Quy trình nhận dạng khách hàng thực hiện giao dịch điện tử
Quy trình nhận dạng khách hàng thực hiện giao dịch điện tử là tập hợp các bước xác định danh tính khách hàng và xác thực giao dịch được thực hiện trên các kênh số như Internet Banking, Mobile Banking, ứng dụng thanh toán, ATM, POS và các hệ thống thanh toán điện tử. Mục tiêu của quy trình là bảo đảm giao dịch chỉ được thực hiện bởi đúng chủ tài khoản, giảm thiểu rủi ro gian lận, mạo danh, chiếm đoạt tài sản và hỗ trợ tuân thủ các quy định phòng, chống rửa tiền của Ngân hàng Nhà nước.
Về bản chất, quy trình này có hai lớp kiểm soát chính. Lớp thứ nhất là nhận dạng khách hàng (KYC – Know Your Customer): xác lập và cập nhật thông tin định danh, thông tin tài chính, mục đích mở tài khoản cũng như đánh giá rủi ro khách hàng. Lớp thứ nhì là xác thực giao dịch (authentication): chứng minh người thực hiện giao dịch là khách hàng hợp lệ và giao dịch do chính khách hàng đó khởi phát.
Các bước trong quy trình nhận dạng khách hàng
Bước đầu tiên là thu thập và kiểm tra thông tin định danh của khách hàng. Khách hàng cá nhân cung cấp hồ sơ nhân thân gồm giấy tờ tùy thân còn hiệu lực (căn cước, hộ chiếu), thông tin địa chỉ, nghề nghiệp, nguồn thu nhập và mục đích sử dụng dịch vụ. Khách hàng là tổ chức, doanh nghiệp phải bổ sung giấy chứng nhận đăng ký doanh nghiệp, điều lệ hoạt động, mô tả hoạt động kinh doanh và cơ cấu sở hữu, cùng với danh sách người đại diện theo pháp luật.
Bước tiếp theo là đối chiếu thông tin với các nguồn dữ liệu độc lập để xác minh tính chính xác, tránh trường hợp khách hàng cung cấp giả mạo. Đối với cá nhân, ngân hàng có thể tra cứu dữ liệu từ hệ thống quản lý dân cư, hệ thống cơ sở dữ liệu doanh nghiệp hoặc cơ sở tín dụng, kiểm tra danh sách định danh bị nghi ngờ gian lận và các nguồn dữ liệu rủi ro khác. Đối với pháp nhân, cần xác minh mã số thuế, tình trạng pháp lý và người đại diện có đúng là người được ủy quyền hay không.
Sau khi xác minh, ngân hàng tiến hành phân loại khách hàng theo mức độ rủi ro, xác định mức phòng chống rửa tiền tương ứng và biện pháp giám sát áp dụng. Khách hàng có rủi ro thấp thường được áp dụng quy trình đơn giản hơn; khách hàng rủi ro cao hoặc trung bình phải tăng cường kiểm tra, theo dõi giao dịch và rà soát định kỳ. Thông tin khách hàng được cập nhật khi có thay đổi, đồng thời lưu giữ hồ sơ theo thời hạn quy định.
Các yếu tố xác thực giao dịch điện tử
Xác thực giao dịch được xây dựng theo nguyên tắc nhiều lớp, kết hợp nhiều phương thức khác nhau để tạo độ khó cho kẻ gian lận. Yếu tố đầu tiên là thông tin bí mật mà khách hàng biết, ví dụ mật khẩu, mã PIN, mã OTP. Yếu tố thứ hai là thông tin khách hàng sở hữu, ví dụ thẻ liên kết, điện thoại di động, thiết bị đã đăng ký, chữ ký số. Yếu tố thứ ba là đặc điểm sinh trắc học, ví dụ vân tay, khuôn mặt, giọng nói đối với xác thực sinh trắc học.
Trong giao dịch chuyển tiền, các yếu tố thường được sử dụng là mã PIN kết hợp OTP gửi đến số điện thoại đã đăng ký, hoặc xác thực bằng sinh trắc học trên ứng dụng di động. Một số ngân hàng áp dụng thêm chữ ký số trong giao dịch có giá trị lớn. Với giao dịch tại ATM, quy trình thường gồm thao tác thẻ và nhập PIN theo quy định bảo mật của tổ chức chuyển mạng thẻ.
Nguyên tắc quan trọng là độ tin cậy của kênh xác thực phải tương xứng với mức độ rủi ro của giao dịch. Giao dịch giá trị nhỏ, hành vi thường quy có thể chấp nhận phương thức đơn giản hơn; giao dịch giá trị lớn, điểm bất thường hoặc từ thiết bị lạ cần bước xác thực bổ sung, kể cả bước xác minh trực tiếp với nhân viên hoặc thông báo cho khách hàng qua kênh liên hệ đã đăng ký.
Nguyên tắc quản lý rủi ro trong giao dịch điện tử
Ngân hàng áp dụng nguyên tắc không tin dựa trên địa chỉ IP hay thiết bị đăng nhập, bởi các yếu tố này có thể bị mạo danh hoặc thay đổi. Hệ thống cần theo dõi liên tục các dấu hiệu bất thường: tần suất đăng nhập bất thường, giao dịch vào khung giờ không hợp lý, giao dịch chuyển khoản đi ngay sau khi tiền vừa nhập, thay đổi thông tin bảo mật kèm giao dịch giá trị lớn, hoặc nhiều lần thất bại liên tiếp.
Khi phát hiện dấu hiệu rủi ro, quy trình xử lý có thể bao gồm: yêu cầu xác thực bổ sung, tạm khóa tài khoản tạm thời, gửi cảnh báo đến khách hàng, yêu cầu khách hàng trực tiếp đến điểm giao dịch xác minh, hoặc từ chối giao dịch và lập hồ sơ báo cáo. Hoạt động giám sát giao dịch cũng phải được duy trì sau khi giao dịch, đặc biệt với các giao dịch có dấu hiệu bất thường, nhằm phát hiện sớm các mô hình rửa tiền hoặc tấn công có tổ chức.
Bên cạnh đó, hệ thống cần kiểm soát phiên đăng nhập: tự động kết thúc phiên khi không hoạt động trong thời gian quy định, giới hạn số lần thử đăng nhập sai, khóa tài khoản tạm thời khi vượt ngưỡng, và ghi nhật đầy đủ nhật ký hệ thống. Dữ liệu giao dịch và nhật ký truy cập phải được bảo mật, lưu trữ an toàn để phục vụ tra cứu, điều tra và kiểm toán.
Vai trò của khách hàng và ngân hàng trong quy trình
Khách hàng có trách nhiệm cung cấp thông tin thật chính xác, bảo mật mật khẩu, mã PIN và thiết bị xác thực, không chia sẻ mã OTP cho bất kỳ ai, kể cả người xưng là nhân viên ngân hàng. Khách hàng cũng chủ động cập nhật thông tin định danh khi có thay đổi, chẳng hạn khi đổi điện thoại, đổi địa chỉ, thay đổi người đại diện hoặc thay đổi chủ tài khoản đối với tài khoản doanh nghiệp.
Ngân hàng có trách nhiệm thiết kế quy trình phù hợp với từng sản phẩm, kênh phân phối và mức rủi ro của khách hàng; cung cấp đầy đủ hướng dẫn sử dụng và thông báo rõ ràng về các bước xác thực; bảo đảm không đưa thông tin bí mật của khách hàng vào tin nhắn, email hay kênh hỗ trợ không an toàn; đồng thời cung cấp kênh khiếu nại và hỗ trợ khách hàng khi giao dịch bị từ chối do kiểm soát rủi ro.
Quy trình nhận dạng khách hàng thực hiện giao dịch điện tử được xem là một hệ thống kiểm soát liên tục, không phải một bước đơn lẻ. Mỗi lần đăng nhập, mỗi giao dịch và cả trong vòng giám sát sau giao dịch đều có thể là đối tượng kiểm tra, đánh giá và xử lý.
Câu hỏi thường gặp
Hỏi: Khách hàng đã đăng ký và xác thực đầy đủ tại quầy thì có cần nhận dạng lại khi chuyển tiền qua Mobile Banking không?
Trả lời: Quá trình mở tài khoản và xác thực ban đầu không thay thế cho bước xác thực tại thời điểm giao dịch. Khi thực hiện giao dịch điện tử, hệ thống vẫn xác minh danh tính người thao tác thông qua các yếu tố như mã PIN, OTP hoặc sinh trắc học. Tuy nhiên, mức độ kiểm tra có thể được đơn giản hơn đối với tài khoản đã được xác minh đầy đủ, có lịch sử giao dịch bình thường và rủi ro thấp.
Hỏi: Giao dịch bị từ chối với thông báo yêu cầu xác thực bổ sung, khách hàng nên làm gì?
Trả lời: Khách hàng không nên cố gắng thực hiện lại liên tục bằng cùng một phương thức. Trước tiên cần kiểm tra xem có yêu cầu xác minh thông báo qua ứng dụng, tin nhắn hay email không; sau đó xác nhận hệ thống đã ghi nhận đúng số điện thoại và thiết bị đăng ký. Nếu vẫn chưa xử lý được, khách hàng nên liên hệ hotline hoặc điểm giao dịch để được hỗ trợ, đồng thời cung cấp thông tin giao dịch cụ thể như thời gian, số tiền và người nhận.
Hỏi: Ngân hàng có yêu cầu khách hàng xác nhận giao dịch bằng cách gọi điện cho khách hàng không, và điều này có hợp lý không?
Trả lời: Việc xác minh thêm qua kênh liên hệ đã đăng ký là biện pháp hợp lý khi giao dịch có rủi ro cao, ví dụ chuyển khoản giá trị lớn, điểm bất thường hoặc giao dịch từ thiết bị chưa từng sử dụng. Ngân hàng phải thông báo rõ mục đích, thời điểm thực hiện và cách thức xác minh; đồng thời không được yêu cầu khách hàng cung cấp mật khẩu, mã PIN hoặc OTP qua cuộc gọi. Nguyên tắc an toàn là không tiết lộ bí mật xác thực cho bất kỳ ai, kể cả người tự xưng là nhân viên ngân hàng.
Thông tin trên mang tính tham khảo và được cập nhật theo quy định hiện hành của Ngân hàng Nhà nước về phòng, chống rửa tiền và các văn bản hướng dẫn liên quan; không thay thế tư vấn chuyên môn của tổ chức tài chính hoặc cơ quan quản lý.