征信机构

一句话定义：征信机构是指依法设立、主要经营征信业务的机构；它不是一个泛称，而是有法定门槛和法定身份的经营主体——做个人征信要中国人民银行批准并发许可证，做企业征信要在登记后三十日内备案，两条路的宽严差别，正好对应个人信用信息与企业信用信息在保护强度上的差别。

判断一家公司是不是征信机构，不看它宣传什么，看两件事：有没有依法设立，是不是主要经营征信业务。 这两个要件缺一不可。一家银行内部设个部门做客户信用分析，不是征信机构；一家咨询公司偶尔帮人查一次公开的裁判文书，也不是；但一家公司以采集、加工、提供信用信息为主业并对外收费，即使它自称「金融科技公司」「数据服务商」，法律上仍然是征信机构，只是可能是一家没有牌照的征信机构。

适用条件

一、定义：两个要件

条例第五条只有一句话：本条例所称征信机构，是指依法设立，主要经营征信业务的机构。

这句话短，但它划了两刀。

第一刀是「依法设立」。 依法设立包括两层：一层是依公司法设立，有营业执照；另一层是依征信条例取得相应资质——做个人征信的要有个人征信业务经营许可证，做企业征信的要完成备案。只有营业执照没有征信资质的，不是合法的征信机构，但它仍然可能构成「擅自从事征信业务」，要按第三十六条处理。

第二刀是「主要经营」。 「主要」两个字排除了兼营。一家融资担保公司顺带做点信用调查，主业是担保，不是征信机构；但如果它把信用调查做成了主要收入来源，性质就变了。判断「主要」通常看收入结构、人员配置、业务宣传三个维度，不只看营业执照上的经营范围。

这两刀合起来，说明立法者的思路是：征信机构的身份不是一个可以自我宣称的标签，而是一组必须满足的客观条件；同时，不具备这个身份却做了这个业务，后果比具备身份但违规更重。

二、个人征信：审批制，五道门槛

条例第六条把设立经营个人征信业务的征信机构的门槛列成了五项，加上公司法的一般条件，共六项：

第一，主要股东信誉良好，最近三年无重大违法违规记录。 这一项看的是「谁在背后」，不是「公司本身」。因为征信机构掌握的是海量个人信用信息，股东层面的稳定性直接关系到数据安全。「重大违法违规记录」的认定标准在实践中看监管口径，但三年这个时间窗口是明确的。

第二，注册资本不少于人民币五千万元。 这是一个实缴门槛，不是认缴。五千万这个数字放在 2013 年的立法背景下，是有意设置的准入壁垒——它筛掉的是没有长期投入能力的机构。

第三，有符合国务院征信业监督管理部门规定的保障信息安全的设施、设备和制度、措施。 这一项是技术加制度双重标准。设施设备是硬件，制度措施是软件，两者都要，缺一不可。「我们买了防火墙」只满足了半个条件。

第四，拟任董事、监事和高级管理人员符合本条例第八条规定的任职条件。 第八条的要求是：熟悉与征信业务相关的法律法规，具有履行职责所需的征信业从业经验和管理能力，最近三年无重大违法违规记录，并取得国务院征信业监督管理部门核准的任职资格。注意最后这半句：任职资格要「核准」，不是「备案」，这是人事管理上的硬约束。

第五，国务院征信业监督管理部门规定的其他审慎性条件。 这是一个开放式授权条款，给监管留了空间。

程序上，条例第七条规定：向国务院征信业监督管理部门提交申请书和证明材料；监管部门自受理申请之日起六十日内作出批准或者不予批准的决定；批准的颁发个人征信业务经营许可证，不予批准的应当书面说明理由；凭许可证向公司登记机关办理登记。最后一款是一句狠话：未经国务院征信业监督管理部门批准，任何单位和个人不得经营个人征信业务。

「任何单位和个人」这六个字没有例外。这意味着，即使是一家持牌的银行、一家持牌的消费金融公司，也不能自己对外经营个人征信业务。 银行可以查询征信，可以向征信机构提供信息，但不能自己变成一个征信机构去对外提供信用报告——除非它单独设一个子公司并取得牌照。

三、企业征信：备案制，三十日

条例第十条把企业征信的门槛放得很低：符合公司法规定的设立条件即可，自公司登记机关准予登记之日起三十日内向所在地的派出机构办理备案，提交四项材料——营业执照；股权结构、组织机构说明；业务范围、业务规则、业务系统的基本情况；信息安全和风险防范措施。

备案不是审批。备案的法律效果是「告知监管」，不是「取得许可」。 所以理论上，一家企业征信机构在提交备案材料后就可以开展业务，监管部门事后检查。

但备案有硬期限：三十日。超期的后果在第三十七条第二款：责令限期改正，逾期不改正的，按第一款处罚——单位二万元以上二十万元以下罚款，对直接负责的主管人员和其他直接责任人员给予警告、处一万元以下罚款。「反正不用批，晚点再说」是赔钱的。

变更也要备案：备案事项发生变更的，应当自变更之日起三十日内向原备案机构办理变更备案。这一条在实务里最容易漏，尤其是股权变更、法定代表人变更这种「看起来跟征信业务无关」的变更。

四、董监高的任职资格：为什么管到人

条例第八条对经营个人征信业务的征信机构的董事、监事、高级管理人员提出了四项要求，最后落到「取得核准的任职资格」。

为什么征信业要管到人？因为这个行业的核心资产是数据，数据的滥用绝大多数是「人」做出来的，不是「公司」做出来的。 一家机构的技术措施再完备，如果负责查询权限管理的人自己就在卖数据，制度就是纸糊的。所以条例第二十二条第二款专门规定：经营个人征信业务的征信机构应当对其工作人员查询个人信息的权限和程序作出明确规定，对工作人员查询个人信息的情况进行登记，如实记载查询工作人员的姓名，查询的时间、内容及用途；工作人员不得违反规定的权限和程序查询信息，不得泄露工作中获取的信息。

这一段是「内鬼」问题的直接规范依据。 它要求的是三件事：权限清晰、程序明确、查询留痕。「留痕」这一项在诉讼里价值极高——一旦发生信息泄露，查登记簿就知道谁在什么时间查了什么。

五、变更与退出：第九条和第十二条

变更方面，条例第九条列了五类要批准的事项：设立分支机构、合并或者分立、变更注册资本、变更出资额占公司资本总额百分之五以上或者持股占公司股份百分之五以上的股东。 变更名称的，只需备案。

这个设计有讲究：五类事项里，前三类是组织形态和资本实力的变化，第四类是控制权变化。控制权变化要批准，是因为征信机构的实际控制人一旦更换，数据的去向就可能改变。「换个老板」在普通公司是商业行为，在个人征信机构是监管事项。

退出方面，条例第十二条处理的是最棘手的问题：机构没了，数据库怎么办。 三种处置方式，顺序递进：一是与其他征信机构约定转让，并经营监管部门同意；二是不能按前项转让的，移交给监管部门指定的征信机构；三是不能按前两项转让、移交的，在监管部门的监督下销毁。

这三步的顺序不能颠倒。 立法者的意思是：数据能继续用就继续用（转让），不能转让就交给国家指定的人（移交），实在没人要才销毁，而且销毁必须在监督下进行。为什么这么设计？因为信用信息既是资产也是风险，随意销毁会损害信息主体的记录连续性，随意保留又会造成泄露隐患。

对经营个人征信业务的机构，还有额外两项：解散或者被依法宣告破产的，应当在监管部门指定的媒体上公告，并将个人征信业务经营许可证交监管部门注销。公告是为了让信息主体知道「我的记录去哪了」，注销是为了让牌照不能被盗用。

六、年度报告与名单公告：第十一条

条例第十一条要求征信机构按照监管部门的规定，报告上一年度开展征信业务的情况。同时，监管部门应当向社会公告经营个人征信业务和企业征信业务的征信机构名单，并及时更新。

这一条给普通人提供了一个非常实用的工具：查名单。 判断一家机构是不是合法征信机构，最直接的办法不是看它的宣传册，是看监管部门的公告名单。名单上有，是持牌或已备案；名单上没有而它在做征信业务，就是第三十六条的情形。

年度报告的义务对应第三十九条的罚则：未按规定报告上一年度情况的，责令限期改正；逾期不改正的，单位二万元以上十万元以下罚款，责任人警告加一万元以下罚款。

七、信息安全义务：第二十二条的两个层次

第二十二条分两款，两个层次。

第一款是对机构的要求：建立健全和严格执行保障信息安全的规章制度，并采取有效技术措施保障信息安全。 注意两个动词：「建立健全」和「严格执行」。建了制度不执行，等于没建。 这一条在行政处罚里是常用依据，在民事诉讼里也可以用来证明机构存在过错。

第二款是对人的要求：权限和程序的明确规定、查询情况的登记、工作人员的禁止性义务。 如前所述，这一款是「内鬼」问题的核心条款。

两款的组合，构成了征信机构信息安全责任的完整链条：制度层面要有规矩，技术层面要有手段，人员层面要有留痕。 三个层面任何一个断了，都可能被认定为「未采取有效技术措施」或者「未严格执行规章制度」。

八、无证经营与超范围经营

无证经营指没有牌照却做个人征信业务。条例第三十六条：取缔，没收违法所得，并处五万元以上五十万元以下罚款；构成犯罪的，依法追究刑事责任。

超范围经营指有牌照但做了不该做的事。比如：采集了第十四条禁止采集的信息；未经同意采集个人信息；违法提供或者出售信息；因过失泄露信息；逾期不删除个人不良信息；未按规定对异议信息进行核查和处理。这些在第三十八条，单位五万到五十万，责任人一万到十万，有违法所得的没收，给信息主体造成损失的承担民事责任，构成犯罪的追究刑事责任；情节严重或者造成严重后果的，吊销个人征信业务经营许可证。

两者的区别值得说清：无证经营打击的是「不该进来的进来了」，超范围经营打击的是「进来了乱来」。 前者的后果是取缔（主体消灭），后者的后果是罚款加可能的吊照（主体存续但受罚）。

九、外资与境外机构

条例第四十五条两条：外商投资征信机构的设立条件，由国务院征信业监督管理部门会同国务院有关部门制定，报国务院批准；境外征信机构在境内经营征信业务，应当经国务院征信业监督管理部门批准。

第一条管「在境内设立外资征信机构」，第二条管「境外机构跨境来境内做业务」。 两条路都要批准，只是批准的主体和依据不同。「我们服务器在境外，只服务中国客户，所以不用批」这种说法，在第二条面前站不住。

十、持牌机构的现实图景

从 2013 年条例施行到现在，个人征信牌照的发放极为审慎。目前市场上的个人征信机构数量是个位数，这与企业征信机构的数量形成鲜明对比。 这个格局不是监管懒惰，是制度设计使然：个人征信涉及十几亿人的信用记录，一旦出现系统性滥用，损害不可逆；而企业征信的容错空间大得多，可以用备案加事后监管的方式放开。

对普通人来说，这个格局有一个现实含义：你在市面上遇到的绝大多数「征信服务」，要么是持牌机构的代理渠道，要么是不合法的。 判断方法还是那一条——查监管部门的公告名单。

十一、征信机构与银行的三层关系

普通人最容易糊在一起的一组关系，是「银行」和「征信机构」。二者不是上下游那么简单，而是三层关系叠在一起。

第一层，银行是信息提供者。 你在银行办贷款、办信用卡，还款情况会按规定报送到征信机构。条例第二十九条对基础数据库这条线写得很明确：从事信贷业务的机构应当按照规定向基础数据库提供信贷信息；提供信贷信息应当事先取得信息主体的书面同意，并适用本条例关于信息提供者的规定。换句话说，银行报送你的还款记录，法律上要求事先取得你的书面同意——这个同意通常写在贷款合同或者信用卡领用合约里。

第二层，银行是信息使用者。 你要申请贷款，银行会去查你的信用报告。条例第十八条要求：向征信机构查询个人信息的，应当取得信息主体本人的书面同意并约定用途。这就是为什么每份贷款申请书上都有「授权查询本人征信」那一栏——它不是走过场，是法定的授权要件。

第三层，银行是业务合作方。 银行可能与征信机构合作开发评分模型、联合建模、数据核验。这一层最容易越界：合作可以，但不能变成「银行自己对外提供信用报告」。 因为个人征信业务必须持牌，银行没有这张牌照。

三层关系叠起来，产生一个实务中的常见困惑：「我明明只在 A 银行办过贷款，为什么 B 银行能查到我的记录？」 答案在第一层和第二层之间——你的还款记录进了征信机构，任何取得你书面授权的机构都可以查。授权是「一地对一地给」，查询是「一对多地发生」。 这个结构不是漏洞，是征信制度的设计初衷：让信用记录在不同机构之间可流通，才能让守信的人走到哪里都受优待。

但流通有边界。没有你的书面授权，任何机构都不能查。 条例第三十八条把「未经同意采集个人信息」列为可罚行为，第四十条把「未经同意查询个人信息」列为可罚行为，两条都是五万到五十万的罚款档。所以「我们跟这家银行有合作，所以能查」这句话，在法律上完全不成立——合作是机构之间的事，授权是你和机构之间的事，两者不能互相替代。

十二、征信机构与「信用服务机构」不是一个概念

市面上还有一类主体叫「信用服务机构」，做信用咨询、信用管理、信用培训。它们不采集和提供信用信息，只提供咨询和管理服务，因此不需要征信牌照。这个区分很容易被利用：一些机构以「信用服务」之名，行「征信修复」「征信洗白」之实。

分界线很清楚：碰不碰信息。 只做咨询、培训、方案设计，不接触具体个人信用信息，是信用服务；代查报告、代提异议、代改记录，就碰到了信息，需要相应资质，而且「代改记录」本身就是不可能的——异议只能由信息主体或者其委托代理人提出，结果由征信机构和信息提供者核查决定，任何机构都无权「改」。

十三、五条常见误解

误解一：银行是征信机构。 不是。银行是信息提供者和信息使用者，不是征信机构。银行不能对外提供个人信用报告。

误解二：企业征信不用管，随便做。 要备案，有三十日期限，超期罚款。

误解三：拿到牌照就一劳永逸。 第九条的变更审批、第十一条的年度报告、第二十二条的信息安全义务，都是持续义务。牌照是入场券，不是免检证。

误解四：机构解散了数据就没了。 第十二条给了三种处置方式，销毁是最后一步，而且要在监督下进行。

误解五：外资完全不能进入。 可以，但要批准，两条路径分别对应设立和跨境经营。

法条依据

法条核对日期：2026 年 10 月 28 日。 以上条文均经法规库逐字比对：《征信业管理条例》为 2012 年 12 月 26 日国务院第 228 次常务会议通过、2013 年 1 月 21 日国务院令第 631 号公布、2013 年 3 月 15 日起施行的现行文本。

与相邻概念的区别

与「信用信息提供者」的区别。 征信机构是数据的汇集与加工方，信用信息提供者是数据的源头。银行、消费金融公司、网贷平台把客户的还款记录报给征信机构，它们是提供者；征信机构把这些记录整理成报告，供查询。同一个主体可以兼具两种身份——银行既提供信息也查询信息，但它永远不是征信机构。

与「信息使用者」的区别。 使用者是从征信机构或基础数据库取信息的一方，机构是供信息的一方。这个区别在合同法上是相对关系，在监管上是两套义务：机构有安全保障、准确、删除义务；使用者有按约定用途使用、不擅自转给的义务。

与「信用服务机构」的区别。 信用服务机构做咨询、培训、管理，不碰具体信用信息的采集与提供，不需要征信资质。分界线是「碰不碰信息」。

与「金融信用信息基础数据库运行机构」的区别。 基础数据库是国家设立的基础设施，由专业运行机构建设运行维护，不以营利为目的，受第五章约束；征信机构是市场主体，以营利为目的，受第二章至第四章约束。条例第三十二条把九条核心规则接到了基础数据库运行机构上，所以在「采集什么、留多久、谁能查、错了怎么办」这四件事上，两者受同样的约束。

与「数据服务商」的区别。 数据服务商是个商业概念，不是法律概念。判断标准仍然回到第五条：依法设立、主要经营征信业务。名字里有没有「征信」两个字不重要，做的是不是那件事才重要。

实操指引

一、查一家机构是否合法，三步

第一步，查名单。 监管部门的公告名单是唯一权威。名单上有个人征信机构，说明持牌；有企业征信机构，说明已备案。名单会更新，查的时候看最新一期。

第二步，看牌照与经营范围。 个人征信业务经营许可证是单独的证，不是营业执照上的经营范围一句话。要求对方出示许可证原件，并核对机构名称是否完全一致。

第三步，看它到底做什么。 即使持牌，如果它做的业务超出许可范围（比如采集禁止采集的信息、把信息卖给约定外的第三方），仍然违法。这一层只能从合同条款和实际操作判断。

二、作为信息主体，向征信机构主张权利的四条路

第一条，查询权。 条例第十七条：可以向征信机构查询自身信息，且有权每年两次免费获取本人信用报告。这条权利不需要理由，不需要说明用途，不需要付费（前两次）。

第二条，异议权。 认为信息存在错误、遗漏，向征信机构或者信息提供者提出异议，要求更正。二十日内核查处理并书面答复。

第三条，投诉权。 认为征信机构侵害合法权益，向所在地的派出机构投诉，三十日内书面答复。

第四条，起诉权。 可以直接向人民法院起诉，不必先投诉。

四条路的顺序建议：先查（拿到报告）→ 再异议（成本最低、最快）→ 不服再投诉（有监管介入）→ 最后起诉（成本最高、但能拿到赔偿）。

三、作为经营者，设立征信机构前的五项自查

第一，主业判断。 拟开展的业务是否构成「主要经营征信业务」？如果只是附带，不必申请牌照，但要确保不越界。

第二，主体类型判断。 做个人还是做企业？个人的要审批，企业的要备案，两条路的准备周期差很远。

第三，股东筛查。 主要股东最近三年有没有重大违法违规记录？这一项要提前查，不能等申报时才发现。

第四，人员筛查。 拟任董监高是否符合第八条的四项条件？任职资格要核准，这是时间成本最高的一环。

第五，安全能力评估。 设施、设备、制度、措施四项是否齐备？这一项最容易低估，因为它要同时满足技术和制度两个维度。

四、机构退出时的三件事

第一件，报告。 解散或者被宣告破产，要向监管部门报告。

第二件，处置数据库。 按转让、移交、监督销毁的顺序处理，不能自行决定。

第三件，公告与注销。 经营个人征信业务的机构还要在指定媒体公告，并交回许可证注销。

顺序不能乱。 先处置数据再公告，或者先注销再处置数据，都可能被认定为程序违法。

常见问题

我在某平台上看到「央行征信合作机构」的牌子，这能说明什么？

只能说明它与征信机构有业务合作，不能说明它是征信机构。合作机构和征信机构是两个完全不同的身份。 判断还是要查名单。

企业征信机构备案了，是不是就能采集个人信息？

不能。备案的范围是企业征信业务，采集个人信息属于个人征信业务，需要另外的牌照。条例第十三条、第十四条对个人信息的限制，不因为机构类型而豁免。

征信机构被吊销牌照之后，我的信用记录还在吗？

在。第十二条的处理逻辑是数据要继续流转，不是随牌照一起消失。记录会转让或移交给其他机构，你的报告仍然可以查，只是查询入口可能变化。

征信机构的员工私自查我的信息，机构要担责吗？

要。条例第二十二条第二款要求机构对工作人员查询个人信息的权限和程序作出明确规定，并进行登记。员工违规查询，说明机构的权限管理或者登记管理存在缺失，机构难以免责。 同时，员工个人也可能承担刑事责任。

我可以要求征信机构删除一条真实的逾期记录吗？

不可以。异议程序只纠错，不消除真实记录。真实的逾期记录要等五年，从不良行为或者事件终止之日起算。这是条例第十六条的硬规则，任何机构都无权提前删除。

征信机构把信息卖给境外公司，违法吗？

可能违法，要看两件事：第一，第二十四条第一款要求在中国境内采集的信息的整理、保存和加工应当在中国境内进行；第二，第二款要求向境外组织或者个人提供信息应当遵守法律、行政法规和监管部门的规定。两条都过了才合法，只过一条不行。

个人征信牌照为什么这么少？

因为审慎。个人征信涉及十几亿人的信用记录，一旦出现系统性滥用，损害不可逆。条例设置的六项条件（含公司法一般条件）本身就是一道很高的门槛，监管在审批时的实际把握更严。

企业征信机构不做备案，会被发现吗？

会。第十一条要求监管部门公告名单，名单上没有而市场上在做的，本身就是线索。而且备案是三十日内，很多业务场景（比如与银行合作）会要求对方提供备案证明，不备案根本进不了场。

征信机构变更法定代表人，需要批准吗？

第九条列的五类批准事项里没有「变更法定代表人」，只有变更名称需要备案。但法定代表人的变更往往伴随股权或治理结构变化，实践中要看是否触及第九条的其他项。稳妥做法是主动向监管部门报告，不自行判断。

外资征信机构和境外征信机构，区别在哪？

外资征信机构是在中国境内设立的公司，适用第四十五条第一款，设立条件由监管部门会同有关部门制定、报国务院批准；境外征信机构是在境外注册、跨境来境内经营，适用第二款，要经批准。一个是「进来设公司」，一个是「在外面做业务」，监管路径不同。

关联阅读： 征信业务的定义与边界见征信业务；机构采集和加工的对象见个人信用信息；最终成品见个人信用报告；出了错怎么救济见征信异议。个人信息的通用处理规则见个人信息处理。《征信业管理条例》全文，可在法规原库查阅；征信类词条可在征信标签下汇总查阅；个人征信的高频问答见个人征信与信用修复。金融与支付类词条，可在金融消费分类下按序查阅。