Hợp đồng thuê ngoại dịch vụ
Hợp đồng thuê ngoại dịch vụ là thỏa thuận giữa ngân hàng và nhà cung cấp độc lập, theo đó bên thuê ngoài thực hiện một số chức năng, dịch vụ hoặc hoạt động hỗ trợ thay cho ngân hàng trong phạm vi được giao và đáp ứng các tiêu chuẩn về chất lượng, bảo mật, thời gian và chi phí. Đối với ngân hàng, hợp đồng thuê ngoại dịch vụ không đồng nghĩa với việc chuyển nhượng trách nhiệm pháp lý cho bên thuê ngoài; ngân hàng vẫn phải kiểm soát, giám sát và chịu trách nhiệm đối với việc thực hiện đúng các yêu cầu quản trị rủi ro của mình.
Trong lĩnh vực ngân hàng, hợp đồng thuê ngoài dịch vụ có thể được sử dụng để thuê nhà cung cấp xử lý hồ sơ, bảo trì hạ tầng công nghệ thông tin, lưu trữ dữ liệu, kiểm soát thẻ, vận hành trung tâm liên lạc khách hàng, cung cấp dịch vụ tổng đài hoặc thực hiện một số khâu trong quy trình tín dụng. Hình thức phổ biến gồm thuê ngoài toàn bộ dịch vụ, thuê ngoài một số chức năng và thuê ngoài chuyên môn. Hợp đồng phải xác định rõ phạm vi dịch vụ, tiêu chuẩn thực hiện, dữ liệu được sử dụng, quyền truy cập, trách nhiệm của mỗi bên, cơ chế báo cáo, điều kiện kết thúc và biện pháp xử lý khi bên thuê ngoài vi phạm.
Đối tượng, phạm vi và trách nhiệm
Hợp đồng thuê ngoài dịch vụ thường có ít nhất hai bên: ngân hàng sử dụng dịch vụ và bên thuê ngoài cung cấp dịch vụ. Trách nhiệm của ngân hàng bao gồm xác định mục tiêu dịch vụ, cung cấp tài liệu cần thiết, phê duyệt kết quả và giám sát chất lượng. Trách nhiệm của bên thuê ngoài thường gồm chuẩn bị nguồn lực, thực hiện công việc, bảo đảm bảo mật, duy trì tính sẵn có của dịch vụ và thông báo kịp thời các rủi ro hoặc sự cố.
Phạm vi dịch vụ cần được viết đủ cụ thể để tránh tranh chấp. Chẳng hạn, thay vì ghi chung chung là thuê ngoài dịch vụ nhân sự, hợp đồng có thể quy định nhà cung cấp tiếp nhận, phân loại và bổ sung hồ sơ theo biểu mẫu; kiểm tra tính hợp lệ của giấy tờ; lập bảng tổng hợp và bàn giao kết quả vào 17 giờ mỗi ngày làm việc. Các công việc nhạy cảm như quyết định phê duyệt tín dụng hoặc ký cam kết thay ngân hàng cần được quy định rõ là không được uỷ quyền.
Hợp đồng cũng nên phân biệt giữa thông tin, tài liệu và dữ liệu mà bên thuê ngoài được phép tiếp cận. Dữ liệu khách hàng chỉ nên được cung cấp theo nguyên tắc tối thiểu cần thiết, có mục đích sử dụng rõ ràng và phù hợp với các quy định hiện hành về bảo vệ dữ liệu cá nhân, bảo mật thông tin và an toàn hệ thống thông tin của tổ chức tín dụng.
Điều kiện thương mại và kiểm soát chất lượng
Giá trị hợp đồng nên được xác định trên cơ sở phạm vi công việc, khối lượng, mức độ phức tạp, tiêu chuẩn dịch vụ và chi phí hợp lý. Có thể áp dụng giá cố định cho dịch vụ có quy mô ổn định, đơn giá theo lượng cho dịch vụ có khối lượng thay đổi hoặc cơ chế thưởng và phạt cho chất lượng dịch vụ. Ví dụ, hợp đồng có thể ghi nhận phí dịch vụ cơ bản là 300 triệu đồng mỗi tháng, đồng thời áp dụng biện pháp điều chỉnh nếu thời gian xử lý vượt quá thời hạn cam kết quá 10% trong hai tháng liên tiếp.
Chỉ tiêu chất lượng cần đo được, có thể bao gồm tỷ lệ hồ sơ xử lý đúng quy trình, tỷ lệ lỗi, thời gian phản hồi, tỷ lệ sự cố nghiêm trọng, thời gian khôi phục dịch vụ và mức độ hài lòng của khách hàng. Ngân hàng cần có quyền kiểm tra định kỳ, yêu cầu bên thuê ngoài cung cấp báo cáo, tiến hành kiểm toán độc lập khi cần thiết và đánh giá lại khả năng tiếp tục thuê ngoài.
Đối với dịch vụ phụ thuộc công nghệ thông tin, hợp đồng nên quy định mức độ sẵn có của dịch vụ, phương án sao lưu, khả năng khôi phục thảm họa, tiêu chuẩn an toàn thông tin và nghĩa vụ thông báo sự cố. Bên thuê ngoài không nên tự ý thay đổi nhân sự chủ chốt, công nghệ, địa điểm xử lý dữ liệu hoặc quy trình vận hành mà không có sự đồng ý của ngân hàng, trừ khi hợp đồng quy định khác.
Quản lý rủi ro và chấm dứt hợp đồng
Rủi ro chính của hợp đồng thuê ngoài dịch vụ có thể bao gồm vi phạm bảo mật, rò rỉ dữ liệu, thực hiện dịch vụ sai quy trình, mất khả năng kiểm soát, phụ thuộc quá mức vào nhà cung cấp, gián đoạn dịch vụ và chi phí tăng ngoài dự kiến. Hợp đồng cần quy định rõ các biện pháp phòng ngừa, giám sát, báo cáo, bồi thường và chế tài khi vi phạm.
Mỗi bên cũng cần xem xét khả năng khôi phục hoạt động nếu bên thuê ngoài không thể tiếp tục cung cấp dịch vụ. Ngân hàng nên yêu cầu nhà cung cấp lưu trữ dữ liệu, tài liệu và nhật ký theo thời hạn thích hợp, đồng thời có phương án chuyển giao khi hợp đồng kết thúc. Bên thuê ngoài phải hỗ trợ ngân hàng trong quá trình chuyển đổi, bao gồm bàn giao tài liệu, dữ liệu, kiến thức vận hành và nhân sự phù hợp.
Điều khoản chấm dứt nên phân biệt giữa chấm dứt vì thuận lợi, vi phạm hợp đồng, thay đổi quy định pháp luật, thay đổi chiến lược kinh doanh hoặc rủi ro hệ thống. Hợp đồng cần quy định thời gian báo trước, trách nhiệm khi kết thúc, điều kiện thanh toán, việc hoàn trả tài liệu và duy trì bí mật thông tin sau khi hợp đồng hết hiệu lực.
Ví dụ minh họa
Ngân hàng A thuê nhà cung cấp B xử lý một phần quy trình xác minh hồ sơ khách hàng trước khi mở tài khoản. Phạm vi công việc gồm tiếp nhận bản sao giấy tờ, đối chiếu với yêu cầu của ngân hàng, kiểm tra dữ liệu theo danh sách được cung cấp và gửi báo cáo kết quả. Tuy nhiên, nhà cung cấp B không được quyết định mở tài khoản, giao dịch tiền hoặc thay đổi thông tin pháp lý của khách hàng.
Theo hợp đồng, nhà cung cấp B phải đạt ít nhất 99% hồ sơ được kiểm tra đúng hướng dẫn, báo cáo sự cố trong vòng 4 giờ và bảo mật dữ liệu bằng các biện pháp được ngân hàng chấp thuận. Nếu để xảy ra rò rỉ dữ liệu hoặc cung cấp thông tin cho bên thứ ba không được phép, bên B phải thực hiện quy trình khắc phục, hợp tác điều tra và chịu trách nhiệm theo thỏa thuận cũng như quy định pháp luật áp dụng.
Câu hỏi thường gặp
Hỏi: Ngân hàng có được chuyển toàn bộ trách nhiệm đối với khách hàng cho bên thuê ngoài dịch vụ không?
Không. Ngân hàng vẫn chịu trách nhiệm đối với hoạt động do mình tổ chức hoặc ủy quyền theo quy định pháp luật. Hợp đồng chỉ làm rõ phạm vi công việc của bên thuê ngoài và trách nhiệm giữa các bên, không đồng nghĩa với việc ngân hàng được miễn trách nhiệm.
Hỏi: Bên thuê ngoài có được tự xử lý dữ liệu khách hàng tùy ý không?
Không. Quyền xử lý dữ liệu phải được quy định cụ thể trong hợp đồng, chỉ phục vụ mục tiêu đã thống nhất và tuân thủ các yêu cầu về bảo mật, bảo vệ dữ liệu cá nhân. Bên thuê ngoài cũng phải giới hạn số người được tiếp cận dữ liệu và báo cáo ngay khi phát hiện sự cố.
Hỏi: Hợp đồng thuê ngoài dịch vụ nên có điều khoản về thưởng hoặc phạt chất lượng như thế nào?
Điều khoản này cần gắn với chỉ tiêu có thể đo lường, chẳng hạn tỷ lệ hồ sơ đúng quy trình, thời gian bàn giao và số lượng lỗi. Biện pháp thưởng và phạt cần cân đối, có quy định xác định dữ liệu, thời hạn xử lý và cơ chế thông báo, tránh biến thành khoản thưởng hoặc chế tài mang tính đột ngột, không phù hợp với thực tế hợp đồng.
Thông tin trên mang tính tham khảo để nghiên cứu và soạn thảo hợp đồng; không thay thế tư vấn pháp lý, tư vấn quản trị rủi ro hoặc ý kiến của chuyên gia trong từng trường hợp cụ thể.