1. Bối Cảnh và Mục Tiêu Phân Tích

Dự thảo Thông tư sửa đổi, bổ sung một số điều của Thông tư 50/2024/TT-NHNN được Ngân hàng Nhà nước Việt Nam (NHNN) xây dựng nhằm siết chặt các quy định về an toàn, bảo mật cho dịch vụ ngân hàng trực tuyến. Mục tiêu cốt lõi của Dự thảo là triển khai tinh thần chỉ đạo của Công điện số 139/CĐ-TTg, tập trung vào việc ngăn chặn tội phạm mạng, đặc biệt là tình trạng thành lập “doanh nghiệp ma” để thực hiện các giao dịch phi pháp, qua đó tăng cường an ninh cho toàn bộ hệ thống tài chính.

Tài liệu này được soạn thảo với mục tiêu phân tích một cách có hệ thống các tác động tiềm tàng của Dự thảo đối với các tổ chức tín dụng (TCTD), đặc biệt là các chi nhánh ngân hàng nước ngoài tại Việt Nam. Bản phân tích này cung cấp một cơ sở đánh giá rủi ro và hoạch định chiến lược, nhằm giúp ban lãnh đạo các TCTD điều hướng các yêu cầu mới một cách hiệu quả, đảm bảo tuân thủ đồng thời bảo vệ lợi ích kinh doanh cốt lõi.

2. Phân Tích Các Yêu Cầu An Ninh Trọng Yếu trong Dự Thảo

Việc hiểu rõ những thay đổi cốt lõi trong Dự thảo là bước đầu tiên và quan trọng nhất để đánh giá tác động một cách chính xác. Phân tích các yêu cầu kỹ thuật mới không chỉ giúp nhận diện thách thức mà còn có tầm quan trọng chiến lược trong việc chuẩn bị nguồn lực, xây dựng lộ trình triển khai phù hợp, đảm bảo tuân thủ mà không làm gián đoạn hoạt động kinh doanh.

2.1. Yêu Cầu Xác Thực Sinh Trắc Học Mở Rộng

Dự thảo thay đổi căn bản mô hình xác thực bằng việc áp đặt xác thực sinh trắc học cho các giao dịch và thay đổi thông tin quan trọng, cụ thể:

• Khi thay đổi thông tin định danh khách hàng: Điều 2 của Dự thảo yêu cầu các TCTD phải “áp dụng tối thiểu hình thức xác nhận quy định tại khoản 5 Điều 11 Thông tư này [khớp đúng thông tin sinh trắc học] kết hợp với một trong các hình thức xác nhận khác”. Quy định này được đưa ra nhằm thực hiện yêu cầu của Công điện 139/CĐ-TTg về việc áp dụng đối khớp sinh trắc học khi khách hàng thay đổi thông tin định danh quan trọng như CCCD, số điện thoại di động.
• Đối với khách hàng tổ chức mới thành lập: Phụ lục 01 và Phụ lục 02 của Dự thảo phân loại các giao dịch loại C1 và D1 dành riêng cho nhóm ‘khách hàng tổ chức mới thành lập’ (được định nghĩa là các doanh nghiệp nhỏ thành lập trong vòng 12 tháng). Đối với các giao dịch này, yêu cầu bắt buộc là phải “khớp đúng thông tin sinh trắc học của người đại diện hợp pháp hoặc cá nhân được người đại diện hợp pháp ủy quyền” kết hợp với các hình thức xác thực khác (Soft OTP/Token OTP). Mục đích của quy định này, theo thuyết minh của NHNN, là để ngăn chặn tội phạm thành lập “doanh nghiệp ma” với mục đích bán, cho thuê tài khoản thanh toán.

2.2. Kiểm Soát Phiên Bản và Chống Can Thiệp Ứng Dụng Di Động

Điều 4 của Dự thảo bổ sung nhiều quy định kỹ thuật nghiêm ngặt đối với ứng dụng Mobile Banking nhằm hạn chế rủi ro từ các phiên bản cũ hoặc các hành vi can thiệp trái phép.

• Yêu cầu kiểm soát phiên bản ứng dụng:
  • Đánh giá lỗ hổng bảo mật của các phiên bản đang lưu hành định kỳ tối thiểu 02 tháng một lần.
  • Không cho phép khách hàng sử dụng các phiên bản cũ hơn 02 phiên bản so với phiên bản mới nhất để thực hiện giao dịch.
  • Bắt buộc khách hàng phải cài đặt phiên bản mới nhất khi kích hoạt ứng dụng trên thiết bị mới hoặc kích hoạt lại.
  • Tự động dừng giao dịch và yêu cầu cập nhật ngay khi phát hiện lỗ hổng bảo mật trên phiên bản đang sử dụng.
• Yêu cầu chống can thiệp trái phép: Ứng dụng Mobile Banking phải được trang bị giải pháp để tự động thoát hoặc dừng hoạt động nếu phát hiện một trong các dấu hiệu sau:
  • Thiết bị đã bị phá khóa (root/jailbreak).
  • Có trình gỡ lỗi (debugger) đang hoạt động.
  • Ứng dụng đang chạy trong môi trường giả lập (emulator).

2.3. Tuân Thủ Tiêu Chuẩn Bảo Mật Quốc Tế OWASP

Điều 3 của Dự thảo (sửa đổi Điều 7 Thông tư 50) nâng cao yêu cầu bảo mật phần mềm bằng cách yêu cầu tuân thủ các tiêu chuẩn được công nhận rộng rãi của Tổ chức Dự án An ninh Ứng dụng Web Mở (OWASP). Việc này nhằm đảm bảo các yêu cầu bảo mật tối thiểu được áp dụng một cách đầy đủ, tránh thiếu sót trong quá trình phát triển.

• Đối với ứng dụng nền tảng web: Phải có khả năng phòng, chống 10 lỗ hổng phổ biến nhất (OWASP Top Ten).
• Đối với ứng dụng Mobile Banking: Phải đáp ứng tối thiểu các yêu cầu về an toàn bảo mật ứng dụng di động (OWASP Mobile Application Security).

Những yêu cầu kỹ thuật nghiêm ngặt này, dù nhằm tăng cường an ninh, lại đặt ra nhiều thách thức đáng kể về mặt triển khai cho các tổ chức tài chính.

3. Đánh Giá Tác Động Đối Với Các Tổ Chức Tài Chính

Phần này sẽ đi sâu phân tích những hệ quả trực tiếp từ các quy định mới đối với hoạt động của các ngân hàng. Việc đánh giá toàn diện các tác động về vận hành, kỹ thuật và tài chính là yếu tố then chốt để xây dựng một kế hoạch ứng phó hiệu quả, giảm thiểu rủi ro gián đoạn kinh doanh và đảm bảo tuân thủ bền vững.

3.1. Tác Động về Vận Hành

• Khó khăn trong thu thập và quản lý dữ liệu sinh trắc học: Việc áp dụng sinh trắc học cho khách hàng doanh nghiệp phức tạp hơn nhiều so với khách hàng cá nhân. Trên thực tế, một doanh nghiệp có thể có nhiều người được ủy quyền giao dịch. Việc thu thập, lưu trữ và quản lý dữ liệu sinh trắc học của tất cả các cá nhân này là một nhiệm vụ nặng nề. Thách thức càng lớn hơn khi người được ủy quyền là người nước ngoài, gây khó khăn cho việc thu thập và đối chiếu dữ liệu.
• Gây gián đoạn nghiêm trọng quy trình phê duyệt giao dịch đa cấp: Các khách hàng tổ chức thường có quy trình phê duyệt giao dịch phức tạp, yêu cầu nhiều cấp độ xác nhận. Việc tích hợp yêu cầu khớp đúng sinh trắc học của nhiều cá nhân vào một luồng phê duyệt đa cấp hiện có là rất phức tạp và có thể làm gián đoạn, ảnh hưởng tiêu cực đến trải nghiệm của khách hàng doanh nghiệp. Sau cùng, những rào cản vận hành này sẽ trực tiếp dẫn đến suy giảm trải nghiệm của khách hàng doanh nghiệp, có nguy cơ làm xói mòn hiệu quả mà ngân hàng số vốn được kỳ vọng mang lại.

3.2. Tác Động về Kỹ Thuật và Công Nghệ

• Thách thức tích hợp công nghệ vào hệ thống lõi: Đối với các tổ chức nước ngoài (Chi nhánh, ngân hàng TNHH 1 thành viên) Hệ thống Online Banking dành cho doanh nghiệp thường tách biệt với hệ thống của khách hàng cá nhân và được quản lý tập trung tại ngân hàng mẹ ở nước ngoài. Việc tích hợp công nghệ sinh trắc học vào các nền tảng này đòi hỏi thời gian phát triển dài và chi phí lớn, vì mọi thay đổi đều phải tuân theo quy trình phê duyệt toàn cầu.
• Khó khăn tuân thủ OWASP và kiểm soát phiên bản: Do hệ thống của ngân hàng được quản lý toàn cầu, quá trình nâng cấp để đáp ứng các tiêu chuẩn của OWASP hay các quy định kiểm soát phiên bản mới trong một khung thời gian ngắn là một thách thức lớn. Quá trình này đòi hỏi nhiều thời gian để đánh giá rủi ro, lập kế hoạch và nhận phê duyệt từ hội sở chính.
• Tần suất đánh giá an ninh quá dày đặc: Yêu cầu đánh giá lỗ hổng phiên bản ứng dụng di động 02 tháng/lần bị cho là quá thường xuyên. Tần suất 06 tháng/lần cho việc đánh giá toàn diện sẽ hợp lý hơn, trong khi vẫn có thể đánh giá các thay đổi nhỏ khi chúng phát sinh. Những thách thức kỹ thuật này không đơn thuần là chi tiết triển khai; chúng đại diện cho sự chuyển hướng nguồn lực đáng kể từ đổi mới sáng tạo sang tuân thủ, vốn bị chi phối bởi các chu kỳ nâng cấp toàn cầu kéo dài.

3.3. Tác Động về Tài Chính

• Chi phí đầu tư lớn: Việc triển khai các quy định mới sẽ đòi hỏi chi phí đầu tư đáng kể về hạ tầng công nghệ, phát triển và nâng cấp phần mềm, cũng như đào tạo nguồn nhân lực.
• Chi phí cao hơn cho phân khúc khách hàng doanh nghiệp: Chi phí triển khai các giải pháp sinh trắc học cho khách hàng doanh nghiệp được dự báo sẽ cao hơn đáng kể so với khách hàng cá nhân. Nguyên nhân là do tính phức tạp của hệ thống, quy trình phê duyệt đa cấp và sự đa dạng về vai trò, quyền hạn của người dùng.

Những tác động này đặc biệt nghiêm trọng đối với các ngân hàng nước ngoài do mô hình hoạt động và cấu trúc công nghệ đặc thù của họ.

4. Các Thách Thức Triển Khai Cụ Thể đối với Ngân Hàng Nước Ngoài

Một thách thức cốt lõi và xuyên suốt đối với các ngân hàng nước ngoài là sự xung đột cố hữu giữa hạ tầng công nghệ được chuẩn hóa và quản lý tập trung trên toàn cầu với các yêu cầu pháp lý đặc thù của thị trường Việt Nam. Việc xem xét kỹ lưỡng các thách thức này là cần thiết để đảm bảo các quy định mới vừa hiệu quả trong việc tăng cường an ninh, vừa khả thi để triển khai trong bối cảnh hoạt động quốc tế.

1. Sự Thiếu Linh Hoạt của Nền Tảng Công Nghệ Toàn Cầu Tập Trung Hệ thống Online Banking của các ngân hàng nước ngoài, đặc biệt là cho khách hàng doanh nghiệp, được phát triển, quản lý và bảo trì tập trung tại hội sở chính ở nước ngoài. Đây là một ràng buộc mang tính cấu trúc trong mô hình vận hành, khiến mọi yêu cầu tùy chỉnh để đáp ứng quy định riêng của Việt Nam đều phải trải qua một quy trình phê duyệt toàn cầu phức tạp, tốn kém và mất nhiều thời gian. Việc nâng cấp hệ thống không thể thực hiện độc lập tại chi nhánh Việt Nam mà phải tuân theo lộ trình phát triển chung của toàn tập đoàn.
2. Khó Khăn trong Việc Áp Dụng Sinh Trắc Học cho Khách Hàng Doanh Nghiệp:
   • Hệ thống công nghệ phục vụ khách hàng doanh nghiệp và khách hàng cá nhân là hoàn toàn riêng biệt. Ngay cả khi đã triển khai sinh trắc học cho khách hàng cá nhân, công nghệ này vẫn chưa được tích hợp vào nền tảng doanh nghiệp, đòi hỏi chi phí và thời gian phát sinh lớn để phát triển từ đầu.
   • Người được ủy quyền giao dịch của doanh nghiệp có thể là người nước ngoài không cư trú tại Việt Nam, gây ra trở ngại lớn cho việc thu thập và đối chiếu dữ liệu sinh trắc học.
   • Các biện pháp bảo mật hiện tại như Token OTP loại nâng cao kết hợp với quy trình phê duyệt 2 cấp (người tạo lệnh và người duyệt lệnh) đã được chứng minh là rất an toàn. Mô hình này đang được áp dụng rộng rãi và được công nhận tại nhiều trung tâm tài chính lớn trong khu vực như Singapore, Hồng Kông.
3. Thách Thức trong Việc Xác Định “Khách Hàng Tổ Chức Mới Thành Lập” Việc yêu cầu ngân hàng xác định “doanh nghiệp nhỏ” dựa trên các tiêu chí của Luật hỗ trợ doanh nghiệp nhỏ và vừa (ví dụ: tổng nguồn vốn, doanh thu năm trước) là không thực tế tại thời điểm doanh nghiệp mở tài khoản. Lý do là vì một doanh nghiệp mới thành lập chưa có báo cáo tài chính hay bảng cân đối kế toán để ngân hàng có thể dựa vào đó để phân loại. Điều này tạo ra sự mơ hồ và khó khăn trong việc áp dụng đúng quy định.

Việc giải quyết các thách thức đặc thù này đòi hỏi sự điều chỉnh linh hoạt từ phía cơ quan quản lý để đảm bảo tính khả thi của quy định.

5. Đề Xuất Sửa Đổi và Kiến Nghị

Các đề xuất dưới đây được xây dựng nhằm cân bằng giữa yêu cầu tăng cường an ninh của Ngân hàng Nhà nước và tính khả thi trong việc triển khai của các tổ chức, đặc biệt là các ngân hàng có yếu tố nước ngoài.

5.1. Về Yêu Cầu Xác Thực Sinh Trắc Học

Nội dung kiến nghị	Cơ sở đề xuất
Giới hạn phạm vi áp dụng sinh trắc học bắt buộc chỉ cho nhóm khách hàng tổ chức có rủi ro cao (như tổ chức mới thành lập) thay vì toàn bộ khách hàng tổ chức.	Tập trung nguồn lực vào nhóm rủi ro cao nhất, giảm gánh nặng triển khai trên diện rộng và duy trì các phương thức xác thực mạnh đã được chứng minh hiệu quả cho các khách hàng khác.
Cho phép các ngân hàng tiếp tục áp dụng các hình thức xác thực mạnh khác như Token OTP loại nâng cao cho khách hàng doanh nghiệp, thay vì bắt buộc sinh trắc học.	Các biện pháp này đã chứng minh hiệu quả, an toàn và phù hợp với thông lệ quốc tế, đặc biệt khi đã có quy trình KYC/CDD và duyệt lệnh 2 cấp chặt chẽ.

5.2. Về Định Nghĩa và Phạm Vi Áp Dụng cho “Khách Hàng Tổ Chức Mới Thành Lập”

• Thay thế tiêu chí không khả thi: Đề xuất NHNN thay thế tiêu chí xác định “doanh nghiệp nhỏ” dựa trên Nghị định 80/2021/NĐ-CP—vốn không thể áp dụng cho doanh nghiệp mới thành lập do thiếu báo cáo tài chính—bằng một tiêu chí thực tế hơn như vốn điều lệ (ví dụ: dưới 50 tỷ VND).
• Cho phép miễn trừ dựa trên rủi ro: Đề xuất cho phép các ngân hàng được quyền lựa chọn không áp dụng yêu cầu sinh trắc học tăng cường cho các “doanh nghiệp nhỏ” được đánh giá là rủi ro thấp (ví dụ: công ty con của các tập đoàn lớn, uy tín từ nước ngoài) và ngân hàng sẽ chịu hoàn toàn trách nhiệm về rủi ro từ quyết định này.

5.3. Về Yêu Cầu Kỹ Thuật (OWASP và Kiểm Soát Phiên Bản)

• Tăng tính linh hoạt cho OWASP: Cho phép các ngân hàng ưu tiên khắc phục các lỗ hổng OWASP có rủi ro cao dựa trên đánh giá nội bộ của chính ngân hàng, thay vì phải khắc phục đồng loạt tất cả các lỗ hổng.
• Nới lỏng tần suất đánh giá phiên bản: Đề nghị điều chỉnh tần suất đánh giá toàn diện phiên bản ứng dụng di động thành 6 tháng/lần thay vì 2 tháng/lần để phù hợp hơn với chu kỳ phát triển và phát hành sản phẩm của các ngân hàng.

5.4. Về Lộ Trình Triển Khai

Kính đề nghị Ngân hàng Nhà nước xem xét điều chỉnh thời gian hiệu lực của các quy định mới để các TCTD có đủ thời gian chuẩn bị và triển khai một cách bền vững. Các kiến nghị cụ thể từ ngành như sau:

• Đề xuất một lộ trình gia hạn hợp lý, lùi thời hạn áp dụng các quy định tại Điều 8 (kiểm soát phiên bản và chống can thiệp) và điểm a khoản 3 Điều 3 (sinh trắc học khi đổi thông tin) đến Quý II hoặc Quý III năm 2026.
• Đặc biệt đối với các đơn vị chỉ cung cấp dịch vụ cho khách hàng tổ chức. Cơ sở cho đề xuất này là do những thách thức đặc biệt lớn về chi phí, sự phức tạp trong tích hợp công nghệ vào các hệ thống doanh nghiệp riêng biệt và sự cần thiết phải cải tổ toàn diện quy trình vận hành.

Việc có một lộ trình hợp lý sẽ đảm bảo quá trình chuyển đổi diễn ra suôn sẻ, giảm thiểu rủi ro gián đoạn dịch vụ.

6. Kết Luận

Các quy định mới trong Dự thảo, đặc biệt về xác thực sinh trắc học và kiểm soát ứng dụng di động, là những bước đi cần thiết trong bối cảnh rủi ro an ninh mạng ngày càng gia tăng.

Tuy nhiên, việc triển khai thành công các quy định này phụ thuộc rất lớn vào tính khả thi về mặt kỹ thuật, vận hành và tài chính. Các thách thức đối với các ngân hàng nước ngoài, do mô hình hoạt động tập trung toàn cầu, là đặc biệt đáng lưu ý. Nếu không có những điều chỉnh hợp lý, các quy định có thể tạo ra gánh nặng không cần thiết, ảnh hưởng đến khả năng cung cấp dịch vụ và trải nghiệm khách hàng.