Đang áp dụng
DORA: Quy tắc về khả năng chống chịu hoạt động số được áp dụng
Rủi ro ICT, sổ đăng ký bên thứ ba, báo cáo sự cố và kiểm thử.
Dịch vụ tài chính
Những gì chúng tôi xây dựng cho ngân hàng thương mại, công ty bảo hiểm, công ty chứng khoán và công ty tài chính tiêu dùng: AI giải thích được với cơ quan giám sát, tích hợp tôn trọng hệ thống lõi, và vận hành đáp ứng yêu cầu an toàn hệ thống thông tin ngay từ quyết định kiến trúc đầu tiên.
Dành cho ngân hàng thương mại, công ty bảo hiểm, công ty chứng khoán và công ty tài chính tiêu dùng tại Việt Nam, và cho nhà cung cấp ICT phục vụ tổ chức tài chính tại EU.

17/1/2025
DORA được áp dụng tại EU
Quản lý rủi ro ICT, sổ đăng ký bên thứ ba, báo cáo sự cố và kiểm thử khả năng chống chịu đối với tổ chức tài chính.
10/7/2027
Quy định chống rửa tiền của EU được áp dụng
Một bộ quy tắc chung về nhận biết khách hàng trên toàn EU, cùng cơ quan mới AMLA.
2/12/2027
Nghĩa vụ rủi ro cao của Đạo luật AI với tín dụng và bảo hiểm
Đánh giá khả năng trả nợ và định giá bảo hiểm nhân thọ, sức khỏe là các mục đích sử dụng rủi ro cao; ngày áp dụng theo bản sửa đổi năm 2026.
DORA biến khả năng chống chịu hoạt động thành các nghĩa vụ cụ thể: quản lý rủi ro ICT, sổ đăng ký mọi thỏa thuận với bên thứ ba cung cấp dịch vụ ICT, báo cáo sự cố có phân loại và kiểm thử định kỳ. Nhà cung cấp điện toán đám mây và AI nay là một phần của bức tranh giám sát; nhà cung cấp ngoài EU phục vụ tổ chức tài chính EU đáp ứng các yêu cầu này qua hợp đồng.
Chấm điểm tín dụng và định giá bảo hiểm là mục đích sử dụng rủi ro cao theo Đạo luật AI của EU. Quản lý rủi ro mô hình phải bao quát cả mô hình học máy và AI tạo sinh, với tài liệu, giám sát và sự giám sát của con người tương xứng với mức độ tác động.
Thanh toán tức thời và kết nối qua API đã nâng kỳ vọng về tốc độ và minh bạch. Tại EU, các quy định dịch vụ thanh toán tiếp theo sẽ siết chặt hơn nữa yêu cầu phòng chống gian lận và chất lượng API.
Máy tính lớn và nền tảng lõi vẫn đang giữ sổ sách. Thay đổi phải diễn ra xung quanh chúng, qua API và sự kiện, mà không làm ảnh hưởng đến sự ổn định hay báo cáo theo quy định.
Mở tài khoản và rà soát định kỳ phụ thuộc vào chuyên viên đọc giấy tờ thủ công.
Xử lý tài liệu thông minh trích xuất và kiểm tra giấy tờ tùy thân, thông tin sở hữu và chứng từ về nguồn tiền. Chuyên viên xem xét các trường hợp được đánh dấu, và mọi lần kiểm tra đều được ghi nhật ký để phục vụ kiểm toán và yêu cầu phòng, chống rửa tiền.
Chuyên viên tư vấn và bộ phận dịch vụ phải tìm trong năm hệ thống để trả lời một câu hỏi.
Trợ lý có phân quyền trên dữ liệu sản phẩm, chính sách và quy trình, dẫn nguồn và ghi lại những gì đã hiển thị, để hồ sơ tư vấn luôn đầy đủ.
Mỗi thay đổi ở hệ thống lõi đều chậm, tốn kém và rủi ro.
Chúng tôi mở các chức năng lõi qua API và luồng sự kiện, chuyển dần từng chức năng ra ngoài và duy trì đối soát cho đến khi có thể ngừng luồng xử lý cũ.
Sổ đăng ký bên thứ ba và quy trình xử lý sự cố vẫn nằm trong bảng tính.
Chúng tôi đưa sổ đăng ký thông tin, phân loại sự cố và quy trình báo cáo vào công cụ quản lý dịch vụ và điện toán đám mây, gắn với các chức năng quan trọng mà chúng hỗ trợ, theo cách DORA yêu cầu với tổ chức tài chính tại EU.
Mô hình không giải thích được thì không qua được khâu thẩm định.
Một khung đánh giá thống nhất với bộ phận quản lý rủi ro và thẩm định: bộ dữ liệu kiểm thử, khả năng giải thích khi quyết định cần đến, giám sát độ lệch và quy trình con người can thiệp có tài liệu.
Báo cáo gửi cơ quan quản lý được đối soát thủ công mỗi quý.
Luồng dữ liệu có nguồn gốc được lập tài liệu và kiểm tra chất lượng tự động, theo các nguyên tắc BCBS 239, để mọi số liệu đều truy ngược được về nguồn.
Vị trí của AI giữa các kênh và hệ thống lõi, với một bước phê duyệt trước những bước có hệ quả, và các biện pháp kiểm soát về khả năng chống chịu chạy song song ở mọi tầng.
Dịch vụ AI chỉ kết nối với hệ thống lõi qua tầng tích hợp. Các biện pháp kiểm soát theo DORA áp dụng cho mọi thành phần.
Khách hàng, chuyên viên tư vấn và bộ phận dịch vụ sử dụng các kênh ứng dụng, web, chi nhánh và tổng đài.
Phía sau các kênh là ba dịch vụ AI: tiếp nhận tài liệu mở tài khoản và KYC, trợ lý cho chuyên viên tư vấn và bộ phận dịch vụ, và một bước phê duyệt của chuyên viên mà mọi quyết định có hệ quả đều phải đi qua.
Dịch vụ AI chỉ tiếp cận hệ thống lõi qua tầng tích hợp gồm API và luồng sự kiện. Hệ thống lõi gồm ngân hàng lõi hoặc quản lý hợp đồng bảo hiểm, nền tảng CRM và dịch vụ, và nền tảng dữ liệu có nguồn gốc được lập tài liệu.
Song song với mọi tầng là các biện pháp kiểm soát theo DORA: quản lý rủi ro ICT, sổ đăng ký bên thứ ba cung cấp dịch vụ ICT, phân loại và báo cáo sự cố, và kiểm thử khả năng chống chịu. Mọi mô hình đều được đăng ký, thẩm định và giám sát theo quy trình quản lý rủi ro mô hình.
AI soạn thảo, trích xuất và gợi ý. Quyết định về tín dụng, bồi thường hay hạn chế tài khoản vẫn thuộc về một người cụ thể.
Mức độ giải thích được quyết định theo từng loại quyết định trong giai đoạn thiết kế, không phải bổ sung vội trước khi thẩm định.
Nhà cung cấp điện toán đám mây và mô hình được lựa chọn kèm kế hoạch rút lui và phương án thay thế được ghi vào sổ đăng ký.
Dữ liệu đầu vào, kết quả đầu ra, phiên bản mô hình và các lần phê duyệt được lưu giữ để cơ quan giám sát và kiểm toán viên tái dựng được bất kỳ hồ sơ nào.
Các mốc làm thay đổi những gì một đối tác triển khai phải chứng minh. Cơ quan giám sát quốc gia và các cơ quan giám sát châu Âu bổ sung hướng dẫn và tiêu chuẩn kỹ thuật.
Đang áp dụng
Rủi ro ICT, sổ đăng ký bên thứ ba, báo cáo sự cố và kiểm thử.
Đang áp dụng
Đang áp dụng
Chuẩn bị bộ quy tắc chung và việc giám sát trực tiếp một số tổ chức được lựa chọn.
Đang áp dụng
Tổ chức cung cấp dịch vụ thanh toán trong khu vực đồng euro kiểm tra tên người nhận trước khi thực hiện chuyển khoản.
Đang áp dụng
Khách hàng phải được thông báo khi đang tương tác với một hệ thống AI.
Tình trạng tại ngày 2 tháng 10, 2026
Sắp áp dụng
Hài hòa quy định về nhận biết khách hàng, chủ sở hữu hưởng lợi và lưu giữ hồ sơ.
Sắp áp dụng
Bao gồm đánh giá khả năng trả nợ và định giá bảo hiểm nhân thọ, sức khỏe, theo bản sửa đổi năm 2026.
Sắp áp dụng
Các văn bản của EU thường định hình công việc về AI và nền tảng tại tổ chức tài chính châu Âu và nhà cung cấp của họ, kèm ý nghĩa của từng văn bản đối với chương trình triển khai.
Phần tổng quan này phục vụ các buổi trao đổi lập kế hoạch. Đây không phải là tư vấn pháp lý hay tư vấn về tuân thủ. Các mốc thời gian được rà soát ngày 2/10/2026.
Đạo luật về khả năng chống chịu hoạt động số (DORA) áp dụng từ ngày 17/1/2025 cho ngân hàng, công ty bảo hiểm, công ty đầu tư, tổ chức thanh toán và các tổ chức tài chính khác tại EU. Đạo luật bao gồm quản lý rủi ro ICT, báo cáo sự cố, kiểm thử khả năng chống chịu và quản lý rủi ro từ bên thứ ba cung cấp dịch vụ ICT, kể cả các điều khoản hợp đồng chính (Điều 30).
Với tư cách nhà cung cấp ICT, chúng tôi hỗ trợ nghĩa vụ của quý vị: điều khoản hợp đồng, thông báo sự cố, kế hoạch rút lui, tham gia kiểm thử và thông tin mà sổ đăng ký cần.
NguồnQuy định (EU) 2022/2554, EUR-Lex (mở trang web bên ngoài)
AI dùng để đánh giá khả năng trả nợ của cá nhân hoặc định giá theo rủi ro cho bảo hiểm nhân thọ và sức khỏe thuộc nhóm rủi ro cao. Nhà cung cấp và bên triển khai cần quản lý rủi ro, quản trị dữ liệu, nhật ký, giám sát của con người và tài liệu. Theo bản sửa đổi năm 2026, các nghĩa vụ này áp dụng từ ngày 2/12/2027.
Chúng tôi phân loại từng tình huống sử dụng từ sớm, đưa sự giám sát của con người vào quy trình và lập tài liệu phù hợp với khung quản lý rủi ro mô hình của quý vị.
NguồnQuy định (EU) 2024/1689, EUR-Lex (mở trang web bên ngoài)
Quy định chống rửa tiền thay thế các quy định quốc gia về nhận biết khách hàng bằng một bộ quy tắc chung của EU từ ngày 10/7/2027. Cơ quan mới AMLA điều phối các cơ quan giám sát quốc gia và sẽ trực tiếp giám sát một số tổ chức có rủi ro cao được lựa chọn.
Quy trình mở tài khoản và rà soát cần xử lý chứng từ nhất quán và có dấu vết kiểm tra. Chúng tôi thiết kế quy trình tiếp nhận tài liệu và xử lý hồ sơ theo chuẩn đó.
NguồnQuy định (EU) 2024/1624, EUR-Lex (mở trang web bên ngoài)
Điều 22 cho mỗi người quyền không phải chịu quyết định chỉ dựa trên xử lý tự động có ảnh hưởng đáng kể đến họ, với các ngoại lệ đòi hỏi biện pháp bảo vệ như sự can thiệp của con người và quyền phản đối quyết định.
Chúng tôi thiết kế quy trình để một người có thể xem xét, giải thích và thay đổi kết quả tự động, và ghi lại việc họ đã làm điều đó.
NguồnQuy định (EU) 2016/679, EUR-Lex (mở trang web bên ngoài)
Quy định về phân phối sản phẩm đầu tư và bảo hiểm yêu cầu đánh giá mức độ phù hợp hoặc nhu cầu của khách hàng, và lưu hồ sơ về nội dung đã tư vấn. AI hỗ trợ chuyên viên tư vấn trở thành một phần của hồ sơ đó.
Trợ lý ghi lại những gì đã hiển thị và các nguồn đã dùng, để hồ sơ tư vấn luôn đầy đủ và có thể rà soát.
PSD2 hiện điều chỉnh dịch vụ thanh toán và quyền truy cập ngân hàng mở. Các văn bản kế nhiệm, PSD3 và Quy định về dịch vụ thanh toán, đã đạt thỏa thuận sơ bộ năm 2025 và sẽ tăng cường yêu cầu phòng chống gian lận và hiệu năng API sau một giai đoạn chuyển tiếp.
Nền tảng API xây dựng bây giờ nên tính trước các nghĩa vụ chặt chẽ hơn về hiệu năng, giám sát và chia sẻ dữ liệu gian lận.
NguồnChỉ thị (EU) 2015/2366, EUR-Lex (mở trang web bên ngoài)
Giấy tờ tùy thân và thông tin sở hữu được trích xuất và đối chiếu chéo; chuyên viên quyết định với mọi trường hợp được đánh dấu.
Câu trả lời về sản phẩm, chính sách và quy trình kèm nguồn, trong phạm vi quyền truy cập của chuyên viên.
Khiếu nại được phân loại theo chủ đề và mức độ khẩn, chuyển kèm bản tóm tắt nháp, và thời hạn xử lý được theo dõi.
Đơn yêu cầu bồi thường, hóa đơn và biên bản được đọc và đối chiếu với hợp đồng bảo hiểm; cán bộ giải quyết bồi thường phê duyệt chi trả.
Giao dịch trên máy tính lớn được mở thành API và sự kiện có tài liệu, để kênh mới không còn phụ thuộc vào tệp xử lý theo lô.
Không gian làm việc cho chuyên viên tư vấn, hành trình mở tài khoản và vận hành dịch vụ, kết nối với hệ thống lõi và quy trình tiếp nhận tài liệu.
Tài chính và báo cáo hợp nhất, với dữ liệu SAP được cung cấp cho báo cáo rủi ro và báo cáo theo quy định, có nguồn gốc dữ liệu được lập tài liệu.
Cấp độ đối tác là cấp độ FromNine đang nắm giữ. Tên sản phẩm là nhãn hiệu của các chủ sở hữu tương ứng.
Việt Nam
Tại Việt Nam, Thông tư số 09/2020/TT-NHNN của Ngân hàng Nhà nước Việt Nam, có hiệu lực từ ngày 1/1/2021, quy định về an toàn hệ thống thông tin trong hoạt động ngân hàng, gồm cả yêu cầu khi sử dụng dịch vụ của bên thứ ba và điện toán đám mây. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, có hiệu lực từ ngày 1/1/2026, áp dụng cho dữ liệu khách hàng. Luật Trí tuệ nhân tạo có hiệu lực từ ngày 1/3/2026 và dành cho các hệ thống AI trong lĩnh vực tài chính đã vận hành trước ngày đó thời gian chuyển tiếp đến ngày 1/9/2027.
DORA, Đạo luật AI và gói quy định chống rửa tiền là luật của EU. Các yêu cầu này có thể đến với tổ chức tại Việt Nam khi tổ chức đó cung cấp dịch vụ ICT cho tổ chức tài chính EU, thuộc sở hữu của một tổ chức như vậy, hoặc dùng AI có kết quả đầu ra được sử dụng tại EU. Chúng tôi thiết kế để bằng chứng được tạo một lần và trình bày được cho bất kỳ bên nào: tài liệu kiến trúc và mô hình, nhật ký, kết quả kiểm thử và kế hoạch rút lui, luôn cập nhật khi hệ thống thay đổi.
Với tổ chức tài chính tại EU, chúng tôi thống nhất các điều khoản hợp đồng mà DORA yêu cầu, thông báo sự cố qua kênh đã thỏa thuận, lập tài liệu kế hoạch rút lui, tham gia kiểm thử khả năng chống chịu và cung cấp thông tin mà sổ đăng ký bên thứ ba cung cấp dịch vụ ICT cần đến.
Có thể, như một mục đích sử dụng rủi ro cao theo Đạo luật AI của EU, với quản lý rủi ro, quản trị dữ liệu, nhật ký, giám sát của con người và tài liệu. Chúng tôi thiết kế để một người ra quyết định và giải thích được quyết định đó, và tôn trọng các biện pháp bảo vệ của GDPR đối với quyết định tự động. Tại Việt Nam, Luật Trí tuệ nhân tạo có hiệu lực từ ngày 1/3/2026; các hệ thống AI đã vận hành trước đó trong lĩnh vực tài chính có thời gian chuyển tiếp đến ngày 1/9/2027.
Trong môi trường mà khẩu vị rủi ro của quý vị cho phép: tài khoản đám mây riêng của tổ chức, một vùng trong Liên minh châu Âu của nhà cung cấp đám mây công cộng, hoặc hạ tầng tại chỗ cho khối lượng công việc nhạy cảm. Với ngân hàng tại Việt Nam, việc sử dụng dịch vụ của bên thứ ba và điện toán đám mây phải đáp ứng yêu cầu của Thông tư số 09/2020/TT-NHNN. Lựa chọn mô hình và nơi lưu trữ được ghi lại cùng phương án rút lui.
Không. Chúng tôi ưu tiên tích hợp và hiện đại hóa từng bước: trước hết là API và sự kiện xung quanh hệ thống lõi, chỉ chuyển chức năng ra ngoài khi có lợi, và duy trì đối soát cho đến khi ngừng luồng xử lý cũ.
Bằng bộ dữ liệu kiểm thử và tiêu chí chất lượng thống nhất với bộ phận quản lý rủi ro và thẩm định trước khi phát hành, giám sát sau khi phát hành và các bước xem xét cho kết quả chưa chắc chắn. Quy trình được thiết kế với giả định rằng một phần kết quả sẽ sai và chuyển phần đó cho con người.
Đang lên kế hoạch dùng AI cho mở tài khoản, tư vấn hoặc bồi thường, hay chuẩn bị hệ thống cho kiểm thử khả năng chống chịu? Hãy trao đổi với đội ngũ kỹ sư thiết kế cho cả cơ quan giám sát lẫn người dùng.