量子计算正在成为继人工智能之后影响金融业发展的重要前沿技术。一方面，量子计算利用叠加、纠缠等量子特性，为投资组合优化、风险建模、衍生品定价、欺诈检测及复杂模拟等高维计算问题提供了新的求解路径，有望提升金融分析的精度和效率；另一方面，具备密码破解能力的量子计算机一旦出现，可能对当前广泛使用的非对称加密算法（RSA）、椭圆曲线密码（ECC）等公钥密码体系构成根本性挑战，并通过“先收集、后解密”等方式，提高敏感数据面临的安全风险。

在此背景下，全球主要经济体正加快制定后量子密码标准和迁移路线图，普遍将2030年至2035年作为关键迁移窗口。香港金融管理局（以下简称香港金管局）于2026年7月发布《香港银行业量子准备度白皮书》（以下简称《白皮书》），首次公布量子准备度指数，从认知、规划、试点和实务准备四个维度评估香港银行业的后量子密码准备情况，部署四阶段行动路径，并将推动银行业于2030年前实现全面量子准备作为行业愿景。本文在分析《白皮书》出台背景和全球监管趋势的基础上，解读香港银行业量子准备度现状，并结合技术进展及全球同业实践，提出下一阶段工作思考和建议。

技术背景：量子技术加快演进及应用普及，银行业面临赋能业务发展机遇、前瞻应对安全挑战更为迫切

（一）量子技术加快演进，金融领域应用图景逐步清晰，正逐步融入业务流程

近年来，量子技术发展重心逐步由单纯追求量子比特数量，转向提升系统可靠性、纠错能力、软硬件协同和实际问题求解能力，商业化探索明显提速。麦肯锡《2026年量子技术监测》显示，全球已有超过300家机构与量子技术企业合作解决实际业务问题，2025年量子计算企业全球收入首次超过10亿美元，预计到2028年最高可增至44亿美元；从长期看，量子计算到2035年有望创造1.3万亿至2.7万亿美元经济价值。与此同时，大规模容错计算、系统稳定运行和规模化集成仍面临较多技术约束，近期至中期投资回报仍较难准确量化，多数应用仍处于实验或“量子—经典”混合阶段（见图表1）。

金融业务是量子计算最重要的应用场景之一。国际清算银行(BIS)研究指出，量子计算未来可在压力测试、宏观经济分析、资产定价等金融领域发挥作用，但当前总体仍处于实验阶段。现代银行经营管理高度依赖概率模拟、组合优化和复杂关系分析，风险计量、资产配置、衍生品定价、压力测试、交易优化和欺诈识别等业务，普遍具有数据维度丰富、影响因素多元、约束条件复杂等特点，随着风险因子、资产种类和业务场景不断增加，传统计算往往需要在计算时间、模型精度和场景复杂度之间进行平衡。量子计算利用叠加、纠缠等量子特性，通过量子模拟、量子优化和量子机器学习等方法，为部分高复杂度问题提供新的求解路径。

从应用方向看，量子技术的金融价值正逐步向资产配置、风险计量和智能风控等高价值场景聚焦。在资产配置领域，量子优化及“量子—经典”混合算法可为收益、风险、流动性、交易成本和监管约束并存的复杂组合问题提供新的求解路径，提升高维条件下的资源配置和决策能力；在风险计量领域，市场风险、信用风险和交易对手风险管理高度依赖蒙特卡洛模拟、情景分析和概率估计，量子模拟及相关算法有望提高复杂风险计算效率，在既定资源条件下纳入更多风险因子和极端情景，提升风险识别和压力测试的精细化水平；在智能风控领域，量子机器学习可与人工智能、大数据和知识图谱等技术协同，为异常交易、复杂资金关系和欺诈模式识别拓展新的分析方法。现有研究已将金融建模、投资组合优化和欺诈检测列为量子计算在银行业较具代表性的潜在应用方向。

从应用阶段看，当前量子计算更可能作为经典计算体系的能力补充，通过混合计算模式逐步融入金融业务流程。对银行而言，现阶段宜坚持前瞻布局与审慎投入并重，聚焦风险计量、资产配置、交易优化和智能风控等高价值、高复杂度场景，加强技术跟踪、联合研究和适度概念验证，逐步积累人才、算法和系统集成能力，为未来量子计算带来实质性商业价值做好准备。

（二）量子安全风险前置显现，银行现有密码体系面临深层治理挑战

虽然量子计算业务应用仍需等待技术和商业模式进一步成熟，量子安全风险已呈现“影响基础性、暴露前置性、迁移长期性”的突出特征，正由远期技术风险加快转化为银行现实治理议题。现代银行数字化经营建立在密码技术支撑的信任体系之上，客户信息保护、身份认证、数字签名、支付结算、系统通信和远程接入等均广泛依赖密码算法。量子计算一旦达到密码学相关规模，影响将不局限于个别系统，而可能沿数据、身份、交易和通信链条向银行经营体系传导。BIS研究指出，密码技术广泛承担金融体系的保密性、完整性、认证、访问控制和不可否认性保障，量子计算对现有密码体系的影响因而具有明显的基础设施属性。

一是现有公钥密码安全基础面临重构，量子风险具有“底层冲击”特征。当前银行大量使用RSA、ECC等公钥算法，支撑密钥交换、身份认证和数字签名等关键功能。Shor算法[1]作为量子计算领域最具代表性和颠覆性的算法，在足够强大的量子计算机上能够显著降低整数分解和离散对数问题的求解难度，使RSA、ECC等主流公钥密码面临失效风险；相比之下，量子计算对对称密码的影响相对有限，可通过提高密钥强度等方式增强抵御能力。BIS将网上及移动银行、支付交易、机构间保密通信和VPN连接等列为较易受到量子密码攻击影响的金融场景。

二是“先采集、后解密”推动风险提前暴露，量子威胁具有明显的时间前置特性。当前尚未出现能够大规模破解主流公钥密码的量子计算机，但攻击者已经可以截获并长期保存加密数据，待未来算力成熟后再实施解密，即“先采集、后解密”（Harvest Now, Decrypt Later，HNDL）。BIS明确指出，正是由于HNDL的存在，量子密码风险的实际影响时点早于量子计算机成熟时点，需要立即开展准备。对银行而言，客户身份资料、账户信息、交易记录、商业秘密及部分跨境业务数据具有较长保密周期；抵押贷款等长期合同以及长期有效的数字签名，也可能跨越未来量子威胁形成期。BIS进一步指出，对保密期较长的数据和有效期较长的数字签名，保护措施可能需要在量子计算机真正出现之前即启动。

三是密码体系覆盖面广、迁移链条长，技术调整是一项复杂的系统工程。大型银行经过长期数字化建设，密码能力已深度嵌入应用系统、网络协议、证书体系、软件组件、硬件安全模块、终端设备和第三方产品，部分历史系统还存在密码资产分散、依赖关系复杂等问题。因此，后量子密码（Post-Quantum Cryptography，PQC）迁移不是简单替换一种算法，而需要经历密码资产识别、风险分级、架构改造、产品升级、兼容性测试和外部协同等多个环节。美国国家标准与技术研究院(NIST）明确将识别硬件、软件及服务中量子脆弱算法[2]的使用情况作为迁移基础，并据此建立风险排序和迁移路线图；BIS也强调，金融体系向量子安全迁移不能视作“算法直接替换”，而应采取分阶段迁移、密码敏捷和纵深防御等系统性方式。从银行自身特点来看，资产清查、系统改造、设备升级、供应商协调和业务验证往往需要多年完成。

（三）全球标准和监管安排加快完善，银行量子准备进入重要窗口期

随着后量子密码技术由算法研究加快走向标准化和工程实施，全球量子安全治理监管日趋成熟，银行开展量子准备的外部条件已基本形成。2024年8月，NIST正式发布ML-KEM、ML-DSA和SLH-DSA[3]三项首批PQC标准，PQC由此从算法筛选阶段进入可实际部署阶段：

一是技术标准加快成熟，量子安全迁移关注落地路径。NIST首批标准落地后，主要经济体开始围绕密码资产发现、系统适配、迁移测试和密码敏捷等环节细化实施要求，PQC迁移逐步具备纳入大型机构科技改造计划的技术基础。与传统算法升级相比，本轮迁移覆盖应用系统、网络通信、数字证书、身份认证、第三方软件及硬件设备等广泛领域，各国监管和网络安全机构普遍将资产发现、风险排序和分阶段迁移置于突出位置。

二是迁移路径日益清晰，2030年前后被视为全球关键系统量子安全改造的重要节点。英国国家网络安全中心（NCSC）已明确“三步走”安排：2028年前完成迁移目标确定、密码依赖发现和初步规划，2031年前完成最高优先级系统迁移并形成全面路线图，2035年前完成全部系统、服务和产品迁移。欧盟2025年发布协调实施路线图，提出成员国最迟于2026年底启动PQC迁移，关键基础设施应尽快完成，并以2030年底为最迟节点。2026年1月，七国集团（G7）网络专家组针对金融行业发布协调迁移路线图，提出可将2030—2032年作为关键系统优先迁移的参考区间，并将2035年作为整体迁移的重要参考目标。同时强调，该时间表并非统一硬性要求，而应结合系统重要性、数据敏感度、技术成熟度和迁移复杂程度动态调整（见图表2）。

三是监管关注由单项技术迁移进一步延伸至机构治理和系统韧性，金融业成为重点推进领域。G7金融行业路线图已将量子准备与治理和风险管理、第三方依赖、跨机构协作及持续监测相衔接，强调按照风险敞口和系统重要性安排迁移优先级，并逐步形成密码敏捷能力。中国“十五五”规划进一步强化量子科技战略布局，全国金融标准化技术委员会2026年已就《银行业抗量子计算密码迁移管理指南（征求意见稿）》公开征求意见，表明金融领域抗量子密码迁移正在由技术研究向行业标准和实施规范深化。 

香港银行业正处在与国际迁移窗口衔接的关键阶段。2026年7月，香港金管局发布《香港银行业量子准备度白皮书》，首次建立量子准备度指数（QPI），行业初始得分为2.3分，并提出通过实务指引、培训和行业协作推动银行业于2030年达到全面量子准备水平。在已经制定迁移计划的银行中，预计实施周期平均仍需5.6年。从时间上看，2030年目标并不宽裕；从工作性质看，当前也已由“是否需要准备”转向“如何尽快建立治理、规划、试点和迁移能力”。因此，香港金管局出台《白皮书》并非孤立的前沿科技政策，而是顺应全球量子安全标准化、金融监管协同化和迁移时间表明确化趋势，对香港银行业量子准备作出的系统部署。

内容解读：《白皮书》评估香港银行业量子准备基础，明确四阶段行动路线图

（一）以量子准备度指数审视行业准备基础和能力短板

香港金管局首次建立量子准备度指数（QPI），标志着香港银行业量子准备由前瞻关注进一步转向能力评估和实质推进阶段。QPI并不衡量银行已部署多少量子计算应用，而是围绕认知（Awareness）、规划（Planning）、试点（Pilots）和实务准备（Practical Preparedness）四个维度，系统评估机构识别、管理和应对量子密码风险的能力。首期行业QPI为2.3分（满分10分），其中认知2.4分、规划2.5分、试点1.8分、实务准备2.3分，反映行业整体仍处于由“风险认知”向“系统准备”转变的初期阶段。

一是治理基础有待巩固，量子风险尚未普遍纳入全局统筹管理。调查显示，39%的机构尚无正式治理安排，42%主要依托现有网络安全或风险管理机制进行非正式管理，约18%设立专门委员会或工作组；超过半数机构尚未安排PQC专项资金，64%未开展员工量子威胁或PQC培训，表明当前不少机构已认识到量子风险的重要性，但责任归属、资源保障和跨部门协同仍较薄弱，量子准备尚未由技术议题上升为需要顶层设计、系统推动的机构全局性工作。

二是风险底数有待充分摸清，规划能力掣肘由认知转向行动。66%的机构尚未评估自身量子风险敞口，50%尚未制定PQC补救或迁移战略，另有39%处于起草或部分制定阶段；36%的机构尚无正式密码资产识别流程，45%尚未建立正式密码物料清单（CBOM），约三分之二未配置专职人员或相关工具。对银行而言，密码资产广泛分布于应用系统、网络设备、接口组件和第三方产品，若不能首先掌握量子脆弱算法分布、关键数据暴露和外部依赖关系，就难以科学确定风险等级、迁移顺序和资源投入重点。

三是技术验证和实施准备有待加速，规划向迁移转化仍存在断点。实践现状看，试点维度得1.8分，在QPI四个维度中得分最低，71%的机构尚未开展或计划开展PQC算法及密码敏捷性测试，近3/4尚未验证迁移方案、回退机制和密码恢复能力。实务准备方面，58%的机构尚未系统跟踪量子准备或密码迁移进度，13%建立明确里程碑和治理报告流程，46%尚无正式密码敏捷要求，14%将相关要求纳入技术架构和软件设计，反映香港银行业当前短板已经从“是否了解PQC”转向“能否通过真实环境验证形成可迁移、可回退、可持续管理的实施能力”（见图表3）。

（二）明确依据四阶段路线图落实量子准备重点任务

《白皮书》提出“认知—规划—试点—实务准备”四阶段路线图，核心逻辑是先建立治理机制，再摸清风险底数，在受控环境验证技术方案，最终形成分批迁移和持续管理能力，实现由“认识风险”向“管理风险”、由“制定规划”向“实施迁移”的转变。

第一阶段（Awareness），强化统筹推动，推动量子风险由技术议题纳入机构治理。量子安全迁移涉及科技、网络安全、风险、法律合规、采购、运营和业务等多个领域，首要任务是明确管理责任和组织保障。银行应推动董事会和高级管理层形成对量子风险的基本共识，明确牵头高管和责任部门，建立跨职能协调机制，并统筹预算、人才培训和技术跟踪等长期资源安排。 

第二阶段（Planning），全面摸清底数，形成风险导向的迁移规划。规划工作的关键不是简单列出待改造系统，而是建立覆盖算法、密钥、证书、密码库、通信协议、硬件安全模块及第三方组件的密码资产清单（CBOM），系统识别RSA、ECC等量子脆弱密码在关键系统和业务场景中的分布，并结合数据敏感程度、保密期限、系统重要性、业务中断影响和外部依赖开展风险分级。对长期敏感数据、关键业务系统、互联网接口、数字签名、支付基础设施等高风险领域应优先安排迁移，同时将关键供应商PQC路线图纳入整体计划，逐系统明确升级、替换、隔离或退役等实施路径。

第三阶段（Pilots），坚持试点先行，通过真实场景验证迁移方案。在完成风险识别和初步规划后，应选择风险可控但具有代表性的系统开展概念验证，重点覆盖网站及API、数字签名、密钥管理、云环境和外部连接等典型场景，对PQC算法及混合密码方案的性能、兼容性、互操作性、密钥和证书尺寸、业务连续性以及供应商支持能力进行测试；同时重点验证算法快速切换、异常回退和系统恢复能力，避免未经充分验证即开展大规模部署，试点成果应进一步转化为标准架构、配置模板、测试方法和迁移操作手册。这一阶段的价值不在于追求单个试点“上线”，而在于提前暴露规模迁移中的技术和运营问题，以小范围验证降低后续系统性改造风险。

第四阶段（Practical Preparedness），坚持分批实施，推动迁移由项目建设转入规模化执行。银行应按照风险等级和既定优先顺序分批推进系统迁移，持续跟踪进度、资源、风险和依赖关系，并同步提升证书、密钥、身份认证、代码签名等密码信任基础设施能力。对关键供应商，应通过合同里程碑、准备度评估和定期审查强化履约管理；对支付结算平台、金融市场基础设施、代理行及交易对手，应加强算法选择、测试安排和切换时间的外部协调；对暂缓迁移系统，则应实行有期限的风险接受和动态复评（见图表4）。

（三）以密码敏捷性建设为目标健全常态治理和协同保障机制

完成PQC迁移并非量子准备的终点，更重要的是借此形成能够持续适应密码标准和风险变化的长期能力。《白皮书》明确指出，四阶段行动的最终目的不是完成一次密码算法更换，而是建立“治理常态化、架构敏捷化、生态协同化”的长期安全能力。BIS亦强调，PQC并非现有算法的简单“即插即换”，金融机构需要结合密码敏捷、纵深防御、混合密码和分阶段迁移，提高基础设施面对未来技术变化的适应能力（详见附表）。

一是强化治理衔接，推动量子安全纳入既有风险管理体系。量子风险本质上横跨科技风险、网络安全、运营韧性、第三方风险和业务连续性等多个领域，银行应依托现有治理架构，将量子风险识别、迁移进度、剩余风险和供应商准备度逐步纳入管理层报告和相关风险管理机制，并与科技架构、系统建设、采购管理、变更管理和内部审计相衔接。在香港监管框架下，《白皮书》特别提出，可结合监管政策手册TM-G-1、网络弹性评估框架（C-RAF）和运营韧性框架（OR-2）统筹推进。 

二是强化架构适应，推动密码能力由“算法替换”向“敏捷切换”升级。密码敏捷性的核心，是在新的算法漏洞、技术标准或监管要求出现时，能够以较低成本和较小业务扰动调整算法、协议和密钥，而不必再次进行大范围系统重构。BIS将其定义为能够高效、平滑地调整和切换密码算法的能力，并指出未来金融基础设施应在灵活性与运行效率之间实现平衡。对银行而言，应逐步将密码算法与业务应用解耦，在新建系统、架构升级和软件开发中强化模块化设计，支持传统算法与PQC并行、算法动态切换以及安全回退，持续完善密码基础设施体系，涵盖证书处理与密钥管理、公钥基础设施（PKI）体系建设及HSM等硬件信任根的升级部署。

三是强化生态协同，推动量子准备由机构内部向供应链和金融网络延伸。银行密码安全高度依赖云服务商、核心系统供应商、证书机构、硬件设备商、支付清算平台、金融市场基础设施及交易对手，任何关键环节准备滞后都可能影响整体迁移进度。《白皮书》强调，应尽早要求关键供应商明确PQC路线图，将量子准备度纳入采购、续约和第三方风险管理，并同步做好客户、交易对手和外部连接的迁移安排。BIS也指出，金融体系高度互联，关键密码协议的淘汰、算法选择、混合方案以及跨境支付系统切换需要机构间协调，单一机构难以独立完成量子安全转型。

应对举措：对标国际实践，把握发展节奏，前瞻谋划银行量子能力建设

（一）国际同业实践：银行量子技术布局正由前期广泛探索逐步转向重点领域深耕，应用边界和实施路径日益清晰（见图表5）

量子安全：加快由局部验证向体系化迁移深化。国际代表性机构已将实践重点由单一算法测试扩展至密码资产识别、业务系统适配、支付通信、数字签名和企业级密码基础设施，并更加注重迁移过程中的性能、互操作性和密码敏捷能力。摩根大通持续推进量子安全密码及通信研究；BIS创新中心联合欧洲多家央行已将PQC测试由两地系统通信进一步推进至实际支付系统，在流动性转账中以PQC替换传统数字签名。 

投资组合与交易：应用评价重点明显由技术效果转向实际业务价值。该领域的共同特点是变量多、约束复杂、计算组合庞大，国际代表性机构重点验证量子技术能否在既定风险约束下提升求解效率和决策质量。西班牙对外银行（BBVA）较早采用真实市场数据对不同量子技术平台开展投资组合优化比较，并持续形成量子优化研究体系；摩根大通则逐步将投资组合优化纳入量子与经典计算协同的研究环境。汇丰与IBM的公司债交易试验，使用生产级欧洲公司债数据验证量子增强算法，对客户询价成交概率的预测效果较常用经典方法最高改善34%。

风险计量与衍生品定价：突出复杂模拟和高维计算能力。国际代表性机构主要围绕交易对手信用风险、复杂衍生品估值、概率分布处理以及高维市场变量分析开展研究，并普遍以银行现行模型作为比较基准。法国农业信贷银行持续开展交易对手信用风险和投资组合优化研究，汇丰围绕风险建模所需概率分布和高维金融数据开展量子验证，大华银行（UOB）则探索量子计算在复杂金融衍生品估值中的应用。 

金融犯罪防范：量子计算与人工智能、图分析协同的应用解决复杂关系网络识别问题。劳埃德银行与IBM使用匿名真实交易数据开展九个月试验，将量子算法应用于钱骡网络的图关系分析，研究结果显示部分量子算法具有长期潜力，但更适合作为AI和经典机器学习的补充。

底层能力建设：加快由分散试验向混合计算和平台化模式演进。摩根大通与OQC、AMD于2026年启动量子AI平台合作，将量子计算、人工智能和经典高性能计算纳入统一企业级环境，重点研究量子机器学习、投资组合优化及AI与量子计算双向增强。SC Ventures与富士通进一步成立Qubitra Technologies，规划同时建设量子增强金融应用和量子生态平台，应用方向覆盖欺诈检测、衍生品定价和金融市场交易，并计划在2026年推进首批应用及平台试点。BBVA则通过云端分布式量子模拟建立自有试验架构，为量子硬件尚未成熟阶段的算法开发和复杂金融任务验证提供支撑。

（二）思考建议：在港中资银行可依托母公司科技基础，发挥香港平台优势，稳步推进量子准备和前沿能力布局

在港中资银行具备依托母公司科技基础、发挥香港国际金融中心平台作用，统筹推进量子安全准备和前沿应用储备的有利条件。在港中资银行母公司普遍开展抗量子密码算法试点验证并建设企业级密码服务平台，为境外机构推进PQC验证和迁移提供了较好的技术基础；香港同时连接境内外监管标准、金融市场基础设施、国际科技企业和跨境业务网络，具备开展标准衔接、技术验证和跨境协同的独特条件。

一是依托母公司科技基础，率先夯实量子安全准备能力。充分复用母公司在密码算法、企业级密码服务和金融科技研究方面的既有成果，加强香港本地监管要求与集团技术标准、密码体系和系统架构的衔接，结合QPI框架开展量子准备度评估，逐步建立本地密码资产、风险敞口和关键外部依赖的管理基础。通过充分复用集团成熟能力，减少重复建设和单点投入，并将香港形成的标准衔接、系统适配和迁移经验逐步沉淀为可供集团境外机构参考的实施方案。

二是发挥香港跨境平台优势，积极参与监管和行业沟通。量子安全迁移涉及境内外密码标准、跨境数据、支付清算、金融市场基础设施和全球供应商，香港具备开展多标准环境验证和跨机构协作的良好条件。在港中资银行可加强与香港金管局及行业平台的沟通衔接，积极参与PQC工具、技术研讨和行业测试，在监管框架下验证国际PQC标准与集团密码体系、本地金融基础设施及外部系统的兼容性；同步加强与云服务商、HSM厂商、证书服务商、支付清算机构等关键第三方的路线图对接，提前识别跨境迁移中的互操作性和供应链风险。发挥香港“连接境内外、衔接多标准”的平台作用，有助于把属地监管要求转化为集团跨境量子安全建设的实践经验。

三是坚持价值导向，稳步做好量子应用和人才能力储备。在港中资银行可聚焦风险计量、资产配置、交易优化和智能风控等高复杂度场景开展小范围研究和概念验证。优先采用云端量子资源和“量子—经典”混合计算方式，以经典模型为基准评价性能提升和经济价值，并通过项目实践培养兼具金融业务、算法和科技架构能力的复合型人才，建立持续跟踪、快速验证和适时转化的能力，在技术和商业化条件成熟时能够及时把技术储备转化为业务能力。

▌声明：

本订阅号版权归工银亚洲研究所有，并保留一切法律权利。任何订阅人、其他机构或个人未经我方授权，不得以任何方式修改、转载或者复制本订阅号推送信息，否则均属于违法行为。如果侵权行为给我方造成任何直接或间接的损失，工银亚洲研究保留一切追究法律责任的权利。

转载时，需要保留全文所有内容并不允许进行任何修改与删减。需要注明出处，并在“原文链接”中保留原始公众号文章链接。