一句话回答：反电信网络诈骗法把义务压实到三类经营主体身上——电信业务经营者、银行业金融机构与非银行支付机构、互联网服务提供者，要求它们建内控机制、做实名核验、监测识别涉诈异常并留存日志；不落实的，情节较轻处5万元以上50万元以下罚款，情节严重的处50万元以上500万元以下罚款直至停业整顿、吊销许可证，直接负责的主管人员另处1万元以上20万元以下罚款。
一、法律依据：反电信网络诈骗法2022年12月1日施行
先说时间坐标：2022年9月2日通过，2022年12月1日起施行。
义务主体有三类。第25条规定，电信业务经营者、互联网服务提供者应当履行合理注意义务，对利用网络资源服务、网络推广服务、应用程序和网站的制作维护服务、支付结算服务从事涉诈支持、帮助活动的，进行监测识别和处置；同时明确任何单位和个人不得为他人实施电信网络诈骗活动出售、提供个人信息，不得帮助他人通过虚拟货币交易等方式洗钱。
第31条则直接管到“两卡”：任何单位和个人不得非法买卖、出租、出借电话卡、物联网卡、电信线路、短信端口、银行账户、支付账户、互联网账号等，不得提供实名核验帮助，不得假冒他人身份或者虚构代理关系开立上述卡、账户、账号。
处罚是真金白银。第39条、第40条对电信业务经营者和银行业金融机构、非银行支付机构规定了同一量级的责任：情节较轻的，责令改正，给予警告、通报批评，或者处5万元以上50万元以下罚款；情节严重的，处50万元以上500万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处1万元以上20万元以下罚款。
第44条针对买卖、出租、出借“两卡”的行为：没收违法所得，由公安机关处违法所得一倍以上十倍以下罚款；没有违法所得或者违法所得不足二万元的，处20万元以下罚款；情节严重的，并处15日以下拘留。
二、实务中要注意：义务不是“配合一下”就够
我在给企业做合规体检时，最常发现三个漏洞。
一是内控机制空转。反诈不是装个拦截系统就完事，要有成文制度、可追溯的处置流程和留存的日志。第25条明确要求记录并留存相应服务的日志信息，支持对解析、跳转、转换记录的溯源，拿不出日志，基本等于没做。
二是实名核验走过场。电话卡、物联网卡、账号的实名登记与异常监测是硬指标，很多企业把这块外包出去就不管了，但责任仍在自己身上。
三是出了问题还要连带民事赔偿。第46条写得很清楚：上述主体违反本法规定造成他人损害的，要依照民法典承担民事责任。也就是说，行政罚款之外还有被诈骗用户索赔的风险。
提醒一句：合规动作要留痕。制度、培训、监测记录、处置台账，平时是成本，出事时就是免责证据。
三、案例分析（示意情景，非真实案件）
某互联网平台未尽涉诈监测义务，其短信通道被用于大量引流诈骗，受害人损失数百万元。监管部门依据反电信网络诈骗法开展检查，认为平台未落实内控机制、未履行监测识别与处置义务，可以按其情节处以罚款并责令整改；受害人另行提起民事诉讼要求赔偿。如果平台能出示完整的审核记录、拦截日志和及时上报的移送材料，主张已尽合理注意义务的空间会大很多。这就是“留痕”的价值。
示意情景只用于说明责任分配思路，不代表对任何真实企业的评价。
四、常见问题（FAQ）
问：反电信网络诈骗法什么时候施行的？
答：2022年9月2日通过，2022年12月1日起施行。
问：哪些主体负有反诈法定义务？
答：电信业务经营者、银行业金融机构、非银行支付机构、互联网服务提供者；另外任何单位和个人都不得为诈骗提供帮助。
问：违反规定的罚款有多高？
答：电信、金融主体情节较轻处5万元以上50万元以下罚款，情节严重的处50万元以上500万元以下罚款，并可责令停业整顿、吊销许可证。
问：买卖、出租电话卡和银行账户会被怎么处理？
答：没收违法所得，处违法所得一倍以上十倍以下罚款；无违法所得或不足二万元的，处20万元以下罚款，情节严重的并处15日以下拘留。
问：企业造成用户损失还要另外赔钱吗？
答：要。反电信网络诈骗法第46条规定，上述主体违反本法规定造成他人损害的，依照民法典承担民事责任。
问：企业合规最该先做什么？
答：先落地可留痕的内控机制：成文制度、实名核验、涉诈监测识别、日志留存与线索移送，并保留完整记录。
相关阅读
一句话收尾：反诈合规的重点不是“有没有买系统”，而是能不能拿出制度、日志和处置记录。
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512