下载掌阅APP，畅读海量书库
立即打开
随着电子支付的普及和发展，通过信用卡进行支付已经成为我国目前的主流支付方式之一。截至2014年年底，我国信用卡累计发卡量4.6亿张，当年新增发卡量6400万张，比年初增长17.9%。而全年信用卡交易金额为15.2万亿元，同比增长16%，信用卡交易总额占全国社会消费品零售总额的比重达到58%，比2013年提高4.1个百分点。
与此同时，天量的信用卡交易之下也蕴藏着涌动的暗流，2014年，一起案件中因为信用卡欺诈银行业损失金额就高达1.5亿元，
而更多的欺诈限于举证成本等原因，是由持卡人等群体承担。对于数亿元乃至十数亿元的损失而言，由于最终责任人欺诈人往往并无法被追责，其损失需要在银行和持卡人之间进行分配，由此引发了大量的司法纠纷。
随着信用卡的普及，出于便捷等方面的考虑，信用卡采用免密支付的越来越多，尤其是双币信用卡普遍采用维萨（Visa）或者万事达（MasterCard）等基于签名（Signature-based）卡组织标准，在出境日益方便的今天，境外的免密支付传统也逐渐影响着国人的用卡习惯。随着中国银联在力推“闪付”这一小额刷卡无须密码的支付方式，可以说免密支付正越来越成为一种便捷的银行卡支付验证手段。
这一趋势也导致相关纠纷的逐渐产生，通过对裁判文书网、北大法宝、无讼案例等的检索发现，关于免密支付信用卡的盗刷纠纷在2013年左右开始出现，并越来越多。然而在处理此类信用卡伪卡盗刷问题上，各地法院都有其自身的判断，并无统一的裁判规则，甚至在很多法院自身内部都存在同案异判的情况，实践中关于此类纠纷缺乏规则指引。而目前学界虽然对基于密码的信用卡被盗刷有较多的讨论，但对于具体责任分配的讨论多基于法条和个人见解，对于司法实务以及责任的规则导向关注有限，关于免密支付信用卡的讨论更言之寥寥，甚至有不少误解。本节试图从目前学界很少讨论的免密支付信用卡被盗刷的情形为重点着手，对信用卡盗刷责任分配问题进行讨论。
信用卡诈骗对于社会的负担并不仅限于持卡人的损失，从整体上看，还增加了经济体在支付环节的交易成本，例如，执法部门需要投入精力来对抗信用卡诈骗，又如，诈骗也会导致一些合法的交易因为过于广泛的防止欺诈而导致支付的问题被搁置。因此，信用卡诈骗可以说是社会的毒瘤。而信用卡诈骗非常复杂，门类多样，增加了预防其发生的困难。依据诈骗方式差别可以将此类诈骗粗略分为五类：（1）真实持卡人欺诈，将授权交易诈称为盗刷；（2）盗卡交易，盗窃他人信用卡交易；（3）欺诈发卡，卡片是真实的，但获得卡片的信息是假的；（4）伪卡交易，盗窃卡片信息复制卡片后进行交易，账户是真的，卡片是假的；（5）伪卡伪账户，账户和卡都是伪造的。 [1] 其中盗卡交易、伪卡交易统称为盗刷。
盗刷是一个通俗说法，真实表达是非许可使用（unauthorized use），曼教授就认为盗刷是信用卡目前待解决的法律问题中最核心的四个问题之一。 [2] 通过对以往案例的搜索分析发现，目前信用卡盗刷纠纷在一些关键性内容上可以进行类型化划分，其中依据支付方式的差别可以分为凭密支付/免密支付，支付渠道差别分为线上支付/线下支付，支付实体卡差别分为伪卡支付/盗卡支付。限于篇幅，本节无法对所有问题进行讨论，主要关注“免密—线下—伪卡支付”，作为对照关注“凭密—线下—伪卡支付”两种类别之下的责任规则。
信用卡盗刷纠纷本质是盗窃人侵犯了持卡人的财产权，终极责任人是盗窃人，但由于此类案件中真正的盗窃人难以找到，纠纷往往只会涉及持卡人和银行，因此本节的讨论范围仅限于持卡人与银行等机构间的责任分担。依据《银行卡业务管理办法》第五十二条的明确规定，挂失后的责任全部由银行承担并无争议，然而挂失前的责任分担并没有明确的法律规定，正因为这种法律的缺位，该阶段也成为纠纷的多发阶段。
从法律关系着手，盗刷涉及的法律关系最直接相关的应为侵权关系，虽然《民法典》第一千一百九十八条规定了银行的安全保障义务及违背该义务的补充责任。但由于侵权法以过错责任为原则，因此在实践中需要持卡人证明银行存在过错，过高的证明责任导致实践中举证困难重重，依据判决书的实证研究也表明非常少的纠纷会通过侵权法寻求救济，而免密支付类盗刷案中更是没有案件通过该途径寻求民事救济。因此本节主要在合同法的框架下对该责任进行讨论。
违约责任之下，首先需要确认的是违反的何种约定或者法定义务，现有案例普遍认为是“对储户存款的安全保障义务”
，该义务并非法官的创制，而是有实定法的依据，其中《消费者权益保护法》第十八条从正面规定了银行对储户的安保义务，《商业银行法》第6条又从反面角度规定了银行保障储户权益不受侵犯。这两条施加于银行的公法性较强的义务通过《民法典》第五百零九条合同附随义务的转介而进入私法，得以在合同关系中调整银行与持卡人之间关系。因此在合同法下，银行有此类安保义务并无疑问，问题的关键在于银行的安保义务其外延并不清楚，在免密支付被盗刷场景下对该义务的界定更显得模糊。
关于该类问题法律并无明确规定，而应向更细致的下位法进行发掘。此种安保义务的一个表现在于对于交易的审查，2001年的《银行卡联网联合业务规范》（银发〔2001〕76号）
规定的流程为“交易成功，打印交易单据，收银员核对单据上打印交易账号和卡号是否相符后交持卡人签名确认，并对信用卡交易核对签名与卡片背面签名是否一致后，将银行卡、签购单回单联等交持卡人”，由此免密支付实现了交易中的双重审查，第一重审查一般很难出现差错，而第二重审查则较为纠纷高发，上述规范进一步规定“经审查，如发现持卡人与彩照上的照片不一致或签购单签字与卡片留签字不符时，应拒绝受理并及时与收单行联系处理”。
由此，审查义务的法律规定大致明确，除了对于卡片本身的确定通过卡号的比对，对于持卡人的验证主要通过比对审查签单的签名与卡背后的签名，但规范在前后两处的规定并不相同，在后者规定了特别商户在审查时需要确认“持卡人与彩照上的照片不一致”或者签名不一致，但由于这规定于“风险控制”一章，因此从逻辑上解释应该是如果签名一致，照片不一致可以拒绝该交易，但审查时只审查签名亦无不可。
安保义务的第二个表现在于危险的提示义务，《消费者权益保护法》第十八条规定“对可能危及人身、财产安全的商品和服务，应当向消费者作出真实的说明和明确的警示”，由于免密支付本身会导致更大的盗刷风险（参见后文），所以应该向消费者进行提示，广东高院发布的《关于审理伪卡交易民事案件若干问题的指引》（以下简称《指引》）认为“对于未设密码的银行卡被伪造后交易的，发卡行如办卡过程中履行了不设定密码后果和风险的提示义务，持卡人在不超过卡内资金损失的50%承担责任”。如果持卡人未履行提示义务，则其承担的责任往往可以达到100%
。
银行即使违反了其安保义务，并非意味着银行应当承担全部责任，还要考虑持卡人是否尽到了其善良管理义务，否则应该适用《民法典》第五百九十二条关于与有过失的规定。
虽然从目前的分析而言，现有规则似乎能从学理上对免密支付被盗刷的责任规则提供一个较为明确的指引，但该规则在现实中却存在两个方面的问题：
其一，责任认定规则难以统一。如广东高院是目前全国唯一出台专门的《指引》对该问题进行规范的，《指引》中甚至约定了明确的举证责任与赔偿比例安排，但是无明确证据认定持卡人过错的场景下，不同的法院在判决中对于银行的责任比例不尽相同，有银行承担70%的
，亦有银行承担100%的
。还是在该场景下，更进一步，当考虑到全国关于举证责任的广泛差异，如过错责任与过错推定责任下，其责任完全不同，过错责任下由持卡人承担损失，而过错推定下由银行承担损失。如果考虑到其他过错场景，显而易见，理论上的明确的规则在实践中完全无法统一全国规则。
其二，持卡人和银行责任并不明确。诉讼案件频发，消耗司法与社会资源。对于银行而言，由于无论侵权或合同纠纷，本质上都会涉及银行是否存在着过失，违背了其法定的义务，对于以声誉为重的银行，存在声誉损失；此外此类事件发生往往需要以法院判决的形式确定并计提相应的账目款项，存在诉讼相关的费用损失。对于持卡人而言，由于持卡人在此类案件中往往处于受害者地位，而其主张权利需要和银行进行反复沟通，时间和金钱成本过高，如果发生诉讼，则其为实现其应有保障的成本往往会高于其收益。对于司法系统而言，此类案件发生频率高，纠纷普遍数额不大，需要投入大量的精力在其中进行处理。
由此，上文看似明确的法律逻辑，当应用于司法实践中会发现其规则并不确定，这促使了个案纠纷多发且必须通过司法解决，增加司法、当事人的负担的同时，由于当事各方缺乏对于规则的明确期待，进而无法预知结果，结果的不确定性导致无法投入资源进行相应的损失预防。可以得出结论，目前的现有规则并不完美且缺乏效率，需要采用经济分析的工具对相应的规则进行探索，寻求一条有效率的分担规则。
在法律法规没有规定，裁判规则并不统一，责任分配规则事实上存在着缺位，现实中有很大的需求形成一个规则，但这并不意味着需要通过立法来对该领域进行修改补白，在“政府—市场”两元划分中，解决市场中的权责分配问题首先应该用市场的思维，市场是否有可能存在“看不见的手”，通过私人间的协议的竞争实现规则的供给呢？
理论上，依据科斯第一定理，如果交易成本为零，无论权利如何界定，都可以通过市场交易达到最佳配置，而与法律规定无关。
因此只要交易成本不那么大，都可以参考这一定理，可能形成一个近似最优的私人规则，而无须法律进行界定。甚至芝加哥大学的爱泼斯坦教授认为，非授权交易的责任安排只能通过合同进行，强制或者默认的法律控制都并不合适。
[3]
考虑到信用卡市场的情况，这种私人市场存在两个层次：卡组织—银行的层次、银行—持卡人的层次。
1.无法通过卡组织实现规则供给
卡组织由于其规则可以直接约束银行，但现有证据表明通过卡组织形成规范并不具有可能性，原因有以下四点：
第一，卡组织具有网络效应，故几个主要的卡组织占据着绝大多数支付市场份额。在我国，银联占据了主导性的地位，目前几乎所有信用卡都有银联版本，仅有部分双币信用卡会在支持银联的基础上支持万事达、维萨、美国运通、JCB四家境外卡组织，仅有境外卡组织的单标卡非常少见更少能使用。事实上，目前的竞争非常不充分，本质上国内市场是一超多强的格局，这种寡头竞争本质上并不激烈，产生理性规则的可能性有限。
第二，卡组织有其自身的利益，事实上只要被欺诈风险低，那么卡组织声誉的损失就并非卡组织首先关注的问题，卡组织最基本的关心的事情就是交易的规模，而非交易的可欺诈。而在扩大交易额方面，卡组织更关心的不一定是消费者，而可能是商家，商家的多功能终端阅读器（POS机）数量在一定程度上决定了该卡的使用范围，因此在政策制定时可能会向商家倾斜。
第三，纵然卡组织在其章程中进行了规定，但与持卡人直接发生联系的是银行，而非卡组织，只要卡组织的语言模糊，就会导致银行在制定信用卡领受合同中在条约撰写时朝向自身。
第四，卡组织的竞争是基于当地法律基础之上而进行的。由于竞争强度有限，一国的基础法律不发生改变，则卡组织间的竞争不会无限制地超顶竞争。例如，万事达的规则明确分为美国、加拿大、欧洲、拉美和加勒比地区、中东和非洲、亚太地区六大区域，在这六大区域内实行不同的盗刷责任分配政策。而在维萨的规则中也分为类似的美国、加拿大、东欧中东及非洲、欧洲、亚太地区、拉美加勒比地区，其盗刷赔偿政策与万事达相似，两者都在美国、加拿大实行零责任规则，然而都在亚太区并不实行相应的规则。
2.无法通过银行实现规则供给
既然卡组织层次的竞争无法实现最优的规则，那么在银行层面的竞争是否可能呢？银行层面竞争的参与者明显更多，竞争更加充分，可以说更加类似于一个完全竞争的市场。但银行间竞争也貌似并不可能带来最优的责任规则。试陈述为以下五点：
第一，银行和消费者之间实力悬殊，银行一般不会与消费者进行协商，消费者通过协商产生损失分担条款通常非常昂贵，会超过其现在的收益。
第二，合同的责任条款仅仅是合同中的一个条款，而且往往并非消费者考虑的重要条款，因此即使存在激烈的市场竞争，消费者也并不会特别关注这个问题，所以这个反欺诈条款的价值事实上可能并不存在最优解。
第三，作为替代协商的方式，通过比较选择格式合同可以降低这种协商成本，取而代之的是搜索成本。当交易价值不高，以至于在对格式合同进行比对和搜寻的信息成本会高于格式合同选择所带来的潜在好处时，消费者往往会简单地处理价格和质量的不确定性而成为理性的傻瓜。因此“对于消费者而言，进行可以为格式合同创造市场竞争的行为，代价是非常高昂的，因此才会出现柠檬市场”
。
第四，信息不对称限制了这种比较选择的功能，消费者在开账户时不太会思考合同的责任条款，而那些思考格式条款的会发现他们的思考被合同难以理解的法言法语（Incomprehensible legalism）困扰。 [4]
第五，即使知道合同条款的意思，消费者也无从知道每个条款的价值。由于信用卡盗刷的可能性非常小，离普通人比较遥远，而潜在的损失非常大，因此难以判断。而商家和企业经常面对盗刷，对这一问题有一定的判断能力。
事实上，纵然经过市场能够产生统一的规则，但这一规则也并非最优的。那么对于支付系统价格变化更不敏感，没有弹性的主体就会承受更多的欺诈损失，而不是最能避免损失的主体。 [5] 这是由于市场逻辑本身决定的，市场逻辑并非会天然指向最优解，而是指向限制条件下的最优解。
既然免密盗刷的规则需要通过公权力来进行供给，那么“立法者”
在处理这一问题上首先关注的问题就应该是明确免密支付和凭密支付之间的差异。
从支付的流程角度出发，免密支付的流程是：（1）商家检查卡片；（2）获得发卡行对交易的批准；（3）持卡人签字并进行比对。凭密支付的流程是：（1）商家检查卡片；（2）输入密码；（3）获得发卡行对交易的批准。两种支付方式都需要双重验证，在第一重验证卡本身的验证上并无差异，差异在于第二重验证是密码或签字，密码和签字的区别在于：（1）签字并非免密支付批准的步骤，而密码是凭密支付批准的前置步骤；（2）签字是由商家进行验证，而密码是由发卡行进行验证；（3）免密支付不会涉及密码被泄露有关的责任问题，需要确定的是持卡人是真实的，即签字与背面的本人签字是一致的。这种验证方式的区别导致在反欺诈方面的差别。
我们从“成本—收益”的角度来进行分析。对于商家，免密支付和凭密支付，就成本而言，并无区别，因为目前我国银联付款下，信用卡的费率并不以验证方式的变化而设置差异费率。而目前我国广泛引用的凭密支付已经使得其密码输入等基础设施非常完备，切换到免密支付并不会增加商家的设备成本。对于持卡人而言，是否使用密码并不会在费率上有任何影响，因此从支出方面并不会增加额外的成本。在每次交易的时间成本上，无论凭密支付时输入密码还是免密支付时对身份的验证，其成本是相似的，也不会造成更多的费用。
而从被欺诈可能造成的损失方面而言，免密支付和凭密支付却存在着差异，伪卡盗刷对于凭密交易而言，需要的信息包括信用卡卡号以及密码，由于密码的机密性、完整性、可用性，其获取难度相对较大。而对于免密支付而言，只要获得基本的信用卡信息并进行签字就可以进行交易，其获取难度可谓比凭密支付少了一个制约因素。这一判断并非无稽之谈，虽然并无我国的相关数据，但美国《2011年存款账户欺诈调查报告》的数据显示，从盗刷金额占总交易金额百分比而言，免密支付的信用卡为0.085%，免密支付的借记卡为0.075%，而凭密支付的借记卡为0.013%。凭密支付的损失远小于免密支付的损失。
也有研究表明，免密支付被欺诈的概率15倍于凭密支付。
[6]
因此可以认为，凭密支付方式在保障资金安全上具有更大的优势。
由此可见，在同等类似成本的情况下，凭密支付的被欺诈概率更低，证明免密支付通过签名进行验证并不安全，是否可以对之进行修改增加其安全性呢？例如，在海外购物时，流动人口多的地方往往需要出示自己的身份证件配合信用卡才能进行刷卡。但这种验证是否可以作为一种普遍性的验证方式呢？显然在技术上并没有难度，但是在实践中会遇到两个方面的困难，一方面，增加身份证件验证会增加免密支付的复杂性，使得其相对凭密支付的快捷性优势丧失，甚至因为必须携带身份证件而更加麻烦；另一方面，会导致隐私问题，使得匿名的交易实名化，增加身份信息泄露的风险。
虽然我们可以高呼信用卡的安全至上，但是事实上信用卡安全和信用卡的便捷性是存在内在矛盾的，因此必然存在一个安全和便捷性的对冲（Tradeoff）。这种对冲是个人选择，本无可厚非，但当面临着责任需要由银行进行承担时，就已经产生外部性了。控制这种外部性的机制主要有两种：一种是将外部性内化，即通过对免密支付的持卡人征收更高的交易费用，而这对于激烈市场竞争环境下，似乎并不可能；另一种是对产生外部性行为提供负反馈，即对免密支付持卡人提供更少的保护，以减少外部性的同时对该风险进行控制，这一思路是可行的，体现在责任机制上对免密支付的持卡人设置更严格的赔付条件。
因此，当银行对这种安全性风险进行提示之后，持卡人坚持采用免密支付可以视为一种侵权法上自担风险的行为（Assumption of Risk），从而通过《民法典》第一千一百七十三条实现银行的部分免责。但是，这种部分免责，难以在合同法下找到相应的依据，《民法典》第五百九十二条关于与有过失的规定并不能适用，因为免密支付并不构成持卡人违约，故不能通过此种方式实现矫正正义，而需要规则进行明确进而将两者的风险进行区分。
虽然国家介入可能会影响到私主体的预期，并存在缺乏信息的监管难题，而且监管介入并不一定会导致最优解，但同时也需要看到，监管可以优化市场的结果，深思熟虑的监管介入可以弥补由于谈判能力（Bargaining Power）的差异并使得结果更接近在理想完全竞争市场的结果。
1.降低预防成本
由于责任分配本身并不创造价值，因此难以形成帕累托最优，但对于责任的分配及由责任分配所带来的效率提升，使得存在形成卡尔多—希克斯最优的可能性，即在整个系统内实现欺诈损失最小化。
对于伪卡交易而言，无法在事先确定谁是最低成本的避免者（Ieast Cost Avoider）。由于伪卡需要真实卡片的信息，因此信息保护就成为防止此类欺诈的关键。成本最小避免者随着交易流程的信息流而变化，交易流程中保持信息也很多。 [7] 但是即使有最优的数据保护，还是有可能通过刷卡而获得信息，如在交易时商家可以通过磁条读卡器读出卡的磁条信息，该信息被用于另一张空白磁条卡而成为复制卡，或者将该信息用于网上交易等无卡交易。
对于伪卡交易，成本最小避免者很大程度依赖欺诈人如何获得真实账户信息。在这一过程中，持卡人、收单行、发卡行、卡组织、商家都有可能。持卡人可以提高其谨慎，通过妥善保管卡片等方式在一定程度上减少损失，但其手段有限且不具有规模效应，而且一旦卡片使用后信息泄露，进入复制者的视野，那么阻止伪卡交易就取决于发卡行和卡组织以及实体卡的安全功能。商家除过于明显的伪造外，无法分辨伪卡。在这个层面上，商家几乎无能力阻止欺诈。 [8] 发卡行掌握了磁卡的设计，可以通过更新卡片来设置技术壁垒；发卡行在批准交易时，具有足够强大的数据能力可以进行一定的真伪交易的分辨；发卡行掌握足够的风险商户的数据，可以通过其系统增加对此类商户交易的控制等。因此更多的责任分配给发卡行是合理的，发卡行能以最小成本避免损失。
尽管发卡行在减少预防成本上有优势，但发卡行的责任不能无限制增加到严格责任，而应该对其责任进行限缩，以避免持卡人在此种情况下的道德风险。道德风险主要涉及的是责任、风险、收益之间的不对称，将过多的责任分配给发卡行，会导致持卡人的安全保护意识不足，进而增大信息泄露被复制盗刷的可能；同时也会鼓励其采用高风险方式用卡，并通过银行承担风险并分配给所有持卡人或商户。
2.风险分担
风险应该由能正确对风险进行估价的一方来承担，他们通过对风险的正确估价能实现风险中性（risk neutrality），进而风险厌恶者会通过支付高于风险潜在损失的价格而将风险转移给该风险中性方。 [9] 估计风险造成的损失与实际的损失差值越小，越有助于其进行风险的准备，而这一实现风险中性的能力与损失的大小和传播损失的能力相关。
从这个角度看，个人承担损失并不合适，一方面，损失一般数额不小且频率很低，持卡人难以进行预防，另一方面，持卡人无法将责任进行足够的分担，即使其可以通过保险来对抗该低频风险并进行分担，但此类保险价格相对高昂且存在极强的道德风险，经过美国市场的检验，效果差强人意。
相反，由银行承担较多的风险是适当的，一方面，银行在预测损失的能力方面较强，纵然银行无法确定哪一笔交易可能是盗刷，但是银行可以确定盗刷的比例进而估算出一定时间内盗刷的损失。另一方面，银行的客户数量很大，可以将盗刷的损失分担到足够多的客户身上，而且银行的收入来源非常多样，包括年费、授权费、交换系统费用等，这些费用都可以调整以用于分散盗刷的风险。
3.损失确定
损失发生后，确定责任应当规则明确，尽量减少制度的成本。这种确定不只是规则的确定，更是结果的确定。盗刷纠纷往往损失并不高，诉讼费用相对于争议金额非常高昂，减少不必要的制度摩擦非常有必要，以便盗刷发生后能方便地将法律规则变成实际的补偿款的发放。
盗刷发生后的损失首先由持卡人承担，如果其并非最终的责任人，则损失转移给最终责任人的规则越简单明确无歧义越好，由此才能避免无谓的诉讼，由此，严格责任要优于过错责任，单因素指标优于多因素指标，客观标准优于主观标准，法定补偿优于个案确定的补偿。尽管这一方案肯定会影响到规则的弹性，但考虑到诉讼成本是沉没成本，这种牺牲弹性争取效率的做法应该得到一定的支持。
1.美国。20世纪60年代，美国法律并未对相应的责任进行划分，在合同中往往约定在挂失前所有的损失基本都是由持卡人承担。这一规则建立的逻辑前提是所有的损失最终都是由持卡人承担。 [10] 这一思路固然没问题，但是忽视了损失由不同人分担会产生不同的激励效果，客观助长了盗刷问题的频出，为了解决这个问题加上当时消费者保护的兴起，美国于1968年颁布了《真实信贷法》（Truth in Lending Act，TILA）和1978年的《电子资金划拨法》（Electronic Fund Transfer Act，EFTA）进行规定，其中TILA规范信用卡，EFTA规范借记卡，二者实质性规则非常相似，持卡人承担50美元以内的责任，50美元以上由银行承担严格责任。其核心是对持卡人进行保护。
2.英国。1974年《消费者信用法》（Consumer Credit Act）第83条第5款规定，因遗失盗窃等原因信用卡被冒用，消费者只要向发卡机构办理挂失手续，不论是以书面或者口头挂失后7日内补正书面挂失的，都可以免除此后因被冒用所导致的损失；第1款规定，发卡机构与持卡人约定，持卡人承担不超过50磅被冒用产生的损失。
3.欧洲。欧盟委员会于1997年提出软法性质的推荐，
推荐欧盟成员国采用责任上限为150欧洲货币单位
的持卡人责任上限，当持卡人挂失之前出现丢失、失窃卡片被非授权交易，除非持卡人行为有重大过失（extreme negligence）或者有欺诈的故意（fraudulently）。这一思路也被之后的《支付系统指令》（PSD）
采纳，并在《支付系统指令二号》（PSD2）
中进一步将责任上限下降到50欧元。
就比较法而言，这种客户责任的限制似乎已经在欧美等发达国家和地区得到较为广泛的认可，而这一责任分担的方案也获得较多国内学者的认可并希望能得到引进。
但这种模式同样存在较为棘手的问题。
首先，“硬”上限不顾持卡人的多样性，选择一条固定的标准来对持卡人的责任进行限制，使得所有持卡人享受同样的保障，这导致低风险偏好的持卡人补贴高风险偏好的持卡人，由此高风险偏好持卡人没有动力来改善其风险状况，导致总体持卡人风险增加。
最后，由于责任条款是信用卡合同中的一个条款，而固定上限使得低风险偏好持卡人和高风险偏好持卡人绑定，进而牺牲了在其他方面的自由度，低风险偏好的持卡人可能会更希望严格的责任条款以换来其他价格条款的优惠。
再次，由于持卡人上限的锁定意味着大多数的损失主要由商家和发卡行承担，缺乏对持卡人的激励，而且缺乏对持卡人行为、风险的监控，持卡人在此情形下可能会出现道德困境和逆向选择。
因此，采用持卡人固定上限并非最优的解决方案。
正如塞缪尔教授所言，“严格责任同时不规定与有过失（Contributory negligence）本质上就是一种强制保险” [11] ，那么我们可以参考医疗保险的方式来制定差异化的赔付补偿机制，以实现消费者保护要求下的责任分担与合同法下的效率，并且能通过类似于保险中风险、保额、保费相匹配的机制，增加被保险人的责任减少保险人的责任，进而通过增加欺诈的成本来降低道德风险。具体包含主要有以下四种措施：
第一，约定免赔额（Deductible）、共担额（Copayment）。免赔额在保险中是损失达到数额以下的损失不负赔偿责任的扣除条款；共担额在保险中是看病买药时需要支付的固定数额，在持卡人民事责任中则类似英美各国的持卡人责任上限。
第二，约定分担率（Coinsurance）。在保险中是指损失超过免赔额之后，但还未达到年度最大自付额之前，每次看病个人要付的百分比，保险公司会付剩余的比例，在持卡人民事责任就是在免赔额之上，最高持卡人自付额度之下由持卡人和银行按照一定比例承担。
第三，约定最大自付额（Maximum Out-of-pocket）。在保险中是指损失超过该额度之后，所有的损失都由保险公司承担，在持卡人民事责任上就是超过一定损失，所有超额的损失都由银行承担。
第四，以上三个区间内的责任分配规则是默认规则，但当有证据证明一方存在严重过错时，应当依据与有过失对分配的比例进行相应的调整。同理，当一方从事高风险行为时（如采用免密支付），应当依据其风险调高其所承担的风险。
由此通过设定两个临界值，三个区间和三个区间内的责任分配模式规则，使得规则简单明确，从而减少纠纷的产生，增加赔付的便捷度，同时通过严重过错来对责任分配进行相应的调整，实现效率与公平的衡平。其中第一个区间内，通过设定免赔额，增加持卡人的欺诈成本；第二区间内，通过设定分担比例，实现损失在双方的共同分担，促使共同减小用卡中可能存在的风险；第三区间内，通过让银行承担无限责任，保护持卡人在遭受此风险时不至于承受超出其承受范围的损失，实现风险的分摊，同时通过该无限责任推动银行对该纠纷的调查，阻遏持卡人潜在的欺诈风险，以及促使银行增加在安全机制方面的投入。这样的责任设计方案也符合损失分散、损失减小、损失确定 [12] 的分担机制三原则。
[1] Levitin，Adam J.“Private Disordering-Payment Card Fraud Liability Rules.” Brook . J . Corp . Fin .& Com . L .5（2010）：1.P17.
[2] Mann，Ronald J.“Making Sense of Payments Policy in the Information Age.” Geo . LJ .93（2004）：653.
[3] Epstein，Richard A.，and Thomas P.Brown.“Cybersecurity in the Payment Card Industry.” The University of Chicago Law Review 75.1（2008）：203-223.
[4] Cooter，Robert D.，and Edward L.Rubin.“Theory of Loss Allocation for Consumer Payments.” Tex . L . Rev .66（1987）：63.PP68-69.
[5] Levitin，Adam J.“Private Disordering-Payment Card Fraud Liability Rules.” Brook . J . Corp . Fin .& Com . L .5（2010）：1.
[6] Levitin，Adam J.“Private Disordering-Payment Card Fraud Liability Rules.” Brook . J . Corp . Fin .& Com . L .5（2010）：8.
[7] Epstein，Richard A.，and Thomas P.Brown.“Cybersecurity in the Payment Card Industry.” The University of Chicago Law Review 75.1（2008）：203-223.P208.
[8] Levitin，Adam J.“Private Disordering-Payment Card Fraud Liability Rules.” Brook . J . Corp . Fin .& Com . L .5（2010）：1 P19.
[9] Cooter，Robert D.，and Edward L.Rubin.“Theory of Loss Allocation for Consumer Payments.” Tex . L . Rev .66（1987）：63.P71.
[10] Weistart，John C.“Consumer Protection in the Credit Card Industry：Federal Legislative Controls.” Michigan Law Review 70.8（1972）：1475-1544.P1508.
[11] Rea，Samuel A.“Comments on Epstein.” The Journal of Legal Studies 14.3（1985）：PP.671-674，672.
[12] Cooter，Robert D.，and Edward L.Rubin.“Theory of Loss Allocation for Consumer Payments.” Tex . L . Rev .66（1987）：63.P90.