Trả lời nhanh: BPO ngân hàng là việc ngân hàng hoặc công ty tài chính thuê doanh nghiệp khác làm thay một phần quy trình như số hoá hồ sơ, tổng đài. Theo quy định của Ngân hàng Nhà nước, bên thuê vẫn chịu trách nhiệm cuối cùng, phải đánh giá rủi ro, thẩm định và giám sát đối tác.
Điểm chính
- Thông tư 13/2018/TT-NHNN (ngân hàng thương mại) và Thông tư 14/2023/TT-NHNN (tổ chức tín dụng phi ngân hàng) đặt 5 yêu cầu tối thiểu khi thuê ngoài.
- Nhà cung cấp chạm vào hệ thống cấp độ 3 trở lên hoặc dữ liệu cá nhân khách hàng thì phải áp dụng thêm Thông tư 09/2020/TT-NHNN.
- Từ 01/01/2026, nhà cung cấp là bên xử lý dữ liệu cá nhân, chỉ được nhận dữ liệu sau khi có hợp đồng xử lý dữ liệu.
- Dịch vụ đòi nợ là ngành nghề cấm kinh doanh; chỉ nên thuê ngoài khâu nhắc nợ có kiểm soát.
Mục lục
- BPO ngân hàng là gì, khác thuê ngoài thông thường ở đâu?
- Ngân hàng thường thuê ngoài những quy trình nào?
- Khung pháp lý nào điều chỉnh thuê ngoài trong ngân hàng?
- Quy trình 8 bước thuê ngoài một nghiệp vụ
- Hợp đồng thuê ngoài cần những điều khoản nào?
- Giám sát nhà cung cấp sau khi ký như thế nào?
- Kết hợp BPO với tự động hoá
- Ví dụ minh hoạ: thuê ngoài nhập liệu hồ sơ vay
- Lỗi thường gặp khi ngân hàng thuê ngoài
- Checklist trước khi ký hợp đồng
- Câu hỏi thường gặp
Thuê ngoài giúp ngân hàng giảm tải khối lượng giấy tờ và cuộc gọi, nhưng đây là ngành bị quản lý chặt nhất về dữ liệu và rủi ro hoạt động. Bài viết hướng dẫn làm BPO trong tài chính, ngân hàng theo khung pháp lý còn hiệu lực đến tháng 10/2026: nên giao việc gì, văn bản nào áp dụng, quy trình 8 bước, điều khoản hợp đồng, cách giám sát và lỗi hay gặp.
Bài viết là kiến thức tham khảo, không phải tư vấn pháp lý. Bạn nên kiểm tra lại tình trạng hiệu lực văn bản và quy định nội bộ trước khi ký hợp đồng.
BPO ngân hàng là gì, khác thuê ngoài thông thường ở đâu?
BPO (Business Process Outsourcing) là thuê ngoài quy trình kinh doanh. Phần nền tảng như phân loại và mô hình đã có ở bài BPO là gì; ở đây chỉ bàn điểm riêng của ngành tài chính, ngân hàng.
Thông tư 13/2018/TT-NHNN ngày 18/05/2018 định nghĩa hoạt động thuê ngoài là việc ngân hàng thương mại, chi nhánh ngân hàng nước ngoài thoả thuận bằng văn bản để thuê doanh nghiệp, tổ chức tín dụng khác thực hiện thay một hoặc một số hoạt động, gồm cả xử lý dữ liệu hoặc một số công đoạn của quy trình nghiệp vụ. Thông tư 14/2023/TT-NHNN ngày 20/11/2023 dùng định nghĩa tương tự cho công ty tài chính, công ty cho thuê tài chính.
So với doanh nghiệp thường, BPO ngân hàng khác ở ba điểm:
- Trách nhiệm không chuyển đi. Luật Các tổ chức tín dụng số 32/2024/QH15 buộc tổ chức tín dụng bảo mật thông tin khách hàng (Điều 13), bảo đảm an toàn dữ liệu và hoạt động liên tục (Điều 14), dù việc do ai làm.
- Thuê ngoài là rủi ro hoạt động phải quản lý, nằm cùng nhóm với ứng dụng công nghệ và mua bảo hiểm trong Thông tư 13/2018.
- Dữ liệu cực kỳ nhạy cảm: tài khoản, khoản vay, sinh trắc học.
Cần phân biệt BPO với hoạt động uỷ thác, đại lý, giao đại lý thanh toán tại Điều 113 Luật Các tổ chức tín dụng. Đó là hoạt động ngân hàng có cơ chế riêng do Thống đốc quy định. Còn thuê dịch vụ công nghệ thông tin chịu thêm Thông tư 09/2020/TT-NHNN.
Ngân hàng thường thuê ngoài những quy trình nào?
Pháp luật không có danh sách cố định; ngân hàng tự xác định phạm vi trong quy định nội bộ. Bảng dưới gom các nhóm thường gặp kèm mức nhạy cảm dữ liệu.
| Nhóm quy trình | Ví dụ công việc | Dữ liệu chạm tới | Mức nhạy cảm |
|---|---|---|---|
| Số hoá, nhập liệu | Quét, nhập liệu hồ sơ vay, mở tài khoản; lưu kho hồ sơ giấy | Giấy tờ tuỳ thân, thu nhập, tài sản bảo đảm | Cao |
| Hỗ trợ thẩm định, KYC | Kiểm tra đủ hồ sơ, gọi xác minh; quyết định vẫn do ngân hàng | Hồ sơ, kết quả xác minh | Rất cao |
| Tổng đài, chăm sóc khách hàng | Tra cứu, tiếp nhận khiếu nại, telesales | Họ tên, số điện thoại, sản phẩm | Trung bình đến cao |
| Nhắc nợ sớm | Nhắc lịch thanh toán khi khoản vay sắp hoặc vừa quá hạn | Dư nợ, lịch trả nợ | Rất cao |
| Vận hành thẻ | Tra soát giao dịch, xử lý khiếu nại thẻ | Số thẻ đã che, lịch sử giao dịch | Rất cao |
| Hỗ trợ nội bộ | Kế toán nội bộ, tính lương, mua sắm | Dữ liệu nhân viên, nhà cung cấp | Trung bình |
| Công nghệ thông tin | Hạ tầng, đám mây, giám sát an ninh | Có thể chạm toàn hệ thống | Rất cao, áp dụng Thông tư 09/2020 |
Mô hình, giá và KPI tổng đài thuê ngoài có trong bài call center outsourcing; với ngân hàng, bạn cần thêm kịch bản tuân thủ, ghi âm và quyền rà soát cuộc gọi.
Những việc nên giữ lại trong nội bộ
Thông tư 13/2018 không liệt kê việc cấm giao. Nhưng theo nguyên tắc “không làm suy giảm kiểm soát quy trình nghiệp vụ” của Thông tư 09/2020, ngân hàng thường giữ lại:
- Quyết định có rủi ro tín dụng: cấp tín dụng, hạn mức, cơ cấu nợ, chuyển nhóm nợ.
- Khẩu vị rủi ro, chính sách, hạn mức.
- Trách nhiệm của tuyến quản lý rủi ro, tuân thủ và kiểm toán nội bộ. Luật cho phép Ban kiểm soát thuê chuyên gia, tổ chức bên ngoài hỗ trợ kiểm toán nội bộ, nhưng Ban kiểm soát vẫn chịu trách nhiệm.
- Quyền quản trị cao nhất với hệ thống lõi và khoá mã hoá.
Khung pháp lý nào điều chỉnh thuê ngoài trong ngân hàng?
Không có văn bản riêng về thuê ngoài; quy định nằm rải rác. Bảng sau tóm tắt các văn bản chính còn hiệu lực đến tháng 10/2026.
| Văn bản | Áp dụng cho | Nội dung liên quan |
|---|---|---|
| Luật Các tổ chức tín dụng 32/2024/QH15 (hiệu lực 01/07/2024, sửa đổi năm 2025) | Tổ chức tín dụng | Điều 13 bảo mật thông tin; Điều 14 an toàn dữ liệu, hoạt động liên tục; Điều 57 kiểm soát nội bộ |
| Thông tư 13/2018/TT-NHNN (hiệu lực 01/01/2019, sửa đổi bởi Thông tư 40/2018, 14/2019, 09/2024) | Ngân hàng thương mại, chi nhánh ngân hàng nước ngoài | Định nghĩa thuê ngoài; Điều 41, 43 quản lý thuê ngoài; Điều 46 duy trì hoạt động liên tục |
| Thông tư 14/2023/TT-NHNN (hiệu lực 01/10/2024) | Tổ chức tín dụng phi ngân hàng | Điều 27 quản lý thuê ngoài, dẫn chiếu quy định an toàn CNTT |
| Thông tư 09/2020/TT-NHNN (hiệu lực 01/01/2021) | Tổ chức tín dụng, trung gian thanh toán, công ty thông tin tín dụng và một số tổ chức khác | Điều 32–36 dịch vụ CNTT của bên thứ ba, đám mây; Điều 54 báo cáo |
| Nghị định 117/2018/NĐ-CP | Tổ chức tín dụng | Giữ bí mật, cung cấp thông tin khách hàng |
| Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực 01/01/2026), Nghị định 356/2025/NĐ-CP | Mọi tổ chức xử lý dữ liệu cá nhân | Điều 20 chuyển dữ liệu xuyên biên giới; Điều 27 tài chính, ngân hàng; Điều 37 bên kiểm soát, bên xử lý |
| Luật Đầu tư 143/2025/QH15 (hiệu lực 01/03/2026) | Mọi doanh nghiệp | Điều 6: kinh doanh dịch vụ đòi nợ là ngành nghề cấm |
5 yêu cầu quản lý thuê ngoài của Thông tư 13/2018
Điều 43 yêu cầu quản lý hoạt động thuê ngoài tối thiểu gồm:
- Xác định phạm vi thuê ngoài.
- Phân cấp thẩm quyền phê duyệt.
- Thẩm định năng lực bên nhận thuê ngoài trước khi ký và đánh giá lại trong suốt hợp đồng.
- Hợp đồng chặt chẽ: bảo vệ quyền sở hữu, bảo mật cơ sở dữ liệu và thông tin khách hàng, quyền chấm dứt, phạm vi, trách nhiệm mỗi bên, xử lý tranh chấp.
- Kế hoạch duy trì hoạt động liên tục cho hoạt động thuê ngoài.
Rủi ro từ thuê ngoài được nhận dạng, đo lường như mọi rủi ro hoạt động khác, và báo cáo nội bộ về rủi ro hoạt động phải nêu tình hình thuê ngoài. Điều 27 Thông tư 14/2023 lặp lại các yêu cầu này, thêm điều kiện hợp đồng không ảnh hưởng uy tín của tổ chức.
Thông tư 09/2020: khi nhà cung cấp chạm vào hệ thống
Điều 32 đặt bốn nguyên tắc: không làm suy giảm khả năng cung cấp dịch vụ liên tục, không làm suy giảm kiểm soát quy trình nghiệp vụ, không thay đổi trách nhiệm an toàn thông tin của tổ chức, và dịch vụ phải đáp ứng quy định an toàn thông tin của tổ chức.
Với hệ thống cấp độ 3 trở lên hoặc hệ thống xử lý thông tin cá nhân khách hàng, Điều 33 yêu cầu đánh giá rủi ro trước khi dùng dịch vụ. Nếu thuê toàn bộ việc quản trị hệ thống đó, tổ chức gửi báo cáo đánh giá rủi ro cho Ngân hàng Nhà nước (Cục Công nghệ thông tin) trước khi triển khai tối thiểu 10 ngày làm việc (Điều 54). Với đám mây, bên thứ ba phải là doanh nghiệp, hạ tầng đáp ứng pháp luật Việt Nam và có chứng nhận quốc tế còn hiệu lực về an toàn thông tin (Điều 34).
Bí mật khách hàng và dữ liệu cá nhân
Ngân hàng thường là bên kiểm soát dữ liệu, nhà cung cấp là bên xử lý. Điều 37 Luật Bảo vệ dữ liệu cá nhân quy định bên xử lý chỉ được nhận dữ liệu sau khi có thoả thuận, hợp đồng xử lý dữ liệu và phải làm đúng hợp đồng. Nếu nhà cung cấp dùng nền tảng ngoài Việt Nam để xử lý dữ liệu thu thập trong nước, đó là chuyển dữ liệu xuyên biên giới (Điều 20). Quyền chủ thể, mức phạt và hồ sơ đánh giá tác động có trong bài bảo vệ dữ liệu cá nhân.
Thu hồi nợ: ranh giới cần nhớ
Luật Đầu tư 143/2025/QH15 tiếp tục cấm kinh doanh dịch vụ đòi nợ. Vì vậy chỉ nên thuê ngoài khâu nhắc lịch thanh toán, chăm sóc khách hàng, với kịch bản do ngân hàng duyệt và ghi âm đầy đủ.
Tham chiếu quốc tế
- Uỷ ban Basel về Giám sát Ngân hàng công bố bản chính thức “Nguyên tắc quản lý rủi ro bên thứ ba” ngày 10/12/2025, sau bản tham vấn tháng 7/2024.
- Liên minh châu Âu áp dụng Đạo luật về khả năng chống chịu hoạt động số (DORA, Quy định (EU) 2022/2554) từ 17/01/2025. Ngày 18/09/2026, Cơ quan Ngân hàng châu Âu (EBA) công bố bản cuối hướng dẫn rủi ro bên thứ ba cho dịch vụ phi CNTT, sẽ thay hướng dẫn thuê ngoài năm 2019.
Xu hướng chung là chuyển từ “thuê ngoài” sang quản lý “mọi bên thứ ba”, tập trung vào chức năng trọng yếu. Ngân hàng có cổ đông nước ngoài thường phải áp thêm các chuẩn này.
Quy trình 8 bước thuê ngoài một nghiệp vụ
Quy trình dưới đây gom yêu cầu của các văn bản trên thành vòng đời dễ làm theo; mỗi bước có đầu ra để lưu hồ sơ phục vụ kiểm tra.
Bước 1: Xác định phạm vi và mức trọng yếu
Mô tả quy trình bắt đầu, kết thúc ở đâu, dữ liệu nào được chia sẻ. Hỏi: nếu dịch vụ dừng 1 ngày, khách hàng và nghĩa vụ báo cáo có bị ảnh hưởng không. Quy trình chưa chuẩn thì chuẩn hoá trước khi giao. Đầu ra: mô tả phạm vi, sơ đồ quy trình, phân loại dữ liệu, mức trọng yếu.
Bước 2: Đánh giá rủi ro
Dùng tối thiểu hai phương pháp mà Thông tư 13/2018 nêu, như tự đánh giá rủi ro và kiểm soát (RCSA), sơ đồ hoá quy trình, phân tích kịch bản. Có hệ thống cấp độ 3 trở lên hoặc dữ liệu khách hàng thì bổ sung nội dung tại Điều 33 Thông tư 09/2020. Các rủi ro BPO chung như phụ thuộc, chi phí ẩn có ở bài rủi ro khi thuê ngoài BPO. Đầu ra: báo cáo đánh giá rủi ro, biện pháp giảm thiểu.
Bước 3: Phê duyệt theo phân cấp
Quy trình trọng yếu nên qua hội đồng rủi ro, có ý kiến độc lập của quản lý rủi ro và tuân thủ. Nếu thuê toàn bộ quản trị hệ thống cấp độ 3 trở lên, đưa mốc báo cáo Ngân hàng Nhà nước vào kế hoạch ngay. Đầu ra: quyết định phê duyệt, kế hoạch báo cáo.
Bước 4: Thẩm định nhà cung cấp
Tiêu chí chung về năng lực, giá, văn hoá có ở bài tiêu chí chọn đối tác BPO. Ngân hàng cần kiểm tra thêm:
- Ngành nghề đăng ký hợp pháp, năng lực tài chính đủ cho thời hạn hợp đồng.
- Hệ thống quản lý an toàn thông tin, chứng nhận quốc tế còn hiệu lực.
- Kế hoạch dự phòng, địa điểm dự phòng, kết quả diễn tập gần nhất.
- Cam kết bảo mật và kỷ luật nhân sự; danh sách nhà thầu phụ và nơi đặt dữ liệu.
Bước 5: Hợp đồng và SLA
Chuyển yêu cầu pháp lý thành nghĩa vụ ràng buộc (xem bảng ở phần sau). Cách viết chỉ số, cơ chế phạt có trong bài SLA trong hợp đồng BPO. Đầu ra: hợp đồng, phụ lục SLA, thoả thuận xử lý dữ liệu cá nhân.
Bước 6: Chuyển giao
Viết quy trình mẫu (SOP), đào tạo, chạy song song một thời gian. Cấp quyền truy cập tối thiểu, có thời hạn; Điều 36 Thông tư 09/2020 yêu cầu giám sát chặt và giới hạn quyền truy cập của bên thứ ba. Đầu ra: bộ SOP, biên bản nghiệm thu, danh sách quyền đã cấp.
Bước 7: Giám sát vận hành
Theo dõi KPI dịch vụ và chỉ số rủi ro trọng yếu (KRI), kiểm tra mẫu, rà soát quyền, đánh giá lại nhà cung cấp. Khi nhà cung cấp đổi giải pháp, phiên bản hay nhà thầu phụ, Điều 36 yêu cầu đánh giá tác động trước khi đưa vào dùng.
Bước 8: Duy trì liên tục và phương án thoát
Điều 46 Thông tư 13/2018 yêu cầu kế hoạch duy trì hoạt động liên tục có dự phòng nhân sự, hệ thống, dữ liệu. Với thuê ngoài, thêm phương án thoát: ai làm thay, trong bao lâu. Điều 35 Thông tư 09/2020 quy định dữ liệu là tài sản của tổ chức; khi chấm dứt, bên thứ ba trả lại và xoá dữ liệu trong thời hạn xác định.
Hợp đồng thuê ngoài cần những điều khoản nào?
Bảng ánh xạ điều khoản với căn cứ giúp pháp chế và nghiệp vụ rà soát bằng một danh mục chung.
| Nhóm điều khoản | Nội dung tối thiểu | Căn cứ |
|---|---|---|
| Phạm vi, chất lượng | Công việc, khối lượng, chỉ số, biện pháp khi chất lượng không bảo đảm | Điều 43 TT 13/2018; Điều 35 TT 09/2020 |
| Bảo mật, sở hữu dữ liệu | Không sao chép, sử dụng, cung cấp dữ liệu cho bên khác; dữ liệu phát sinh thuộc ngân hàng | Điều 43 TT 13/2018; Điều 35 TT 09/2020; Điều 13 Luật TCTD |
| Xử lý dữ liệu cá nhân | Mục đích, loại dữ liệu, thời hạn, biện pháp bảo vệ, bồi thường | Điều 37 Luật 91/2025/QH15 |
| Nhân sự, nhà thầu phụ | Phổ biến quy định an toàn thông tin; báo khi nhân sự vi phạm; nhà thầu phụ không làm giảm trách nhiệm | Điều 35 TT 09/2020 |
| Liên tục, sự cố | Thời gian gián đoạn tối đa, thời gian khắc phục, sao lưu, dự phòng thảm hoạ | Điều 35 TT 09/2020; Điều 46 TT 13/2018 |
| Riêng cho đám mây | Báo cáo kiểm toán CNTT độc lập hằng năm; minh bạch vị trí trung tâm dữ liệu ngoài Việt Nam; tách biệt dữ liệu; hợp tác điều tra | khoản 6 Điều 35 TT 09/2020 |
| Quyền kiểm tra | Ngân hàng được kiểm tra, kiểm toán nhà cung cấp | Thực hành tốt, gắn với yêu cầu đánh giá trong suốt hợp đồng |
| Chấm dứt, tranh chấp | Quyền chấm dứt; trả, xoá dữ liệu; hỗ trợ chuyển giao; luật áp dụng | Điều 43 TT 13/2018; Điều 35 TT 09/2020 |
Điều 35 Thông tư 09/2020 bắt buộc với hợp đồng cho hệ thống cấp độ 3 trở lên và hệ thống xử lý thông tin cá nhân khách hàng. Nhiều ngân hàng vẫn dùng làm chuẩn chung cho mọi hợp đồng.
Giám sát nhà cung cấp sau khi ký như thế nào?
Thông tư 13/2018 tổ chức kiểm soát nội bộ theo ba tuyến bảo vệ. Áp vào thuê ngoài: tuyến 1 (đơn vị chủ quản) quản lý hợp đồng hằng ngày; tuyến 2 (quản lý rủi ro, tuân thủ) theo dõi KRI, rà soát hợp đồng; tuyến 3 (kiểm toán nội bộ) đưa thuê ngoài vào kế hoạch kiểm toán theo rủi ro.
Bộ chỉ số gợi ý dưới đây là ví dụ minh hoạ; ngưỡng cụ thể do mỗi ngân hàng tự đặt.
| Loại chỉ số | Ví dụ | Tần suất |
|---|---|---|
| Chất lượng (KPI) | Tỷ lệ hồ sơ đúng hạn, tỷ lệ lỗi nhập liệu, thời gian xử lý | Hằng tuần, hằng tháng |
| Rủi ro (KRI) | Sự cố an toàn thông tin, khiếu nại liên quan nhà cung cấp, nghỉ việc nhân sự chủ chốt | Hằng tháng |
| Truy cập | Tài khoản lâu không dùng, quyền vượt nhu cầu, truy cập ngoài giờ | Hằng tháng, hằng quý |
| Liên tục, phụ thuộc | Kết quả diễn tập; tỷ trọng khối lượng dồn vào một nhà cung cấp | Ít nhất hằng năm |
Thông tư 09/2020 yêu cầu báo cáo sự cố an toàn thông tin cho Ngân hàng Nhà nước trong vòng 24 giờ kể từ khi phát hiện. Hợp đồng nên buộc nhà cung cấp báo ngân hàng sớm hơn nhiều để kịp xác minh.
Kết hợp BPO với tự động hoá
Nhiều nhà cung cấp dùng nhận dạng ký tự (OCR), robot phần mềm (RPA) cho phần lặp lại, người xử lý ngoại lệ; cách ngân hàng dùng RPA có ở bài RPA trong ngân hàng. Hợp đồng cần nói rõ công cụ chạy trên hạ tầng của ai, ở quốc gia nào; mỗi robot có tài khoản riêng, có nhật ký; ai sở hữu kịch bản tự động hoá khi chấm dứt hợp đồng.
Ví dụ minh hoạ: thuê ngoài nhập liệu hồ sơ vay
Tình huống giả định: một công ty tài chính thuê ngoài việc phân loại và nhập liệu hồ sơ vay tiêu dùng.
- Phạm vi: nhận ảnh hồ sơ, phân loại, nhập thông tin vào hệ thống khởi tạo khoản vay; không gồm thẩm định, phê duyệt.
- Rủi ro chính: lộ giấy tờ tuỳ thân, nhập sai số tiền, nghẽn lúc cao điểm. Hệ thống xử lý thông tin khách hàng nên áp dụng Điều 33 Thông tư 09/2020.
- Thiết kế kiểm soát: nhân sự nhà cung cấp làm trên hệ thống của công ty tài chính qua máy trạm ảo, không lưu dữ liệu tại máy nhà cung cấp; chạy song song hai tuần; kiểm tra mẫu hằng tuần.
- Phương án thoát: đội nội bộ giữ năng lực tối thiểu, SOP luôn cập nhật.
Vì dữ liệu không rời hệ thống bên thuê, phần lớn rủi ro lộ dữ liệu và chuyển dữ liệu ra nước ngoài được chặn ngay từ kiến trúc.
Lỗi thường gặp khi ngân hàng thuê ngoài
- Coi thuê ngoài là chuyển trách nhiệm. Khi có khiếu nại, ngân hàng vẫn phải trả lời.
- Chỉ thẩm định lúc ký, trong khi Thông tư 13/2018 yêu cầu đánh giá suốt hợp đồng.
- Bỏ qua nhà thầu phụ, để dữ liệu đi qua bên thứ tư mà không biết.
- Thiếu điều khoản thoát về trả, xoá dữ liệu và hỗ trợ chuyển giao.
- Cấp quyền rộng cho tiện: tài khoản dùng chung, quyền quản trị không thời hạn.
- Quên báo cáo Ngân hàng Nhà nước khi thuê toàn bộ quản trị hệ thống cấp độ 3 trở lên.
- Giao khâu nợ cho bên “đòi nợ”, ngành nghề cấm kinh doanh.
Checklist trước khi ký hợp đồng
- Phạm vi, mức trọng yếu đã mô tả và được phê duyệt đúng phân cấp.
- Có báo cáo đánh giá rủi ro hoạt động và rủi ro CNTT.
- Đã xác định nghĩa vụ báo cáo Ngân hàng Nhà nước (nếu có).
- Hồ sơ thẩm định đủ pháp lý, tài chính, an toàn thông tin, dự phòng.
- Hợp đồng đủ các nhóm điều khoản ở bảng trên, kèm thoả thuận xử lý dữ liệu cá nhân.
- Đã biết nơi đặt dữ liệu, có chuyển dữ liệu xuyên biên giới hay không.
- Đã giao người phụ trách KPI, KRI ở từng tuyến; có kế hoạch dự phòng và kế hoạch thoát.
Câu hỏi thường gặp
Ngân hàng có cần xin phép Ngân hàng Nhà nước trước khi thuê ngoài không?
Các văn bản nêu trong bài không đặt thủ tục chấp thuận chung cho mọi hợp đồng thuê ngoài. Riêng khi thuê toàn bộ quản trị hệ thống thông tin cấp độ 3 trở lên hoặc hệ thống xử lý thông tin khách hàng, tổ chức phải gửi báo cáo đánh giá rủi ro trước khi triển khai tối thiểu 10 ngày làm việc.
Công ty tài chính tiêu dùng áp dụng thông tư nào?
Thông tư 13/2018 áp dụng cho ngân hàng thương mại và chi nhánh ngân hàng nước ngoài. Công ty tài chính, công ty cho thuê tài chính áp dụng Thông tư 14/2023/TT-NHNN, hiệu lực từ 01/10/2024, với yêu cầu tương tự tại Điều 27.
Nhà cung cấp có được đặt máy chủ ở nước ngoài không?
Thông tư 09/2020 không cấm, nhưng hợp đồng đám mây phải minh bạch vị trí trung tâm dữ liệu ngoài Việt Nam. Xử lý dữ liệu cá nhân thu thập tại Việt Nam trên nền tảng ở nước ngoài là chuyển dữ liệu xuyên biên giới, cần hồ sơ đánh giá tác động.
Ai chịu trách nhiệm khi nhà cung cấp làm lộ dữ liệu?
Với khách hàng, ngân hàng là bên kiểm soát dữ liệu và chịu trách nhiệm về thiệt hại. Nhà cung cấp chịu trách nhiệm trước ngân hàng theo hợp đồng, nên cần điều khoản bồi thường, báo sự cố và quyền kiểm tra rõ ràng.
Bao lâu nên đánh giá lại nhà cung cấp?
Thông tư 13/2018 không ấn định tần suất. Thực hành phổ biến là ít nhất hằng năm với nhà cung cấp trọng yếu, và đánh giá ngay khi có sự cố lớn, đổi chủ sở hữu hoặc đổi nhà thầu phụ.