TRÁCH NHIỆM PHÁP LÝ CỦA CÁC CHỦ THỂ KIỂM SOÁT RỦI RO TRONG HOẠT ĐỘNG THANH TOÁN CỦA CÁC CÔNG TY FINTECH TRƯỚC BỐI CẢNH CÔNG NGHỆ SỐ

LEGAL LIABILITY OF RISK CONTROL ENTITIES IN PAYMENT ACTIVITIES OF FINTECH COMPANIES WITHIN THE CONTEXT OF DIGITAL TECHNOLOGY

Abstract: In the context of the Fourth Industrial Revolution and the National Digital Transformation Program driving the surge of new financial models, establishing a transparent legal liability framework for stakeholders has become an urgent requirement to maintain the stability of the financial system. This article analyzes the legal liability frameworks governing distinct categories of stakeholders involved in risk control within financial technology (Fintech) payment operations. By benchmarking against international governance principles, the study evaluates the current state of Vietnamese positive law across three phases of the regulatory control cycle. It highlights critical deficiencies, including joint and several reimbursement mechanisms, quantitative criteria for loss allocation, technological lags in regulatory oversight, and inconsistencies among diverse legal sources. From that, the author proposes solutions aimed at refining regulatory provisions for each stakeholder group, standardizing fault-based proportional liability frameworks, and digitizing real-time supervisory tools. These measures seek to safeguard macroeconomic financial security, enhance consumer protection, and foster the sustainable development of the digital financial market. Keywords: Digital technology; Fintech, payment; risk control; legal liability. Date of receipt: 20/4/2026 Date of revision: 10/6/2026 Date of approval: 16/7/2026

Đặt vấn đề: Trong bối cảnh Cách mạng công nghiệp lần thứ tư và tiến trình thực hiện Chiến lược chuyển đổi số quốc gia, hoạt động thanh toán qua các công ty công nghệ tài chính (Fintech) tại Việt Nam đang phát triển mạnh mẽ, góp phần tối ưu hóa tốc độ giao dịch, giảm chi phí trung gian và thúc đẩy phổ cập tài chính toàn diện. Dù vậy, sự bùng nổ này cũng làm gia tăng các thách thức về rủi ro công nghệ, gian lận trực tuyến và rủi ro tuân thủ2. Thực tiễn đó đặt ra yêu cầu về việc hoàn thiện cơ chế kiểm soát rủi ro, trong đó trọng tâm cần phân định rõ trách nhiệm pháp lý của các chủ thể liên quan, bao gồm các các công ty Fintech, tổ chức cung ứng dịch vụ trung gian thanh toán, các chủ thể khác trong hoạt động thanh toán và cơ quan quản lý nhà nước. Mặc dù có nhiều công trình nghiên cứu liên quan đến thanh toán của các công ty Fintech nhưng chủ yếu tiếp cận Fintech dưới góc độ kỹ thuật, quản trị nội bộ hoặc đánh giá khái quát khung pháp lý điều chỉnh nói chung mà chưa có nghiên cứu toàn diện về cơ chế trách nhiệm phápkiểm soát rủi ro, trong đó trọng tâm cần phân định rõ trách nhiệm pháp lý của các chủ thể liên quan, bao gồm các các công ty Fintech, tổ chức cung ứng dịch vụ trung gian thanh toán, các chủ thể khác trong hoạt động thanh toán và cơ quan quản lý nhà nước. Mặc dù có nhiều công trình nghiên cứu liên quan đến thanh toán của các công ty Fintech nhưng chủ yếu tiếp cận Fintech dưới góc độ kỹ thuật, quản trị nội bộ hoặc đánh giá khái quát khung pháp lý điều chỉnh nói chung mà chưa có nghiên cứu toàn diện về cơ chế trách nhiệm pháp lý của các chủ thể kiểm soát rủi ro trong hoạt động thanh toán của các công ty Fintech. Bài viết sử dụng phương pháp nghiên cứu tổng hợp, so sánh, phân tích luật học nhằm tập trung làm rõ khoảng trống pháp lý nhằm làm rõ ba nhiệm vụ trọng tâm: một là, hệ thống hóa cơ sở lý luận về trách nhiệm pháp lý của các chủ thể kiểm soát rủi ro trong hoạt động thanh toán của các công ty Fintech; hai là, đánh giá toàn diện thực trạng thể chế hiện hành tại Việt Nam; ba là, học tập kinh nghiệm lập pháp của một số quốc gia nhằm đề xuất định hướng hoàn thiện pháp luật thực định.

1. Cơ sở lý luận về trách nhiệm pháp lý của các chủ thể kiểm soát rủi ro hoạt động thanh toán của các công ty Fintech

Trong bối cảnh kinh tế số, công nghệ tài chính (Fintech) đã chuyển dịch từ một công cụ bổ trợ thành hạ tầng kỹ thuật số cốt lõi thúc đẩy hoạt động thanh toán không dùng tiền mặt, định cấu trúc lại mối liên kết giữa người dùng và các định chế tài chính truyền thống nhằm tối ưu hóa chi phí vận hành cũng như phổ cập tài chính toàn diện. Theo Ngân hàng Thế giới định nghĩa Fintech bao gồm toàn bộ các giải pháp công nghệ và mô hình vận hành mới, có khả năng tác động trực tiếp hoặc thay đổi phương thức cung ứng dịch vụ tài chính hiện hành3. Dù mang lại hiệu năng tối ưu, phương thức vận hành trên nền tảng kỹ thuật số đồng thời làm phát sinh những lỗ hổng và rủi ro pháp lý mang tính đặc thù. Hệ thống các tổ chức tài chính và định chế quốc tế như Ủy ban Basel (BCBS), Ngân hàng Thanh toán Quốc tế (BIS), Quỹ Tiền tệ Quốc tế (IMF) và Hội đồng Ổn định Tài chính (FSB) đã thống nhất phân loại các nguy cơ này thành bốn nhóm phạm trù cốt lõi, bao gồm: rủi ro hệ thống, rủi ro dữ liệu lớn, rủi ro từ ứng dụng trí tuệ nhân tạo và rủi ro từ công nghệ sổ cái phân tán (Blockchain)4. Do có tính chất đan xen phức tạp và nguy cơ gây hệ quả dây chuyền, các nhóm rủi ro này đặt ra yêu cầu tất yếu về một cơ chế giám sát phối hợp liên ngành, vượt ra ngoài phạm vi quản trị nội bộ của một pháp nhân độc lập5. Trước thực trạng đó, việc xây dựng một hệ thống lý luận pháp lý chặt chẽ nhằm phân định cơ chế trách nhiệm pháp lý kiểm soát rủi ro của các bên liên quan là đòi hỏi cấp bách, được định hình bởi ba học thuyết pháp lý hiện đại: Học thuyết trách nhiệm pháp lý dựa trên rủi ro (Risk-based liability): Học thuyết này đánh dấu bước chuyển dịch trong tư duy lập pháp, phân định trách nhiệm pháp lý tương ứng với nguy cơ rủi ro và năng lực kiểm soát thực tế của từng chủ thể, thay vì chỉ dựa vào nguyên tắc xác định lỗi chủ quan truyền thống6. Quy phạm này mang tính dự báo, thiết lập trạng thái cân bằng động giữa yêu cầu thúc đẩy đổi mới công nghệ và mục tiêu duy trì sự ổn định của hệ thống tài chính. Học thuyết về năng lực phục hồi hoạt động (Operational Resilience): Được cấu trúc qua các nguyên tắc của BCBS, lý luận này chuyển dịch nghĩa vụ pháp lý từ cơ chế phản ứng sau sự việc sang chủ động kiểm soát rủi ro từ sớm thông qua quản trị hệ thống thông tin (ICT) và giám sát bên thứ ba7. Tư duy này tương thích với nguyên tắc tiếp cận dựa trên rủi ro của FATF đối với tài sản số8 và đã được thể chế hóa toàn diện qua Đạo luật DORA (2022) của EU nhằm xác lập khung trách nhiệm liên đới đối với toàn chuỗi cung ứng9. Học thuyết quản trị rủi ro từ bên thứ ba: Dựa trên các hướng dẫn của FSB, học thuyết quy định rõ chế định trách nhiệm liên đới nhằm triệt tiêu các lỗ hổng an ninh trong chuỗi cung ứng dịch vụ thuê ngoài (Cloud, AI), tạo nền tảng lý luận cho các mô hình hợp tác tài chính kết hợp10. Trên cơ sở kế thừa các học thuyết trên, cơ chế chịu trách nhiệm và phối hợp kiểm soát rủi ro trong hoạt động thanh toán được định hình qua năm nhóm chủ thể: Các cơ quan quản lý và giám sát nhà nước, các công ty Fintech, các ngân hàng thương mại (NHTM), các doanh nghiệp viễn thông và tổ chức cung ứng hạ tầng kỹ thuật, khách hàng sử dụng dịch vụ. Việc phân định rõ vai trò, nghĩa vụ độc lập và quan hệ liên đới giữa các nhóm chủ thể là nền tảng để xây dựng khuôn khổ pháp lý đồng bộ, giúp kiểm soát hiệu quả rủi ro trong hoạt động thanh toán của các Công ty Fintech.

2. Thực trạng pháp luật về trách nhiệm pháp lý của các chủ thể kiểm soát rủi ro hoạt động thanh toán Fintech

Cơ chế kiểm soát rủi ro pháp lý trong hoạt động thanh toán công nghệ tài chính (Fintech) tại Việt Nam hiện nay được thiết lập dựa trên một chỉnh thể pháp lý thống nhất, vận hành liên tục qua các giai đoạn: giai đoạn tiền kiểm đóng vai trò thiết lập màng lọc an toàn pháp lý ban đầu thông qua cơ chế cấp phép và thử nghiệm có kiểm soát; giai đoạn kiểm soát vận hành đảm bảo tính tuân thủ thường xuyên của tổ chức cung ứng dịch vụ trong suốt quá trình hoạt động; và cuối cùng, giai đoạn hậu kiểm đóng vai trò quan trọng nhằm phát hiện, chế tài các hành vi vi phạm, đồng thời hoàn thiện hệ thống chính sách. Trong mô hình này, địa vị pháp lý và cơ chế quy trách nhiệm của năm nhóm chủ thể bao gồm cơ quan quản lý nhà nước, tổ chức trung gian thanh toán, ngân hàng thương mại, doanh nghiệp viễn thông và khách hàng - vừa vận hành độc lập theo thẩm quyền/nghĩa vụ riêng biệt, vừa ràng buộc lẫn nhau trong một tổng thể mối quan hệ pháp luật phát sinh. Thứ nhất, giai đoạn tiền kiểm Đối với các cơ quan quản lý nhà nước: Nhóm chủ thể này có thẩm quyền tiền kiểm được phân định cụ thể: Ngân hàng Nhà nước (NHNN) chủ trì phê duyệt đề án và giám sát vận hành thử nghiệm với thời hạn tối đa 02 năm (khoản 1 Điều 6 Nghị định số 94/2025/NĐ-CP); Bộ Công an thực hiện thẩm định an ninh mạng bắt buộc theo Luật An ninh mạng và tiến hành kiểm tra định kỳ 06 tháng một lần đối với hồ sơ đánh giá tác động dữ liệu cá nhân theo quy định chuyên ngành. Tuy nhiên, cơ chế giám sát này đang bộc lộ bất cập khi chưa áp dụng nguyên tắc quản lý tính tỷ lệ đối với nghĩa vụ tuân thủ, thể hiện ở việc buộc các công ty Fintech quy mô nhỏ hoặc đang trong giai đoạn thí điểm phải đáp ứng quy trình thẩm định phức tạp tương đương các định chế tài chính lớn đã vô hình trung tạo ra sự mâu thuẫn với tinh thần tối giản thủ tục hành chính tại các điều 8, 9, 10 của chính Nghị định số 94/2025/NĐ-CP. Bên cạnh đó, khung thời hạn thử nghiệm cố định 02 năm chưa bảo đảm tính linh hoạt kỹ thuật trước tốc độ biến động của công nghệ số. Đặc biệt, do hệ thống công nghệ giám sát chuyên ngành chưa được triển khai đồng bộ ở giai đoạn này, hoạt động kiểm tra vẫn chủ yếu dựa trên cơ chế báo cáo hành chính truyền thống điều này tạo ra độ trễ trong công tác xử lý hồ sơ, làm giảm động lực gia nhập thị trường và hạn chế tính kịp thời của các giải pháp đổi mới sáng tạo. Đối với các công ty Fintech: hành lang pháp lý thực định đặt ra nghĩa vụ trực tiếp trong việc duy trì mức vốn thực góp tối thiểu từ 50 đến 300 tỷ đồng nhằm phòng ngừa rủi ro thanh khoản (khoản 2 Điều 22 Nghị định số 52/2024/NĐ-CP), đồng thời phải hoàn thiện và phê duyệt 05 nhóm quy trình vận hành nội bộ (khoản 1 Điều 9 Thông tư số 40/2024/TT-NHNN). Khi tham gia cơ chế thử nghiệm pháp lý, doanh nghiệp còn phải tuân thủ hệ thống báo cáo nhiều tầng quy định bởi các cơ quan quản lý chuyên ngành. Tuy nhiên, rào cản thực tế hiện nay nằm ở sự thiếu liên thông dữ liệu liên bộ giữa NHNN và Bộ Công an, trực tiếp làm gia tăng chi phí tuân thủ và kéo dài thời gian hoàn thiện thủ tục của doanh nghiệp. Ngoài ra, việc áp dụng đồng nhất một quy trình quản trị cơ học giữa các ví điện tử quy mô lớn và các cổng thanh toán quy mô nhỏ cho thấy pháp luật thực định chưa áp dụng nguyên tắc quản lý dựa trên mức độ rủi ro, gây ảnh hưởng đến hiệu quả phân bổ nguồn lực của các tổ chức tài chính số. Đối với các ngân hàng thương mại (NHTM): Trong cơ chế tiền kiểm, các ngân hàng thương mại (NHTM) có nghĩa vụ quản lý tài khoản đảm bảo thanh toán, thẩm định năng lực kỹ thuật và liên đới chịu trách nhiệm về tính an toàn của cổng kết nối liên thông với tổ chức Fintech (Điều 31 Thông tư số 40/2024/TT-NHNN), đồng thời tuân thủ quy trình xác thực sinh trắc học bắt buộc theo quy định của Ngân hàng Nhà nước. Cơ chế phối hợp này thiết lập một hàng rào giám sát kiểm tra chéo, giúp dịch chuyển phương thức quản lý từ giám sát tập trung sang phân tán trách nhiệm hành chính. Mặc dù vậy, việc áp đặt đồng bộ các tiêu chuẩn công nghệ bảo mật cao theo nguyên tắc cào bằng đang tạo ra gánh nặng chi phí tuân thủ quá lớn đối với các tổ chức tín dụng quy mô nhỏ hoặc khối ngân hàng hợp tác xã. Thực trạng này vô hình trung làm hạn chế động lực liên kết công nghệ số giữa ngân hàng và Fintech, dẫn đến hệ quả làm thu hẹp không gian tài chính toàn diện và hạn chế khả năng tiếp cận dịch vụ tài chính số của người dân tại các địa bàn nông thôn, vùng sâu, vùng xa. Đối với các doanh nghiệp viễn thông và tổ chức cung ứng hạ tầng mạng: Nhóm chủ thể này có trách nhiệm bảo đảm an toàn, thông suốt của đường truyền kết nối (Luật Viễn thông năm 2023, Nghị định số 163/2024/NĐ-CP), đồng thời phải thực hiện chuẩn hóa thông tin thuê bao thông qua quy trình xác thực khuôn mặt bắt buộc trong thời hạn 02 giờ khi người dùng thay đổi thiết bị hoặc chuyển đổi. Quy định hiện hành cho thấy nghĩa vụ của doanh nghiệp không chỉ dừng lại ở góc độ kỹ thuật vật lý, mà đặt nặng trách nhiệm phối hợp an ninh, theo đó nhà mạng phải sẵn sàng cung cấp điểm truy nhập và các điều kiện nghiệp vụ theo yêu cầu của cơ quan công an để kiểm soát dòng thông tin và ngăn chặn kịp thời các hành vi vi phạm pháp luật, đây là là cơ sở pháp lý để triển khai các quy trình siết chặt thông tin thuê bao theo Thông tư số 08/2026/TT-BTTTT. Biện pháp này nhằm kiểm soát các tài khoản ẩn danh và tình trạng SIM rác nguy cơ của các lỗ hổng lừa đảo công nghệ cao trong hệ thống trung gian thanh toán hiện nay. Đối với khách hàng sử dụng dịch vụ thanh toán: pháp luật quy định trách nhiệm độc lập về tính trung thực của thông tin cung cấp trong quy trình eKYC theo pháp luật về phòng, chống rửa tiền, và các quy định nghiêm cấm hành vi sử dụng giấy tờ giả mạo. Tuy nhiên, cơ chế kiểm soát này chưa đạt hiệu quả tối ưu do các chế tài xử phạt hành chính hiện hành chưa đủ tính răn đe vì trên thực tế hiện tượng một bộ phận người dùng cố tình mua bán, chuyển nhượng tài khoản thanh toán bất hợp pháp làm gia tăng chi phí rà soát của hạ tầng kỹ thuật thuộc các công ty Fintech và NHTM liên kết. Hệ quả là các định chế tài chính phải tập trung nguồn lực để xử lý phát sinh ở giai đoạn hậu kiểm, thay vì tối ưu hóa các giải pháp phòng ngừa ở giai đoạn tiền kiểm. Thứ hai, giai đoạn kiểm soát và vận hành Trong giai đoạn vận hành thực tế, các tiêu chuẩn kiểm soát thủ tục ban đầu được chuyển trọng tâm sang chế định trách nhiệm thực thi liên tục, đòi hỏi cơ chế đối soát chéo và tự động hóa hoạt động lưu trữ nhật ký hệ thống, cụ thể: Đối với các cơ quan quản lý nhà nước: thẩm quyền trong giai đoạn này được thực hiện thông qua cơ chế giám sát từ xa và thanh tra, kiểm tra tại chỗ của NHNN (Điều 35 Thông tư số 40/2024/TT NHNN), phối hợp với Bộ Công an trong công tác bảo đảm an ninh dữ liệu theo quy định của Luật An ninh mạng. Các cơ quan chuyên ngành có trách nhiệm duy trì hệ thống cảnh báo nguy cơ mất an toàn thông tin trong vòng 24 giờ, áp dụng đối với cả các giao dịch tài sản số liên kết theo định hướng điều hành của Chính phủ. Tuy nhiên, hạn chế của quy định này nằm ở việc chưa ban hành tiêu chuẩn kết nối giao diện lập trình ứng dụng đồng bộ cho hoạt động kiểm toán số trên nền tảng Luật Dữ liệu năm 2024, dẫn đến hạ tầng công nghệ giám sát tự động chưa được triển khai toàn diện. Do đó, cơ quan chuyên trách vẫn phải thực hiện chức năng giám sát gián tiếp thông qua phương thức rà soát báo cáo hành chính định kỳ. Điều này tạo ra độ trễ nhất định trong việc xử lý thông tin và hạn chế khả năng can thiệp khẩn cấp trước các biến động kỹ thuật theo thời gian thực. Đối với các công ty Fintech: Trong giai đoạn kiểm soát vận hành, Điều 6 Nghị định số 52/2024/ NĐ-CP ràng buộc các tổ chức Fintech cung ứng ví điện tử bởi nghĩa vụ tài chính nghiêm ngặt: duy trì số dư tài khoản đảm bảo tại ngân hàng hợp tác không thấp hơn tổng giá trị đã phát hành và giới hạn giao dịch phải liên kết tài khoản chính chủ. Đặc biệt, khi phát sinh sự cố kỹ thuật hoặc rủi ro dữ liệu, hệ thống pháp luật thiết lập khung nghĩa vụ thông báo khẩn cấp đa tầng: trong vòng 72 giờ đối với hành vi vi phạm dữ liệu cá nhân (Điều 23 Luật Bảo vệ dữ liệu cá nhân năm 2025); trong 24 giờ cho Ngân hàng Nhà nước khi gián đoạn vận hành trong cơ chế sandbox (Điều 15 Nghị định số 94/2025/NĐ-CP); và từ 03 đến 24 giờ theo lệnh của lực lượng chuyên trách (Điều 25 Luật An ninh mạng năm 2025). Tuy nhiên thực tiễn áp dụng đang bộc lộ bất cập lớn khi áp đặt các nghĩa vụ báo cáo trùng lặp nội dung đến nhiều cơ quan đầu mối nhưng thiếu vắng hạ tầng liên thông dẫn đến việc các Công ty Fintech buộc phải dàn trải nguồn lực nhân sự để đáp ứng các quy chuẩn riêng rẽ của từng bộ, ngành thay vì tập trung xử lý sự cố. Hệ quả của việc thiếu liên thông quy phạm là làm gia tăng thời gian gián đoạn hệ thống, làm suy giảm hiệu năng ứng phó rủi ro và phát sinh chi phí tuân thủ bất hợp lý cho doanh nghiệp. Đối với các ngân hàng thương mại: Các chủ thể này có nghĩa vụ quản trị an toàn số dư tiền gửi, thực hiện đối soát trực tuyến liên tục và không được phép cấp hạn mức thấu chi cho tài khoản đảm bảo thanh toán (Thông tư số 40/2024/TT-NHNN). Hạn chế các quy định nằm ở việc áp dụng các nguyên tắc của hợp đồng gửi giữ tài sản truyền thống tại Điều 554 và Điều 557 Bộ luật Dân sự năm 2015 vào dòng lưu chuyển tiền tệ số hóa là chưa tương thích với đặc tính kỹ thuật liên thông bởi lẽ bản chất dòng tiền này được kích hoạt tự động bằng thuật toán từ hệ thống của các công ty Fintech. Do đó, việc thiếu quy định về căn cứ miễn trách nhiệm cho NHTM khi phát sinh sự cố từ phần mềm của đối tác liên kết đã tạo ra cơ chế phân bổ rủi ro không hợp lý, buộc tổ chức tín dụng phải gánh chịu nghĩa vụ bồi thường đối với những lỗi hệ thống thuộc phạm vi quản lý của bên thứ ba. Đối với các doanh nghiệp viễn thông và tổ chức cung ứng hạ tầng mạng: trách nhiệm pháp lý của nhóm chủ thể này đã mở rộng từ phạm vi bảo đảm kỹ thuật độc lập sang nghĩa vụ kiểm soát trung gian đối với tính an toàn của hoạt động trung gian thanh toán. Các quy định tại Điều 23 Luật Bảo vệ dữ liệu cá nhân năm 2025 và Điều 25 Luật An ninh mạng năm 2025 buộc nhà mạng phải bảo mật đường truyền, ngăn chặn hành vi chiếm quyền SIM nhằm khai thác mã OTP, đồng thời tuân thủ thời hạn báo cáo khẩn cấp từ 24 đến 72 giờ khi phát sinh sự cố. Quy định này nhằm tối ưu hóa tốc độ xử lý thông tin để hạn chế hậu quả do tội phạm công nghệ cao gây ra. Tuy nhiên, cơ chế thực thi hiện tại đang bộc lộ sự thiếu đồng bộ về tính bảo mật khi các quy định bắt buộc lưu trữ toàn bộ dữ liệu phát sinh từ quá trình sử dụng dịch vụ lại gây ra nguy cơ làm gia tăng rủi ro an ninh mạng đối với hạ tầng lưu trữ của nhà mạng trước các cuộc tấn công mạng. Theo đó, việc lộ lọt dữ liệu tại phân khúc này không chỉ xâm phạm quyền riêng tư của chủ thể dữ liệu mà còn làm giảm hiệu lực của quy trình xác thực giao dịch tài chính số, điều này đặt ra yêu cầu phải ban hành quy chuẩn phối hợp đồng bộ về công nghệ mã hóa dữ liệu giữa ngành viễn thông và hệ thống các tổ chức tín dụng. Đối với khách hàng sử dụng dịch vụ thanh toán: hành lang pháp lý thực định đặt ra nghĩa vụ độc quyền quản lý và bảo mật đối với các công cụ xác thực cá nhân như mật khẩu, mã OTP và thiết bị đầu cuối; đồng thời nghiêm cấm các hành vi chuyển giao, cho mượn tài khoản hoặc làm lộ thông tin cho bên thứ ba. Việc áp đặt toàn bộ hậu quả pháp lý về mặt tổn thất tài sản cho người sử dụng dịch vụ khi phát sinh sự cố lộ lọt thông tin xác thực từ các hành vi gian lận công nghệ cao không chỉ làm mất cân bằng nghĩa vụ quy nhiệm, mà còn mâu thuẫn với nguyên tắc bảo vệ bên yếu thế trong giao dịch dân sự. Cách tiếp cận mang tính cơ học này cần được thay thế bằng cơ chế xác lập trách nhiệm dân sự tương ứng đối với hệ thống các tổ chức tín dụng và các công ty Fintech. Định hướng này xuất phát từ thực tiễn các định chế chuyên nghiệp sở hữu ưu thế tuyệt đối về năng lực hạ tầng và kỹ thuật, hoàn toàn có khả năng tích hợp các thuật toán phân tích hành vi để chủ động nhận diện và áp dụng biện pháp ngăn chặn giao dịch bất thường ngay trong quá trình kiểm soát vận hành hệ thống. Thứ ba, giai đoạn hậu kiểm Khi các lỗi vận hành chuyển hóa thành tổn thất tài sản hiện hữu, cơ chế điều tiết pháp lý sẽ dịch chuyển sang giai đoạn hậu kiểm nhằm định danh tội phạm và phân định cụ thể trách nhiệm dân sự, hành chính hoặc hình sự giữa các nhóm chủ thể liên quan. Đối với các cơ quan quản lý nhà nước, thẩm quyền hậu kiểm được thực hiện qua việc áp dụng các biện pháp xử lý hành chính như phong tỏa tài khoản đảm bảo thanh toán hoặc thu hồi giấy phép hoạt động của NHNN. Trường hợp quyết định quản lý được ban hành trái pháp luật gây thiệt hại cho doanh nghiệp, trách nhiệm hoàn trả và bồi thường của người thi hành công vụ sẽ được kích hoạt theo Luật Trách nhiệm bồi thường của Nhà nước năm 2017. Tuy nhiên, cơ chế bảo hộ này chưa đạt hiệu quả thực tế do quy chuẩn định lượng thiệt hại hiện hành chưa tương thích với đặc thù của tài sản số bởi lẽ quy định tại Điều 361 Bộ luật Dân sự năm 2015 hiện chỉ công nhận các dạng tổn thất vật chất hiện hữu. Do đó, khi lệnh phong tỏa tài khoản bị ban hành sai lệch, các công ty Fintech phải chịu các tổn thất mang tính hệ thống nhưng gặp rào cản quy phạm trong việc chứng minh và quy đổi các thiệt hại phi vật chất như sự sụt giảm uy tín của thuật toán độc quyền, biến động giảm lượng người dùng tương tác hoặc chi phí cơ hội kinh doanh phát sinh trong môi trường số thành giá trị bồi thường cụ thể. Sự thiếu hụt các tiêu chí định giá số hóa này khiến chế định bồi thường nhà nước đối với các tổ chức kinh tế số khó khả thi trên thực tế. Đối với các công ty Fintech: trách nhiệm bồi thường thiệt hại ngoài hợp đồng phát sinh khi xảy ra sự cố hệ thống hoặc lỗi quản trị dữ liệu nội bộ theo Điều 360 Bộ luật Dân sự năm 2015, đi kèm nghĩa vụ cung cấp chứng cứ điện tử theo yêu cầu của cơ quan tiến hành tố tụng được quy định tại Luật An ninh mạng 2025. Tuy nhiên khoảng trống pháp lý về phân định trách nhiệm liên đới giữa công ty Fintech và bên thứ ba cung cấp dịch vụ điện toán đám mây từ các sự cố lộ lọt dữ liệu hoặc gián đoạn giao dịch thường xuất phát từ hạ tầng máy chủ thuê ngoài của các đối tác công nghệ nước ngoài. Do thiếu hụt các quy định bắt buộc về tiêu chuẩn tối thiểu đối với mức độ cam kết chất lượng dịch vụ trong lĩnh vực tài chính, các công ty Fintech thường viện dẫn quy định về sự kiện bất khả kháng để miễn trừ trách nhiệm, dẫn đến việc trì hoãn nghĩa vụ bồi thường thiệt hại và làm giảm hiệu lực bảo vệ quyền lợi của chủ thể dữ liệu theo Luật Bảo vệ dữ liệu cá nhân 2025. Đối với ngân hàng thương mại: trách nhiệm dân sự phát sinh khi có thiệt hại do sự cố từ hệ thống công nghệ hoặc do hành vi vi phạm của nhân sự nội bộ theo Điều 360 Bộ luật Dân sự năm 2015, bên cạnh nghĩa vụ chấp hành các lệnh phong tỏa tài khoản từ cơ quan nhà nước có thẩm quyền. Mặc dù vậy, chế định trách nhiệm trong giai đoạn hậu kiểm hiện nay vẫn dựa trên nguyên tắc xác định lỗi truyền thống, chưa bao quát được đặc tính liên kết của hạ tầng công nghệ tài chính, chưa có quy định cụ thể cơ chế phân định trách nhiệm bồi thường trong kịch bản sự cố an ninh mạng ban đầu xuất phát từ phần mềm nghiệp vụ của các công ty Fintech. Việc xác định nghĩa vụ bồi thường toàn bộ thiệt hại cho NHTM dựa trên tiêu chí quy mô vốn không chỉ tạo ra sự bất hợp lý trong phân bổ rủi ro vận hành, mà còn không phản ánh đúng mối quan hệ nhân quả giữa hành vi vi phạm và thiệt hại thực tế. Đối với các doanh nghiệp viễn thông và tổ chức cung ứng hạ tầng mạng, pháp luật quy định nghĩa vụ hỗ trợ cơ quan tiến hành tố tụng trong việc truy vết dòng tiền gian lận thông qua việc cung cấp dữ liệu kết nối và lịch sử tương tác được xác lập dựa trên các quy định của Luật An ninh mạng năm 2025 và Luật Bảo vệ dữ liệu cá nhân năm 2025. Tuy nhiên, quy trình xử lý hậu kiểm hiện nay đang bộc lộ xung đột quy chuẩn về thời hạn lưu trữ dữ liệu giữa các văn bản quy phạm pháp luật, cụ thể theo các quy định về bảo vệ dữ liệu cá nhân giới hạn thời gian lưu trữ và ghi nhận quyền yêu cầu xóa nhật ký số của chủ thể dữ liệu nhằm bảo đảm quyền riêng tư, thì pháp luật về phòng, chống rửa tiền và an ninh mạng lại bắt buộc doanh nghiệp phải duy trì lịch sử dữ liệu trong thời hạn dài để phục vụ công tác điều tra. Sự thiếu đồng bộ trong cơ chế phối hợp giải thích pháp luật đang đặt các doanh nghiệp viễn thông trước tình thế tiến thoái lưỡng nan về mặt tuân thủ: việc thực hiện nghĩa vụ hỗ trợ điều tra có nguy cơ dẫn đến hành vi vi phạm các cam kết bảo mật dữ liệu cá nhân của người dùng. Đối với khách hàng sử dụng dịch vụ thanh toán: khách hàng có quyền yêu cầu bồi thường thiệt hại nếu chứng minh được tổn thất xuất phát từ lỗi hệ thống của đơn vị cung ứng; ngược lại, nếu thiệt hại do hành vi cho mượn tài khoản hoặc làm lộ thông tin định danh, người dùng phải tự gánh chịu rủi ro. Tùy theo tính chất và mức độ nghiêm trọng, hành vi vi phạm nghĩa vụ tự bảo mật hoặc mua bán, chuyển giao tài khoản thanh toán cho người khác sử dụng có thể bị xử lý vi phạm hành chính theo quy định tại Điều 8 Luật Bảo vệ dữ liệu cá nhân năm 2025. Tuy nhiên, việc áp dụng nguyên tắc phân bổ trách nhiệm dựa trên yếu tố lỗi của Bộ luật Dân sự năm 2015 đang tạo ra rào cản trong việc giải quyết các tranh chấp đối với hoạt động trung gian thanh toán; cụ thể, xuất phát từ tình trạng bất đối xứng thông tin giữa người tiêu dùng và các định chế tài chính. Thực tế cho thấy, toàn bộ chứng cứ điện tử, cấu trúc cổng kết nối API, lịch sử vận hành của các thuật toán đều nằm dưới sự kiểm soát độc lập của các công ty Fintech và NHTM. Việc quy định buộc người dùng vốn là bên yếu thế trong giao dịch phải gánh chịu nghĩa vụ chứng minh lỗi vận hành của nhà cung cấp để đòi bồi thường là quy định chưa tương thích với thực tế kỹ thuật. Chu trình kiểm soát ba giai đoạn (Tiền kiểm - Vận hành - Hậu kiểm) đối với hoạt động thanh toán của các công ty Fintech tại Việt Nam đã hình thành cơ chế phòng ngừa rủi ro chủ động qua sự kiểm soát chéo giữa năm nhóm chủ thể. Tuy nhiên, hệ thống thực định vẫn bộc lộ những hạn chế mang tính hệ thống do sự thiếu tương thích giữa quy định và hạ tầng công nghệ khi chưa thiết lập được nền tảng giám sát tự động, gây chồng chéo thủ tục hành chính và làm giảm tính linh hoạt của cơ chế thử nghiệm. Bên cạnh đó, sự thiếu đồng bộ giữa các quy định về phòng, chống rửa tiền, an ninh mạng và bảo vệ dữ liệu cá nhân đang gây khó khăn cho doanh nghiệp trong việc bảo đảm nghĩa vụ tuân thủ. Bên cạnh đó, việc áp dụng các chế định truyền thống của Bộ luật Dân sự năm 2015 như hợp đồng gửi giữ tài sản và nghĩa vụ chứng minh lỗi vào giao dịch số hóa liên thông đã dẫn đến sự phân bổ rủi ro chưa hợp lý đối với NHTM, đồng thời chưa bảo vệ thỏa đáng khách hàng do tình trạng bất đối xứng thông tin và rào cản kỹ thuật khi tiếp cận chứng cứ điện tử. Những bất cập này chính đặt ra yêu cầu cần xây dựng và hoàn thiện hành lang pháp lý đồng bộ, bảo đảm sự cân bằng lợi ích trong hoạt động thanh toán của các công ty Fintech nói riêng và hệ sinh thái tài chính số nói chung.

3. Một số kiến nghị đề xuất hoàn thiện pháp luật về trách nhiệm của nhóm các chủ thể trong hoạt động thanh toán của các công ty Fintech

Để giải quyết những khoảng trống pháp lý hiện hành và thiết lập cơ chế điều tiết rủi ro hiệu quả, việc hoàn thiện khung pháp lý về trách nhiệm pháp lý của các chủ thể trong hoạt động thanh toán của các công ty Fintech tại Việt Nam đòi hỏi các giải pháp mang tính hệ thống sau đây: Thứ nhất, sớm thể chế hóa các tiêu chí lượng hóa nghĩa vụ bồi thường trong lĩnh vực Fintech nhằm tối ưu hóa cơ chế điều tiết chi phí rủi ro xã hội. Việc bổ sung các quy định hướng dẫn về trách nhiệm liên đới là đòi hỏi khách quan để vượt qua rào cản về nghĩa vụ chứng minh lỗi chủ quan truyền thống. Theo đó, khi các chứng cứ số từ nhật ký hệ thống rơi vào trạng thái bất định không thể bóc tách nguyên nhân kỹ thuật ban đầu do tính chất đan xen phức tạp giữa các cổng kết nối API cần áp dụng nguyên tắc phân bổ thiệt hại theo tỷ lệ định khung chi tiết, (ví dụ tỷ lệ gánh chịu tổn thất dân sự sẽ được ấn định tương ứng: 40% đối với tổ chức Fintech, 40% đối với NHTM liên kết và 20% đối với đơn vị cung ứng hạ tầng mạng). Lập luận này được bảo chứng bởi nguyên lý kinh tế học pháp lý kinh điển của Guido Calabresi về “Chủ thể ngăn ngừa rủi ro với chi phí thấp nhất”11, theo đó, việc quy trách nhiệm chính cho các công ty Fintech và NHTM bảo đảm rằng những chủ thể thiết kế nền tảng và thụ hưởng nguồn lợi nhuận lớn nhất phải có nghĩa vụ cao nhất trong việc chủ động thiết lập các hàng rào công nghệ phòng ngừa tổn thất. Ngược lại, mức trách nhiệm đối với các nhà cung cấp hạ tầng (như dịch vụ điện toán đám mây) là phù hợp với vai trò thứ cấp của họ trong chuỗi giao dịch, đồng thời tiệm cận với các chuẩn mực quản trị rủi ro bên thứ ba hiện đại quy định tại Đạo luật DORA của Liên minh Châu Âu hoặc các hướng dẫn từ Ủy ban Basel12. Thứ hai, các văn bản hướng dẫn thi hành Luật Bảo vệ dữ liệu cá nhân năm 2025 cần thiết lập quy phạm ấn định mức bồi thường tổn thất tinh thần định mức (ví dụ mức bồi thường bằng 5 đến 20 lần mức lương cơ sở) đối với lỗi làm lộ lọt thông tin tài khoản hoặc dữ liệu eKYC. Cơ chế này cho phép người tiêu dùng tài chính nhận bồi thường ngay khi có vi phạm xảy ra mà không bị ràng buộc bởi nghĩa vụ chứng minh thiệt hại vật chất hiện hữu vô cùng phức tạp. Việc liên đới mức phạt với lương cơ sở giúp điều chỉnh linh hoạt giá trị bồi thường theo biến động kinh tế và tối ưu hóa chức năng răn đe của pháp luật. Bên cạnh đó, hướng dẫn thi hành Luật Dữ liệu năm 2024 và Luật Bảo vệ dữ liệu cá nhân năm 2025 cần bổ sung điều khoản loại trừ thẩm quyền, làm rõ: nghĩa vụ xóa dữ liệu của doanh nghiệp bị tạm hoãn nếu dữ liệu đó thuộc đối tượng đang bị phong tỏa hoặc rà soát phục vụ công tác điều tra an ninh tài chính quốc gia. Đối với các thiệt hại do thuật toán trí tuệ nhân tạo (AI) tự sinh hoặc sự cố máy chủ xuyên biên giới, pháp luật cần áp dụng chế định trách nhiệm không phụ thuộc vào yếu tố lỗi chủ quan, nhằm ngăn chặn tình trạng tổ chức Fintech viện dẫn sự kiện bất khả kháng để né tránh nghĩa vụ bồi thường. Đồng thời, cần nội luật hóa các tiêu chuẩn của Đạo luật DORA để ban hành cấu trúc hợp đồng mẫu thuê ngoài dịch vụ số bắt buộc đối với các tổ chức tài chính trong nước, bổ sung điều khoản về quyền tiếp cận, kiểm toán hệ thống trực tiếp và mức cam kết chất lượng dịch vụ tối thiểu13. Đây là cơ sở pháp lý để các công ty Fintech hoặc NHTM tại Việt Nam thực hiện quyền truy đòi bồi hoàn liên đới từ các tập đoàn công nghệ xuyên biên giới khi xảy ra sự cố kỹ thuật tự động từ nước ngoài. Ngoài ra, cần sửa đổi Nghị định số 52/2024/NĐ-CP theo hướng bắt buộc ứng dụng của các công ty Fintech phải tích hợp quy trình xác thực sinh trắc học kép đối với các giao dịch vượt hạn mức giá trị lớn, nếu doanh nghiệp chứng minh đã thực hiện đầy đủ nghĩa vụ cảnh báo và kiểm tra, nhưng thiệt hại vẫn xảy ra do sự bất cẩn của khách hàng (như cố tình chuyển nhượng quyền kiểm soát tài khoản), đây sẽ là căn cứ miễn trừ trách nhiệm bồi thường hợp pháp cho công ty Fintech theo quy định của Bộ luật Dân sự năm 2015. Thứ ba, hiện đại hóa hạ tầng giám sát chuyên ngành và thể chế hóa Quỹ bồi thường rủi ro rủi ro Fintech quốc gia, được vận hành dưới mô hình quỹ tài chính nhà nước ngoài ngân sách do NHNN quản lý, nguồn vốn của Quỹ được hình thành từ nghĩa vụ đóng góp bắt buộc (Ví dụ từ 0,5% đến 1% doanh thu phí dịch vụ hằng quý của các tổ chức Fintech và ngân hàng thương mại liên kết. Quỹ áp dụng cơ chế bồi thường nhanh, ứng trước tối đa 70% thiệt hại vật chất thực tế cho người tiêu dùng khi đáp ứng đủ hai tiêu chí định lượng: sự cố công nghệ diện rộng ảnh hưởng từ 1.000 khách hàng trở lên (hoặc tổng thiệt hại vượt quá 10 tỷ đồng) và quy trình đối soát dữ liệu nội bộ để phân định lỗi giữa các bên kéo dài quá 15 ngày làm việc). Ngoài ra, Nhà nước cần chuẩn hóa tiêu chuẩn kỹ thuật kết nối công nghệ giám sát chuyên ngành và giao tiếp lập trình ứng dụng bắt buộc, theo đó, các công ty Fintech phải tích hợp tính năng tự động ngắt kết nối liên thông trong vòng 03 giây với hệ thống ngân hàng, đồng thời tự động mã hóa và chuyển giao nhật ký dữ liệu giao dịch về NHNN trong vòng 05 giây kể từ khi ghi nhận sự cố an ninh nghiêm trọng. Ngoài ra, trên cơ sở kết quả thẩm định an ninh mạng liên ngành của Bộ Công an theo Luật An ninh mạng năm 2025, NHNN cần được trao thẩm quyền gia hạn thời gian thí điểm có điều kiện thêm tối đa 01 năm đối với các công nghệ có độ phức tạp cao quy định tại Nghị định số 94/2025/NĐ-CP (như chuỗi khối hoặc tài sản mã hóa), nhằm tạo không gian kiểm soát an toàn trước khi cấp phép thương mại chính thức. Cơ chế này là giải pháp bảo đảm thanh khoản hữu hiệu, giúp giải tỏa điểm nghẽn tố tụng chứng minh lỗi và chuyển dịch rủi ro từ người tiêu dùng sang quỹ chung của thị trường để bảo vệ sự ổn định hệ thống tiền tệ. Sau khi chi trả ổn định thị trường, NHNN và các cơ quan tố tụng, trọng tài sẽ căn cứ vào kết luận giải quyết tranh chấp cuối cùng để thực hiện quyền truy đòi, buộc chủ thể có lỗi phải hoàn trả toàn bộ số tiền đã ứng cho Quỹ theo quy định của pháp luật.

Kết luận: Nghiên cứu chỉ ra việc hoàn thiện khung pháp lý về trách nhiệm kiểm soát rủi ro số giúp lấp đầy khoảng trống thể chế, bảo vệ người dùng và ổn định vĩ mô. Việt Nam cần chuyển dịch từ ứng phó sau sự việc sang chủ động phòng ngừa dựa trên đánh giá rủi ro. Hệ giải pháp đồng bộ được đề xuất bao gồm: xác lập hệ số bồi thường mặc định, chuẩn hóa điều khoản truy đòi xuyên biên giới, giám sát thời gian thực và thành lập quỹ dự phòng chung nhằm tối ưu hóa chi phí xã hội. Định hướng đổi mới lập pháp này là tất yếu để khắc phục hạn chế của pháp luật thực định, tạo nền tảng vững chắc cho sự tăng trưởng của Fintech trong tương lai./.

TÀI LIỆU THAM KHẢO

1. Trần Thị Xuân Anh, Nguyễn Thị Hoài Lê (2020), Ảnh hưởng của công nghệ tài chính đến an toàn hệ thống tài chính - Từ khung lý luận đến thực tiễn tại Việt Nam, Tạp chí Khoa học & Đào tạo Ngân hàng, Học viện Ngân hàng, số 216, tháng 5/2020, tr. 1 - 20.

2. Basel Committee on Banking Supervision (2021), Revisions to the Principles for the Sound Management of Operational Risk, https://www. bis.org/bcbs/publ/d515.pdf, tr. 5 - 8, 10 - 12, 20 - 25, truy cập ngày 20/4/2026.

3. Basel Committee on Banking Supervision (2021, March), Principles for operational resilience, Bank for International Settlements, https://www.bis.org/bcbs/publ/d516.pdf, tr.4 - 8, truy cập ngày 20/4/2026.

4. Calabresi, G. (1970), The costs of accidents: A legal and economic analysis, Yale University Press, tr.135 - 140.

5. European Parliament and Council (2022), Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA), https:// eur-lex.europa.eu/eli/reg/2022/2554/oj, tr. 10 - 15 (Điều 10-15), truy cập ngày 20/4/2026.