Hợp đồng thuê ngoài dịch vụ công nghệ thông tin
Hợp đồng thuê ngoài dịch vụ công nghệ thông tin là hợp đồng giữa ngân hàng và nhà cung cấp bên ngoài, theo đó bên cung cấp nhận nhiệm vụ thực hiện, duy trì, phát triển hoặc hỗ trợ một phần hệ thống công nghệ thông tin của ngân hàng trong thời hạn và phạm vi đã thỏa thuận. Hợp đồng có thể bao gồm các dịch vụ như quản trị hệ thống, vận hành trung tâm dữ liệu, hỗ trợ kỹ thuật, phát triển phần mềm, bảo trì thiết bị, quản lý mạng hoặc cung cấp hạ tầng công nghệ thông tin.
Trong ngân hàng, hình thức này giúp tổ chức tập trung vào hoạt động cốt lõi nhưng vẫn sử dụng được năng lực chuyên môn, công nghệ và nhân sự của các doanh nghiệp bên ngoài. Tuy nhiên, ngân hàng không từ bỏ trách nhiệm đối với việc bảo vệ dữ liệu khách hàng, duy trì hoạt động nghiệp vụ và bảo đảm tuân thủ các yêu cầu quản trị rủi ro, an toàn thông tin cũng như bảo vệ dữ liệu cá nhân.
Phạm vi và nội dung hợp đồng
Phạm vi dịch vụ cần được mô tả cụ thể theo từng hệ thống, ứng dụng, hạ tầng hoặc quy trình được giao. Hợp đồng có thể quy định các nội dung như:
- Danh mục hệ thống, ứng dụng, cơ sở dữ liệu và thiết bị được giao;
- Loại hình dịch vụ: phát triển, cài đặt, bảo trì, vận hành, giám sát hoặc hỗ trợ;
- Khối lượng công việc, tiêu chuẩn dịch vụ và chỉ tiêu thời gian xử lý sự cố;
- Thời gian thực hiện, giai đoạn triển khai và thời điểm chuyển giao;
- Địa điểm thực hiện, phương thức làm việc và cơ chế phối hợp;
- Yêu cầu về nhân sự, năng lực chuyên môn và đào tạo;
- Quyền sử dụng tài sản, mã nguồn, tài liệu và dữ liệu;
- Cơ chế kiểm soát thay đổi, quản lý phiên bản và phát hành bản vá lỗi.
Nếu nhà cung cấp tiếp cận dữ liệu khách hàng, dữ liệu giao dịch hoặc thông tin nội bộ của ngân hàng, hợp đồng cần quy định rõ mục đích xử lý dữ liệu, phạm vi được phép, thời hạn lưu trữ, điều kiện tiếp nhận phân công xử lý và trách nhiệm khi dữ liệu bị vi phạm.
Quyền và nghĩa vụ của các bên
Người sử dụng dịch vụ có quyền yêu cầu bên cung cấp thực hiện đúng phạm vi công việc, cung cấp thông tin và báo cáo về tiến độ, chất lượng cũng như chi phí. Người sử dụng cũng có quyền kiểm tra, giám sát, yêu cầu khắc phục sai sót và ngừng sử dụng dịch vụ khi bên cung cấp vi phạm nghĩa vụ.
Bên cung cấp có nghĩa vụ bố trí đủ nhân lực và nguồn lực, thực hiện công việc theo tiêu chuẩn đã thỏa thuận, bảo mật thông tin, tuân thủ quy trình vận hành của ngân hàng, báo cáo sự cố và chịu trách nhiệm đối với thiệt hại phát sinh do vi phạm hợp đồng hoặc lỗi trong quá trình cung cấp dịch vụ.
Quyền thăm dò, kiểm tra, đánh giá và yêu cầu nhà cung cấp cung cấp chứng nhận, báo cáo thường niên hoặc chứng nhận bảo mật là những nội dung quan trọng trong hợp đồng thuê ngoài dịch vụ công nghệ thông tin của ngân hàng.
Giá dịch vụ và cơ chế thanh toán
Giá dịch vụ có thể được tính theo nhiều cách như theo gói cố định, theo thời gian thực hiện, theo số lượng phiếu công việc, theo dung lượng lưu trữ, theo số điểm kết nối, theo số thiết bị được quản lý hoặc theo mức độ sử dụng tài nguyên.
Ví dụ, đối với dịch vụ vận hành trung tâm dữ liệu, hợp đồng có thể quy định mức phí cố định hằng tháng cho các hạng mục như quản trị máy chủ, sao lưu, giám sát hệ thống và xử lý sự cố. Ngoài ra, các khoản chi phí phát sinh như thay thế thiết bị, nâng cấp đột xuất hoặc triển khai phiên bản mới có thể được thanh toán theo cơ chế riêng nếu hợp đồng xác định rõ điều kiện áp dụng.
Hợp đồng cũng cần quy định lịch thanh toán, hóa đơn, thuế suất, khoản tạm ức, tiền bảo hành và mức phạt đối với chậm khắc phục lỗi hoặc không đạt chỉ tiêu dịch vụ.
Quản lý rủi ro và bảo mật thông tin
Rủi ro của hợp đồng thuê ngoài dịch vụ công nghệ thông tin có thể bao gồm rủi ro về an ninh mạng, mất dữ liệu, gián đoạn dịch vụ, rò rỉ thông tin, công nghệ không còn được hỗ trợ, phụ thuộc quá mức vào nhà cung cấp và vi phạm yêu cầu tuân thủ.
Người sử dụng cần xây dựng các biện pháp kiểm soát như:
- Đánh giá rủi ro trước khi ký kết hợp đồng;
- Xác định quy định bảo mật, an toàn thông tin và bảo vệ dữ liệu;
- Thiết lập quyền truy cập tối thiểu và giám sát hoạt động của nhà cung cấp;
- Yêu cầu sao lưu, phục hồi và kiểm thử khả năng chuyển giao;
- Xây dựng kế hoạch ứng cứu khi xảy ra sự cố;
- Bổ sung điều khoản về phụ thuê nhà cung cấp, chuyển nhượng và công bố sự cố;
- Thực hiện đánh giá định kỳ hiệu quả, chi phí và mức độ tuân thủ của nhà cung cấp.
Đối với dịch vụ có tính chất trọng yếu, hợp đồng cần quy định khả năng hoạt động liên tục, thời gian khắc phục sự cố, mức độ sẵn sàng và quyền của ngân hàng trong việc tiếp cận hoặc thay thế nhà cung cấp khi cần thiết.
Chấm dứt và chuyển giao dịch vụ
Hợp đồng nên có các điều khoản rõ ràng về điều kiện chấm dứt trước hạn, thời gian báo trước, tiền bồi thường và các trường hợp người sử dụng có quyền đơn phương kết thúc dịch vụ vì vi phạm nghiêm trọng.
Khi kết thúc hợp đồng, hai bên cần thực hiện bàn giao tài liệu, mã nguồn hoặc cấu hình hệ thống, dữ liệu, tài khoản quản trị, chứng thư số, cấu hình mạng và toàn bộ thông tin cần thiết để ngân hàng tiếp tục vận hành hoặc chuyển sang nhà cung cấp khác. Quy trình bàn giao cần được xác định trước, bao gồm kiểm tra tính đầy đủ, khả năng truy xuất dữ liệu và thử nghiệm hệ thống trong môi trường mới.
Nội dung mang tính tham khảo, không thay thế tư vấn pháp lý hoặc tư vấn chuyên môn về hợp đồng và quản trị rủi ro công nghệ thông tin.
Câu hỏi thường gặp
Hỏi: Ngân hàng có được phép giao toàn bộ hệ thống công nghệ thông tin cho một nhà cung cấp bên ngoài không?
Không nên phụ thuộc hoàn toàn vào một nhà cung cấp cho các hoạt động trọng yếu. Ngân hàng cần giữ quyền kiểm soát, xây dựng phương án chuyển giao và tổ chức vận hành dự phòng để bảo đảm khả năng tiếp tục cung cấp dịch vụ khi có sự cố hoặc thay đổi nhà cung cấp.
Hỏi: Nhà cung cấp có được quyền truy cập trực tiếp vào dữ liệu khách hàng của ngân hàng không?
Chỉ khi có căn cứ hợp đồng và được ngân hàng cho phép trong phạm vi cần thiết. Quyền truy cập phải được giới hạn theo vai trò, mục đích và thời gian, đồng thời đi kèm nghĩa vụ bảo mật, ghi nhận truy cập và chịu trách nhiệm khi xảy ra sự cố.
Hỏi: Khi nhà cung cấp bảo trì hệ thống thì ai chịu trách nhiệm nếu giao dịch bị gián đoạn?
Trách nhiệm thuộc về nhà cung cấp nếu sự cố phát sinh do lỗi, thiếu tuân thủ quy trình hoặc không thực hiện đúng nghĩa vụ theo hợp đồng. Tuy nhiên, ngân hàng vẫn cần có biện pháp kiểm soát, kế hoạch dự phòng và cơ chế thông báo để hạn chế ảnh hưởng đến khách hàng.