Nhận diện rủi ro đối với hoạt động định danh khách hàng điện tử (eKYC) trong hoạt động ngân hàng

Định danh khách hàng điện tử (electronic Know Your Customer - eKYC) được hiểu là việc thiết lập mối quan hệ và định danh khách hàng bằng các phương tiện điện tử, bao gồm kênh trực tuyến và kênh di động, mà không cần phải gặp mặt trực tiếp¹. Theo đó, bằng việc áp dụng công nghệ hiện đại, tổ chức định danh khách hàng sẽ thu thập đặc điểm sinh trắc học của khách hàng từ xa để xác thực với các nguồn dữ liệu cơ sở như thông tin trên giấy tờ tùy thân, cơ sở dữ liệu dân cư, cơ sở nhận dạng... Do đó, trong quy trình định danh điện tử có hai yếu tố đặc biệt quan trọng là: (1) Nguồn dữ liệu tin cậy làm cơ sở đối chiếu và (2) Công nghệ chuẩn xác để thu thập các thông tin sinh trắc học của khách hàng. Để đảm bảo an toàn và hiệu quả khi định danh điện tử, khung pháp lý cần điều chỉnh được hai vấn đề này. 

Tại Việt Nam, trước khi cơ sở pháp lý chính thức cho eKYC trong việc mở tài khoản thanh toán được ban hành (Thông tư số 16/2020/TT-NHNN ngày 04/12/2020 của Thống đốc Ngân hàng Nhà nước (NHNN) sửa đổi, bổ sung một số điều của Thông tư số 23/2014/TT-NHNN ngày 19/8/2014 của Thống đốc NHNN hướng dẫn việc mở và sử dụng tài khoản thanh toán tại tổ chức cung ứng dịch vụ thanh toán), ngành Ngân hàng đã lần lượt ứng dụng eKYC vào quy trình nhận biết khách hàng và cung cấp các sản phẩm, dịch vụ tài chính. Chỉ trong năm 2020, hàng loạt ngân hàng liên tiếp công bố đã hoàn thiện quy trình công nghệ, sẵn sàng thực hiện mở tài khoản không gặp mặt trực tiếp khách hàng. 

Đến cuối năm 2021, đã có 24 tổ chức tín dụng chính thức triển khai mở tài khoản thanh toán eKYC, với khoảng 3,37 triệu tài khoản thanh toán mở bằng phương thức này đang hoạt động, đây được coi là một trong những giải pháp đột phá giúp thúc đẩy tài chính toàn diện, đưa ngân hàng đến gần hơn với khách hàng, đồng thời góp phần thực hiện quá trình chuyển đổi số của ngân hàng. Đặc biệt trong bối cảnh dịch bệnh Covid-19, việc ban hành kịp thời chính sách này đã giúp khách hàng tiếp cận, sử dụng dịch vụ thanh toán mà không phải đến quầy giao dịch của ngân hàng.

Ngày 16/11/2021, Thống đốc NHNN ban hành Thông tư số 17/2021/TT-NHNN, trong đó có quy định về việc phát hành thẻ bằng phương thức điện tử (có hiệu lực từ 01/01/2022) nhằm tạo điều kiện cho việc ứng dụng công nghệ mới nhằm đẩy mạnh thanh toán không dùng tiền mặt và chuyển đổi số trong hoạt động thẻ ngân hàng, tạo điều kiện cho người dân tiếp cận các dịch vụ thanh toán trong đại dịch Covid-19 mà không cần đến ngân hàng mở thẻ.

Có thể thấy, hướng dẫn về eKYC mà ngành Ngân hàng đang áp dụng đã bắt kịp xu hướng công nghệ và những thay đổi của thị trường hướng tới phát triển các mô hình ngân hàng số, gia tăng tiện ích, trải nghiệm khách hàng và thực hiện mục tiêu tài chính toàn diện, phát triển bền vững trên cơ sở thúc đẩy ứng dụng công nghệ mới, tiên tiến trong quản trị điều hành và cung ứng sản phẩm, dịch vụ theo hướng tự động hóa quy trình, tối ưu hóa hoạt động nghiệp vụ. Việc ban hành các chính sách trên cho thấy ngành Ngân hàng Việt Nam đã có sự chuẩn bị, nghiên cứu, phát triển các sản phẩm, dịch vụ ngân hàng số giúp nâng cao trải nghiệm và gia tăng sự hài lòng của khách hàng cũng như chủ động tham gia cuộc Cách mạng công nghiệp lần thứ tư và chương trình chuyển đổi số quốc gia.

Việc triển khai eKYC có ý nghĩa lớn trong khai thác lượng lớn khách hàng chưa được tiếp cận dịch vụ tài chính, mở ra bước phát triển vượt bậc trong thúc đẩy tài chính toàn diện ở Việt Nam. Tuy nhiên, việc phát triển eKYC nhanh chóng trong lĩnh vực nhạy cảm như tài chính, ngân hàng đặt ra nhiều vấn đề khả năng kiểm soát rủi ro, an toàn hệ thống và bảo mật.

Theo Lực lượng đặc nhiệm tài chính quốc tế (FATF), các quan hệ hoặc giao dịch không gặp mặt trực tiếp khách hàng được xếp vào nhóm tình huống có độ rủi ro cao trong việc phòng, chống rửa tiền và tài trợ khủng bố. Do đó, các biện pháp định danh khách hàng nâng cao cần được thực thi². Trong đó, giao dịch eKYC trong hoạt động ngân hàng khi lần đầu thiết lập mối quan hệ cũng được nhận diện với nhiều rủi ro: 

Mạo danh có thể hiểu là một người giả vờ có danh tính của một người thật khác bằng cách sử dụng tài liệu bị đánh cắp, kết hợp với bằng chứng giả mạo, thay thế ảnh trên các giấy tờ chính thức của một người bằng hình ảnh của kẻ mạo danh³. Trong quy trình định danh điện tử, bằng các thủ thuật tinh vi đối tượng mạo nhận danh tính của một người để mở tài khoản hoặc đánh cắp mật khẩu, thông tin của người dùng nhằm thực hiện giao dịch điện tử. Hiện nay, chất lượng và sự tinh vi của công nghệ “deepfake” để bỏ qua bước kiểm tra thực thể sống trong quá trình xác thực cũng phát triển ngày càng nhanh, trở thành mối đe dọa lớn với quy trình eKYC (Holland & Marie, 2020). Mặt khác, trong khi việc gặp mặt khách hàng trực tiếp tạo điều kiện thuận lợi cho xem xét bản gốc giấy tờ tùy thân cũng như nhận diện trực tiếp cử chỉ, đặc điểm sinh trắc và chữ ký của khách hàng thì eKYC lại nhận dạng các giấy tờ qua phiên bản điện tử, rất dễ được làm giả hoặc sử dụng công nghệ cắt ghép ảnh. Theo đó, rủi ro có thể được mô tả như trường hợp, các tài liệu làm cơ sở đối chiếu, nhận dạng được giả mạo và thay đổi để khớp với thông tin nhận dạng và các đặc điểm vật lý của kẻ lừa đảo nhằm mục đích đánh bại việc so sánh sinh trắc học hoặc công nghệ phẫu thuật thẩm mỹ làm thay đổi đặc điểm nhận dạng của tội phạm rửa tiền, khủng bố (European Union, 2019).

Thông tin khách hàng được cung cấp, xử lý và lưu trữ trên môi trường mạng có nguy cơ bị rò rỉ, đánh cắp. Hacker hay các loại mã độc, virus có thể xâm nhập vào quy trình định danh và lấy cắp thông tin khách hàng sử dụng cho mục đích bất hợp pháp. Ngoài ra, việc thu thập và chia sẻ dữ liệu định danh giữa các tổ chức mà không có sự đồng ý của khách hàng dẫn đến xâm phạm quyền riêng tư của khách hàng, dữ liệu bị khai thác cho mục đích thương mại khác mà không chỉ riêng dịch vụ được khách hàng yêu cầu. Rủi ro này có thể xảy ra trong quá trình ngân hàng tự làm dày thông tin bằng cách chủ động kết nối và chia sẻ thông tin với các nhà mạng viễn thông hay các tổ chức khác thu thập thông tin khách hàng⁴. Do đó, cần có những đánh giá tác động quyền riêng tư (PIA) theo một tiêu chuẩn chung, điển hình như những tiêu chuẩn thuộc Quy chế bảo vệ dữ liệu toàn cầu (Global Data Protection Regulation - GDPR) đối với quy trình định danh điện tử. Đặc biệt, việc trao đổi dữ liệu với các nhà cung cấp bên thứ ba phải được thực hiện thông qua các giao thức đảm bảo tính bảo mật của dữ liệu (European Union, 2019).

Rửa tiền được hiểu là đối tượng lợi dụng việc không gặp mặt trực tiếp để mở tài khoản như một kênh đưa nguồn tiền bất hợp pháp vào giao dịch hoặc nhận nguồn tiền bất hợp pháp từ đối tượng phạm tội. Lợi dụng giao dịch hoàn toàn trên môi trường mạng mà không phải hiện diện trực tiếp, các đối tượng có thể mở và sử dụng tài khoản nhằm cung cấp tài chính cho các cá nhân, nhóm khủng bố trong và ngoài nước. Đối tượng thuộc danh sách rửa tiền, tài trợ khủng bố được trang bị công nghệ hiện đại để vượt qua các bước định danh điện tử của ngân hàng hoặc sử dụng thông tin giả mạo, sử dụng chủ thể trung gian để phạm tội. Nếu hệ thống định danh điện tử của ngân hàng không đủ khả năng nhận diện, kiểm soát hoặc đặt ra các giới hạn giao dịch thì việc không phải gặp mặt trực tiếp trong giao dịch ngân hàng trở thành kênh thuận lợi cho tội phạm. 

Công nghệ là một yếu tố cốt lõi trong triển khai eKYC, do đó công nghệ phải được thiết kế đảm bảo khả năng nhận dạng và xác thực chính xác thông tin. Tùy tính hiệu quả mà mỗi giải pháp công nghệ cung cấp một mức độ nhận dạng và xác thực chính xác khác nhau. Các công nghệ thường được ứng dụng trong quy trình eKYC như: Máy học (ML), trí tuệ nhân tạo (AI), công nghệ nhận dạng ký tự quang học (OCR), công nghệ nhận diện khuôn mặt (Face Recognition), công nghệ nhận diện người sống (Liveness Check), công nghệ nhận diện khách hàng giả mạo, lừa đảo (Fraud detection). Nếu các giải pháp công nghệ được tự do sử dụng mà không có quy chuẩn đánh giá, kiểm tra tính hiệu quả sẽ dẫn đến nguy cơ về sai sót thông tin lớn khi nhận dạng, trở thành lỗ hổng để tội phạm công nghệ cao tận dụng. Khuyến nghị của Ủy ban châu Âu chỉ ra rằng, cơ quan quản lý tại châu Âu đưa ra điều kiện đánh giá công nghệ, giải pháp kỹ thuật với tiêu chí khách quan và tiêu chuẩn kỹ thuật nhất định. Mặt khác, tổ chức định danh cần xây dựng quy trình tự đánh giá giải pháp kỹ thuật, rủi ro liên quan công nghệ, tác động đến quyền riêng tư của khách hàng, hiệu quả của việc định danh (European Union, 2019).

Rủi ro này có thể được hiểu là hệ thống máy chủ, các thiết bị di động, hệ thống điện tử, mạng và dữ liệu và các ứng dụng điện tử bị xâm nhập và tấn công bởi những mối đe dọa như hacker, tội phạm công nghệ cao. Các mối đe dọa này khai thác các lỗ hổng trong quy trình và thủ tục định danh điện tử bao gồm cả lỗ hổng về công nghệ, nguồn dữ liệu, sự cẩn trọng của khách hàng để thực hiện các hành vi như cài mã độc vào các website, ứng dụng ngân hàng điện tử, email khách hàng nhằm theo dõi, đánh cắp mã OTP, giả mạo ngân hàng gửi tin nhắn, thông báo yêu cầu giao dịch, phá hủy cơ sở dữ liệu khách hàng. Đây là một rủi ro mang tính hệ thống có thể bao trùm các rủi ro đã đề cập vì mức độ tác động diện rộng của nó, gây nên gián đoạn cả quy trình định danh trong thời gian dài, so khớp sai lệch, giao dịch không theo thời gian thực, toàn bộ dữ liệu khách hàng bị đánh cắp hoặc xóa bỏ hoặc mã hóa. Theo Liên minh châu Âu, trong quy trình định danh điện tử, cơ sở dữ liệu định danh là đối tượng của các cuộc tấn công mạng, vô hiệu hóa ở cấp độ quốc gia (European Union, 2019). Rủi ro an ninh mạng luôn tồn tại trong hoạt động ngân hàng, tuy nhiên, với quy trình eKYC cho phép giao dịch hoàn toàn trên môi trường mạng và người dùng hoàn toàn tin tưởng vào các tương tác trực tuyến với ngân hàng lại tạo nên nhiều lỗ hổng cho sự xâm nhập của các mối đe dọa. 

Trong nỗ lực khuyến khích sự tăng trưởng Fintech đồng thời duy trì môi trường pháp lý nghiêm ngặt, Đảo quốc Sư tử phải đảm bảo các quy định hướng dẫn thực thi được ban hành một cách nhanh chóng (Holland & Marie, 2020). Năm 2018, Ngân hàng Trung ương Singapore (Monetary Authority of Singapore - MAS) đã ban hành Thông tư số AMLD 01/2018 hướng dẫn biện pháp định danh, đảm bảo an toàn về không gặp mặt trực tiếp khách hàng khi lần đầu thiết lập mối quan hệ. 

Theo đó, Thông tư cung cấp hướng dẫn về việc sử dụng nền tảng MyInfo như một nguồn thông tin nhận dạng đã được xác minh. Hệ thống MyInfo được dùng làm nguồn dữ liệu chính thức cho việc định danh khách hàng. Dữ liệu định danh trên MyInfo đã được Chính phủ xác thực. Người dùng không còn cần phải điền vào các biểu mẫu vật lý hay quét các tài liệu nhận dạng của họ vì các thông tin định danh đều được tự động truy xuất trên nền tảng. Dựa trên sự đồng ý của người dùng, dữ liệu được chuyển đến tổ chức cần định danh và người dùng có thể nhận cảnh báo nếu bất kỳ dịch vụ điện tử nào sử dụng dữ liệu cá nhân của họ (JX Low, 2018).

Thông tư cũng nêu bật những cân nhắc liên quan đến việc sử dụng các biện pháp xác minh không gặp mặt trực tiếp (NFTF) và cung cấp thêm các ví dụ về các biện pháp NFTF mà tổ chức tài chính (FI) có thể sử dụng như các kiểm tra bổ sung để quản lý rủi ro mạo danh. Ngoài ra, MAS yêu cầu thực hiện đánh giá về tiêu chuẩn công nghệ thực hiện định danh và lưu giữ hồ sơ để báo cáo và kiểm tra. Cụ thể, hiệu quả của giải pháp công nghệ mới trong việc quản lý rủi ro mạo danh NFTF phải được đánh giá độc lập từ chuyên gia sau 01 năm triển khai. Báo cáo đánh giá phải được lưu trữ tối thiểu là 05 năm sau khi công nghệ đó không còn được sử dụng. MAS có quyền kiểm tra báo cáo đánh giá độc lập để thực hiện chức năng giám sát hoạt động tài chính của mình⁵. Đối với các rủi ro eKYC, MAS đưa ra các lựa chọn để tổ chức tài chính áp dụng trong giải quyết các rủi ro của eKYC như thực hiện cuộc gọi video trực tuyến trong thời gian thực; cung cấp các tài liệu nhận dạng được công chứng, chứng thực (MAS, 2020). 

Tại Thái Lan, trước khi áp dụng eKYC rộng rãi trong các dịch vụ tài chính, Ngân hàng Trung ương Thái Lan (BOT) đã xây dựng khung pháp lý thử nghiệm có kiểm soát (Sandbox) với dịch vụ mở tài khoản tiết kiệm và ví điện tử. Theo Báo cáo hệ thống thanh toán của BOT năm 2019, hàng loạt tổ chức thử nghiệm dịch vụ mở tài khoản ngân hàng bằng định danh điện tử đã hoàn toàn đáp ứng các yêu cầu của Sandbox để cung cấp dịch vụ rộng rãi ra công chúng. BOT đã hỗ trợ tích cực cho hoạt động eKYC thông qua việc ban hành hướng dẫn sử dụng công nghệ sinh trắc học trong các dịch vụ tài chính nhằm cung cấp thông lệ tốt nhất cho các nhà cung cấp dịch vụ tài chính để sử dụng công nghệ sinh trắc học theo cách thức phù hợp, an toàn và tuân thủ các tiêu chuẩn quốc tế.

Về phát triển cơ sở dữ liệu định danh, BOT đã hỗ trợ phát triển nền tảng Định danh số quốc gia (NDID), đóng vai trò là cơ sở hạ tầng cho việc xác minh và xác thực danh tính số. Đây là nền tảng kết hợp hoạt động của các tổ chức gồm: Nhà cung cấp dịch vụ, đơn vị định danh, đơn vị cung cấp thông tin khách hàng phục vụ việc định danh an toàn, cung cấp thông tin cần thiết cho giao dịch và đảm bảo quyền riêng tư khi các thông tin chia sẻ trên nền tảng đều phải có sự đồng ý của khách hàng (BOT, 2019). Với NDID, việc định danh điện tử đã đảm bảo được hai yếu tố là công nghệ xác thực và cơ sở dữ liệu đối chiếu khi mà tất các các bên tham gia nền tảng đều phải trải qua quy trình kiếm soát và cấp phép hoạt động trên nền tảng từ cơ quan quản lý. Nhờ đó, các rủi ro về mạo danh, an toàn bảo mật, quyền riêng tư của khách hàng và phòng, chống rửa tiền, tài trợ khủng bố được kiểm soát chặt chẽ. 

Thực tế việc định danh điện tử tại Việt Nam đã được bật đèn xanh từ khi Chính phủ ban hành Nghị định số 87/2019/NĐ-CP cho phép tổ chức tài chính quyết định gặp mặt trực tiếp hoặc không gặp mặt trực tiếp khách hàng trong lần đầu thiết lập mối quan hệ. Tuy nhiên, Nghị định này mới chỉ đề cập đến nguyên tắc bằng việc đặt ra yêu cầu tổ chức tài chính phải đảm bảo có các biện pháp, hình thức và công nghệ để nhận biết và xác minh khách hàng khi không gặp mặt trực tiếp. Mãi đến khi Thông tư số 16/2020/TT-NHNN và gần đây, Thông tư số 17/2021/TT-NHNN ban hành thì thị trường mới có hướng dẫn tương đối rõ ràng. Việc ban hành thông tư mới đã xác lập cơ chế pháp lý giải quyết các rủi ro trong việc mở tài khoản thanh toán hoàn toàn bằng phương thức điện tử.

Thứ nhất, nhằm giải quyết rủi ro mạo danh, Thông tư yêu cầu ngân hàng phải có giải pháp công nghệ để thu thập, kiểm tra, đối chiếu, đảm bảo sự khớp đúng giữa thông tin nhận biết khách hàng, dữ liệu sinh trắc học của khách hàng với các thông tin, yếu tố sinh trắc học tương ứng trên giấy tờ tùy thân hoặc với dữ liệu định danh cá nhân được xác thực bởi cơ quan nhà nước có thẩm quyền hoặc bởi tổ chức tín dụng khác hoặc bởi tổ chức được cung ứng dịch vụ định danh và xác thực điện tử. Quy trình của ngân hàng phải đảm bảo khách hàng thực hiện giao dịch trên tài khoản thanh toán được mở bằng phương thức điện tử là chủ tài khoản thanh toán đó, ngăn chặn các hành vi mạo danh, can thiệp, chỉnh sửa, làm sai lệch việc xác minh thông tin. Trường hợp có dấu hiệu mạo danh, ngân hàng phải xây dựng các giải pháp tự động để từ chối hoặc dừng giao dịch, tạm khóa hoặc phong tỏa tài khoản thanh toán và tiến hành xác minh lại thông tin nhận biết khách hàng. 

Để giải quyết rủi ro trong eKYC, đặc biệt là rủi ro mạo danh, hai yếu tố nền tảng và quan trọng nhất là công nghệ thu thập dữ liệu, xác minh và cơ sở dữ liệu đối chiếu thông tin thu thập được. Về mặt này, NHNN đã trao quyền chủ động cho các ngân hàng tự lựa chọn và áp dụng giải pháp công nghệ cũng như cơ sở dữ liệu đối chiếu và tự chịu trách nhiệm về rủi ro phát sinh. Bên cạnh đó, để kiểm soát nguồn dữ liệu định danh, NHNN giới hạn đối tượng khách hàng. Theo đó, không áp dụng mở tài khoản thanh toán bằng phương thức điện tử đối với khách hàng cá nhân là người nước ngoài, người chưa đủ 18 tuổi, người bị mất hoặc hạn chế năng lực hành vi dân sự, người có khó khăn trong nhận thức, làm chủ hành vi. 

Thứ hai, nhằm bảo mật thông tin của khách hàng và đảm bảo quyền riêng tư, NHNN yêu cầu các thông tin, dữ liệu trong quá trình định danh và giao dịch phải được lưu trữ an toàn, bảo mật, được sao lưu dự phòng.

Thứ ba, để giảm thiểu rủi ro về rửa tiền và tài trợ khủng bố, NHNN đặt ra các biện pháp giới hạn khả năng sử dụng của tài khoản. Theo đó, ngân hàng phải căn cứ điều kiện công nghệ để đánh giá rủi ro và xác định hạn mức giao dịch cũng như phạm vi sử dụng của tài khoản. Mỗi ngân hàng sẽ có chính sách khác nhau nhưng đảm bảo tổng hạn mức giá trị giao dịch (ghi Nợ) qua các tài khoản thanh toán của khách hàng. 

Chúng tôi kỳ vọng về sự phát triển mạnh mẽ của các giải pháp eKYC tại Việt Nam từ sự mở đường của Thông tư số 16/2020/TT-NHNN và Thông tư số 17/2021/TT-NHNN. Hướng dẫn tại Thông tư 17/2021/TT-NHNN là phù hợp với bối cảnh hiện tại, vừa tạo cơ sở pháp lý cho việc áp dụng eKYC, vừa tạo nhiều không gian cho các giải pháp công nghệ phát triển và ứng dụng. Thực tế cho thấy, việc triển khai eKYC tại Việt Nam đang có sự phát triển rất nhanh về số lượng, tuy nhiên, chưa có đánh giá chính thức về rủi ro và chất lượng của các giải pháp eKYC trong lĩnh vực ngân hàng đang được áp dụng.

Về mặt cơ sở dữ liệu, chúng tôi cho rằng, trong thời gian tới, NHNN cần nhanh chóng thúc đẩy lộ trình xây dựng cơ sở dữ liệu phục vụ cho hoạt động eKYC trong hệ thống ngân hàng. Cơ sở dữ liệu cần được xây dựng song song mang tính kết nối, liên thông với dữ liệu quốc gia về dân cư và dữ liệu của Trung tâm Thông tin tín dụng Quốc gia Việt Nam (CIC). Bên cạnh đó, cần phải có hướng dẫn cụ thể về quyền và cách thức truy cập cũng như sử dụng cơ sở dữ liệu này của các ngân hàng và các tổ chức cung cấp giải pháp eKYC. 

Về giải pháp công nghệ, chúng tôi ủng hộ cơ chế khuyến khích quyền tự lựa chọn và tự chịu trách nhiệm đối với các ngân hàng. Tuy nhiên, NHNN cần thiết lập tiêu chí đánh giá chất lượng giải pháp cũng như việc thực thi eKYC của ngân hàng. Cơ chế báo cáo và giải trình cũng cần được thiết lập để phục vụ cho hoạt động giám sát, điều chỉnh và can thiệp kịp thời của NHNN khi rủi ro xảy ra. 

Có thể khẳng định rằng, eKYC là nền tảng đầu tiên để phát triển ngân hàng số tại Việt Nam, vì vậy, việc các ngân hàng thương mại áp dụng eKYC đang có xu hướng ngày càng trở nên phổ biến. Tuy nhiên, đi kèm với những lợi ích và tính ưu việt, rủi ro đối với eKYC luôn thường trực. Điều này đòi hỏi các ngân hàng thương mại cần có sự thận trọng trong việc lựa chọn công nghệ và triển khai song song hệ thống bảo mật, nhận diện, quản lý rủi ro cũng như quản trị dữ liệu.