同意，第5.3.3.3条连预定付款也要求就每笔EFT取得分享凭证的同意。第5.3.5条禁止在数据库或系统内保存付款人网银凭证及其他敏感支付数据，并要求执行付款后立即安全销毁凭证；与此同时，第5.3.7条要求交易及同意证据至少自交易完成起保存五年，受益人识别资料在关系存续期及终止后至少五年保存。应保存授权证据和交易轨迹，而不是以五年留档义务为由留存网银密码。

持续报送包括半年合规证明、月度交易量值和数据安全事件立即报告。还须有公平可及的投诉机制，指定负责人及时回应并在合理时间处理；对自身承担责任的欺诈、未授权或错误交易，应按指令在合理时间以原付款途径退款，另经付款人同意的替代方式除外。专项指令第5.3.7.1(f)直接要求依FIC Act第29条报告可疑异常交易；是否还属于第19项资金或价值转移责任机构，须另作活动分类，不能用“不持资”或“有登记”一概作答。

如属网络安全指令范围，董事会或高管须年度审阅网络安全框架，季度测试响应与恢复计划，并依第5.2条就重大网络事件24小时内通报、48小时内提交报告；这不能取代专项指令要求的事件知悉后立即通报。POPIA第22条另有向Information Regulator及适用数据主体尽快合理通知的义务，应建立多监管报告矩阵而非只选最长时限。

只读账户信息服务也须控制数据最小化、用途限制、保留期限、外包安全及跨境传输。若兼SO，另应维护银行互操作性、SLA和持续经营证明，灾备计划至少每年测试审计。SO终止服务须按现行第8.1条至少提前三个月通知SARB；专项登记被终止后须立即停止代客发起，不能借用另一个集团公司的登记继续经营。

截至2026年11月11日的已读官方资料，适用的EFT发起业务有Directive 2 of 2024第5.1条规定的登记申请机制；不是必须等未来框架才有任何监管路径。现行SO条件也明确接受新申请，TPPP在2026年移交通告下继续办理。本项总体标为“按个案核验”，原因是经营范围同时包含有专项登记的发起活动和未核实有独立AISP牌照的只读信息活动，而不是声称所有开放银行业务一概开放或一概禁止。

2026年5月Prudential Communication 10 of 2026表述为拟豁免部分支付活动并就支持性Authorisation Framework征求意见，所附文本题名仍为Draft。2026年9月官方行业对话把向审批结构报送、向财政部长／财政部报送和11月公布列为未来步骤。本次未取得截至核查日已经生效的最终替代指令、豁免公告及完整申请窗口依据，因此没有把草案Category C2当作现行新牌照，也没有把账户信息另造一个AISP许可类别。

计划进入市场的企业可先用现行专项登记、SO条件和银行合同验证业务，并向npsdirectives@resbank.co.za确认接口模式和最新申请格式。若SARB其后正式公布最终框架，须重新核对生效条款、存量过渡、活动范围及资本要求；不能用行业对话、沙盒参与或预算中的预计发布月份代替法定登记与授权。