เวียดนามกำหนดเกณฑ์ความเสี่ยง AI ทางการธนาคาร เพดานชำระเงิน และสิทธิให้มนุษย์ทบทวน

ควบคุมการชำระเงินอัตโนมัติเข้มงวดขึ้นตั้งแต่ 15 พฤศจิกายน

กฎใหม่ด้าน AI สำหรับธนาคารของเวียดนามจัดให้ระบบที่ชำระเงินส่วนบุคคลโดยอัตโนมัติเกิน 10 ล้านดองต่อรายการ หรือเกิน 20 ล้านดองต่อลูกค้าหนึ่งรายในหนึ่งวัน เป็นระบบที่มีความเสี่ยงสูง สำหรับลูกค้าองค์กร เกณฑ์ที่เกี่ยวข้องคือเกิน 50 ล้านดองต่อรายการ หรือเกิน 100 ล้านดองต่อวัน

หนังสือเวียนเลขที่ 53/2026/TT-NHNN ของธนาคารแห่งรัฐเวียดนาม ซึ่งลงนามเมื่อวันที่ 30 กันยายน 2026 มีผลบังคับใช้วันที่ 15 พฤศจิกายน โดยข้อกำหนดบางส่วนจะเริ่มใช้ภายหลัง ระบบที่ตัดสินใจอนุมัติสินเชื่อโดยอัตโนมัติตั้งแต่ 50 ล้านดองขึ้นไปก็อยู่ในกลุ่มความเสี่ยงสูงเช่นกัน จึงต้องมีการติดตามต่อเนื่องและควบคุมการแทรกแซงของมนุษย์ให้เข้มงวดยิ่งขึ้น

ลูกค้ายังได้รับความคุ้มครองเฉพาะควบคู่กับเกณฑ์เหล่านี้ ธนาคารและผู้ให้บริการชำระเงินต้องได้รับความยินยอมก่อนอนุญาตให้ AI ชำระเงินโดยอัตโนมัติ ต้องมีเครื่องมือให้ลูกค้าถอนอำนาจดังกล่าว และจัดให้มนุษย์ทบทวนเมื่อลูกค้าโต้แย้งการตัดสินใจอัตโนมัติ ผู้ให้บริการยังคงต้องรับผิดชอบต่อการตัดสินใจที่ระบบ AI ของตนทำหรือมีส่วนสนับสนุน

ขอบเขตของหนังสือเวียนนี้ครอบคลุมมากกว่าธนาคาร โดยรวมถึงสาขาธนาคารต่างประเทศ ตัวกลางการชำระเงิน เช่น ผู้ให้บริการกระเป๋าเงินอิเล็กทรอนิกส์ ผู้ให้บริการ Mobile Money และบริษัทข้อมูลเครดิต นอกจากนี้ยังครอบคลุมบริษัทบริหารสินทรัพย์เวียดนาม โรงพิมพ์ธนบัตรแห่งชาติ และบริษัทประกันเงินฝากเวียดนาม

ยอดเท่าใดจึงเข้าเกณฑ์ความเสี่ยงสูง?

มาตรา 4 กำหนดเกณฑ์แยกกันสำหรับการชำระเงินแต่ละรายการและยอดชำระเงินสะสมรายวัน หากเกินเกณฑ์ข้อใดข้อหนึ่ง ระบบชำระเงินอัตโนมัติที่เกี่ยวข้องจะเข้ากลุ่มความเสี่ยงสูง ดังนั้นการโอนหลายรายการที่มีมูลค่าน้อยก็อาจทำให้ต้องอยู่ภายใต้การกำกับดูแลที่เข้มงวดขึ้น แม้ไม่มีรายการใดรายการหนึ่งเกินเพดาน

ตัวอย่างเช่น การชำระเงินส่วนบุคคลอัตโนมัติสามรายการ รายการละ 8 ล้านดอง รวมเป็น 24 ล้านดอง แม้แต่ละรายการต่ำกว่า 10 ล้านดอง แต่ยอดรวมเกินเกณฑ์รายวันที่ 20 ล้านดอง ผู้ให้บริการจึงต้องติดตามทั้งยอดชำระแต่ละรายการและยอดสะสมของลูกค้ารายนั้น

ถ้อยคำที่ใช้มีความสำคัญเมื่อพิจารณายอดที่ตรงกับเส้นแบ่ง เกณฑ์การชำระเงินใช้กับจำนวนเงินที่สูงกว่าตัวเลขที่ระบุ ส่วนเกณฑ์สินเชื่อเริ่มตั้งแต่ 50 ล้านดองขึ้นไป ดังนั้นการตัดสินใจอัตโนมัติเกี่ยวกับสินเชื่อจำนวน 50 ล้านดองพอดีจึงอยู่ในกลุ่มความเสี่ยงสูงตามที่กำหนด

ก่อนนำไปใช้งาน ผู้ให้บริการต้องจัดประเภทระบบ AI ว่ามีความเสี่ยงสูง ปานกลาง หรือต่ำ หนังสือเวียนนี้พัฒนาข้อกำหนดด้านการธนาคารภายใต้กรอบที่กว้างขึ้นของกฎหมายว่าด้วยปัญญาประดิษฐ์ เลขที่ 134/2025/QH15 และอ้างถึงมติของนายกรัฐมนตรีเลขที่ 33/2026/QD-TTg ว่าด้วยระบบที่มีความเสี่ยงสูง

เพดานชำระเงินรายวันมีวัตถุประสงค์ต่างกัน

มาตรา 5 กำหนดเพดานมูลค่ารวมสูงสุดของการชำระเงินที่ AI สามารถดำเนินการโดยอัตโนมัติให้ลูกค้าหนึ่งรายในหนึ่งวันไว้ที่ 100 ล้านดองสำหรับบุคคล และ 500 ล้านดองสำหรับองค์กร นอกจากนี้ยังมีเพดานภายในของผู้ให้บริการ ซึ่งหมายความว่าวงเงินที่ใช้ได้จริงอาจต่ำกว่านี้

เกณฑ์ความเสี่ยงใช้กำหนดระดับการกำกับดูแล ส่วนเพดานรายวันใช้กำหนดมูลค่าการชำระเงินสูงสุดที่อนุญาต สำหรับบุคคล เพดาน 100 ล้านดองสูงกว่าเกณฑ์ความเสี่ยงรายวันที่ 20 ล้านดองห้าเท่า ส่วนองค์กร เพดาน 500 ล้านดองก็สูงกว่าเกณฑ์ 100 ล้านดองห้าเท่าเช่นกัน

ดังนั้นลูกค้าบุคคลที่ชำระเงินผ่าน AI รวม 30 ล้านดองในหนึ่งวันจะอยู่ในกลุ่มการชำระเงินความเสี่ยงสูง แต่ยังไม่เกินเพดานรายวันระดับประเทศ ผู้ให้บริการยังต้องปฏิบัติตามข้อตกลงกับลูกค้าและวงเงินภายในของตน

มาตรการคุ้มครองการชำระเงินออนไลน์ที่ใช้อยู่ยังคงมีผล กฎปัจจุบันกำหนดให้เจ้าของบัญชีใช้การยืนยันตัวตนด้วยข้อมูลชีวมิติสำหรับธุรกรรมออนไลน์ที่มีมูลค่าเกิน 10 ล้านดองต่อรายการ การตรวจสอบด้วยข้อมูลชีวมิติใช้ลักษณะทางกายภาพ เช่น ใบหน้า เพื่อยืนยันตัวตน ผู้ให้บริการที่เริ่มใช้การชำระเงินอัตโนมัติต้องคำนึงถึงข้อกำหนดการยืนยันตัวตนเหล่านี้ควบคู่กับมาตรการควบคุม AI ใหม่

ลูกค้าต้องยินยอมและยังต้องหยุดระบบได้

ธนาคารและผู้ให้บริการชำระเงินต้องตกลงเงื่อนไขกับลูกค้าก่อนที่ AI จะเริ่มชำระเงินโดยอัตโนมัติ ข้อตกลงต้องระบุธุรกรรมที่อนุญาต วงเงินต่อรายการและต่อวัน ระยะเวลาที่มีผล เงื่อนไขที่เกี่ยวข้อง และสิทธิของลูกค้าในการยุติข้อตกลง

ลูกค้าต้องได้รับเครื่องมือให้ระงับหรือยกเลิกอำนาจการชำระเงินของระบบ AI ได้ด้วยตนเอง โดยยุติข้อตกลงได้ทุกเมื่อ และผู้ให้บริการต้องดำเนินการตามคำขอนั้นทันที ความสามารถของลูกค้าในการหยุดกิจกรรมอัตโนมัติจึงเป็นส่วนหนึ่งของบริการ ไม่ใช่เรื่องที่ปล่อยให้เป็นไปตามขั้นตอนภายในของธนาคารทั้งหมด

ผู้ให้บริการต้องแจ้งลูกค้าด้วยว่า AI เข้ามาแทนมนุษย์ในการสื่อสารโดยตรงหรือไม่ โดยต้องแจ้งตั้งแต่เริ่มเซสชันหรือบทสนทนา ข้อกำหนดนี้เกี่ยวข้องกับการใช้งานจริง ขณะที่ธนาคารเริ่มนำผู้ช่วยอัตโนมัติมาตอบรับสาย ให้คำแนะนำ และจัดการคำขอรับบริการ

ข้อกำหนดเหล่านี้ให้ลูกค้าควบคุมได้สองช่วง ได้แก่ การอนุญาตก่อนเริ่มชำระเงินอัตโนมัติ และการถอนความยินยอมภายหลัง ขอบเขตและวงเงินที่ตกลงกันยังเป็นหลักฐานชัดเจนให้ทั้งสองฝ่ายทราบว่าระบบได้รับอนุญาตให้ทำอะไร

ผู้กำกับดูแลที่เป็นมนุษย์ต้องมีอำนาจจริง

ระบบความเสี่ยงสูงต้องได้รับการติดตามอย่างต่อเนื่อง โดยมีเจ้าหน้าที่ที่มีอำนาจและความสามารถในการยกเลิก ปรับเปลี่ยน หรือระงับการตัดสินใจของ AI ผู้กำกับดูแลต้องสามารถเปิดใช้กลไกฉุกเฉินเพื่อหยุดหรือแยกระบบออกจากระบบอื่นได้ด้วย

เมื่อเกิดเหตุร้ายแรง ผู้ให้บริการต้องเปิดใช้กลไกฉุกเฉิน ดำเนินมาตรการจำกัดความเสียหาย และฟื้นฟูการทำงานให้ปลอดภัย ต้องสามารถเปลี่ยนไปใช้การดำเนินงานด้วยมือได้เมื่อจำเป็น ข้อกำหนดในทางปฏิบัติคือการรักษาบริการธนาคารไว้ พร้อมป้องกันไม่ให้ระบบ AI ที่ขัดข้องหรือถูกเจาะระบบดำเนินการต่อ

การแทรกแซงแต่ละครั้งต้องมีบันทึกว่าเกิดอะไรขึ้น เมื่อใด ใครเป็นผู้แทรกแซง และเพราะเหตุใด บันทึกเหล่านี้ช่วยให้ผู้ให้บริการตรวจสอบย้อนกลับการตัดสินใจและสอบสวนความผิดพลาดได้ รวมถึงพิจารณาว่ามีการจัดการคำเตือนอย่างทันท่วงทีหรือไม่

ฟาม อันห์ ตวน ผู้อำนวยการฝ่ายการชำระเงินของธนาคารแห่งรัฐ อธิบายเหตุผลที่กำหนดให้บุคคลและสถาบันต้องรับผิดชอบ ในบทสัมภาษณ์ที่เผยแพร่เมื่อวันที่ 4 พฤศจิกายน เขากล่าวว่า เมื่อนำมาแปลเป็นไทยว่า:

AI ไม่ใช่นิติบุคคลที่สามารถรับผิดชอบได้

ตวนกล่าวว่าหนังสือเวียนนี้ครอบคลุมการทดสอบโมเดลก่อนนำไปใช้งาน และความรับผิดชอบของคณะกรรมการกับฝ่ายบริหารในการอนุมัติระบบ นอกจากนี้ เขายังกล่าวว่าต้องมีมนุษย์เข้ามาเกี่ยวข้องเมื่อ AI ทำงานเกินเพดานมูลค่าที่ได้รับอนุญาตให้ตัดสินใจ

ข้อร้องเรียนต้องได้รับการทบทวนโดยมนุษย์

ลูกค้าที่ร้องเรียนเกี่ยวกับการตัดสินใจอัตโนมัติต้องได้รับการทบทวนการตัดสินใจนั้นโดยมนุษย์ ผลการทบทวนของมนุษย์จะเป็นหลักเกณฑ์ขั้นสุดท้ายในการพิจารณาข้อร้องเรียนผ่านกระบวนการของผู้ให้บริการ ผู้ให้บริการต้องจัดตั้งหน่วยงานและขั้นตอนเพื่อรับและจัดการข้อร้องเรียนที่เกี่ยวข้องกับ AI

การตัดสินใจที่กระทบต่อภาระผูกพันทางการเงิน ความรับผิดชอบทางกฎหมาย หรือการเข้าถึงบริการของลูกค้า ยังต้องมีการเก็บบันทึก ผู้ให้บริการต้องเก็บหลักเกณฑ์และปัจจัยสำคัญที่อยู่เบื้องหลังการตัดสินใจ เพื่อให้ชี้แจงได้เมื่อมีการร้องขอ

สำหรับลูกค้าที่ได้รับผลจากการตัดสินใจสินเชื่ออัตโนมัติ สถาบันต้องมีข้อมูลที่ใช้งานได้จริงเกี่ยวกับปัจจัยที่ทำให้เกิดผลลัพธ์นั้น ข้อกำหนดด้านการชี้แจงเปิดทางให้ผู้ให้บริการปกป้องซอร์สโค้ด อัลกอริทึมโดยละเอียด พารามิเตอร์ของโมเดล และความลับทางธุรกิจหรือเทคโนโลยี

การตัดสินใจด้านความปลอดภัยมีข้อกำหนดเพิ่มเติม เมื่อเกี่ยวข้องกับการฉ้อโกง การหลอกลวง การฟอกเงิน การสนับสนุนทางการเงินแก่การก่อการร้าย หรือความมั่นคงปลอดภัยทางไซเบอร์ ผู้ให้บริการอาจให้เหตุผลในระดับที่เหมาะสมกับการจัดการความเสี่ยงและการคุ้มครองทรัพย์สินของลูกค้า เพราะการเปิดเผยรายละเอียดมากเกินไปอาจทำให้ผู้อื่นทราบวิธีการทำงานของมาตรการรักษาความปลอดภัย

คุณภาพข้อมูลและผู้ให้บริการภายนอกเป็นหน้าที่ฝ่ายบริหาร

ผู้ให้บริการต้องทราบแหล่งที่มาของข้อมูลที่ใช้ฝึก ทดสอบ และดำเนินงาน AI และต้องตรวจสอบให้แน่ใจว่าการใช้ข้อมูลนั้นถูกกฎหมาย อีกทั้งต้องตรวจสอบคุณภาพและตรวจจับข้อผิดพลาด อคติ การบิดเบือน หรือการปนเปื้อนข้อมูล การปนเปื้อนข้อมูลหมายถึงการจงใจใส่ข้อมูลที่ทำให้เข้าใจผิด ซึ่งอาจบิดเบือนสิ่งที่โมเดลเรียนรู้หรือพฤติกรรมของโมเดล

การติดตามต้องดำเนินต่อหลังนำระบบไปใช้งาน เพราะข้อมูลที่ป้อนเข้าสู่ระบบอาจเปลี่ยนแปลง โมเดลสินเชื่อที่สร้างขึ้นจากรูปแบบพฤติกรรมลูกค้าลักษณะหนึ่งอาจทำงานต่างออกไปเมื่อภาวะเศรษฐกิจหรือพฤติกรรมการกู้ยืมเปลี่ยน หนังสือเวียนกำหนดให้ติดตามการเปลี่ยนแปลงเหล่านี้ควบคู่กับความเสี่ยงของโมเดล ความมั่นคงปลอดภัยทางไซเบอร์ จริยธรรม และความเสี่ยงในห่วงโซ่อุปทาน

การว่าจ้างผู้ให้บริการ AI ภายนอกไม่ได้ทำให้ธนาคารหรือผู้ให้บริการชำระเงินพ้นจากความรับผิดชอบด้านความปลอดภัยในการดำเนินงาน สิทธิของลูกค้า การคุ้มครองข้อมูลส่วนบุคคล และการจัดการความเสี่ยง ผู้ให้บริการภายนอกจะใช้ข้อมูลของสถาบันเพื่อฝึก ปรับแต่ง หรือพัฒนาโมเดลได้ก็ต่อเมื่อได้รับความยินยอมเป็นลายลักษณ์อักษร

หากระบบ AI ที่ว่าจ้างภายนอกก่อความเสียหายแก่ลูกค้าหรือผู้ได้รับผลกระทบรายอื่น สถาบันที่ใช้ระบบต้องดำเนินการแก้ไขโดยเร็ว คุ้มครองผลประโยชน์ของลูกค้า จัดการข้อร้องเรียน และชดเชยตามที่กฎหมายกำหนด ลูกค้าจึงยังติดต่อผู้ให้บริการของตนเมื่อเกิดปัญหาจากเทคโนโลยีที่บริษัทอื่นเป็นผู้จัดหา

การตรวจสอบความปลอดภัยและธรรมาภิบาลต้องดำเนินต่อหลังเริ่มใช้งาน

ระบบ AI ความเสี่ยงสูงต้องผ่านการตรวจสอบและประเมินความมั่นคงปลอดภัยทางไซเบอร์ก่อนเริ่มใช้งาน ตรวจเป็นระยะหลังจากนั้น และตรวจเมื่อมีการเปลี่ยนแปลงสำคัญ ผู้ให้บริการยังต้องจัดการเรื่องความปลอดภัยของข้อมูล การเปลี่ยนแปลงระบบ การรับมือเหตุการณ์ การบันทึกข้อมูล และการกำกับดูแลโดยมนุษย์

ก่อนนำระบบไปใช้งาน ต้องประเมินผลกระทบ กำหนดมาตรการควบคุมความเสี่ยง และส่งเอกสารให้หน่วยงานอนุมัติที่เกี่ยวข้อง มาตรา 14 นำเสนอกรอบการทำงานที่จัดโครงสร้างตามแนวป้องกันสามชั้น โดยแยกความรับผิดชอบด้านความเสี่ยงในการดำเนินงาน การกำกับดูแลความเสี่ยง และการตรวจสอบอย่างเป็นอิสระ

ปัจจุบันธนาคารใช้ AI ในการประเมินคะแนนเครดิต พิจารณาสินเชื่อ ตรวจจับการฉ้อโกงการชำระเงิน ให้คำแนะนำอัตโนมัติ และยืนยันตัวตนลูกค้าทางอิเล็กทรอนิกส์ ซึ่งเรียกกันทั่วไปว่า eKYC ในเวที Digital Financial Security Vietnam 2026 ที่นครโฮจิมินห์เมื่อวันที่ 6 พฤศจิกายน ด่าว มินห์ ตู รองประธานและเลขาธิการสมาคมธนาคารเวียดนาม อ้างข้อมูลที่ระบุว่าสถาบันสินเชื่อกว่า 70% นำ AI มาใช้แล้ว

ตูเรียกร้องให้กำหนดขอบเขตการทำงานของผู้ช่วย AI ให้ชัดเจน ให้มนุษย์อนุมัติธุรกรรมขนาดใหญ่หรือมีความอ่อนไหว มีระบบหยุดฉุกเฉิน และตรวจจับการฉ้อโกงขณะธุรกรรมกำลังดำเนินอยู่ เขายังสนับสนุนให้มีข้อมูลธุรกิจที่สะอาดและกำหนดนิยามอย่างสม่ำเสมอ ข้อเสนอเหล่านี้มุ่งรับมือกับความเร็วที่ระบบอัตโนมัติสามารถทำซ้ำข้อผิดพลาดในการตัดสินใจจำนวนมาก

ตัวเลขการฉ้อโกงชี้ให้เห็นความเร่งด่วน

รายงานของสมาคมความมั่นคงปลอดภัยไซเบอร์แห่งชาติและ Viettel Cyber Security บันทึกการโจมตีทางไซเบอร์ในเวียดนามราว 552,000 ครั้งในปี 2025 โดยประมาณ 41% มุ่งเป้าไปที่ภาคการเงินและการธนาคาร หากคำนวณจากสัดส่วนดังกล่าว จะมีการโจมตีภาคส่วนนี้ราว 226,000 ครั้ง

ทางการยังบันทึกคดีฉ้อโกงออนไลน์เกือบ 1,000 คดีในช่วงหกเดือนแรกของปี 2026 โดยมีมูลค่าความเสียหายรวมหลายล้านล้านดอง พันเอกเหงียน บา เซิน รองผู้อำนวยการกรมป้องกันอาชญากรรมทางไซเบอร์และเทคโนโลยีขั้นสูงของกระทรวงความมั่นคงสาธารณะ เตือนในเวทีวันที่ 6 พฤศจิกายนว่า อาชญากรกำลังใช้ AI มากขึ้น

ลี ฮหว่าง วู นักเศรษฐศาสตร์จากศูนย์การศึกษาการจัดการฝรั่งเศส-เวียดนาม อธิบายว่าเสียงที่เลียนแบบและใบหน้าปลอมทำให้วิธีการยืนยันตัวตนที่คุ้นเคยมีประสิทธิภาพลดลง กรณีที่สำนักงานฮ่องกงของบริษัทวิศวกรรม Arup แสดงให้เห็นถึงความเสี่ยงนี้ ในปี 2024 พนักงานรายหนึ่งโอนเงินราว 200 ล้านดอลลาร์ฮ่องกง หลังเข้าร่วมประชุมทางวิดีโอที่มีภาพปลอมของประธานเจ้าหน้าที่ฝ่ายการเงินและเพื่อนร่วมงาน

คำเตือนการฉ้อโกงที่ใช้อยู่แสดงให้เห็นว่าการแทรกแซงก่อนเงินถูกโอนมีประโยชน์อย่างไร หหว่าง มินห์ เตี๊ยน รองผู้อำนวยการฝ่ายเทคโนโลยีสารสนเทศของธนาคารแห่งรัฐ กล่าวว่า ระบบติดตามการฉ้อโกงการชำระเงิน SIMO ส่งคำเตือนแล้ว 5.8 ล้านครั้ง ณ เดือนตุลาคม 2026 ลูกค้าระงับหรือยกเลิกธุรกรรมที่สงสัยว่าเป็นการฉ้อโกงรวม 1.9 ล้านครั้ง ช่วยปกป้องมูลค่าธุรกรรมเกือบ 7.2 ล้านล้านดอง

เตี๊ยนยังรายงานว่า ในช่วงแปดเดือนแรกของปี 2026 มีการชำระเงินแบบไร้เงินสดมากกว่า 21,000 ล้านรายการ มูลค่ากว่า 260 ล้านล้านล้านดอง ที่สถาบันสินเชื่อหลายแห่ง ช่องทางดิจิทัลคิดเป็นสัดส่วนธุรกรรมมากกว่า 95% การกำกับดูแลที่เชื่อถือได้จึงส่งผลต่อช่องทางหลักที่ลูกค้าใช้บริการธนาคาร

การดำเนินการต่อเนื่องถึงปี 2027

ผู้ให้บริการต้องเตรียมดำเนินการตามกำหนดเวลาหลายช่วง ไม่ใช่กำหนดเส้นตายเพียงวันเดียว ระบบที่ทำงานก่อนหนังสือเวียนมีผลบังคับใช้ต้องปฏิบัติตามข้อกำหนดด้านความปลอดภัย การจัดการความเสี่ยง และการนำระบบไปใช้งาน ตั้งแต่วันที่ 1 มีนาคม 2027 ส่วนข้อกำหนดบางประการด้านธรรมาภิบาลและบุคลากรใช้กำหนดเวลาแยกต่างหาก

• 30 กันยายน 2026: ธนาคารแห่งรัฐลงนามในหนังสือเวียนเลขที่ 53/2026/TT-NHNN
• 15 พฤศจิกายน 2026: หนังสือเวียนมีผลบังคับใช้โดยทั่วไป
• 1 มกราคม 2027: มาตรา 14 ว่าด้วยกรอบการจัดการความเสี่ยง AI มีผลบังคับใช้
• 1 มีนาคม 2027: ระบบ AI ที่ทำงานอยู่ก่อนวันที่หนังสือเวียนมีผลบังคับใช้ต้องปฏิบัติตามเงื่อนไขที่กำหนด
• 1 กันยายน 2027: มาตรา 21 ว่าด้วยบุคลากรมีผลบังคับใช้ โดยมีข้อยกเว้นสำหรับสถาบันที่มีระบบ AI ความเสี่ยงสูง

กำหนดเวลาที่แน่ชัดสำหรับบุคลากรในกรณีที่ได้รับข้อยกเว้นยังต้องตรวจสอบจากตัวบทกฎหมาย สถาบันที่ดำเนินงานระบบความเสี่ยงสูงควรตรวจสอบว่าข้อกำหนดด้านบุคลากรใดใช้กับตน ก่อนอาศัยกำหนดเวลาทั่วไปในเดือนกันยายน

การวางแผนด้านความปลอดภัยยังครอบคลุมมากกว่าหนังสือเวียนฉบับที่ 53 ร่างฉบับหนึ่งซึ่งเสนอให้ใช้แทนหนังสือเวียนเลขที่ 09/2020/TT-NHNN เสนอให้เพิ่มความเข้มงวดด้านการเข้ารหัส การป้องกันข้อมูลรั่วไหล การสำรองข้อมูลที่ป้องกันการแก้ไขโดยไม่ได้รับอนุญาต และการควบคุมผู้ให้บริการเทคโนโลยีอย่างใกล้ชิดยิ่งขึ้น ร่างดังกล่าวเสนอให้ตัวกลางการชำระเงินและผู้ให้บริการ Mobile Money จัดตั้งศูนย์ปฏิบัติการความปลอดภัยและระบบติดตามเหตุการณ์ความปลอดภัยแบบรวมศูนย์ ตั้งแต่วันที่ 1 มกราคม 2028

เล กวาง ฮา รองผู้อำนวยการ Viettel Cyber Security สนับสนุนสถาปัตยกรรม Zero Trust ซึ่งตรวจสอบสิทธิ์การเข้าถึงซ้ำอย่างต่อเนื่องและจำกัดการเคลื่อนย้ายระหว่างส่วนต่าง ๆ ของเครือข่าย ฟุง เวียด ทัง ผู้อำนวยการประจำประเทศของ Intel Vietnam ระบุว่าความเปิดกว้าง ความปลอดภัย และการฟื้นตัวอย่างรวดเร็วเป็นข้อกำหนดหลักของระบบคอมพิวเตอร์ ส่วนตูก็เรียกร้องให้เตรียมพร้อมด้านการเข้ารหัสที่ทนทานต่อภัยคุกคามจากคอมพิวเตอร์ควอนตัมในอนาคต

ธนาคารแห่งรัฐและกระทรวงความมั่นคงสาธารณะมีเป้าหมายการดำเนินงานระยะใกล้ภายใต้แผนประสานงานเลขที่ 513 ซึ่งลงนามเมื่อเดือนมิถุนายน 2026 โดยมีกำหนดติดตั้งเครื่องมือสำหรับติดตามและระงับเส้นทางการเงินจากการฉ้อโกงอย่างเร่งด่วนในธนาคารพาณิชย์ขนาดใหญ่ส่วนใหญ่ภายในปี 2026 และตั้งเป้าขยายการใช้งานทั่วทั้งระบบภายในไตรมาสแรกของปี 2027

ประเด็นสำคัญ

• การชำระเงินส่วนบุคคลอัตโนมัติเกิน 10 ล้านดองต่อรายการ หรือ 20 ล้านดองต่อวัน เข้าเกณฑ์ความเสี่ยงสูง
• สำหรับองค์กร เกณฑ์ที่เกี่ยวข้องคือเกิน 50 ล้านดองต่อรายการ หรือ 100 ล้านดองต่อวัน
• ระบบ AI ที่ตัดสินใจอนุมัติสินเชื่อตั้งแต่ 50 ล้านดองขึ้นไปโดยอัตโนมัติก็มีความเสี่ยงสูง
• เพดานชำระเงินอัตโนมัติรายวันอยู่ที่ 100 ล้านดองสำหรับบุคคล และ 500 ล้านดองสำหรับองค์กร ทั้งนี้ อาจใช้เพดานภายในที่ต่ำกว่า
• ลูกค้าต้องยินยอมให้ชำระเงินอัตโนมัติ และต้องได้รับเครื่องมือสำหรับระงับหรือยกเลิกอำนาจดังกล่าว
• ผู้กำกับดูแลที่เป็นมนุษย์ต้องยกเลิกการตัดสินใจและเปิดใช้ระบบหยุดฉุกเฉินได้ ข้อร้องเรียนของลูกค้าเกี่ยวกับการตัดสินใจอัตโนมัติต้องได้รับการทบทวนโดยมนุษย์
• หนังสือเวียนมีผลบังคับใช้โดยทั่วไปวันที่ 15 พฤศจิกายน 2026 โดยระบบที่ทำงานอยู่ก่อนวันที่มีผลบังคับใช้ต้องปฏิบัติตามข้อกำหนดภายในวันที่ 1 มีนาคม 2027