Dịch vụ xác thực điện tử eKYC theo quy định NHNN (NHNN-Compliant eKYC Service)
Dịch vụ xác thực điện tử eKYC theo quy định Ngân hàng Nhà nước (NHNN-Compliant eKYC Service) là hệ thống cho phép tổ chức tín dụng, chi nhánh ngân hàng nước ngoài và các trung gian thanh toán thực hiện định danh khách hàng từ xa hoàn toàn bằng phương thức điện tử, thay thế cho quy trình gặp mặt trực tiếp truyền thống. Dịch vụ này phải đáp ứng các tiêu chuẩn kỹ thuật và quy trình do Ngân hàng Nhà nước Việt Nam ban hành, trong đó trọng tâm là Thông tư hướng dẫn về mở và sử dụng tài khoản thanh toán cùng các văn bản hướng dẫn kèm theo về định danh khách hàng bằng phương thức điện tử. Mục tiêu cốt lõi của eKYC chuẩn NHNN là vừa tạo thuận lợi cho khách hàng khi đăng ký dịch vụ ngân hàng, vừa đảm bảo tuân thủ nghĩa vụ phòng chống rửa tiền, phòng chống gian lận và bảo vệ quyền lợi người tiêu dùng tài chính.
Thành phần cốt lõi của hệ thống eKYC chuẩn NHNN
Một hệ thống eKYC đạt chuẩn NHNN thường bao gồm bốn thành phần kỹ thuật chính:
1. Xác thực giấy tờ tùy thân (Document Verification): Khách hàng sử dụng thiết bị di động để chụp hoặc quét Căn cước công dân gắn chip hoặc Hộ chiếu. Hệ thống sử dụng công nghệ NFC để đọc dữ liệu từ chip của thẻ căn cước, kết hợp OCR (nhận dạng ký tự quang học) để trích xuất thông tin như họ tên, ngày sinh, số CMND/CCCD, ngày cấp, nơi cấp. Hệ thống cũng kiểm tra các yếu tố bảo mật trên thẻ nhằm phát hiện giả mạo.
2. Xác thực sinh trắc học (Biometric Verification): Hệ thống yêu cầu khách hàng thực hiện một trong các hành động sinh trắc học như chụp ảnh chân dung, quét khuôn mặt 3D (Face Matching 3D Liveness), quét vân tay qua cảm biến trên điện thoại. Ảnh chân dung thu thập sẽ được đối chiếu với ảnh trên chip căn cước công dân và với dữ liệu sinh trắc học lưu trữ trong hệ thống VNeID hoặc cơ sở dữ liệu quốc gia về dân cư khi được phép kết nối.
3. Xác minh thông tin chéo (Cross-verification): Thông tin khách hàng cung cấp được đối chiếu với các nguồn dữ liệu độc lập như cơ sở dữ liệu quốc gia về dân cư, danh sách đen (blacklist) nội bộ của ngân hàng, danh sách cảnh báo của các tổ chức quốc tế để phát hiện khách hàng có dấu hiệu rủi ro.
4. Lưu trữ hồ sơ và kiểm toán (Audit Trail): Toàn bộ dữ liệu định danh, video quay trong quá trình xác thực (proof of presence), nhật ký truy cập phải được lưu trữ tối thiểu theo thời hạn quy định tại Luật Phòng chống rửa tiền và các văn bản hướng dẫn, đồng thời phải đảm bảo khả năng truy xuất khi cơ quan quản lý yêu cầu.
Quy trình triển khai eKYC tại ngân hàng thương mại
Quy trình triển khai thường tuân theo các bước: (a) Khách hàng tải ứng dụng ngân hàng điện tử và bắt đầu đăng ký tài khoản thanh toán hoặc dịch vụ; (b) Khách hàng nhập số điện thoại di động, số CCCD và thực hiện chụp/quét hai mặt căn cước; (c) Hệ thống đọc chip NFC và xác thực tính hợp lệ của thẻ; (d) Khách hàng thực hiện xác thực khuôn mặt theo hướng dẫn (xoay mặt, chớp mắt, đọc số OTP ngẫu nhiên); (e) Hệ thống đối chiếu với cơ sở dữ liệu và ra quyết định chấp nhận hoặc từ chối; (f) Khách hàng hoàn tất đăng ký và sử dụng dịch vụ. Toàn bộ quá trình thường chỉ kéo dài từ 3 đến 7 phút thay vì 30 phút đến 1 giờ như phương thức truyền thống.
Phân loại cấp độ xác thực
Theo quy định hiện hành của Ngân hàng Nhà nước về mở tài khoản thanh toán, có hai cấp độ xác thực chính:
- Xác thực cấp độ 1: Áp dụng cho khách hàng cá nhân mở tài khoản thanh toán với hạn mức giao dịch giới hạn (thường không quá 100 triệu đồng/tháng đối với từng loại giao dịch), chỉ cần xác thực CCCD và khuôn mặt cơ bản.
- Xác thực cấp độ 2: Áp dụng cho khách hàng mở tài khoản với hạn mức giao dịch cao hơn hoặc sử dụng các dịch vụ yêu cầu nâng cao bảo mật, buộc phải xác thực sinh trắc học nâng cao (vân tay, khuôn mặt 3D) kết hợp đối chiếu với chip CCCD và có thể yêu cầu xác nhận bổ sung qua VNeID.
Từ ngày 01/07/2024, Ngân hàng Nhà nước triển khai thêm các yêu cầu xác thực sinh trắc học khi chuyển tiền trên 10 triệu đồng/lần hoặc tổng giá trị chuyển trong ngày vượt 20 triệu đồng, đánh dấu bước nâng cấp quan trọng trong tiêu chuẩn eKYC.
Lợi ích và thách thức
Lợi ích: Giảm chi phí vận hành cho ngân hàng, tăng trải nghiệm khách hàng, mở rộng phạm vi tiếp cận dịch vụ tài chính đến vùng nông thôn, nơi vốn thiếu chi nhánh ngân hàng. Theo báo cáo của NHNN, sau khi triển khai eKYC, tỷ lệ mở tài khoản thanh toán trên ứng dụng di động tại nhiều ngân hàng đã tăng hơn 3 lần so với phương thức truyền thống.
Thách thức: Rủi ro deepfake và giả mạo sinh trắc học, yêu cầu đầu tư hạ tầng công nghệ lớn, gánh nặng tuân thủ khi quy định liên tục được cập nhật, trách nhiệm pháp lý khi hệ thống bị lợi dụng để mở tài khoản giả phục vụ lừa đảo.
Câu hỏi thường gặp
Hỏi: eKYC chuẩn NHNN khác gì so với định danh trực tuyến thông thường (online onboarding) của các ứng dụng phi tài chính? eKYC chuẩn NHNN yêu cầu đối chiếu trực tiếp với chip căn cước công dân gắn chip (sử dụng NFC) và dữ liệu sinh trắc học phải đạt chuẩn ICAO hoặc tiêu chuẩn tương đương do NHNN công nhận, đồng thời phải lưu trữ hồ sơ theo thời hạn quy định tại Luật Phòng chống rửa tiền. Trong khi đó, các ứng dụng phi tài chính thường chỉ chụp ảnh tự xưng khai hoặc dùng video call, không có cơ chế đối chiếu với cơ sở dữ liệu quốc gia và không chịu sự giám sát của NHNN.
Hỏi: Khi hệ thống eKYC tự động từ chối định danh khách hàng, ngân hàng có được phép mở tài khoản bằng phương thức thủ công không? Có, nhưng phải tuân thủ quy trình nâng cao (Enhanced Due Diligence - EDD). Khách hàng bị hệ thống tự động từ chối cần đến quầy giao dịch hoặc gặp nhân viên tuân thủ để xác minh bổ sung. Ngân hàng phải lưu hồ sơ lý do từ chối ban đầu và biện pháp xác minh bổ sung, đồng thời báo cáo định kỳ cho bộ phận phòng chống rửa tiền theo quy định nội bộ.
Hỏi: Dữ liệu sinh trắc học thu thập qua eKYC có được chuyển cho bên thứ ba không? Theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân và các quy định của NHNN, dữ liệu sinh trắc học là dữ liệu cá nhân nhạy cảm. Ngân hàng chỉ được chia sẻ khi có sự đồng ý bằng văn bản của khách hàng, được yêu cầu bởi cơ quan nhà nước có thẩm quyền, hoặc theo quy định pháp luật về phòng chống rửa tiền. Mọi trường hợp chia sẻ phải được ghi nhận trong nhật ký xử lý dữ liệu và thông báo cho khách hàng theo quy định.
Nội dung mang tính tham khảo, được biên soạn dựa trên các quy định hiện hành của Ngân hàng Nhà nước Việt Nam về định danh khách hàng điện tử và phòng chống rửa tiền, không thay thế tư vấn pháp lý chuyên ngành.