Thế giới định danh điện tử như thế nào?

Hồ Hữu Tín - Trần Hùng Sơn (*)

(TBKTSG) - Ngân hàng Nhà nước vừa ban hành Thông tư số 16/2020/TT-NHNN sửa đổi, bổ sung một số điều của Thông tư số 23/2014/TT-NHNN, trong đó bổ sung điều 14a quy định về mở tài khoản thanh toán của cá nhân bằng phương thức điện tử. Quy định mới này dẫn đến nhu cầu phải định danh khách hàng điện tử (e-KYC). Vấn đề đặt ra là chọn công nghệ nào để bảo đảm an toàn, vì ngân hàng sẽ phải chịu trách nhiệm về các rủi ro phát sinh.

Thông tư 16 trao cho các ngân hàng quyền được quyết định biện pháp, hình thức, công nghệ để nhận biết và xác minh khách hàng, nhưng phải chịu trách nhiệm về rủi ro phát sinh (nếu có). Vì vậy, việc thiết kế một mô hình e-KYC hiệu quả là yếu tố rất quan trọng. Trong khuôn khổ bài viết này, chúng tôi xin giới thiệu một số mô hình e-KYC đang được các nước trên thế giới áp dụng.

Trong đại dịch Covid-19, các cơ quan quản lý ở các quốc gia trên thế giới đã đưa ra các hướng dẫn mới về e-KYC cho phép các tổ chức tài chính (TCTC) thực hiện định danh và phê duyệt các đơn đăng ký của khách hàng qua các kênh điện tử.

Chẳng hạn Ủy ban Giao dịch chứng khoán của Ấn Độ cho phép các nhà đầu tư nước ngoài cung cấp bản scan các giấy tờ khi đăng ký giao dịch, Ngân hàng Trung ương Philippines tạm thời dỡ bỏ yêu cầu xuất trình giấy tờ tùy thân cho các giao dịch nhỏ. Cơ quan tình báo tài chính Bangladesh (BFIU) cho phép tùy thuộc vào rủi ro của khách hàng mà các TCTC có thể đơn giản hóa việc thực hiện e-KYC. Nhìn chung, hiện tại có bốn mô hình e-KYC đang được triển khai ở các nước trên thế giới.

Xác thực và đối sánh danh tính - Mô hình của Hồng Kông

Pháp lệnh Chống rửa tiền và Pháp lệnh Tài trợ chống khủng bố (AMLO) của Hồng Kông (được công bố lần đầu tiên vào 2011) là bộ luật mang tính nguyên tắc bao gồm các yêu cầu về thẩm định và lưu giữ hồ sơ của khách hàng. Trong đó có các yêu cầu đặc biệt khi khách hàng không thể có mặt trực tiếp để thực hiện việc định danh.

Vào tháng 2-2019, Cơ quan Tiền tệ Hồng Kông (HKMA) đã ban hành một thông tư “remote on-boarding” đối với khách hàng cá nhân(1). Hướng dẫn mới của thông tư này không cung cấp một danh sách kiểm tra cụ thể về các hành động cần tuân theo, nhưng nêu rõ rằng các công nghệ được áp dụng cho mục đích “remote on-boarding” phải bao gồm cả xác thực/xác minh danh tính và đối sánh danh tính (ví dụ: qua nhận dạng khuôn mặt, xác định thực thể sống...).

Ưu điểm của mô hình linh hoạt này là tạo ra một hệ sinh thái các giải pháp rộng lớn khó bị tấn công và có thể hoạt động trong toàn bộ hệ thống tài chính. Tuy nhiên, nhược điểm của mô hình này là sự không chắc chắn do các yêu cầu tương đối mơ hồ cho các tổ chức mong muốn áp dụng các công nghệ mới có tính sáng tạo.

Xác minh qua video - Mô hình của Đức

Một cách thức để ngăn chặn hành vi mạo danh trong quá trình e-KYC là thay thế các giao dịch trực tiếp bằng các cuộc gọi điện video hai chiều. Đức là một trong những quốc gia đầu tiên áp dụng phương pháp xác minh qua video này. BaFin, cơ quan giám sát hoạt động tài chính của Đức, đã đưa ra các quy định cho hoạt động xác minh và nhận dạng khách hàng thông qua liên kết video hai chiều vào năm 2014 và được cập nhật vào năm 2017.

Xác minh bằng video có ưu điểm là ngăn chặn được việc giả mạo danh tính vì nó đơn giản là phiên bản kỹ thuật số của giao dịch trực tiếp mà các cơ quan quản lý hay TCTC sử dụng. Nhưng nó cũng đặt gánh nặng lớn lên nhóm quản lý khi phải tiếp nhận hàng loạt cuộc gọi video cũng như không có bất kỳ lợi thế nào về việc mở rộng ứng dụng so với các giao dịch truyền thống.

Lược đồ ID số - Mô hình của Thụy Điển và Ấn Độ

Có thể cho rằng một trong những cách tiếp cận triệt để hơn đối với e-KYC liên quan đến việc tạo ra các ID số được liên kết hoặc các tiện ích KYC tập trung. Mô hình này đòi hỏi phải có nguồn thông tin chính thức đáng tin cậy (thường được cung cấp bởi chính phủ) mà các TCTC có thể tham khảo khi kiểm tra danh tính của một khách hàng tiềm năng.

Ấn Độ, với hệ thống Aadhaar e-KYC, là một trong những nước tiên phong ứng dụng mô hình này. Ra mắt vào năm 2009 và được coi là nguyên mẫu của e-ID toàn cầu, Aadhaar hiện có hơn 1,21 tỉ người dùng. Nói một cách đơn giản, Aadhaar là số nhận dạng cá nhân do Cơ quan Nhận dạng duy nhất của Ấn Độ (UIDAI) cấp cho mục đích thiết lập danh tính duy nhất của mọi cá nhân đã đăng ký. Tuy nhiên, việc tập trung dữ liệu dễ bị tấn công, và Aadhaar đã gặp rủi ro vào tháng 1-2019 khi Chính phủ Ấn Độ thông báo rằng hàng triệu hồ sơ sinh trắc học hoàn chỉnh của người dùng bị rò rỉ.

Thụy Điển sử dụng một lược đồ ID số liên hợp, được giới thiệu lần đầu bởi các ngân hàng. Một nhóm các ngân hàng lớn của Thụy Điển (như Danske và Lansforsakringar) đã giới thiệu hệ thống Bank ID vào năm 2003, và đang được 80% dân số Thụy Điển sử dụng. Dữ liệu nhận dạng trong lược đồ này nằm trong ngân hàng của người dùng, không tập trung và do đó ít bị tấn công hoặc gặp các vấn đề về bảo mật.

Nâng cao và đơn giản hóa thẩm định chuyên sâu (due diligence): Mô hình của Vương quốc Anh

Joint Money Laundering Steering Group (JMLSG) là cơ quan được giao nhiệm vụ đưa ra các hướng dẫn để hỗ trợ các nhà cung cấp dịch vụ tài chính thực hiện theo luật AML (phòng chống rửa tiền) của Anh. Theo hướng dẫn hiện tại, các khách hàng có rủi ro thấp đủ điều kiện để được thẩm định đơn giản hơn, theo đó các TCTC có thể xác minh danh tính của khách hàng qua thu thập thông tin như tên, ngày sinh, địa chỉ cư trú và xác minh các phần thông tin được cung cấp dựa trên các nguồn chính thức. Cụ thể, tiêu chí xác minh của JMLSG là “2+2”, tức là các TCTC phải khớp 2 điểm dữ liệu do khách hàng cung cấp với 2 điểm dữ liệu từ một nguồn đáng tin cậy.

(*) Viện Nghiên cứu Phát triển công nghệ ngân hàng - Đại học Quốc gia TPHCM, trường Đại học Kinh tế - Luật

(1) https://www.hkma.gov.hk/media/eng/doc/key-information/guidelines-and-circular/2019/20190201e1.pdf
Theo HKMA, thuật ngữ “remote on-boarding” đề cập đến việc tạo lập mối quan hệ kinh doanh giữa khách hàng và doanh nghiệp chỉ thông qua một kênh điện tử duy nhất như các ứng dụng di động hoặc Internet.