數位 MVNO 營運的 USSD 治理

對數位MVNO而言，USSD 服務代碼命名空間並非遺留介面的附屬部分。它是受控的客戶營運介面，涵蓋啟用、餘額查詢、儲值券流程、自助服務、SIM Toolkit選單及特定反詐騙介入措施。當主網MNO將命名空間視為核心網路的預設設定，而 MVNO 將其視為品牌通路，且任一方均未承擔路由變更、資費處理、稽核證據或結算結果的責任時，治理便會失效。

在技術佈建前界定通路所有權

在佈建第一筆HLR記錄、USSD閘道規則或OTA參數之前，必須完成商業所有權的指派。短代碼的所有權並不當然授予其選單樹、路由政策、資料來源、計費觸發條件或客戶支援結果的控制權。例如，一項餘額查詢服務可使用 MNO 配置的代碼、由 MVNO 撰寫的內容、由主網控制的路由，以及 MVNO 的OCS帳戶查詢。

控制模型應遵循完整交易路徑。手機將撥號字串提交至MSC或IMS互通功能。閘道會將字串正規化、識別用戶、套用路由規則，並將工作階段交給應用程式。該應用程式可能查詢 HLR 或AuC、調用 OCS、呼叫 MVNO 後端，或在回傳回應前結合其中多項操作。每次轉換均需具名的控制責任人及證據來源。

服務代碼登錄表應區分網路保留代碼、MNO 零售代碼、MVNO 專屬配置、以IMSI為基礎分支的共用代碼，以及 MVNO 無法變更的監管或緊急功能。登錄表而非閘道匯出檔或BSS流程說明，應成為合約上的唯一事實來源。其應列明生效版本、生效日期、環境、允許的資費處理方式及退役狀態。

服務代碼所有者

獲授權提出配置、修改及退役要求的一方

路由所有者

控制閘道邏輯、IMSI 查詢及應用程式目的地的一方

計費所有者

對 OCS 設定、資費分類及收入記錄負責的一方

內容所有者

核准選單文字、語言、同意措辭及客戶流程的一方

事件所有者

提供首次回應、升級處理及根本原因證據的一方

SIM Toolkit 需要獨立的治理附表。MVNO 可控制 applet 與選單語言，而主網仍保留 OTA 傳遞、SMSC傳輸、設定檔容量及安全金鑰保管。因此，RACI 必須涵蓋代碼建立、路由變更、選單發布、內容核准、故障通訊、CDR保留、反詐騙規則變更及退役。

Tier-2 MNO，東南亞，約 18M 用戶發現，三個 MVNO 租戶使用相同的餘額查詢代碼，卻依賴不同的應用程式目的地及資費規則。該代碼在閘道文件中看似一致，但在商業層面並不一致。將控制措施納入租戶專屬的服務代碼登錄表後，不同的計費責任人得以顯現，亦消除了含糊的變更授權。

將路由與佈建設計為具版本控制的控制平面

可用性取決於 SIM 設定檔、核心路由、用戶資料庫及應用程式環境之間的協調狀態。針對每一代碼，工程文件應呈現決策順序：被叫字串正規化、MCC/MNC及 IMSI 範圍識別、可選的 HLR 查詢、用戶狀態驗證、閘道選擇及應用程式交接。應用程式端點能回應，並不表示路由已完整。它必須針對目標用戶狀態及接取條件正確解析。

多 IMSI 方案會增加另一個分支。作用中的設定檔可能在漫遊導向、主網遷移或商業設定檔切換後變更。同一撥號代碼可能因此到達另一個閘道、遭到受訪網路拒絕，或解析至 MNO 零售流程。路由政策必須識別在切換前後，哪些 IMSI 範圍會取得該代碼及選單處理。營運模型不應假設各設定檔之間具有一致性。

發布排序與驗收狀態

閘道規則、SIM Toolkit 定義、OTA 載荷及後端合約應共用一個發布識別碼。推進至正式環境需要明確的相依關係及回退準則。驗收測試必須涵蓋啟用前、啟用中、受限制、攜入待處理、攜出待處理、暫停及重新啟用的用戶。測試亦應驗證MNP結果，特別是在MSISDN與服務 IMSI 不再意味著相同商業所有權的情況下。

逾時需要端到端的時間預算。MSC、閘道、應用程式與 OCS 不應各自消耗獨立選定的時限。否則，下游扣款可能在手機工作階段關閉後才完成。驗收計畫應說明中間環節的時間分配、最終客戶回應，以及應用程式或計費相依項目失敗時的備援行為。

被叫字串正規化

對前綴、結尾井號及本地撥號變體的標準化處理

用戶選擇器

用於路由的 IMSI 範圍、MSISDN 範圍、HLR 狀態或 BSS 分群

回應逾時

端到端時限、中間逾時分配及定義明確的備援措施

發布相依項目

閘道規則、應用程式發布、OCS 政策、SIM 選單或 OTA 活動

回退觸發條件

故障門檻及獲授權還原作用中設定的一方

使計費、結算與收入分配可觀測

技術成功並不代表商業處理已獲確立。每項代碼均應分類為零費率客戶服務、收費自助服務、高資費或第三方加值服務、認證、儲值券互動，或內部營運功能。分類必須識別資費規則、責任方、適用時的稅務處理及結算依據。它亦必須說明漫遊接取是否改變收費。

為每項結果選定權威事件

各方應為每項收費及沖銷識別權威記錄。候選資料包括閘道 CDR、OCS 扣款記錄、中介處理輸出、BSS 交易、第三方應用程式收據或漫遊結算記錄。沒有任何單一記錄天生可作為每個流程的權威依據。閘道事件可證明工作階段處理，但未必能證明儲值券已發出、餘額轉移已完成，或下游採購已履約。

收入分配可依工作階段發起、完成回應、成功 OCS 扣款、已履約的下游交易或複合規則進行。多步驟服務通常需要最後一項。協議應規定扣款後逾時、重複請求、OCS 預留到期、應用程式確認失敗，以及客戶於指定時間區間內重試的例外處理方式。沖銷責任與執行時間應為可衡量的義務，而非非正式的營運慣例。

對帳應比較代碼層級的工作階段、計費結果及客訴。按 IMSI 範圍、資費方案、接取網路、受訪網路及應用程式版本分群，可使發布缺陷與路由洩漏變得可見。按月彙總的流量無法確定應由哪一方進行更正，尤其是在多個租戶共用一個代碼或閘道的情況下。

一家服務 EMEA 12+ 租戶的MVNE發現，閘道總額在每月容差範圍內與中介處理結果一致，但其中一個租戶的成功扣款數量明顯高於已履約交易。租戶層級的應用程式收據揭示，後端發布引入了逾時問題。由於其他租戶朝相反方向變動，彙總對帳掩蓋了該項損失。

若 MNO 保留閘道，MVNO 便需要可稽核的摘錄資料，當中包括工作階段識別碼、時間戳記、用戶選擇器、路由結果、應用程式回應、計費參考及故障代碼。存取可透過保存及私隱控制加以治理，卻不能以僅包含嘗試及完成次數的月度試算表取代。

將通路視為受控的反詐騙與營運介面

USSD 與 SIM Toolkit 可發起帳戶變更及付款事件，因此其控制措施應與交易風險相稱。SIM 卡存在或 IMSI 相符，對處理 SIM 卡置換、PIN 重設、餘額轉移、資費遷移、帳戶復原或DCB同意而言，並非充分保證。較高風險的流程可能需要第二因素驗證、近期帳戶變更檢查、交易上限或轉介至人工客服。

速率限制應按 MSISDN、IMSI、可取得時的手機識別碼、基地台或位置模式，以及代碼家族運作。單一全域門檻很可能阻擋合法的客戶服務使用，同時使分散式攻擊未被偵測。政策所有者應將查詢流量與移轉價值或修改憑證的操作分開處理。

調查記錄應關聯選單選擇、工作階段時間戳記、閘道路由、OCS 結果、後端決策、OTA 活動版本及最終回應。該共通記錄可減少協調不同主網與租戶時間線所耗費的時間。緊急程序必須識別誰可移除路由、抑制選單、撤回計費政策及向客戶營運團隊通報。對已確認的入侵事件，相關權限應在標準變更窗口以外亦能行使。

漫遊需要獨立的測試與政策集。受訪網路的 USSD 支援、CAMEL或 OCS 互動、延遲、字元處理及本地限制均可改變可接取性與可計費性。多 IMSI 切換亦可能暴露不同的代碼命名空間。因此，本網結果不足以證明漫遊客戶流程。

通路治理應納入更廣泛的 MVNO 營運模型。主網與租戶對佈建、計費、證據存取、反詐騙回應及發布核准的責任，應一併協商，而非分散於彼此無關的技術附表。當服務代碼所有權與核心接取、eSIM、多 IMSI 及計費責任相交時，Averon 會在營運商合作及賦能計畫中建構此類控制措施。

USSD 與 SIM Toolkit 應作為共享的營運商通路進行治理，從佈建至結算均具備具名控制責任人及事件層級證據。隨著數位 MVNO 組合加入多 IMSI、eSIM 及 DCB 使用案例，未有文件記錄的服務代碼安排將成為收入流失、事件風險及主網 MNO 摩擦的直接來源。