正常流程、审批点与异常分支

7.1 PROC-J06-01 商户从线索到激活

商务登记线索和来源；系统核验重复、渠道授权和基础行业；商户准入团队自行取得并核验主体、受益所有人、经营、网站/门店、商品服务和结算账户；风险分级决定产品、限额、结算周期和复核频率；法务使用批准合同，费率进入受控定价；技术配置接口/终端；UAT验证成功、失败、退款和对账；独立人核对生产商户号、账户与合同后激活。

正在绘制业务流程…

7.2 PROC-J06-02 支付指令处理

接入层验证请求来源、签名、时间窗和幂等键；账户层确认用户、商户、产品和状态；认证层验证真实意愿；风控层按设备、行为、商户、金额和关系网络给出允许、增强、拒绝或人工；账本预记保留资金；路由层选择合法可用通道；上游结果进入状态机；异步通知签名并可重放；最终清算和对账后完成结算。

7.3 PROC-J06-03 退款、冲正与撤销

退款必须关联原交易，校验可退余额、权限、原因、时限、商户资金和客户接收工具；生成唯一退款ID。冲正是对异常账务的反向事件，保留原事件；撤销通常在特定处理阶段取消未完成指令。三者会计和客户含义不同，系统按钮不得共用一个“cancel”而下游自由解释。

7.4 PROC-J06-04 清算、结算和对账

接收文件前校验发送方、批次、日期、记录数、控制总额和哈希；逐记录匹配内部支付ID和上游ID；按规则生成清算应收应付；资金按银行价值日交收；商户结算按合同扣除合法费用和调整；对账把差异分为合法在途、缺失、重复、金额、状态、主体和账户差。关闭人不能是唯一修改人。

差异	临时状态	是否自动调账	关闭证据
上游成功、内部超时	Unknown并查询	否	上游查询/清算与账本一致
清算多一笔	隔离批次记录	否	原始指令或对方更正文件
金额差	暂停相关结算	否	合同、费率、清算规则复算
商户账户变更	暂停支付	否	原渠道回拨和双人批准
文件重复	幂等拒绝第二批	是，拒绝而非记账	批次哈希和接收日志
合法跨日	在途并设到期日	否	到期结算或升级处置

7.5 PROC-J06-05 风险与AML案件

系统产生信号后先执行批准的临时动作；案件员核对客户、商户、订单、设备、资金和历史；区分欺诈损失、可疑交易、账户接管、商户违规和普通纠纷；需要法定报告或有权措施时由授权团队处理；对无争议资金和正常客户保持服务；结案后更新规则、客户补救和数据标签。欺诈与AML可共享事实，不共享未经授权的结论。

7.6 PROC-J06-06 费率与计费变更

产品提出变更原因和客群；财务复算收入成本和价税；合规审查协议、公告与用户同意；技术做版本、有效期和回滚；商户迁移清单逐户确认；上线后新旧费率并行对账。不得改数据库覆盖历史费率，也不得以发邮件代替合同规定的有效变更。

7.7 PROC-J06-07 重大事故

正在绘制业务流程…

事故首页写已知、未知、受影响交易和金额、客户资金、自有资金、数据、商户、地区、临时控制、唯一A、客户沟通、报告判断、恢复条件和下一更新时间。先恢复但不对账，会把重复消息或错账带回生产。

7.8 十类异常与控制

异常	立即动作	责任A	恢复条件
重复请求	同幂等键返回原状态	支付运营	客户/商户账仅一笔
上游超时	标未知、查询、禁盲重试	支付运营	上游、清算和账本一致
客户重复扣款	隔离、核查、主动补救	客服/运营	退款到账且根因修复
商户结算账户变更	暂停并原渠道回拨	资金	身份权利双验证
备付金不平	停日结/相关结算、升级	资金	逐笔差异归零或合法在途
清算文件缺失	备用获取、禁止估算结算	对账	完整文件和控制总额
风控误杀激增	降级人工、保护客户	欺诈风险	影响客户回溯和验证
商户风险聚集	隔离可疑资金、增强调查	商户风险	金额逐项有状态与依据
密钥泄露	吊销轮换、阻断接口	安全	新密钥验证、影响清零
跨境规则失效	停对应路由、保留合法服务	合规	当地许可/资金/数据重新确认

7.9 PROC-J06-08 支付账户开立与注销

用户提出申请并同意协议；身份服务核验证件、活体/多因子、联系方式和风险；系统检查重复、冒用、设备和名单；按本地规则确定账户类别和限额；独立日志记录开户决定。账户变更验证旧新联系方式和高风险字段，敏感变更触发冷静期或增强认证。注销前处理余额、在途、退款、争议和法定义务，关闭支付能力但保留法定档案。重新开户生成新生命周期关系，不把旧风险历史抹掉。

7.10 PROC-J06-09 商户结算

结算系统只接收清算和对账确认的商户应付，按合同日历、费率、退款、争议和合法调整生成结算单；验证商户状态、账户版本、金额、币种和制裁/有权限制；资金岗制单，独立人审批，银行结果回写。失败结算按原因进入账户错误、银行拒绝、合规限制或系统故障队列，不自动换到商务临时提供的账户。

7.11 PROC-J06-10 渠道佣金

渠道结算以有效商户、可计费收入和质量条件为基础，不以交易本金或客户资金为佣金基数。系统从商户合同、渠道合同、收入事件、退款拒付和投诉生成候选佣金；商务确认业务归属，财务复算，合规检查异常激励，资金支付。重复归属、关联账户或渠道要求代收商户资金时阻断。离场渠道的未决商户、数据和投诉先交接，再撤系统权限。

7.12 PROC-J06-11 通道路由变更

运营提出基于成功、成本、容量或故障的变更；合规确认通道和清算路径有效；风险评估认证、商户与欺诈影响；资金确认清算日历和头寸；账务验证状态和对账字段；技术在影子流量和小比例下验证。生产放量按阈值逐级进行，任何账务差异、未知率、投诉或成本异常自动回滚。紧急切换也使用预批准范围和事后复核，不能临时接无资格通道。

7.13 PROC-J06-12 清算文件重传

接收端先按发送方、业务日、批次号和文件哈希判断是否已处理。同文件重传只返回原接收状态；内容变化必须使用新版本和更正原因。若旧批次部分成功，不能整文件无条件重跑；按记录幂等键识别已入账、未入账与冲正。控制总额、记录数和资金头寸重新验证，原文件、重传和最终正式版共同归档。

7.14 PROC-J06-13 费率错配事件

发现商户合同0.6%但生产按0.8%计费后，立即冻结错误费率版和新计费，不停止无关支付；识别生效时间、商户、交易、收入、结算、发票和税务影响；以合同和批准版本确定正确数；逐商户计算多收/少收、退款或补收与凭证调整；客户沟通和补救经法务合规审查；修复配置来源、回归全部费率边界并监控。不得只在总账做一笔净冲销而不纠正商户明细。

7.15 PROC-J06-14 账户接管

登录设备、认证因子、联系方式或收款账户异常触发时，系统限制高风险动作但尽量保留查询与求助；客服通过独立可信渠道验证用户；安全封存会话、设备、IP、令牌和变更日志；风险追踪资金和关联账户；资金暂停未完成转出；恢复时撤销攻击者凭证、轮换认证、核对交易并按责任补救。客服不能让用户把密码、验证码或完整支付凭证发到聊天。

7.16 PROC-J06-15 数据出境变更

业务列目的和效果，数据团队列字段、敏感性、来源、数量、主体、存储和访问；法务合规判断各地机制和合同；安全评估加密、密钥、日志、隔离和事件；产品比较本地处理、聚合、远程访问与出境；供应商证明删除、迁移和监管访问。批准绑定版本和期限，新增字段或用途重新评估。开发人员不能因测试方便复制全量生产交易到境外环境。

7.17 PROC-J06-16 产品终止

停止新增前先盘点用户余额、待结算、商户应付、退款、争议、保证安排、服务费、发票、投诉和数据。按协议与监管要求通知，提供余额提取/迁移、商户结算和客户支持；关闭入口但保留查询；逐通道撤密钥和路由；对账确认资金与账务为零或有合法承接；财务结清应收应付；数据按保留政策归档或删除；审计验证后才完成。退出失败往往比上线失败更伤客户。

7.18 异常处置的统一七步

第一，隔离可能扩大损失的自动动作；第二，保存原指令、状态、账务、资金和日志；第三，区分已知与未知，不猜结果；第四，明确唯一A并拉齐运营、资金、风险、客服、技术和合规；第五，给客户和商户一致、可理解的状态；第六，用外部证据和守恒式恢复；第七，逐客户补救、修根因、回归测试和独立关闭。七步中任何一步缺失，事件可能技术关闭但业务仍在流血。