Nhà đầu tư không phải quét khuôn mặt khi đặt lệnh chứng khoán

Xác thực sinh trắc học chỉ áp dụng với các giao dịch rủi ro cao, theo dự thảo Thông tư về giao dịch điện tử trên thị trường chứng khoán. Ảnh có hỗ trợ của AI

Nới xác thực với giao dịch thường ngày

Theo bản tổng hợp tiếp thu, giải trình ý kiến mới nhất, Bộ Tài chính đã điều chỉnh nhiều nội dung tại dự thảo Thông tư quy định giao dịch điện tử trên thị trường chứng khoán. Dự thảo do Ủy ban Chứng khoán Nhà nước (UBCKNN) xây dựng.

Dự thảo Thông tư quy định giao dịch điện tử trên thị trường chứng khoán, bản lấy ý kiến lần 1, yêu cầu nhà đầu tư xác thực khớp đúng thông tin sinh trắc học, ít nhất với giao dịch đầu tiên của mỗi phiên đăng nhập. Sau khi tiếp thu góp ý, UBCKNN đã bỏ yêu cầu này với lệnh mua, bán chứng khoán. Nhà đầu tư được chọn một trong các cách xác thực thông thường như mã OTP.

Các quy định về xác thực giao dịch nhận khoảng 100 ý kiến, nhiều nhất trong hơn 400 ý kiến của lần lấy ý kiến đầu. Phần lớn công ty chứng khoán lo hệ thống quá tải. Chứng khoán Rồng Việt dẫn số liệu thị trường có hơn 12 triệu tài khoản đang hoạt động. Theo doanh nghiệp này, nếu nhiều tài khoản cùng xác thực vào đầu phiên hay lúc thị trường biến động mạnh, nhà đầu tư dễ gặp lỗi hoặc không đăng nhập được.

Dự thảo cũng bỏ yêu cầu xác thực và giao dịch phải trên cùng một thiết bị. Người đặt lệnh trên máy tính có thể nhận OTP hoặc quét khuôn mặt qua ứng dụng trên điện thoại. Nhiều doanh nghiệp phản ánh phần lớn máy tính không có camera, nên quy định cũ khó áp dụng với khách giao dịch trên web.

Ngưỡng 10 triệu đồng với giao dịch rút, chuyển tiền phải dùng sinh trắc học cũng được bỏ. Các công ty cho rằng mức này quá thấp so với quy mô giao dịch chứng khoán, có đơn vị đề xuất nâng lên 100 triệu đồng.

Với hợp đồng mở tài khoản trực tuyến, khách hàng cá nhân không bắt buộc dùng chữ ký số. Họ chỉ cần xác nhận bằng phương tiện điện tử sau khi đã được xác thực. Khách hàng tổ chức vẫn phải ký số để bảo đảm thẩm quyền đại diện của pháp nhân.

Ở lần lấy ý kiến thứ hai, có 25 văn bản góp ý, trong đó 6 đơn vị thống nhất hoàn toàn. Cơ quan soạn thảo tiếp tục nới quy định khi đăng nhập. Bản trước yêu cầu sinh trắc học mỗi khi nhà đầu tư dùng thiết bị khác với lần đăng nhập gần nhất. Bản mới chỉ áp dụng khi đăng nhập lần đầu hoặc trên thiết bị chưa được ghi nhận, để người dùng luân phiên điện thoại và máy tính không phải quét khuôn mặt liên tục.

Dự thảo bổ sung một số trường hợp đặc thù. Lệnh điều kiện và lệnh định kỳ tự động không phải xác thực lại mỗi lần hệ thống đặt lệnh. Công ty quản lý quỹ và đại lý phân phối chứng chỉ quỹ được tự đánh giá rủi ro để thỏa thuận với khách hàng về cách xác thực, trừ khâu mở và đóng tài khoản. Công ty chứng khoán được thuê giải pháp của bên thứ ba để hỗ trợ xác thực, nhưng vẫn chịu trách nhiệm cuối cùng với nhà đầu tư.

Giữ chặt các khâu dễ bị lợi dụng chiếm đoạt tiền

Sinh trắc học vẫn bắt buộc khi nhà đầu tư thay đổi hoặc bổ sung tài khoản ngân hàng nhận tiền. Một số công ty đề xuất chỉ cần OTP, nhưng không được chấp nhận. Cơ quan soạn thảo đánh giá đây là giao dịch rủi ro cao, có thể bị lợi dụng để chuyển tiền của khách sang tài khoản không hợp pháp. Công ty chứng khoán cũng phải có sẵn hình thức sinh trắc học để áp dụng khi khách hàng yêu cầu.

Đề xuất cho rút, chuyển tiền qua điện thoại bị từ chối do nguy cơ giả mạo khách hàng. Ứng dụng giao dịch tiếp tục không được ghi nhớ mật khẩu hoặc mã PIN. Việc kiểm tra an ninh mạng hệ thống phải do đơn vị độc lập thực hiện, doanh nghiệp không được tự đánh giá.

Thời hạn báo cáo sự cố nghiêm trọng vẫn là 24 giờ. Điểm mới là doanh nghiệp được gửi báo cáo sơ bộ trong thời hạn này, rồi gửi báo cáo hoàn chỉnh trong 5 ngày làm việc sau khi khắc phục xong.

Thời hạn chuyển tiếp 12 tháng giữ nguyên, dù nhiều doanh nghiệp xin 18–24 tháng. Trong thời gian này, công ty chứng khoán phải nâng cấp hệ thống, đồng thời rà soát và yêu cầu khách hàng cũ bổ sung thông tin còn thiếu. Cơ quan soạn thảo cho rằng “việc kéo dài thời gian thực hiện có thể làm chậm quá trình nâng cao an toàn, bảo mật trong hoạt động giao dịch điện tử”.

Vấn đề còn vướng là liên kết tài khoản giao dịch với tài khoản định danh điện tử VNeID. Các doanh nghiệp cho biết Nghị định số 320/2026/NĐ-CP chưa hướng dẫn cách làm. Nhà đầu tư nước ngoài và khách hàng tổ chức cũng chưa có tài khoản định danh. Ủy ban Chứng khoán Nhà nước cho biết đã tổng hợp các khó khăn này để gửi cơ quan có thẩm quyền xử lý.