“支付成功”之后还能被撤销吗？——结算最终性到底解决什么风险
“支付成功”之后还能被撤销吗？——结算最终性到底解决什么风险

Luminale 金融科技观察

支付 · 清算 · 结算 · 跨境支付 · 数字货币· 金融基础设施

本文为 Luminale 原创内容。

在日常移动支付或网银转账中，当手机屏幕弹出“支付成功”的提示时，付款人与收款人通常认为这笔交易已经顺利结束。但在金融市场基础设施（Financial Market Infrastructure, FMI）与银行间清算结算体系中，业务界面的状态更新并不等同于交易在法律与系统层面取得了终局效力。

以一笔典型场景为例：

上午 10:00，A 银行客户向 B 银行客户转账 100 万元。通过中央银行的实时全额结算（Real-Time Gross Settlement, RTGS）系统，两家商业银行在央行的准备金账户完成了逐笔划拨：

A 银行央行准备金账户扣减 100 万元，B 银行央行准备金账户增加 100 万元。

系统记录显示结算已完成。

然而到了下午 15:00，A 银行因突发流动性枯竭被监管机构接管并进入破产清算程序。

此时，破产管理人与债权人委员会提出主张：要求撤销当天上午 A 银行对外划出的全部资金，并将这 100 万元追回 A 银行的破产财产中。

如果这笔资金被追回，已经收到款项并继续用于其他支付的 B 银行该如何处理？如果不能追回，法律与清算规则依据的底层逻辑又是什么？

这正是结算最终性（Settlement Finality）制度所要解决的核心问题。

一、“钱已经到账”，为什么还没有结束？

在拆解结算最终性之前，需要区分用户感知的支付状态与银行间清算结算的真实账务层级。一笔跨行支付通常包含多个不同的时间节点与法律关系：

[付款人发出指令] 
       ↓ 
[商业银行受理与扣款] 
       ↓ 
[支付指令进入清算系统] 
       ↓ 
[央行准备金账户转移（银行间结算）] 
       ↓ 
[收款行向收款人贷记入账]

当收款人账户显示余额增加时，收款行在自身账本上确认了对客户的负债（客户存款）。但对于收款行而言，其自身能否无条件、无追索权地保有从付款行转移过来的结算资产，取决于银行间结算是否达到最终状态。

在现代中央银行 RTGS 系统中，银行间转账的资产负债表变动如下：

机构资产端变动负债端变动
A 银行（付款行）存放央行准备金：−100 万元客户存款（付款人）：−100 万元
中央银行资产总额不变A 银行准备金存款：−100 万元
B 银行准备金存款：＋100 万元
B 银行（收款行）存放央行准备金：＋100 万元客户存款（收款人）：＋100 万元
资金性质说明：银行间结算转移的最终结算资产是中央银行货币（Central Bank Money, CeBM），即商业银行在中央银行资产负债表上的准备金债权。准备金的转移完成了跨行债权债务的法定清偿。

判断一笔支付是否真正结束，需要核实以下维度：

  1. 结算资产形式：是商业银行信用、第三方清算机构代管资产，还是中央银行准备金。
  2. 结算账本归属：资金转移记录在私营清算所内部账本，还是中央银行核心总账。
  3. 系统规则裁定：清算系统规则在哪个精确时间戳认定该笔支付不可撤回。
  4. 法律效力边界：当参与机构破产时，破产法是否承认系统规则认定的结算结果，还是会依据普通破产规则撤销既往交易。

国际清算银行（Bank for International Settlements, BIS）下属的支付与市场基础设施委员会（Committee on Payments and Market Infrastructures, CPMI）在《金融市场基础设施原则》（Principles for Financial Market Infrastructures, PFMI）第八原则（Principle 8: Settlement finality）中明确指出：金融市场基础设施应当在其规则中清晰界定结算最终性的时点，并确保该时点在法律上具有确定性和可执行性 [1]。

如果缺乏明确的法律保障，技术层面的“账户数字变更”随时可能在随后的法律诉讼或破产清算中被推翻。

二、不可撤销性与结算最终性的机制差异

在支付系统运作中，指令不可撤销（Irrevocability）与结算最终性（Settlement Finality）经常被并列提及，但两者在生命周期与法律效力上存在明确的分工。

一笔支付指令从生成到完成，通常经历三个关键时点：

支付指令提交
     ↓
【进入系统时点（Point of Entry）】 —— 指令正式纳入系统规则约束与排队机制
     ↓
【不可撤销时点（Point of Irrevocability）】 —— 参与机构丧失单方面撤回或修改指令的权利
     ↓
【最终结算时点（Point of Final Settlement）】 —— 资产完成不可逆的法定转移，受破产法豁免保护

1. 核心概念界定

  • 进入系统时点（Point of Entry）：支付指令通过系统前置校验，正式被清算结算系统接收并打上时间戳。自该时点起，指令必须遵循系统既定的处理队列与调度算法。
  • 不可撤销时点（Point of Irrevocability）：支付指令达到系统规则约定的临界点后，发起行不能再通过发送取消报文（如 SWIFT MT192 或 ISO 20022 camt.056）单方面撤销交易。此时指令已被系统锁定，等待可用流动性执行划拨。
  • 最终结算时点（Point of Final Settlement）：清算机构或中央银行账本完成资产过户。资产转移一旦完成，具有无条件（Unconditional）、不可逆转（Irreversible）与法律终局性，任何参与方及外部第三方均不得推翻。

以英国大额支付系统 CHAPS（Clearing House Automated Payment System）的运作规则为例，英格兰银行（Bank of England）在系统参考手册中对这三个节点做了清晰界定 [2]：

阶段CHAPS 系统操作与规则定义法律与业务状态
Point of Entry支付报文通过 SWIFT 验证并成功进入英格兰银行 RTGS 核心路由系统。指令受到系统规则管辖，发起行仍可在排队状态下发起撤回请求。
Point of Irrevocability系统开始对 A 银行准备金账户进行实时借记处理（Debiting Phase）。A 银行完全丧失撤销权利，无论发起行内部系统发生何种故障均不得阻断流程。
Point of Final Settlement英格兰银行准备金账本完成对 A 银行的借记与 B 银行的贷记。资金转移完成，受到英国《1999年金融市场与破产（结算最终性）条例》法定保护。
关键区别：不可撤销主要约束的是支付发起方的单方面操作行为（不能反悔）；结算最终性则是对抗包括司法机关、破产管理人在内的全体第三方的法律效力（不能推翻）。指令不可撤销是实现结算最终性的前置步骤，但只有到达法定最终结算时点，资产转移的法律确定性才算确立。
支付指令生命周期与结算最终性三时点
支付指令生命周期与结算最终性三时点

三、结算回滚链条（Settlement Unwind Chain）带来的系统性风险

如果支付系统缺乏结算最终性的法律保护，允许破产机构追回已完成的支付，整个金融体系将面临连锁回滚的威胁。

金融体系内部的资金流转呈现高频、连续的网状结构。商业银行收到的每一笔资金，往往在数秒或数分钟内就会作为可用流动性，投入到下一笔跨行支付或同业拆借中。

观察以下四家银行的流动性传递链条：

10:00                12:00                14:00
A 银行 ──[ 100万元 ]──> B 银行 ──[ 80万元 ]───> C 银行 ──[ 60万元 ]───> D 银行
  1. 上午 10:00，B 银行收到来自 A 银行的 100 万元准备金。
  2. 中午 12:00，B 银行基于当前的流动性头寸，向 C 银行支付 80 万元。
  3. 下午 14:00，C 银行同样利用该笔入账资金，向 D 银行支付 60 万元。

假设下午 15:00 A 银行破产，且破产法允许管理人回滚上午 10:00 A 银行向 B 银行的 100 万元支付：

[ A 银行破产，法院下令撤销 A → B 100万元支付 ]
                       ↓
[ B 银行准备金账户被强制扣回 100 万元，出现突发流动性缺口 ]
                       ↓
[ B 银行此前向 C 银行支付 80 万元的资金基础瓦解，B → C 支付面临回滚 ]
                       ↓
[ C 银行被扣回 80 万元，导致其向 D 银行支付 60 万元的交易同样失效 ]
                       ↓
[ 形成全市场结算回滚链条（Settlement Unwind Chain）]

结算回滚的传导后果

  1. 信用风险向流动性风险的传导：原本仅仅是 A 银行单家机构的资产负债质量恶化（信用风险），一旦触发回滚，便直接演化为 B、C、D 等健康机构的突发日间流动性短缺（流动性风险）。
  2. 净额结算系统的全盘重算风险：在延时净额结算（Deferred Net Settlement, DNS）系统中，多方净额结算依托于所有参与者的交易集合。若单笔交易被判定无效，清算所必须剔除该笔交易并重新计算所有参与者的多边净额头寸。这可能会导致原本处于净收款状态的银行变为净付款状态，从而引发大面积履约失败。
  3. 流动性预防性囤积：如果参与者知道“到账的资金未来可能被司法撤销”，银行将不敢及时将日间入账资金用于对外支付，而是被迫保留大量超额准备金作为缓冲。这会导致银行间流动性流速大幅下降，推高全市场的资金成本。

结算最终性制度通过赋予既定结算结果法律确定性，确保A 银行破产产生的损失，被严格限定在 A 银行自身的清算财产与未结算债权范围内，不会向已经完成结算的外部金融网络扩散。

结算回滚链条与最终性风险隔离机制
结算回滚链条与最终性风险隔离机制

四、零时规则（Zero-Hour Rule）与破产法的正面冲突

要理解现代结算最终性立法的必要性，必须审视支付系统与传统破产法之间的一项历史冲突——零时规则（Zero-Hour Rule）。

1. 什么是零时规则？

在许多大陆法系及传统破产法体系中，法院对一家机构下达破产令的生效时间具有追溯力：

零时规则（Zero-Hour Rule）定义：破产裁判虽然是在当天的某个具体时间（如 15:00）做出，但其法律效力依法回溯至该破产裁定做出当日的凌晨零点（00:00:00）。

在破产法传统的财产保全逻辑下，零时规则的设计初衷是防止破产企业在破产前夕恶意转移财产、导致债权人受损。但这一规则一旦套用到按秒级实时运转的现代支付清算系统上，就会带来冲突。

2. 两个时间体系的碰撞

00:00 ── 零时规则法定追溯生效点
  │
10:00 ── A 银行向 B 银行支付 100 万元（RTGS 实时借记与贷记完成）
  │
12:00 ── B 银行向 C 银行支付 80 万元
  │
15:00 ── 法院正式宣告 A 银行破产

在上述时间轴中：

  • 支付系统视角：10:00 的资金转移已经在央行账本上逐笔完成，操作完全合规且不可逆。
  • 破产法视角：A 银行自当日 00:00 起便已被推定丧失对其财产的处分权，因此 10:00 划出的 100 万元属于“无权处分”或“破产宣告后的非法财产处分”，破产管理人有权依法追回。

如果破产法的追溯力凌驾于支付清算规则之上，那么 RTGS 系统的“实时全额结算”在法律层面就沦为空谈——只要当天营业时间内有参与行被裁定破产，该行当天已经结算的全部交易都可能被推翻。

3. 法定豁免与制度边界

为了消除这一系统性隐患，全球主要金融司法辖区均通过专门立法，在普通破产法与金融市场基础设施之间建立起法定隔离机制：

各司法辖区立法明确规定：凡进入经法定认可或指定的支付系统中的支付指令（Transfer Order）、净额冲抵（Netting）结果以及最终结算，均不受零时规则和普通破产财产追索权的限制。

重要法律边界：结算最终性保护的是清算结算系统账本记录的确定性与不可逆性，并不免除底层交易本身的实质违法责任。如果该笔交易涉及洗钱、欺诈或恶意串通，受害方或司法机关可以通过民商事诉讼向当事方主张损害赔偿或不当得利返还，但绝不能要求清算结算系统撤销已完成的账户划拨。
零时规则法律冲突与结算最终性豁免机制
零时规则法律冲突与结算最终性豁免机制

五、全球主要司法管辖区的法律落地路径

结算最终性并非单纯依靠央行系统技术实现，而是必须依托各司法辖区坚实的成文法与监管授权。不同地区在具体法律构建路径上各有特色。

1. 英国：CHAPS 与《结算最终性条例》

英国通过《1999年金融市场与破产（结算最终性）条例》（The Financial Markets and Insolvency (Settlement Finality) Regulations 1999, SFR）落实制度保障 [3]。

  • 运作机制：英格兰银行经财政部授权，将 CHAPS、CREST（证券结算系统）等指定为受保护系统（Designated System）。
  • 法律效果：进入指定系统的支付指令与结算操作，优先于英国《1986年破产法》的普通清算条款。即使参与机构破产，在破产程序启动前进入系统的指令依然有效且必须执行；若指令在破产启动后但在当日特定截止时间前进入，只要系统营运机构能证明当时不知晓其破产事实，结算同样不可撤销。

2. 欧盟：《结算最终性指令》（Settlement Finality Directive, SFD）

欧盟于 1998 年颁布了《关于支付和证券结算系统结算最终性的第98/26/EC号指令》（Directive 98/26/EC, SFD），这是全球最为系统化排除零时规则的法律框架之一 [4]。

  • 破产隔离：SFD 第 8 条直接针对零时规则做出限制，规定破产程序不得对参与机构进入系统当日已确立的权利义务产生追溯效力。
  • 跨境协同：指令确保了欧元区跨国支付系统（如 T2 系统）与跨境证券结算系统中的多边净额计算（Netting）在成员国之间均具备不可推翻的法律拘束力。

3. 美国：Fedwire、Regulation J 与统一商法典

美国的制度安排体现了中央银行规章与各州商法典的深度融合。

  • Regulation J：联邦储备委员会制定的《J规程》（12 CFR Part 210, Subpart B）直接规制 Fedwire 资金划拨服务。规定当联邦储备银行向接收行发出贷记通知，或对接收行账户完成贷记时，该笔资金划拨即刻构成不可撤销的最终结算 [5]。
  • UCC Article 4A：美国《统一商法典》第 4A 编（资金划拨）为批发类电子资金转移提供了私法基础，与联邦破产法及 FDIC（联邦存款保险公司）清偿机制相衔接，确保 Fedwire 结算不会受到破产清算的倒溯撤销。

4. 新加坡：《支付与结算系统（最终性与净额结算）法》

新加坡采取专门单行法的方式，颁布了《支付与结算系统（最终性与净额结算）法》（Payment and Settlement Systems (Finality and Netting) Act, PSSNA）[6]。

  • 指定制度：新加坡金融管理局（Monetary Authority of Singapore, MAS）负责对重要系统进行评估与指定，其本国 RTGS 系统 MEPS+（MAS Electronic Payment System）即为受保护的核心基础设施。
  • 法定豁免：经指定的系统，其系统规则中关于不可撤销时点与最终结算的定义享有法定最高效力，全面排除新加坡公司破产法中关于未完成交易撤销与优先权追溯的适用。

5. 香港：《支付系统及储值设施条例》与终局性证明书

中国香港特别行政区通过香港法例第 584 章《支付系统及储值设施条例》（Payment Systems and Stored Value Facilities Ordinance, PSSVFO）建立了“证明书”制度 [7]。

  • 终局性证明书（Certificate of Finality）：香港金融管理局（HKMA）对符合系统健全性与风险控制标准的指定系统（如港元 RTGS、债务工具中央结算系统 CMU）颁发终局性证明书。
  • 法律保护：一旦取得该证明书，发生于该系统内的转账指令、抵押品处置以及净额清算安排，即获得对抗香港《公司（清盘及杂项条文）条例》与《破产条例》的法定豁免，确保金融基础设施在危机时刻不受清盘人挑战。

各主要司法辖区结算最终性制度横向对比

司法辖区核心法律基础典型基础设施最终性确认方式破产风险隔离路径
英国《1999年金融市场与破产（结算最终性）条例》(SFR)CHAPS, CREST系统规则设定三阶段时点 + 条例确认依法豁免普通破产追回权，保护已入场 Transfer Orders
欧盟《结算最终性指令》(Directive 98/26/EC, SFD)T2, EURO1成员国转化立法 + 指定系统认定第 8 条明文排除零时规则追溯效力，保护净额结算与抵押品
美国联邦《J规程》(Regulation J) + 《统一商法典》(UCC 4A)Fedwire Funds Service联储准备金借贷记实时完成央行规章直接赋予即时不可撤销性，FDIC 处置机制衔接
新加坡《支付与结算系统（最终性与净额结算）法》(PSSNA)MEPS+MAS 审查指定 + 系统规则时点定义单行法全面阻断破产法撤销权，确立净额与交割效力
中国香港《支付系统及储值设施条例》(PSSVFO, Cap. 584)港元 RTGS, CMUHKMA 签发“终局性证明书”凭借法定证明书建立破产隔离屏障，防范清盘人回滚

六、总结

回到文章开头那笔 100 万元的跨行转账：

上午 10:00，A 银行在央行 RTGS 系统向 B 银行完成准备金划拨；下午 15:00，A 银行破产。

此时答案已经十分明确：

  1. 在技术与操作层：10:00 央行账本完成借贷记操作，交易达到 Point of Final Settlement。
  2. 在规则与法律层：受保护系统适用的最终性法律制度阻断了破产法的零时追溯机制，破产管理人无权要求清算机构或 B 银行返还该笔款项。
  3. 在体系安全层：B 银行可以安全地将收到的 100 万元用于后续向 C 银行、D 银行的支付，金融网络避免了一场由于单点破产而引发的全网连锁流动性瘫痪。

结算最终性真正界定的，是金融体系在什么时候可以停止回头看。

当一笔资产转移跨过了最终结算的法定红线，它就变成了不可更改的历史事实，成为后续所有交易安全展开的全新信用与流动性基础。

正是有了这一层制度保障，现代金融基础设施才得以在资金结算的基础上，进一步构建更为复杂的跨市场交收机制——例如证券与资金之间的券款对付（Delivery versus Payment, DvP）、外汇交易中的同步交收（Payment versus Payment, PvP）。

如果在单一资金结算的一侧尚且无法保证最终性，那么跨资产、跨币种的同步交割便无从谈起。

参考资料

[1]: Committee on Payments and Market Infrastructures (CPMI), Technical Committee of the International Organization of Securities Commissions (IOSCO). Principles for financial market infrastructures (PFMI). Bank for International Settlements, April 2012. https://www.bis.org/cpmi/publ/d101a.pdf ↩

[2]: Bank of England. CHAPS Reference Manual. Section: System Rules and Timings. Bank of England, 2023. https://www.bankofengland.co.uk/payment-and-settlement/chaps ↩

[3]: UK Government. The Financial Markets and Insolvency (Settlement Finality) Regulations 1999 (SI 1999/2979). UK Legislation. https://www.legislation.gov.uk/uksi/1999/2979/contents/made ↩

[4]: European Parliament, Council of the European Union. Directive 98/26/EC of the European Parliament and of the Council on settlement finality in payment and securities settlement systems. Official Journal of the European Communities, May 1998. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:31998L0026 ↩

[5]: Electronic Code of Federal Regulations. 12 CFR Part 210 - Collection of Checks and Other Items by Federal Reserve Banks and Funds Transfers Through Fedwire (Regulation J). Subpart B: Funds Transfers Through Fedwire. https://www.ecfr.gov/current/title-12/chapter-II/subchapter-A/part-210 ↩

[6]: Singapore Statutes Online. Payment and Settlement Systems (Finality and Netting) Act 2002 (2020 Revised Edition). Singapore Government. https://sso.agc.gov.sg/Act/PSSNA2002 ↩

[7]: Hong Kong e-Legislation. Payment Systems and Stored Value Facilities Ordinance (Cap. 584). Hong Kong Monetary Authority. https://www.elegislation.gov.hk/hk/cap584 ↩

本文首发于 Luminale 金融科技观察：https://luminale.cn/articles/settlement-finality-risk-mechanisms