Chính sách phòng chống gian lận giao dịch
Chính sách phòng chống gian lận giao dịch là bộ quy tắc, nguyên tắc và biện pháp được ngân hàng ban hành nhằm kiểm soát, phát hiện, ngăn chặn và xử lý các hoạt động gian lận trong quá trình cung cấp sản phẩm, dịch vụ và thực hiện giao dịch. Chính sách thường áp dụng cho toàn bộ hoạt động của ngân hàng, bao gồm tài khoản, thẻ, tiền gửi, tín dụng, thanh toán, giao dịch điện tử và các kênh giao dịch trực tiếp.
Mục tiêu của chính sách là bảo vệ khách hàng, ngân hàng và hệ thống thanh toán trước các hành vi sử dụng thông tin, tài khoản, thẻ, phương thức thanh toán hoặc dịch vụ ngân hàng không đúng mục đích. Bên cạnh đó, chính sách còn góp phần nâng cao năng lực phát hiện rủi ro sớm, giảm tỷ lệ thiệt hại do gian lận và duy trì môi trường giao dịch an toàn, minh bạch.
Phạm vi áp dụng
Chính sách áp dụng đối với các giao dịch được thực hiện thông qua tất cả các kênh của ngân hàng, gồm:
- Giao dịch tại quầy, giao dịch viên và hội sở;
- Giao dịch qua ATM, POS và máy giao dịch tự động;
- Giao dịch trên ứng dụng di động, Internet Banking và các kênh số;
- Giao dịch chuyển khoản, thanh toán, rút tiền, nạp tiền và mua bán sản phẩm;
- Giao dịch liên ngân hàng và các giao dịch thông qua bên thứ ba;
- Hoạt động cấp, thay thế, khóa, mở khóa và chấm thức thẻ;
- Đăng ký, thay đổi và cập nhật thông tin khách hàng;
- Tín dụng, thẻ tín dụng và các sản phẩm có liên quan đến thẩm định khách hàng.
Đối tượng thực hiện chính sách bao gồm ban lãnh đạo, khối kiểm soát, khối vận hành, chi nhánh, giao dịch viên, nhân viên back-office, đơn vị công nghệ thông tin, nhà cung cấp dịch vụ và các đối tác liên quan đến hoạt động ngân hàng.
Nguyên tắc kiểm soát gian lận
Ngân hàng xây dựng chính sách trên các nguyên tắc cơ bản sau:
Nguyên tắc phòng ngừa: Giảm thiểu khả năng gian lận xảy ra thông qua kiểm soát quyền truy cập, xác thực khách hàng, phân tách nhiệm vụ và giám sát các giao dịch bất thường.
Nguyên tắc phát hiện sớm: Sử dụng hệ thống giám sát, quy tắc nghiệp vụ, dữ liệu hành vi giao dịch và cơ chế kiểm tra thường xuyên để nhận diện dấu hiệu gian lận.
Nguyên tắc phản ứng kịp thời: Khi phát hiện rủi ro, ngân hàng có thể tạm khóa tài khoản, hạn chế giao dịch, từ chối giao dịch, yêu cầu xác minh thêm hoặc thực hiện các biện pháp bảo vệ khách hàng phù hợp.
Nguyên tắc phụ trách và kiểm soát chéo: Người giao dịch viên không tự động phê duyệt giao dịch có rủi ro cao đối với khách hàng thường xuyên hoặc giao dịch vượt ngưỡng cần kiểm soát. Các hoạt động phê duyệt, thực hiện và kiểm soát cần được phân tách khi có thể.
Nguyên tắc bảo mật thông tin: Thông tin khách hàng và dữ liệu giao dịch chỉ được chia sẻ với người có thẩm quyền, phù hợp với mục đích công việc và theo quy định bảo vệ dữ liệu cá nhân.
Nguyên tắc ghi nhận, lưu giữ và truy vết: Các cảnh báo, kết quả kiểm tra, biện pháp xử lý và trao đổi với khách hàng cần được ghi nhận đầy đủ để phục vụ điều tra, đối chiếu và kiểm toán.
Biện pháp phòng chống gian lận giao dịch
Kiểm soát khách hàng và mở tài khoản
Ngân hàng xác minh danh tính khách hàng trước khi thiết lập quan hệ hoặc cung cấp sản phẩm. Các biện pháp có thể bao gồm đối chiếu giấy tờ tùy thân, xác minh nguồn thu nhập, kiểm tra danh sách rủi ro và tra cứu thông tin theo quy định hiện hành.
Dữ liệu khách hàng được cập nhật khi có thay đổi về địa chỉ, số điện thoại, nghề nghiệp, người thừa kế, quyền sở hữu hoặc các dấu hiệu bất thường. Ví dụ, yêu cầu thay đổi số điện thoại kèm mã xác thực và kiểm tra giao dịch tại kênh phù hợp có thể giúp ngăn chặn trường hợp chiếm đoạt tài khoản.
Xác thực và bảo mật truy cập
Ngân hàng áp dụng các lớp xác thực đối với giao dịch có rủi ro cao, chẳng hạn như OTP, mật khẩu, sinh trắc học, xác thực sinh trắc học, xác thực bằng chứng thư hoặc kết hợp nhiều phương thức. Quyền truy cập vào hệ thống được cấp theo nguyên tắc tối thiểu và được rà soát định kỳ.
Nhân viên sử dụng tài khoản định danh riêng, không chia sẻ mật khẩu hoặc mã xác thực. Các hoạt động truy cập đặc biệt, như xuất dữ liệu khách hàng ở quy mô lớn, thay đổi cấu hình hệ thống hoặc cấp quyền mới, cần được quản lý chặt chẽ và kiểm tra độc lập.
Giám sát giao dịch và phát hiện bất thường
Hệ thống giám sát có thể theo dõi các yếu tố như:
- Giao dịch lớn hơn đáng kể so với thói quen sử dụng của khách hàng;
- Nhiều giao dịch chuyển khoản phát sinh trong thời gian ngắn;
- Giao dịch đột ngột từ vị trí, thiết bị hoặc địa chỉ IP bất thường;
- Thay đổi thông tin bảo mật kèm giao dịch tài chính;
- Giao dịch chuyển tiền cho người thứ ba không có hoặc có quan hệ kinh doanh chưa được xác minh;
- Tỷ lệ sử dụng thẻ, rút tiền hoặc thanh toán tại nhiều địa điểm tăng bất thường;
- Giao dịch bị từ chối nhiều lần, đặc biệt là từ nhiều kênh khác nhau.
Mức cảnh báo được phân loại theo khả năng xảy ra gian lận và mức độ thiệt hại. Ví dụ, giao dịch chuyển 500 triệu đồng trong vòng một ngày, trong khi khách hàng thường chuyển dưới 2 triệu đồng, có thể được chuyển đến bộ phận kiểm soát để rà soát trước khi hoàn tất.
Giám sát giao dịch viên và điểm giao dịch
Ngân hàng kiểm soát các rủi ro gian lận nội bộ thông qua quy trình kiểm tra giao dịch viên, đối chiếu số dư quầy, theo dõi ngoại lệ, kiểm tra giao dịch không có khách hàng và rà soát các mẫu hành vi bất thường.
Các giao dịch có dấu hiệu gian lận nội bộ như tách lập giao dịch vượt ngưỡng, sử dụng tài khoản của khách hàng để chuyển tiền hoặc cố tình bỏ qua kiểm tra phải được báo cáo theo quy trình nội bộ. Kết quả điều tra cần được lưu giữ và theo dõi đến khi khép lại.
Kiểm soát hoạt động bên thứ ba
Đối tác xử lý thanh toán, nhà cung cấp dịch vụ đám mây, đơn vị bảo trì hệ thống hoặc bên sử dụng API đều có thể làm tăng rủi ro truy cập và rò rỉ dữ liệu. Ngân hàng cần đánh giá năng lực kiểm soát của đối tác, quy định trách nhiệm bảo mật, phạm vi dữ liệu được chia sẻ, cơ chế thông báo sự cố và điều kiện ngừng cung cấp dịch vụ.
Quy trình xử lý giao dịch nghi ngờ gian lận
Quy trình xử lý gian lận thường bao gồm các bước:
- Tiếp nhận cảnh báo: Hệ thống hoặc nhân viên ghi nhận giao dịch có dấu hiệu bất thường.
- Phân loại mức độ rủi ro: Cảnh báo được xếp vào các mức như thấp, trung bình, cao hoặc nghiêm trọng tùy giao dịch và khách hàng.
- Kiểm tra bổ sung: Nhân viên xác minh lịch sử giao dịch, thông tin khách hàng, dấu hiệu nhận diện, mục đích giao dịch và mức độ phù hợp của hành vi sử dụng sản phẩm.
- Quyết định xử lý: Kết quả có thể là giải phóng giao dịch, yêu cầu bổ sung giấy tờ, giới hạn giao dịch, tạm khóa tài khoản hoặc từ chối giao dịch.
- Thông báo khách hàng: Khách hàng được thông báo phù hợp với tình huống, tránh tiết lộ thông tin không cần thiết nhưng vẫn bảo đảm khách hàng có thể bảo vệ quyền lợi.
- Báo cáo và theo dõi: Giao dịch bị từ chối, tạm khóa hoặc có dấu hiệu gian lận được báo cáo theo thẩm quyền và lưu giữ để phục vụ kiểm toán.
Các biện pháp tạm khóa hoặc từ chối giao dịch chỉ được thực hiện trên cơ sở quy định nội bộ và quy định pháp luật hiện hành. Ngân hàng cũng cần có cơ chế tiếp nhận khiếu nại, xem xét lại quyết định và khôi phục quyền sử dụng tài khoản khi không còn căn cứ ngăn chặn.
Trách nhiệm của các bộ phận
Ban lãnh đạo: Phê duyệt chính sách, mức rủi ro chấp nhận được, nguồn lực và chương trình phòng chống gian lận; đảm bảo tổ chức thực hiện hiệu quả.
Khối kiểm soát: Xây dựng quy trình, quy định hướng dẫn và tiêu chí cảnh báo; kiểm soát chất lượng hoạt động phòng chống gian lận; tổ chức kiểm toán nội bộ và đánh giá rủi ro định kỳ.
Khối vận hành và giao dịch viên: Thực hiện xác thực, kiểm tra giao dịch, ghi nhận cảnh báo và báo cáo nghi ngờ gian lận theo đúng thẩm quyền.
Khối công nghệ thông tin: Quản lý hệ thống giám sát, bảo mật, sao lưu, phân quyền truy cập và khả năng khôi phục hoạt động khi xảy ra sự cố.
Khối pháp chế và tuân thủ: Cập nhật quy định pháp luật, đánh giá tác động pháp lý, phối hợp xử lý khiếu nại và hỗ trợ khách hàng trong các trường hợp liên quan.
Khách hàng: Bảo mật thông tin đăng nhập, mật khẩu, mã OTP và thiết bị xác thực; kiểm tra thông báo giao dịch; chủ động thông báo khi phát hiện dấu hiệu bất thường.
Câu hỏi thường gặp
Hỏi: Ngân hàng có được tạm khóa tài khoản khi chỉ có một giao dịch bất thường không?
Không phải trường hợp nào cũng tự động tạm khóa. Ngân hàng thường xem xét mức độ bất thường, lịch sử giao dịch, hậu quả nếu giao dịch tiếp tục và các dấu hiệu khác. Biện pháp có thể từ yêu cầu xác minh thêm đến hạn chế hoặc tạm khóa tài khoản theo quy trình phê duyệt.
Hỏi: Một giao dịch chuyển khoản lớn nhưng khách hàng thường xuyên thực hiện có cần bị từ chối không?
Không nhất thiết. Nếu giao dịch phù hợp với thói quen, mục đích kinh doanh đã được xác minh và không có dấu hiệu bất thường khác, ngân hàng có thể xử lý theo trình tự thông thường. Tuy nhiên, giao dịch lớn vẫn thường được kiểm tra bổ sung trước khi hoàn tất.
Hỏi: Khách hàng nên làm gì khi nhận thông báo giao dịch mình không thực hiện?
Khách hàng nên kiểm tra giao dịch, báo ngay cho ngân hàng qua kênh liên hệ chính thức, không cung cấp mã xác thực cho bất kỳ ai và yêu cầu rà soát tài khoản. Nếu nghi ngờ tài khoản hoặc thiết bị đã bị chiếm đoạt, cần thực hiện các biện pháp bảo vệ tài khoản theo hướng dẫn của ngân hàng.
Thông tin trên mang tính tham khảo về định hướng quản trị rủi ro; việc áp dụng cụ thể phải phù hợp với quy định pháp luật, sản phẩm, quy trình nội bộ và tình huống thực tế của từng ngân hàng.