Fintech và Quản trị thanh toán mở: Tách biệt kiểm soát nội bộ, eKYC và Bằng chứng ủy thác điện tử

Một doanh nghiệp thanh toán kỹ thuật số bắt đầu một hành trình hội nhập mới. Khách hàng xác minh danh tính của họ từ xa, chấp nhận thỏa thuận điện tử, kết nối tài khoản và bắt đầu giao dịch trong vòng vài phút. Trải nghiệm thương mại giống như một dòng chảy liên tục.

Bằng chứng đằng sau nó không phải là một dòng chảy.

Một nhóm quản lý nhật ký dịch vụ thanh toán; nhóm khác phụ trách thẩm định khách hàng. Nhà cung cấp chuyên môn thực hiện xác minh danh tính, còn dịch vụ tin cậy hỗ trợ chữ ký. Bộ phận quyền riêng tư xác định thời hạn bằng chứng; an ninh giới hạn quyền truy cập vào hiện vật nhạy cảm; pháp lý theo dõi nhà cung cấp và thỏa thuận; kiểm toán nội bộ xem xét việc vận hành kiểm soát. Khi cơ quan có thẩm quyền hỏi điều gì đã xảy ra với một khách hàng tại một thời điểm cụ thể, câu trả lời phải kết nối được bằng chứng của tất cả các nhóm.

Sai lầm dễ nhất là mô tả tất cả những điều này là “tuân thủ Thông tư 83” hoặc “tuân thủ thanh toán mở”. Khung đó quá rộng.

Thông tư 83/2025/TT-NHNN liên quan đến hệ thống kiểm soát nội bộ tại ngân hàng thương mại, chi nhánh ngân hàng nước ngoài. Không nên sử dụng nó làm nhãn pháp lý chung cho mọi fintech, ví điện tử, trung gian thanh toán, nền tảng thương mại hoặc giao diện lập trình ứng dụng. Các tổ chức đó có thể phải đối mặt với các khoản thanh toán khác, chống rửa tiền, quyền riêng tư, an ninh mạng, giao dịch điện tử, hợp đồng hoặc nghĩa vụ ngành. Phạm vi chính xác của chúng đòi hỏi phải phân tích pháp lý riêng biệt.

Nghị định 23/2025/NĐ-CP là một lớp khác theo Luật Giao dịch điện tử, điều chỉnh chữ ký điện tử và dịch vụ tin cậy. Văn bản này không biến nền tảng tuân thủ thành tổ chức cung cấp dịch vụ chứng thực hoặc nhà cung cấp chữ ký.

Quản trị tốt bắt đầu bằng cách giữ cho các lớp này tách biệt, sau đó kết nối các bằng chứng thực sự trùng lặp.

Để đặt luồng bằng chứng này vào đúng hệ sinh thái, xem khung ngân hàng, fintech và thanh toán, ngành tài chính, ngân hàng và thanh toán, mô-đun Quản trị nhà cung cấp, vai trò Trưởng phòng Kiểm toán nội bộ, tình huống gói bằng chứng liên khung, quy trình đối soát của Forseti AI và bài phân tích Thông tư 83 như một lớp phủ ngành.

“Hành trình của khách hàng có thể liền mạch. Phạm vi pháp lý, độ tin cậy kỹ thuật và bằng chứng hoạt động phải rõ ràng.”

---

Sau khi xác định phạm vi pháp lý, tổ chức cần lập danh mục các dịch vụ thực sự cung cấp hoặc sử dụng. ComplianceOne ghi nhận dịch vụ thanh toán, hoạt động ghi nhật ký của từng dịch vụ và bối cảnh lưu giữ của các nhật ký đó. Hồ sơ có thể liên kết dịch vụ với lần xác minh danh tính điện tử, thẩm định khách hàng, nghĩa vụ và ngoại lệ. Thuật ngữ pháp lý cùng phương thức lựa chọn phải đến từ nội dung pháp quy đã cài đặt, không được tự tạo thành danh mục thanh toán “phổ quát”.

Danh mục cần trả lời: dịch vụ nào đang hoạt động; ai chịu trách nhiệm; hệ thống và nhà cung cấp nào hỗ trợ; bằng chứng nào được ghi lại và lưu bao lâu; kiểm tra khách hàng nào phụ thuộc vào bằng chứng đó; ngoại lệ nào chưa xử lý; và quy tắc nào được chấp nhận là áp dụng trực tiếp hay chỉ giữ để tham khảo.

Khả năng này không phải công cụ giám sát giao dịch. Nó không có điểm rủi ro, ngưỡng hoạt động đáng ngờ hoặc kết luận tự động về giao dịch đáng ngờ, và không nộp báo cáo giao dịch đáng ngờ. Một lần xác minh danh tính thất bại hoặc một khoảng trống thẩm định không tự tạo thành kết luận về tội phạm tài chính; chuyên gia có trách nhiệm phải đánh giá toàn bộ sự kiện theo quy tắc áp dụng.

Bằng chứng thanh toán và danh tính nằm giữa các yêu cầu có thể xung đột. Quy tắc về phòng, chống tội phạm tài chính, tranh chấp, kiểm toán hoặc ngành có thể yêu cầu giữ bằng chứng; nguyên tắc về quyền riêng tư lại yêu cầu không giữ dữ liệu cá nhân khi không còn mục đích hoặc quá thời hạn áp dụng.

ComplianceOne ghi nhận quy tắc lưu giữ và quy tắc giảm thiểu như hai trách nhiệm cần được dung hòa. Việc hoàn tất đòi hỏi hai chức năng được chỉ định cùng phê duyệt; một phê duyệt duy nhất vẫn để hồ sơ ở trạng thái chờ quyết định thứ hai. Nền tảng không tự quyết định thời hạn lưu giữ mà bảo tồn quy tắc do tổ chức lựa chọn, điểm xung đột, người xem xét, quyết định và bằng chứng kết quả.

Nghị định 23/2025/NĐ-CP có hiệu lực từ ngày 10 tháng 4 năm 2025 theo Luật Giao dịch điện tử. Nội dung vận hành bao gồm chữ ký điện tử, chứng thư, nhà cung cấp dịch vụ tin cậy, vòng đời thông tin xác thực, tương tác với cơ quan có thẩm quyền và bằng chứng về khả năng chống chối bỏ. Nội dung pháp quy hiện hành phân biệt dịch vụ cấp dấu thời gian, chứng thực thông điệp dữ liệu, chứng thực chữ ký số công cộng và chữ ký điện tử chuyên dùng bảo đảm an toàn. Phạm vi áp dụng và cách diễn giải vẫn cần ý kiến chuyên môn phù hợp.

ComplianceOne cung cấp sổ đăng ký danh tính, nhà cung cấp dịch vụ tin cậy, lần gửi điện tử và thỏa thuận điện tử. Các loại dịch vụ, phương thức xác minh, mức bảo đảm, loại thuộc tính danh tính và loại thỏa thuận phải do nội dung pháp quy tương ứng khai báo. Khi một văn bản không có danh mục, nền tảng không mượn danh mục từ văn bản khác chỉ để điền lựa chọn.

ComplianceOne ghi nhận việc cấp, đình chỉ, thu hồi, hết hạn và gia hạn dưới dạng sự kiện có thời điểm, người thực hiện, lý do và bằng chứng. Thu hồi và hết hạn là trạng thái kết thúc; gia hạn tạo hồ sơ kế tiếp thay vì mở lại lịch sử. Nhờ đó, tổ chức có thể dựng lại trạng thái tại đúng thời điểm đã dựa vào thông tin xác thực.

Nền tảng không cấp chứng thư, lưu khóa riêng, đình chỉ thông tin xác thực tại nhà cung cấp hoặc tự truy vấn dịch vụ thu hồi. Tổ chức phải cấu hình vai trò nếu muốn tách biệt công việc bảo trì thông thường với thay đổi vòng đời.

ComplianceOne ghi nhận kênh gửi, hàm băm tải trọng, người chịu trách nhiệm, ngày gửi, biên nhận, mã xác nhận và lịch sử sửa đổi. Mỗi bản sửa đổi có hàm băm riêng và bản gốc vẫn đọc được.

Nền tảng không truyền hồ sơ và không tự kết nối cổng của cơ quan có thẩm quyền chỉ vì một kênh được liệt kê. “Bằng chứng gửi điện tử” là hồ sơ được quản trị về việc nộp, không đồng nghĩa với chức năng truyền hồ sơ chỉ bằng một thao tác.

1. Xác nhận loại hình và phạm vi của tổ chức; không suy ra phạm vi pháp lý từ thương hiệu.
2. Tách các lớp kiểm soát nội bộ ngân hàng, vận hành thanh toán, quyền riêng tư, tội phạm tài chính, giao dịch điện tử và dịch vụ tin cậy.
3. Kiểm kê dịch vụ thanh toán, chủ sở hữu, hệ thống, nhà cung cấp, nhật ký và bối cảnh lưu giữ.
4. Lập bản đồ bằng chứng eKYC, bao gồm kết quả thất bại và chưa có kết luận; giữ giá trị hạn chế tại bên lưu giữ.
5. Liên kết từng hồ sơ thẩm định với nghĩa vụ mà hồ sơ hỗ trợ.
6. Yêu cầu cả hai chức năng chịu trách nhiệm phê duyệt cách dung hòa lưu giữ và giảm thiểu.
7. Đăng ký nhà cung cấp dịch vụ tin cậy và lịch sử thông tin xác thực mà không ngụ ý cơ quan có thẩm quyền đã công nhận.
8. Liên kết thỏa thuận với bằng chứng chữ ký do bên ngoài báo cáo; không đưa khóa ký hoặc giá trị danh tính vào nền tảng.
9. Ghi nhận lần gửi và biên nhận, bảo tồn bản gốc cùng mọi sửa đổi.
10. Diễn tập việc dựng lại hành trình của một khách hàng tại một thời điểm cụ thể.