Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.16. Hồ sơ đăng ký tham gia tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ
1. Hồ sơ tham gia tuyển chọn, giao trực tiếp nhiệm vụ khoa học và công nghệ cấp Bộ bao gồm:
a) Bản sao Giấy chứng nhận đăng ký hoạt động khoa học và công nghệ của tổ chức đăng ký chủ trì nhiệm vụ khoa học và công nghệ;
b) Đơn đăng ký chủ trì thực hiện nhiệm vụ khoa học và công nghệ theo mẫu (Phụ lục 3a) ban hành kèm theo Thông tư này;
c) Thuyết minh nhiệm vụ khoa học và công nghệ theo mẫu (Phụ lục 3b) ban hành kèm theo Thông tư này;
d) Tóm tắt hoạt động khoa học và công nghệ của tổ chức đăng ký chủ trì thực hiện nhiệm vụ khoa học và công nghệ (đối với trường hợp tổ chức đăng ký tham gia tuyển chọn, giao trực tiếp nhiệm vụ khoa học và công nghệ) theo mẫu (Phụ lục 3c) ban hành kèm theo Thông tư này;
đ) Lý lịch khoa học của cá nhân đăng ký chủ nhiệm và các cá nhân đăng ký tham gia nghiên cứu chính nhiệm vụ khoa học và công nghệ, có xác nhận của cơ quan quản lý nhân sự theo mẫu (Phụ lục 3d) ban hành kèm theo Thông tư này;
e) Lý lịch khoa học của chuyên gia trong nước theo mẫu (Phụ lục 3đ) ban hành kèm theo Thông tư này; lý lịch khoa học của chuyên gia nước ngoài theo mẫu (Phụ lục 3e) ban hành kèm theo Thông tư này (đối với trường hợp thuyết minh nhiệm vụ khoa học và công nghệ có nội dung thuê chuyên gia khoa học nước ngoài);
g) Văn bản xác nhận về sự đồng ý của tổ chức và cá nhân đăng ký phối hợp thực hiện nhiệm vụ khoa học và công nghệ theo mẫu (Phụ lục 3g) ban hành kèm theo Thông tư này;
h) Văn bản chứng minh năng lực huy động vốn từ nguồn khác (nếu có);
i) Báo giá tài sản, trang thiết bị, nguyên vật liệu cần mua sắm, thuê để thực hiện nhiệm vụ khoa học và công nghệ (trong trường hợp thuyết minh nhiệm vụ khoa học và công nghệ có nội dung mua, thuê tài sản, trang thiết bị, nguyên vật liệu);
k) Kết quả tra cứu thông tin về các nhiệm vụ khoa học và công nghệ có liên quan theo mẫu (Phụ lục 3h) ban hành kèm theo Thông tư này (nếu có).
2. Bộ hồ sơ tham gia tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ cấp Bộ phải được niêm phong và ghi rõ bên ngoài: tên nhiệm vụ khoa học và công nghệ; tên, địa chỉ của tổ chức, cá nhân đăng ký chủ trì nhiệm vụ khoa học và công nghệ; danh mục tài liệu, văn bản có trong hồ sơ.
3. Số lượng bộ hồ sơ: 01 bộ hồ sơ gốc (có dấu và chữ ký) trình bày và in trên khổ giấy A4, sử dụng phông chữ tiếng Việt của bộ mã ký tự Unicode theo tiêu chuẩn quốc gia TCVN 6909:2001, cỡ chữ 14 và 01 bộ hồ sơ ghi trên đĩa CD (dạng PDF, không đặt mật khẩu).
4. Hồ sơ tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ cấp Bộ gửi về Viện Chiến lược Ngân hàng.
5. Hồ sơ phải nộp đúng hạn theo thông báo tuyển chọn. Ngày nhận hồ sơ là ngày ghi trên dấu bưu điện (trường hợp gửi qua bưu điện) hoặc dấu đến của Văn thư Viện Chiến lược Ngân hàng (trường hợp gửi trực tiếp). Khi chưa hết thời hạn nộp hồ sơ, tổ chức, cá nhân đăng ký tham gia tuyển chọn có quyền rút hồ sơ, thay hồ sơ mới, bổ sung hoặc sửa đổi hồ sơ đã gửi đến cơ quan tuyển chọn. Mọi bổ sung và sửa đổi phải nộp trong thời hạn quy định và là bộ phận cấu thành của hồ sơ.
Phụ lục 3a-3h( TT37.2015.TT-NHNN).docx
(Điều 16 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.15. Thông báo tuyển chọn thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.17. Mở và kiểm tra xác nhận tính hợp lệ của hồ sơ tham gia tuyển chọn thực hiện nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.17. Mở và kiểm tra xác nhận tính hợp lệ của hồ sơ tham gia tuyển chọn thực hiện nhiệm vụ khoa học và công nghệ
1. Kết thúc thời hạn nhận hồ sơ đăng ký tuyển chọn, trong thời hạn 10 ngày làm việc, Viện Chiến lược Ngân hàng thực hiện việc mở, kiểm tra và xác nhận tính hợp lệ của hồ sơ với sự tham dự của đại diện các cơ quan liên quan (nếu cần), đại diện tổ chức, cá nhân đăng ký tham gia tuyển chọn.
2. Hồ sơ hợp lệ là hồ sơ đáp ứng đầy đủ các nội dung theo quy định tại Điều 16 Thông tư này. Hồ sơ hợp lệ sẽ được đưa ra Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ quy định tại Điều 18 Thông tư này để xem xét, đánh giá.
3. Kết quả mở hồ sơ được ghi thành biên bản theo mẫu (Phụ lục 3i) ban hành kèm theo Thông tư này.
Phụ lục 3i (TT37.2015.TT-NHNN).docx
(Điều 17 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.16. Hồ sơ đăng ký tham gia tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.18. Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.18. Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ
1. Thống đốc NHNN quyết định thành lập Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ trên cơ sở đề xuất của Viện Chiến lược Ngân hàng (tại Điều này gọi tắt là Hội đồng).
a) Hội đồng có từ 07 đến 11 thành viên, gồm: 01 Chủ tịch, 01 Phó chủ tịch, 02 ủy viên phản biện, 01 ủy viên thư ký và các ủy viên. Thành phần Hội đồng bao gồm các nhà quản lý, đại diện cơ quan, tổ chức đề xuất đặt hàng, đại diện các đơn vị thuộc NHNN, nhà khoa học, nhà kinh doanh có năng lực và chuyên môn phù hợp với lĩnh vực nghiên cứu của nhiệm vụ khoa học và công nghệ;
b) Hội đồng có thể có 01 ủy viên thuộc tổ chức đăng ký chủ trì nhiệm vụ khoa học và công nghệ nhưng ủy viên này không được làm Chủ tịch, Phó chủ tịch, ủy viên phản biện hoặc thư ký khoa học của Hội đồng. Cá nhân đăng ký tham gia thực hiện nhiệm vụ không được làm ủy viên Hội đồng;
c) Các chuyên gia, ủy viên phản biện đã tham gia Hội đồng tư vấn xác định nhiệm vụ khoa học và công nghệ được ưu tiên mời tham gia Hội đồng tuyển chọn, giao trực tiếp đối với nhiệm vụ khoa học và công nghệ tương ứng.
2. Viện Chiến lược Ngân hàng cử 01 chuyên viên làm thư ký hành chính giúp việc cho Hội đồng. Thư ký hành chính không là thành viên của Hội đồng.
3. Ít nhất 03 ngày làm việc trước ngày họp Hội đồng, Viện Chiến lược Ngân hàng có trách nhiệm gửi hồ sơ đăng ký tham gia tuyển chọn, giao trực tiếp nhiệm vụ khoa học và công nghệ cho các ủy viên Hội đồng. Mỗi ủy viên viết Phiếu nhận xét theo mẫu (Phụ lục 3k (i), (ii), (iii) tương ứng với từng loại nhiệm vụ khoa học và công nghệ) ban hành kèm theo Thông tư này và gửi về Viện Chiến lược Ngân hàng ít nhất 01 ngày làm việc trước ngày họp.
4. Hội đồng chỉ họp khi có ít nhất 2/3 số thành viên Hội đồng tham dự, trong đó có Chủ tịch hoặc Phó Chủ tịch Hội đồng, 02 ủy viên phản biện và ủy viên thư ký. Trong trường hợp cần thiết, tùy theo từng trường hợp cụ thể, Hội đồng có thể mời đại diện cơ quan quản lý nhân sự của cá nhân đăng ký chủ trì nhiệm vụ, cơ quan đăng ký chủ trì thực hiện nhiệm vụ, cơ quan dự kiến sử dụng kết quả nghiên cứu và các đơn vị liên quan dự phiên họp của Hội đồng; các ý kiến của đại biểu được mời dự họp chỉ mang tính tham khảo cho Hội đồng.
5. Phiên họp Hội đồng:
a) Thư ký Hội đồng đọc quyết định thành lập Hội đồng, biên bản mở hồ sơ, giới thiệu thành phần Hội đồng và các đại biểu tham dự cuộc họp;
b) Chủ tịch Hội đồng điều hành cuộc họp. Trong trường hợp Chủ tịch vắng mặt, Phó Chủ tịch sẽ điều hành cuộc họp;
c) Cá nhân đăng ký chủ nhiệm nhiệm vụ khoa học và công nghệ trình bày tóm tắt trước Hội đồng về đề cương nghiên cứu, đề xuất phương thức khoán chi đến sản phẩm cuối cùng hoặc khoán chi từng phần, trả lời các câu hỏi của Hội đồng (nếu có). Sau khi trình bày xong các cá nhân đăng ký chủ nhiệm nhiệm vụ khoa học và công nghệ không tiếp tục tham dự phiên họp của Hội đồng;
d) Đại diện cơ quan dự kiến sử dụng kết quả nghiên cứu (nếu có) phát biểu ý kiến về sự cần thiết và những yêu cầu về kết quả nghiên cứu;
đ) Các thành viên của Hội đồng nhận xét, đánh giá từng hồ sơ và so sánh các hồ sơ đăng ký tuyển chọn cùng một nhiệm vụ khoa học và công nghệ;
e) Hội đồng thảo luận, phản biện các ý kiến nhận xét giữa các thành viên Hội đồng (nếu có) trước khi cho điểm độc lập vào phiếu đánh giá theo mẫu (Phụ lục 3l (i), (ii), (iii) tương ứng với từng loại nhiệm vụ khoa học và công nghệ) ban hành kèm theo Thông tư này;
g) Hội đồng cử Ban kiểm phiếu gồm hai thành viên thuộc Hội đồng để tổng hợp kết quả theo mẫu (Phụ lục 3m) ban hành kèm theo Thông tư này. Đối với hồ sơ đăng ký tham gia tuyển chọn, kết quả được tổng hợp theo tổng số điểm trung bình từ cao xuống thấp;
h) Hội đồng công bố công khai kết quả chấm điểm, đánh giá và thông qua biên bản làm việc của Hội đồng theo mẫu (Phụ lục 3n) ban hành kèm theo Thông tư này; kiến nghị danh sách các tổ chức, cá nhân trúng tuyển hoặc giao trực tiếp chủ trì nhiệm vụ khoa học và công nghệ.
Tổ chức, cá nhân được Hội đồng đề nghị trúng tuyển là tổ chức, cá nhân có hồ sơ xếp hạng với tổng số điểm trung bình cao nhất và phải đạt từ 70/100 điểm trở lên. Trong đó không có tiêu chí nào có quá 1/3 số thành viên Hội đồng có mặt cho điểm không (điểm 0). Đối với các hồ sơ có điểm trung bình bằng nhau thì hồ sơ có điểm cao hơn của Chủ tịch hoặc Phó Chủ tịch Hội đồng chủ trì phiên họp được ưu tiên xếp hạng;
i) Hội đồng biểu quyết xác định kết quả phiên họp với các thông tin cơ bản:
(i) Tên tổ chức chủ trì, cá nhân chủ nhiệm đề nghị trúng tuyển, giao trực tiếp;
(ii) Những điểm cần bổ sung, sửa đổi trong thuyết minh nhiệm vụ khoa học và công nghệ của hồ sơ được Hội đồng lựa chọn trúng tuyển hoặc giao trực tiếp.
6. Kết quả họp Hội đồng được thông báo cho các tổ chức, cá nhân đăng ký tuyển chọn, giao trực tiếp nhiệm vụ khoa học và công nghệ ngay sau khi kết thúc phiên họp.
Tổ chức, cá nhân được đề nghị trúng tuyển, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ có trách nhiệm hoàn thiện hồ sơ theo ý kiến của Hội đồng trong thời hạn 07 ngày làm việc sau khi họp Hội đồng, có xác nhận của Chủ tịch Hội đồng và các ủy viên phản biện theo mẫu (Phụ lục 3p) ban hành kèm theo Thông tư này gửi về Viện Chiến lược Ngân hàng.
Phụ lục 3k-3p(TT37.2015.TT-NHNN).docx
(Điều 18 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.17. Mở và kiểm tra xác nhận tính hợp lệ của hồ sơ tham gia tuyển chọn thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.37. Tuyển chọn, giao trực tiếp đơn vị, cá nhân chủ trì nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.19. Tổ thẩm định kinh phí nhiệm vụ khoa học và công nghệ
1. Tổ thẩm định kinh phí nhiệm vụ khoa học và công nghệ do Thống đốc NHNN quyết định thành lập trên cơ sở đề xuất của Viện Chiến lược Ngân hàng (sau đây gọi là Tổ thẩm định) có 03 thành viên, trong đó:
a) Tổ trưởng Tổ thẩm định là đại diện lãnh đạo cấp Vụ của Viện Chiến lược Ngân hàng;
b) Tổ phó Tổ thẩm định là đại diện lãnh đạo cấp Vụ của Vụ Tài chính – Kế toán;
c) 01 thành viên Tổ thẩm định là Chủ tịch hoặc Phó chủ tịch hoặc ủy viên phản biện của Hội đồng tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ;
d) Viện Chiến lược Ngân hàng cử 01 cá nhân làm thư ký hành chính cho Tổ thẩm định. Thư ký hành chính có trách nhiệm chuẩn bị tài liệu, giúp việc cho Tổ thẩm định;
đ) Tổ trưởng Tổ thẩm định có thể mời đại diện các tổ chức, cá nhân có liên quan tham dự và phát biểu ý kiến tại cuộc họp của Tổ thẩm định.
2. Hồ sơ phiên họp thẩm định kinh phí nhiệm vụ khoa học và công nghệ gồm:
a) Biên bản họp Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ;
b) Thuyết minh nhiệm vụ đã hoàn thiện theo ý kiến của Hội đồng, báo cáo hoàn thiện thuyết minh và dự toán chi tiết của chủ nhiệm nhiệm vụ.
3. Nguyên tắc làm việc của Tổ thẩm định:
a) Phải có mặt đủ 3/3 thành viên;
b) Tổ trưởng Tổ thẩm định chủ trì phiên họp;
c) Tổ thẩm định làm việc theo nguyên tắc đồng thuận, các kết luận của Tổ thẩm định chỉ được thông qua khi được tất cả các thành viên thông qua.
4. Trách nhiệm của Tổ thẩm định:
a) Chịu trách nhiệm cá nhân về kết quả thẩm định của mình;
b) Thẩm định dự toán kinh phí thực hiện nhiệm vụ khoa học và công nghệ với các nội dung nghiên cứu phù hợp với kết luận của Hội đồng và các chế độ định mức kinh tế - kỹ thuật, định mức chi tiêu hiện hành của nhà nước (nếu có); xác định tổng mức kinh phí thực hiện nhiệm vụ khoa học và công nghệ (bao gồm kinh phí hỗ trợ từ ngân sách nhà nước và các nguồn khác), xác định dự toán khoán chi đến sản phẩm cuối cùng, dự toán khoán chi từng phần, xác định phân kỳ kinh phí theo năm ngân sách. Kết quả thẩm định kinh phí được lập thành Biên bản thẩm định theo mẫu (Phụ lục 3q) ban hành kèm theo Thông tư này;
c) Kết quả thẩm định được thông báo cho tổ chức, cá nhân đăng ký tuyển chọn, giao trực tiếp nhiệm vụ khoa học và công nghệ ngay sau khi kết thúc phiên họp thẩm định.
5. Viện Chiến lược Ngân hàng báo cáo, đề xuất, trình Thống đốc NHNN quyết định khi các thành viên Tổ thẩm định không thống nhất được các nội dung quy định tại điểm b khoản 4 Điều này.
Phụ lục 3q( TT37.2015.TT.NHNN).docx
(Điều 19 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.21. Phê duyệt nhiệm vụ và ký hợp đồng khoa học và công nghệ ; Điều 22.4.TT.36.38. Tổ thẩm định kinh phí nhiệm vụ khoa học và công nghệ cấp cơ sở )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.20. Lấy ý kiến tư vấn của chuyên gia độc lập về việc tuyển chọn, giao trực tiếp tổ chức, cá nhân chủ trì nhiệm vụ khoa học và công nghệ
1. Trong trường hợp cần thiết, Viện Chiến lược Ngân hàng trình Thống đốc NHNN quyết định lựa chọn 01 đến 02 chuyên gia độc lập để lấy ý kiến tư vấn về việc tuyển chọn, giao trực tiếp tổ chức, cá nhân chủ trì nhiệm vụ khoa học và công nghệ.
2. Chuyên gia độc lập là người am hiểu sâu, có uy tín và có thành tích nghiên cứu trong lĩnh vực lấy ý kiến tư vấn; trung thực, khách quan và có trách nhiệm.
3. Hồ sơ gửi chuyên gia tư vấn độc lập không có tên của tổ chức và cá nhân đăng ký chủ trì nhiệm vụ khoa học và công nghệ.
4. Trong thời hạn 15 ngày kể từ khi nhận được hồ sơ, chuyên gia độc lập có ý kiến bằng văn bản và chịu trách nhiệm về ý kiến nhận xét, đánh giá và kết luận của mình đối với các hồ sơ tham gia tuyển chọn, giao trực tiếp tổ chức, cá nhân chủ trì nhiệm vụ khoa học và công nghệ.
(Điều 20 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.21. Phê duyệt nhiệm vụ và ký hợp đồng khoa học và công nghệ
1. Tổ chức, cá nhân chủ trì nhiệm vụ khoa học và công nghệ hoàn thiện hồ sơ theo Biên bản thẩm định của Tổ thẩm định quy định tại điểm b khoản 4 Điều 19 và gửi về Viện Chiến lược Ngân hàng trong thời gian tối đa 10 ngày làm việc kể từ ngày nhận được ý kiến thẩm định.
2. Trong vòng 05 ngày làm việc kể từ khi nhận được hồ sơ nhiệm vụ khoa học và công nghệ được hoàn thiện theo ý kiến của Tổ thẩm định, Viện Chiến lược Ngân hàng trình Thống đốc NHNN phê duyệt nhiệm vụ khoa học và công nghệ gồm: tên nhiệm vụ khoa học và công nghệ, tổ chức chủ trì, cá nhân chủ nhiệm, thời gian thực hiện, kinh phí và phương thức khoán chi thực hiện nhiệm vụ khoa học và công nghệ.
3. Thống đốc NHNN ủy quyền cho Viện trưởng Viện Chiến lược Ngân hàng ký hợp đồng thực hiện nhiệm vụ khoa học và công nghệ theo mẫu hợp đồng nghiên cứu khoa học và phát triển công nghệ do Bộ trưởng Bộ Khoa học và Công nghệ ban hành (sau đây gọi tắt là Hợp đồng).
4. Trong thời gian 10 ngày làm việc kể từ ngày Thống đốc NHNN quyết định đặt hàng thực hiện nhiệm vụ khoa học và công nghệ, các tổ chức, cá nhân được giao chủ trì thực hiện nhiệm vụ khoa học và công nghệ hoàn thiện hợp đồng theo hướng dẫn của Viện Chiến lược Ngân hàng. Trường hợp các tổ chức, cá nhân nêu trên không hoàn thiện và giao nộp Hợp đồng theo thời hạn quy định, Viện Chiến lược Ngân hàng sẽ xem xét trình Thống đốc NHNN hủy bỏ quyết định đặt hàng đối với các tổ chức, cá nhân này.
5. Sau khi ký Hợp đồng, Viện Chiến lược Ngân hàng có trách nhiệm gửi tới các đơn vị để triển khai thực hiện:
a) Đối với các nhiệm vụ cấp kinh phí trực tiếp đến tổ chức khoa học và công nghệ chủ trì nhiệm vụ: Hợp đồng được lập thành 04 bộ, trong đó 01 bộ gửi đơn vị được giao chủ trì nhiệm vụ, 01 bộ gửi cá nhân chủ nhiệm, 01 bộ lưu giữ ở Viện Chiến lược Ngân hàng, và 01 bộ hồ sơ lưu tại Cục Quản trị;
b) Đối với các nhiệm vụ cấp kinh phí qua Cục Quản trị thuộc NHNN: Hợp đồng được lập thành 04 bộ; trong đó 01 bộ gửi cá nhân chủ nhiệm, 01 bộ gửi đơn vị quản lý trực tiếp cá nhân chủ nhiệm nhiệm vụ, 01 bộ gửi Cục Quản trị để theo dõi và thực hiện các thủ tục cấp kinh phí và 01 bộ lưu giữ ở Viện Chiến lược Ngân hàng.
(Điều 21 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.19. Tổ thẩm định kinh phí nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.22. Điều chỉnh Hợp đồng
1. Gia hạn thực hiện nhiệm vụ:
a) Trường hợp cần kéo dài thời gian thực hiện nhiệm vụ, trước khi kết thúc thời hạn thực hiện Hợp đồng ít nhất 01 tháng, tổ chức chủ trì nhiệm vụ có văn bản đề nghị gia hạn thực hiện nhiệm vụ khoa học và công nghệ gửi Viện Chiến lược Ngân hàng, trong đó nêu cụ thể lý do dẫn tới việc chậm tiến độ thực hiện nhiệm vụ khoa học và công nghệ và báo cáo về tình hình thực hiện nhiệm vụ khoa học và công nghệ tại thời điểm đề nghị gia hạn;
b) Trong thời hạn 10 ngày làm việc, Viện Chiến lược Ngân hàng có trách nhiệm trình Thống đốc NHNN xem xét, ra quyết định gia hạn thực hiện nhiệm vụ khoa học và công nghệ;
c) Trường hợp nhiệm vụ khoa học và công nghệ được đồng ý gia hạn, thời gian gia hạn được tính từ thời điểm kết thúc Hợp đồng và được quy định cụ thể trong quyết định gia hạn thực hiện nhiệm vụ khoa học và công nghệ. Việc gia hạn thực hiện nhiệm vụ tối đa 12 tháng đối với nhiệm vụ có thời gian thực hiện trên 24 tháng, 06 tháng đối với nhiệm vụ có thời gian thực hiện không quá 24 tháng, 03 tháng đối với nhiệm vụ có thời gian thực hiện không quá 12 tháng. Trường hợp đặc biệt do Thống đốc NHNN quyết định.
2. Tổ chức chủ trì thực hiện nhiệm vụ khoa học và công nghệ phải có văn bản giải trình gửi Viện Chiến lược Ngân hàng trình Thống đốc NHNN xem xét, quyết định đối với việc điều chỉnh các nội dung sau: tên nhiệm vụ khoa học và công nghệ; tổ chức, cá nhân chủ trì nhiệm vụ khoa học và công nghệ; mục tiêu; nội dung chính; kết quả dự kiến; tổng dự toán kinh phí và kinh phí hàng năm.
3. Trường hợp điều chỉnh dự toán chi tiết mà không phải điều chỉnh tổng dự toán, được thực hiện như sau:
a) Đối với phần kinh phí được giao khoán: trong phạm vi tổng dự toán kinh phí được giao khoán và không thay đổi giữa các khoản mục, trên cơ sở đề xuất của chủ nhiệm nhiệm vụ khoa học và công nghệ, thủ trưởng tổ chức chủ trì thực hiện nhiệm vụ khoa học và công nghệ được quyền quyết định điều chỉnh dự toán phần kinh phí giữa các nội dung chi theo yêu cầu thực tế của công việc;
b) Đối với phần kinh phí không được giao khoán: chủ nhiệm nhiệm vụ khoa học và công nghệ và tổ chức chủ trì thực hiện nhiệm vụ khoa học và công nghệ được chủ động điều chỉnh dự toán kinh phí giữa các nội dung chi (nếu không thay đổi giữa các khoản mục) với mức điều chỉnh tối đa 10% giữa các nội dung chi với nhau.
4. Các văn bản liên quan đến việc điều chỉnh Hợp đồng là bộ phận cấu thành của Hợp đồng.
(Điều 22 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.27. Xử lý kết quả nghiệm thu cấp Bộ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.23. Kiểm tra, đánh giá giữa kỳ việc thực hiện nhiệm vụ khoa học và công nghệ
1. Trong quá trình triển khai thực hiện, tổ chức chủ trì thực hiện nhiệm vụ khoa học và công nghệ có trách nhiệm kiểm tra, đánh giá giữa kỳ để kịp thời phát hiện và chấn chỉnh những sai sót làm ảnh hưởng đến mục tiêu, nội dung, tiến độ thực hiện, kết quả của các nhiệm vụ khoa học và công nghệ đã được phê duyệt.
2. Định kỳ 6 tháng 1 lần, các tổ chức chủ trì thực hiện nhiệm vụ khoa học và công nghệ cấp Bộ có trách nhiệm gửi báo cáo về NHNN (qua Viện Chiến lược Ngân hàng) về tình hình thực hiện và tiến độ giải ngân kinh phí theo mẫu (Phụ lục 4a) ban hành kèm theo Thông tư này.
3. Tháng 10 hàng năm, Viện Chiến lược Ngân hàng phối hợp với các đơn vị quản lý trung gian (các đơn vị dự toán cấp 2), Vụ Tài chính – Kế toán, Cục Quản trị và các chuyên gia (nếu cần) kiểm tra tiến độ thực hiện, đánh giá giữa kỳ kết quả đạt được, tình hình giải ngân và sử dụng kinh phí thực hiện nhiệm vụ khoa học và công nghệ. Trường hợp kiểm tra đột xuất sẽ thông báo cho tổ chức khoa học và công nghệ chủ trì và cá nhân chủ nhiệm nhiệm vụ trước ít nhất 03 ngày làm việc.
4. Trưởng đoàn kiểm tra có trách nhiệm tổng hợp kết quả, đề xuất phương án xử lý cần thiết. Kết quả kiểm tra là căn cứ để Viện Chiến lược Ngân hàng trình Thống đốc NHNN xem xét việc đình chỉ, điều chỉnh hoặc tiếp tục triển khai thực hiện hợp đồng. Biên bản kiểm tra tình hình thực hiện nhiệm vụ được lập thành 02 bản theo mẫu (Phụ lục 4b) ban hành kèm theo Thông tư này, lưu ở Viện Chiến lược Ngân hàng và tổ chức chủ trì (hoặc cá nhân chủ nhiệm) thực hiện nhiệm vụ khoa học và công nghệ.
5. Chi công tác kiểm tra, đánh giá giữa kỳ từ nguồn chi quản lý nhiệm vụ khoa học và công nghệ của NHNN.
Phụ lục 4a+4b (TT 37.2015.TT.NHNN).docx
(Điều 23 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.24. Giao nộp kết quả nghiên cứu nhiệm vụ khoa học và công nghệ
1. Chậm nhất 30 ngày trước khi kết thúc thời hạn thực hiện nhiệm vụ khoa học và công nghệ ghi trong Hợp đồng, tổ chức chủ trì và chủ nhiệm nhiệm vụ khoa học và công nghệ phải nộp sản phẩm nghiên cứu và báo cáo tự đánh giá kết quả thực hiện nhiệm vụ khoa học và công nghệ theo quy định tại khoản 2 Điều này về Viện Chiến lược Ngân hàng để tiến hành tổ chức đánh giá, nghiệm thu.
2. Tự đánh giá kết quả thực hiện nhiệm vụ khoa học và công nghệ:
a) Cá nhân chủ trì nhiệm vụ khoa học và công nghệ có trách nhiệm tự đánh giá kết quả thực hiện nhiệm vụ theo nội dung quy định tại khoản 4 Điều 26 Thông tư này trước khi nộp hồ sơ đánh giá, nghiệm thu về Viện Chiến lược Ngân hàng;
b) Kết quả tự đánh giá được tổng hợp và báo cáo theo mẫu (Phụ lục 4d) ban hành kèm theo Thông tư này.
Phụ lục 4d(TT 37.2015.TT.NHNN).docx
(Điều 24 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.26. Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.25. Hồ sơ đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ
Hồ sơ đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ bao gồm:
1. Công văn đề nghị đánh giá, nghiệm thu nhiệm vụ khoa học và công nghệ cấp Bộ của tổ chức, cá nhân được giao chủ trì thực hiện nhiệm vụ theo mẫu (Phụ lục 4c) ban hành kèm theo Thông tư này.
2. Báo cáo tổng hợp và Báo cáo tóm tắt kết quả thực hiện nhiệm vụ theo mẫu (Phụ lục 4m) ban hành kèm theo Thông tư này.
3. Các sản phẩm của nhiệm vụ khoa học và công nghệ.
4. Bản sao Hợp đồng và thuyết minh nhiệm vụ.
5. Các văn bản xác nhận và tài liệu liên quan đến việc công bố, xuất bản, đào tạo, tiếp nhận và sử dụng kết quả nghiên cứu (nếu có).
6. Báo cáo tình hình sử dụng kinh phí của nhiệm vụ theo mẫu (Phụ lục 4đ) ban hành kèm theo Thông tư này.
7. Báo cáo tự đánh giá kết quả thực hiện nhiệm vụ.
8. Các tài liệu khác (nếu có).
Phụ lục 4c+4m+4đ (TT.37.2015.TT.NHNN).docx
(Điều 25 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.26. Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.28. Đăng ký và lưu giữ kết quả thực hiện nhiệm vụ cấp Bộ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.26. Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ
1. Thành lập Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ cấp Bộ (trong Điều này gọi tắt là Hội đồng)
a) Viện Chiến lược Ngân hàng trình Thống đốc NHNN Quyết định thành lập Hội đồng trong thời hạn 10 ngày làm việc kể từ ngày nhận được hồ sơ đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ hợp lệ;
b) Chậm nhất 03 ngày làm việc sau khi Thống đốc NHNN ký Quyết định thành lập Hội đồng, Viện Chiến lược Ngân hàng thực hiện việc đăng tải trên Cổng thông tin khoa học và công nghệ ngành Ngân hàng thông tin chung về nhiệm vụ khoa học và công nghệ, bao gồm: tên; mã số; kinh phí; thời gian thực hiện; tổ chức chủ trì nhiệm vụ, cá nhân chủ nhiệm và các thành viên tham gia thực hiện chính nhiệm vụ;
c) Hội đồng có từ 07 đến 09 thành viên, bao gồm: 01 Chủ tịch, 01 Phó Chủ tịch, 02 ủy viên phản biện, 01 ủy viên thư ký khoa học và các ủy viên khác, trong đó cơ cấu thành phần Hội đồng bao gồm ít nhất 01 ủy viên đã tham gia Hội đồng tư vấn xác định nhiệm vụ hoặc tuyển chọn, giao trực tiếp nhiệm vụ; chuyên gia đại diện cho đơn vị chủ trì nhiệm vụ, tổ chức có khả năng ứng dụng kết quả nghiên cứu, các đơn vị thuộc NHNN. Chuyên gia đại diện cho đơn vị chủ trì nhiệm vụ không được làm Chủ tịch, Phó Chủ tịch, ủy viên phản biện, ủy viên thư ký khoa học;
d) Những trường hợp không được tham gia Hội đồng: chủ nhiệm, các cá nhân tham gia chính, tham gia phối hợp thực hiện nhiệm vụ; người đang bị truy cứu trách nhiệm hình sự hoặc đã bị kết án mà chưa được xóa án tích; vợ hoặc chồng, bố, mẹ, con, anh, chị, em ruột của chủ nhiệm, thành viên chính tham gia thực hiện nhiệm vụ hoặc người có quyền và lợi ích liên quan khác; người có bằng chứng xung đột lợi ích với chủ nhiệm hoặc tổ chức chủ trì nhiệm vụ;
đ) Trường hợp đặc biệt do tính chất phức tạp hoặc yêu cầu đặc thù của nhiệm vụ, Thống đốc NHNN có thể quyết định số lượng thành viên và thành phần Hội đồng khác với quy định tại điểm c khoản này;
e) Hồ sơ đánh giá, nghiệm thu quy định tại Điều 25 Thông tư này được gửi đến các thành viên Hội đồng và tổ chuyên gia (nếu có) trước phiên họp ít nhất 05 ngày làm việc kèm theo phiếu nhận xét (Phụ lục 4e (i), (ii), (iii) tương ứng với từng loại nhiệm vụ) ban hành kèm theo Thông tư này.
2. Phiên họp của Hội đồng
a) Phiên họp Hội đồng được tổ chức trong thời hạn 30 ngày kể từ ngày có quyết định thành lập Hội đồng. Hội đồng chỉ tiến hành họp khi bảo đảm các yêu cầu sau:
(i) Viện Chiến lược Ngân hàng đã nhận được đầy đủ ý kiến nhận xét bằng văn bản của 02 ủy viên phản biện và ý kiến thẩm định của tổ chuyên gia (nếu có) ít nhất 01 ngày làm việc trước phiên họp Hội đồng;
(ii) Phiên họp Hội đồng phải có mặt ít nhất 2/3 thành viên Hội đồng tham dự, trong đó có Chủ tịch hoặc Phó Chủ tịch, 02 ủy viên phản biện và thư ký khoa học;
Trong trường hợp cần thiết, Hội đồng có thể mời đại diện tổ chức ứng dụng kết quả của nhiệm vụ, cơ quan quản lý cá nhân chủ trì nhiệm vụ khoa học và công nghệ, các đơn vị thuộc NHNN, các tổ chức có liên quan tham dự phiên họp của Hội đồng;
b) Phiên họp Hội đồng:
(i) Thư ký Hội đồng công bố quyết định thành lập Hội đồng, giới thiệu thành phần và đại biểu tham dự;
(ii) Chủ tịch Hội đồng chủ trì phiên họp của Hội đồng. Trường hợp Chủ tịch Hội đồng vắng mặt, Phó Chủ tịch Hội đồng chủ trì phiên họp;
(iii) Chủ trì phiên họp Hội đồng thống nhất và thông qua nội dung làm việc của Hội đồng theo các quy định của Thông tư này; nêu những nội dung, yêu cầu chủ yếu đối với việc đánh giá, nghiệm thu quy định tại Thông tư này;
(iv) Hội đồng bầu ban kiểm phiếu gồm 02 thành viên thuộc Hội đồng để tổng hợp kết quả đánh giá của các thành viên Hội đồng;
(v) Chủ nhiệm nhiệm vụ trình bày tóm tắt quá trình tổ chức thực hiện nhiệm vụ, báo cáo về sản phẩm khoa học và công nghệ và báo cáo tự đánh giá kết quả thực hiện nhiệm vụ;
(vi) Các thành viên Hội đồng nêu câu hỏi đối với chủ nhiệm nhiệm vụ về kết quả và các vấn đề liên quan đến nhiệm vụ. Chủ nhiệm nhiệm vụ và các cá nhân có liên quan trả lời các câu hỏi của Hội đồng (nếu có) và không tiếp tục tham dự phiên họp của Hội đồng;
(vii) Các ủy viên phản biện đọc nhận xét đối với kết quả thực hiện nhiệm vụ; ủy viên thư ký khoa học đọc phiếu nhận xét của thành viên vắng mặt (nếu có); các thành viên Hội đồng nêu ý kiến trao đổi về kết quả nhiệm vụ;
(viii) Các thành viên Hội đồng đánh giá xếp loại nhiệm vụ theo mẫu (Phụ lục 4g (i), (ii), (iii) tương ứng với từng loại nhiệm vụ) ban hành kèm theo Thông tư này; Hội đồng tiến hành bỏ phiếu đánh giá kết quả nhiệm vụ; Ban kiểm phiếu tổng hợp và báo cáo kết quả kiểm phiếu theo mẫu (Phụ lục 4h) ban hành kèm theo Thông tư này;
(ix) Thư ký khoa học dự thảo kết luận đánh giá của Hội đồng theo mẫu (Phụ lục 4i) ban hành kèm theo Thông tư này. Trường hợp Hội đồng đánh giá xếp loại “Không đạt” cần xác định rõ những nội dung đã hoàn thành theo Hợp đồng. Hội đồng thảo luận để thống nhất từng nội dung kết luận và thông qua biên bản;
c) Ý kiến kết luận của Hội đồng được Viện Chiến lược Ngân hàng gửi cho tổ chức chủ trì trong thời hạn 02 ngày làm việc sau khi kết thúc phiên họp để làm căn cứ cho việc bổ sung, hoàn thiện hồ sơ.
3. Nguyên tắc đánh giá của Hội đồng
a) Việc đánh giá kết quả thực hiện nhiệm vụ thông qua phiếu đánh giá có dấu của NHNN đóng trên góc trái, phía trên trang nhất;
b) Các thành viên Hội đồng đánh giá một cách độc lập;
c) Phiếu đánh giá hợp lệ là phiếu đánh giá đúng quy định cho từng nội dung đánh giá;
d) Phiếu không hợp lệ là phiếu do thành viên hội đồng bỏ trống hoặc đánh giá không theo quy định;
đ) Kết quả xếp loại chung của nhiệm vụ dựa trên kết quả đánh giá của từng chuyên gia theo quy định.
4. Nội dung đánh giá và yêu cầu đối với sản phẩm của nhiệm vụ khoa học và công nghệ cấp Bộ
a) Đánh giá về báo cáo tổng hợp: Đánh giá tính đầy đủ, rõ ràng, xác thực và logic của báo cáo tổng hợp và tài liệu cần thiết kèm theo (các tài liệu thiết kế, tài liệu công nghệ, sản phẩm trung gian, tài liệu được trích dẫn);
b) Đánh giá về sản phẩm của nhiệm vụ so với đặt hàng, bao gồm: Số lượng, khối lượng sản phẩm; chất lượng sản phẩm; chủng loại sản phẩm; tính năng, thông số kỹ thuật của sản phẩm;
c) Yêu cầu cần đạt đối với báo cáo tổng hợp:
(i) Tổng quan được các kết quả nghiên cứu đã có liên quan đến nhiệm vụ;
(ii) Số liệu, tư liệu có tính đại diện, độ tin cậy, xác thực, cập nhật;
(iii) Nội dung báo cáo là toàn bộ kết quả nghiên cứu của nhiệm vụ được trình bày theo kết cấu hệ thống và logic khoa học, với các luận cứ khoa học có cơ sở lý luận và thực tiễn cụ thể giải đáp những vấn đề nghiên cứu đặt ra, phản ánh trung thực kết quả nhiệm vụ phù hợp với thông lệ chung trong hoạt động nghiên cứu khoa học;
(iv) Kết cấu nội dung, văn phong khoa học phù hợp;
d) Yêu cầu đối với sản phẩm của nhiệm vụ cấp Bộ
Ngoài các yêu cầu ghi trong Hợp đồng, thuyết minh nhiệm vụ, sản phẩm của nhiệm vụ cấp Bộ cần phải đáp ứng được các yêu cầu sau:
(i) Đối với sản phẩm là nguyên lý ứng dụng; phương pháp; tiêu chuẩn; quy chuẩn; quy định kỹ thuật; phần mềm máy tính; bản vẽ thiết kế; quy trình công nghệ; sơ đồ, bản đồ; số liệu, cơ sở dữ liệu; báo cáo phân tích; tài liệu dự báo (phương pháp, quy trình, mô hình,...); đề án, quy hoạch; luận chứng kinh tế-kỹ thuật, báo cáo nghiên cứu khả thi và các sản phẩm tương tự khác cần được thẩm định bởi Hội đồng khoa học chuyên ngành hoặc tổ chuyên gia do tổ chức chủ trì thành lập;
(ii) Đối với sản phẩm là kết quả tham gia đào tạo sau đại học, giải pháp hữu ích, sáng chế, công bố, xuất bản và các sản phẩm tương tự khác cần có văn bản xác nhận.
5. Đánh giá và xếp loại đối với nhiệm vụ cấp Bộ
Kết quả thực hiện nhiệm vụ được đánh giá, xếp loại thành 05 mức theo số điểm bình quân của các phiếu chấm điểm hợp lệ như sau:
+ Xuất sắc : điểm bình quân từ 95 điểm trở lên;
+ Giỏi : điểm bình quân từ 85 đến dưới 95 điểm;
+ Khá : điểm bình quân từ 75 đến dưới 85 điểm;
+ Đạt : điểm bình quân từ 50 đến dưới 75 điểm;
+ Không đạt : điểm bình quân dưới 50 điểm.
Phụ lục 4e-4i TT37.2015.TT-NHNN.docx
(Điều 26 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.24. Giao nộp kết quả nghiên cứu nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.25. Hồ sơ đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.40. Đánh giá, nghiệm thu, đăng ký, lưu giữ, công bố và ứng dụng kết quả nghiên cứu )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.27. Xử lý kết quả nghiệm thu cấp Bộ
1. Trường hợp kết quả nhiệm vụ khoa học và công nghệ được đánh giá xếp loại ở mức “Đạt” trở lên:
a) Trong thời hạn 30 ngày làm việc kể từ khi có kết quả đánh giá nhiệm vụ, chủ nhiệm nhiệm vụ khoa học và công nghệ hoàn thiện hồ sơ theo ý kiến, kết luận của Hội đồng, xây dựng Báo cáo hoàn thiện sản phẩm nhiệm vụ khoa học và công nghệ theo mẫu (Phụ lục 4k) ban hành kèm theo Thông tư này gửi về Viện Chiến lược Ngân hàng;
b) Viện Chiến lược Ngân hàng phối hợp với Chủ tịch Hội đồng kiểm tra, giám sát việc hoàn thiện hồ sơ đánh giá của nhiệm vụ. Chủ tịch Hội đồng xác nhận về việc hoàn thiện hồ sơ của chủ nhiệm nhiệm vụ;
c) Viện chiến lược Ngân hàng và cá nhân chủ nhiệm nhiệm vụ khoa học và công nghệ tiến hành các thủ tục xác lập quyền sở hữu trí tuệ để bảo hộ kết quả nghiên cứu của nhiệm vụ khoa học và công nghệ theo quy định hiện hành.
2. Kết quả nhiệm vụ khoa học và công nghệ xếp loại ở mức “Không đạt”
a) Trường hợp kết quả nhiệm vụ khoa học và công nghệ xếp loại ở mức “Không đạt”, nếu nhiệm vụ chưa được gia hạn thì có thể được xem xét gia hạn. Thời gian gia hạn thực hiện theo quy định tại điểm c khoản 1 Điều 22 Thông tư này.
(i) Để được xem xét gia hạn, nhiệm vụ khoa học và công nghệ phải được Hội đồng tư vấn nghiệm thu kiến nghị gia hạn và tổ chức chủ trì hoặc chủ nhiệm nhiệm vụ khoa học và công nghệ có văn bản đề nghị gia hạn theo quy định tại điểm a khoản 1 Điều 22 Thông tư này, gửi về Viện Chiến lược Ngân hàng;
(ii) Trong thời hạn 10 ngày làm việc kể từ khi nhận được đề nghị, Viện Chiến lược Ngân hàng xem xét trình Thống đốc NHNN quyết định gia hạn; thông báo ý kiến về việc gia hạn đối với nhiệm vụ khoa học và công nghệ;
(iii) Sau thời gian gia hạn, việc đánh giá, nghiệm thu được thực hiện theo nội dung và trình tự quy định tại Thông tư này; Toàn bộ chi phí cho việc hoàn thiện các nội dung ghi trong Hợp đồng, đánh giá lại do cá nhân chủ nhiệm và tổ chức chủ trì nhiệm vụ khoa học và công nghệ chịu trách nhiệm.
b) Trường hợp kết quả nhiệm vụ khoa học và công nghệ xếp loại ở mức “Không đạt” nhưng không được gia hạn theo quy định tại điểm a khoản này hoặc kết quả nghiệm thu lần 2 vẫn không đạt, Viện Chiến lược Ngân hàng, căn cứ vào kết luận của Hội đồng đánh giá, nghiệm thu trình Thống đốc NHNN xem xét xử lý thanh lý Hợp đồng theo các điều khoản quy định tại Hợp đồng. Trường hợp cần thiết, Thống đốc NHNN có thể lấy thêm ý kiến chuyên gia độc lập trước khi quyết định.
Phụ lục 4k TT37.2015.TT-NHNN.docx
(Điều 27 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.22. Điều chỉnh Hợp đồng ; Điều 22.4.TT.36.29. Công nhận kết quả, thanh lý Hợp đồng và chuyển giao kết quả nghiên cứu )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.28. Đăng ký và lưu giữ kết quả thực hiện nhiệm vụ cấp Bộ
1. Trong thời hạn 30 ngày làm việc kể từ ngày họp Hội đồng, đối với các nhiệm vụ xếp loại Đạt trở lên, chủ nhiệm nhiệm vụ có trách nhiệm đăng ký và giao nộp hồ sơ kết quả thực hiện nhiệm vụ khoa học và công nghệ về Viện Chiến lược Ngân hàng.
2. Hồ sơ kết quả thực hiện nhiệm vụ khoa học và công nghệ được lập thành 06 bộ bản giấy và 02 đĩa CD lưu trữ đầy đủ sản phẩm nộp về Viện Chiến lược Ngân hàng gồm, bao gồm:
a) Báo cáo tổng hợp;
b) Báo cáo tóm tắt kết quả nghiên cứu bằng tiếng Việt;
c) 02 trang tóm tắt kết quả nghiên cứu bằng tiếng Anh;
d) Báo cáo kiến nghị (đã hoàn thiện sau khi nghiệm thu chính thức).
Các báo cáo đóng quyển chung, bìa cứng, gáy vuông, thông tin trên bìa theo mẫu (Phụ lục 4m) ban hành kèm theo Thông tư này.
3. Trong thời hạn 10 ngày kể từ ngày nhận đủ hồ sơ, Viện Chiến lược Ngân hàng có trách nhiệm đăng ký và giao nộp kết quả thực hiện nhiệm vụ tại Cục Thông tin khoa học và công nghệ quốc gia thuộc Bộ Khoa học và công nghệ, đồng thời công bố danh mục các nhiệm vụ khoa học và công nghệ đã hoàn thành trên Cổng thông tin khoa học và công nghệ ngành Ngân hàng.
(Điều 28 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.25. Hồ sơ đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.29. Công nhận kết quả, thanh lý Hợp đồng và chuyển giao kết quả nghiên cứu
1. Hồ sơ công nhận kết quả thực hiện nhiệm vụ, bao gồm:
a) Biên bản họp Hội đồng tư vấn đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ cấp Bộ;
b) Báo cáo về việc hoàn thiện sản phẩm nhiệm vụ khoa học và công nghệ theo mẫu (Phụ lục 4k) ban hành kèm theo Thông tư này;
c) Ý kiến của các chuyên gia hoặc tổ chức tư vấn độc lập (nếu có).
2. Công nhận kết quả thực hiện nhiệm vụ
Trong thời hạn 10 ngày làm việc kể từ khi nhận đủ các tài liệu quy định tại khoản 1 Điều này, Viện Chiến lược Ngân hàng có trách nhiệm trình Thống đốc NHNN ban hành Quyết định công nhận kết quả thực hiện nhiệm vụ theo mẫu (Phụ lục 4l) ban hành kèm theo Thông tư này.
3. Thanh lý hợp đồng:
a) Khi kết thúc nhiệm vụ khoa học và công nghệ, chủ nhiệm nhiệm vụ khoa học và công nghệ, tổ chức khoa học và công nghệ chủ trì phải thực hiện nộp báo cáo quyết toán cho Viện Chiến lược Ngân hàng;
b) Sau khi có quyết định công nhận kết quả của Thống đốc NHNN, Viện Chiến lược Ngân hàng thực hiện đánh giá, kiểm kê, và trình Thống đốc NHNN quyết định xử lý các tài sản đã mua sắm bằng kinh phí thực hiện nhiệm vụ khoa học và công nghệ;
c) Việc thanh lý Hợp đồng giữa các bên được tiến hành sau khi có kết quả quyết toán và kiểm kê tài sản của nhiệm vụ khoa học và công nghệ theo mẫu Biên bản thanh lý hợp đồng do Bộ trưởng Bộ Khoa học và Công nghệ ban hành.
4. Chuyển giao kết quả nghiên cứu
a) Trong thời hạn 10 ngày kể từ ngày kể từ ngày nhận được kết quả nghiên cứu của các nhiệm vụ khoa học và công nghệ xếp loại Đạt trở lên, Viện Chiến lược Ngân hàng có trách nhiệm chủ trì, phối hợp với tổ chức khoa học và công nghệ chủ trì nhiệm vụ và cá nhân chủ nhiệm nhiệm vụ chuyển giao kết quả nghiên cứu tới các địa chỉ đã được phê duyệt tại thuyết minh nhiệm vụ hoặc được đề xuất tại Biên bản họp của Hội đồng đánh giá nghiệm thu nhiệm vụ khoa học và công nghệ;
b) Định kỳ tháng 10 hàng năm, trong 05 năm liên tiếp, thủ trưởng các tổ chức được chuyển giao kết quả nghiên cứu của các nhiệm vụ khoa học và công nghệ có trách nhiệm xây dựng báo cáo kết quả ứng dụng, sử dụng kết quả nghiên cứu được chuyển giao về Viện Chiến lược Ngân hàng để tổng hợp báo cáo Thống đốc NHNN;
c) Chi công tác chuyển giao, đánh giá việc ứng dụng, sử dụng kết quả nghiên cứu từ nguồn chi quản lý nhiệm vụ khoa học và công nghệ của NHNN.
Phu luc 4l TT37.2015.TT-NHNN.docx
(Điều 29 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.27. Xử lý kết quả nghiệm thu cấp Bộ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.30. Nguyên tắc quản lý và thực hiện nhiệm vụ khoa học và công nghệ cấp cơ sở
1. Việc quản lý và thực hiện nhiệm vụ khoa học và công nghệ cấp cơ sở thực hiện theo quy định tại Chương này. Trong trường hợp Chương này không quy định thì áp dụng các quy định tương ứng tại Chương II Thông tư này.
2. Các biểu mẫu đối với nhiệm vụ khoa học và công nghệ cấp cơ sở vận dụng biểu mẫu của nhiệm vụ khoa học và công nghệ cấp Bộ ban hành kèm theo Thông tư này.
MẪU BÁO CÁO TỔNG HỢP (TT37.2015.TT.NHNN).docx
(Điều 30 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.31. Yêu cầu đối với nhiệm vụ khoa học và công nghệ
Nhiệm vụ khoa học và công nghệ cấp cơ sở phải đáp ứng đồng thời các yêu cầu sau:
1. Có triển vọng đóng góp của kết quả nghiên cứu trong việc thực hiện nhiệm vụ của đơn vị chủ trì nghiên cứu.
2. Có đóng góp giải quyết các vấn đề khoa học và công nghệ của cơ sở.
3. Không trùng lắp về nội dung với các nhiệm vụ khoa học và công nghệ cơ sở của NHNN được phê duyệt trong vòng 5 năm tính đến thời điểm đề xuất nhiệm vụ nghiên cứu. Trường hợp có nội dung trùng lắp thì phải chứng minh được tính cần thiết của việc tiếp tục nghiên cứu.
4. Đến thời điểm làm thủ tục nghiệm thu phải có ít nhất 01 bài viết về các nội dung liên quan đến chủ đề nghiên cứu đăng trên kỷ yếu Hội thảo khoa học do một Nhà xuất bản cấp phép phát hành hoặc 01 bài báo đăng trên tạp chí khoa học chuyên ngành.
(Điều 31 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.32. Đơn vị, cá nhân chủ trì các nhiệm vụ khoa học và công nghệ
1. Viện Chiến lược Ngân hàng là tổ chức khoa học và công nghệ chủ trì thực hiện các nhiệm vụ khoa học và công nghệ cấp cơ sở quy định tại Thông tư này.
2. Các cá nhân có đủ điều kiện theo quy định tại Điều 33 Thông tư này đều có thể đăng ký làm chủ nhiệm các nhiệm vụ khoa học và công nghệ cấp cơ sở do Viện Chiến lược Ngân hàng là đơn vị chủ trì.
3. Hàng năm, trên cơ sở nguồn ngân sách của NHNN cho hoạt động khoa học và công nghệ, Viện Chiến lược Ngân hàng trình Thống đốc NHNN phê duyệt số lượng và cơ cấu các nhiệm vụ khoa học và công nghệ cấp cơ sở do các cá nhân thuộc Viện Chiến lược Ngân hàng và các cá nhân không thuộc Viện Chiến lược Ngân hàng dự kiến làm chủ nhiệm.
(Điều 32 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.33. Điều kiện tham gia tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.36. Xác định và phê duyệt danh mục nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.33. Điều kiện tham gia tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ
Cá nhân đăng ký làm chủ nhiệm nhiệm vụ khoa học và công nghệ cấp cơ sở phải đáp ứng đồng thời các yêu cầu dưới đây và không thuộc đối tượng tại khoản 3 Điều 14 Thông tư này:
1. Có trình độ đại học trở lên.
2. Có ít nhất 02 năm công tác trong lĩnh vực liên quan đến nội dung nghiên cứu đến thời điểm nộp hồ sơ đăng ký.
3. Là người chủ trì hoặc tham gia chính xây dựng thuyết minh nhiệm vụ khoa học và công nghệ. Vai trò chủ trì hoặc tham gia chính xây dựng thuyết minh được ghi rõ trong thuyết minh nhiệm vụ khoa học và công nghệ.
4. Có khả năng trực tiếp tổ chức thực hiện và đảm bảo đủ thời gian để chủ trì thực hiện công việc nghiên cứu của nhiệm vụ khoa học và công nghệ.
(Điều 33 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.14. Điều kiện tham gia tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.32. Đơn vị, cá nhân chủ trì các nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.34. Cơ sở đề xuất nhiệm vụ khoa học và công nghệ
1. Yêu cầu của công tác tham mưu quản lý nhà nước, hoạt động nghiên cứu và chuyên môn theo chức năng, nhiệm vụ của đơn vị.
2. Chiến lược, quy hoạch, kế hoạch đã được Thống đốc NHNN phê duyệt.
3. Kế hoạch xây dựng văn bản quy phạm pháp luật, các Đề án thuộc các lĩnh vực quản lý của NHNN do đơn vị chủ trì xây dựng.
4. Các vấn đề khoa học cần nghiên cứu tạo tiền đề cho đề xuất các nhiệm vụ cấp bộ và cấp quốc gia hoặc phục vụ trực tiếp cho triển khai hoạt động của đơn vị.
(Điều 34 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.35. Trình tự đề xuất nhiệm vụ khoa học và công nghệ
1. Trên cơ sở đề nghị thực hiện các yêu cầu khoa học đặt hàng của Thống đốc NHNN, hướng dẫn của Viện Chiến lược Ngân hàng và nhu cầu giải quyết các vấn đề khoa học và công nghệ của cơ sở, các đơn vị và cá nhân đề xuất nhiệm vụ khoa học và công nghệ cấp cơ sở.
2. Thủ trưởng đơn vị trực thuộc NHNN tổng hợp danh mục đề xuất nhiệm vụ và gửi về Viện Chiến lược Ngân hàng.
(Điều 35 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.36. Xác định và phê duyệt danh mục nhiệm vụ khoa học và công nghệ
1. Xác định danh mục nhiệm vụ khoa học và công nghệ cấp cơ sở
a) Thống đốc NHNN ủy quyền cho Viện trưởng Viện Chiến lược Ngân hàng ký quyết định thành lập Hội đồng tư vấn xác định nhiệm vụ khoa học và công nghệ cấp cơ sở;
b) Cơ cấu, nhiệm vụ, phương thức và nội dung làm việc của Hội đồng thực hiện theo quy định tại Điều 11 của Thông tư này.
2. Phê duyệt danh mục: Viện trưởng Viện Chiến lược Ngân hàng phê duyệt danh mục nhiệm vụ khoa học và công nghệ cấp cơ sở trên cơ sở phê duyệt của Thống đốc NHNN về số lượng và cơ cấu các nhiệm vụ khoa học và công nghệ quy định tại khoản 3 Điều 32 Thông tư này và ý kiến tư vấn của Hội đồng tư vấn xác định nhiệm vụ khoa học và công nghệ cấp cơ sở quy định tại khoản 1 Điều này.
(Điều 36 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.11. Hội đồng tư vấn xác định nhiệm vụ khoa học và công nghệ ; Điều 22.4.TT.36.32. Đơn vị, cá nhân chủ trì các nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.37. Tuyển chọn, giao trực tiếp đơn vị, cá nhân chủ trì nhiệm vụ khoa học và công nghệ
1. Sau khi phê duyệt danh mục nhiệm vụ khoa học và công nghệ cấp cơ sở, Viện Chiến lược Ngân hàng gửi thông báo đến các đơn vị, cá nhân đủ điều kiện đăng ký tham gia tuyển chọn, giao trực tiếp.
2. Thủ trưởng các đơn vị thông báo công khai cho cá nhân thuộc đơn vị đăng ký tham gia chủ trì thực hiện nhiệm vụ.
3. Viện trưởng Viện Chiến lược Ngân hàng thành lập Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ cấp cơ sở. Hội đồng có từ 05 đến 07 thành viên bao gồm các nhà khoa học, đại diện đơn vị đề xuất đặt hàng, đơn vị đặt hàng, nhà quản lý, nhà kinh doanh có năng lực và chuyên môn phù hợp với nhiệm vụ khoa học; đảm bảo cơ cấu có trên 50% thành viên của Hội đồng là các cá nhân không phải cán bộ đang công tác tại Viện Chiến lược Ngân hàng.
Hội đồng có nhiệm vụ xem xét, đánh giá các hồ sơ đăng ký thực hiện nhiệm vụ theo trình tự, thủ tục, nội dung quy định tại Điều 18 Thông tư này.
(Điều 37 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.18. Hội đồng tư vấn tuyển chọn, giao trực tiếp thực hiện nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.38. Tổ thẩm định kinh phí nhiệm vụ khoa học và công nghệ cấp cơ sở
1. Viện trưởng Viện Chiến lược Ngân hàng thành lập Tổ thẩm định kinh phí.
2. Thành phần Tổ thẩm định, nguyên tắc làm việc, trách nhiệm của Tổ thẩm định và hồ sơ phiên họp thẩm định được thực hiện theo quy định tại Điều 19 Thông tư này.
3. Tổ thẩm định có trách nhiệm rà soát dự toán kinh phí của nhiệm vụ cấp cơ sở theo đúng quy định hiện hành, lập biên bản thẩm định. Trong trường hợp tổng dự toán của nhiệm vụ khoa học và công nghệ vượt quá 10% kinh phí theo quyết định phê duyệt danh mục phải có sự đồng ý bằng văn bản của Thống đốc NHNN.
4. Viện trưởng Viện chiến lược Ngân hàng phê duyệt nhiệm vụ khoa học và công nghệ và triển khai ký Hợp đồng với cá nhân chủ nhiệm nhiệm vụ khoa học và công nghệ cấp cơ sở.
(Điều 38 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.19. Tổ thẩm định kinh phí nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.39. Kiểm tra, giám sát, điều chỉnh thực hiện hợp đồng
1. Chủ nhiệm nhiệm vụ cấp cơ sở có trách nhiệm báo cáo tình hình thực hiện nhiệm vụ khoa học và công nghệ theo yêu cầu của Viện Chiến lược Ngân hàng.
2. Viện Chiến lược Ngân hàng có trách nhiệm tổ chức kiểm tra định kỳ tình hình thực hiện các nhiệm vụ khoa học và công nghệ cấp cơ sở vào tháng 6 hàng năm.
3. Việc điều chỉnh tiến độ, nội dung và dự toán của nhiệm vụ cấp cơ sở do Viện trưởng Viện Chiến lược Ngân hàng quyết định.
(Điều 39 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.40. Đánh giá, nghiệm thu, đăng ký, lưu giữ, công bố và ứng dụng kết quả nghiên cứu
1. Chậm nhất 15 ngày trước khi kết thúc thời gian thực hiện theo Hợp đồng, chủ nhiệm nhiệm vụ cấp cơ sở phải nộp báo cáo tổng kết và tài liệu kèm theo về Viện Chiến lược Ngân hàng để tiến hành đánh giá nghiệm thu.
2. Hội đồng tư vấn đánh giá, nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ cấp cơ sở :
a) Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ cấp cơ sở do Viện trưởng Viện Chiến lược Ngân hàng thành lập;
b) Hội đồng có nhiệm vụ xem xét, đánh giá, nghiệm thu nội dung và các kết quả nghiên cứu của nhiệm vụ khoa học và công nghệ cấp cơ sở. Thành phần, trình tự, thủ tục, phương thức và nội dung làm việc của Hội đồng thực hiện theo quy định tại Điều 26 Thông tư này;
c) Đối với các nhiệm vụ khoa học và công nghệ do các cá nhân thuộc Viện Chiến lược Ngân hàng chủ trì, thành phần Hội đồng ngoài việc tuân thủ quy định tại khoản 3 Điều này phải đảm có trên 50% thành viên của Hội đồng là các cá nhân không phải là cán bộ đang công tác tại Viện Chiến lược Ngân hàng, trong đó có Chủ tịch và ít nhất 01 ủy viên phản biện.
3. Xử lý kết quả nghiệm thu:
a) Nhiệm vụ được đánh giá xếp loại ở mức “Đạt” trở lên:
(i) Trong thời hạn 10 ngày kể từ ngày có kết quả đánh giá của Hội đồng, chủ nhiệm nhiệm vụ có trách nhiệm hoàn thiện sản phẩm nghiên cứu theo ý kiến Hội đồng gửi về Viện Chiến lược Ngân hàng;
(ii) Viện Chiến lược Ngân hàng có trách nhiệm kiểm tra, xác nhận việc hoàn thiện hồ sơ của nhiệm vụ cấp cơ sở;
b) Nhiệm vụ được đánh giá “Không đạt”: nếu chưa được gia hạn trong quá trình triển khai thì được xem xét gia hạn thời gian thực hiện nhưng không quá 02 tháng. Việc đánh giá lần 2 được thực hiện theo quy định của Thông tư này nhưng không quá 01 lần đối với mỗi nhiệm vụ. Toàn bộ chi phí cho việc hoàn thiện các nội dung ghi trong Hợp đồng, đánh giá lại do cá nhân chủ nhiệm và tổ chức chủ trì nhiệm vụ khoa học và công nghệ chịu trách nhiệm chi trả.
Viện Chiến lược Ngân hàng căn cứ vào kết luận của Hội đồng để xem xét thanh lý hợp đồng.
4. Đăng ký kết quả nhiệm vụ cấp cơ sở:
a) Trong thời gian không quá 20 ngày kể từ ngày ghi trên Biên bản đánh giá nghiệm thu, các nhiệm vụ được đánh giá ở mức “Đạt” trở lên phải thực hiện đăng ký và giao nộp kết quả tại Viện Chiến lược Ngân hàng;
b) Hồ sơ đăng ký bao gồm: Phiếu đăng ký; báo cáo tổng kết; 01 trang tóm tắt kết quả nghiên cứu; báo cáo về việc hoàn thiện Hồ sơ đánh giá nghiệm thu theo ý kiến Hội đồng có xác nhận của đơn vị chủ trì thực hiện nhiệm vụ; đĩa CD lưu trữ đầy đủ các sản phẩm nghiên cứu;
c) Viện Chiến lược Ngân hàng có trách nhiệm kiểm tra hồ sơ; xem xét cấp 01 giấy chứng nhận đăng ký kết quả thực hiện nhiệm vụ cấp cơ sở cho tổ chức và cá nhân chủ trì nhiệm vụ.
5. Lưu giữ kết quả thực hiện nhiệm vụ:
a) Sau khi đã đăng ký kết quả thực hiện nhiệm vụ khoa học và công nghệ cấp cơ sở, chủ nhiệm nhiệm vụ phải nộp lưu giữ tại:
(i) Viện Chiến lược Ngân hàng: 01 bộ;
(ii) Đơn vị quản lý trực tiếp chủ nhiệm nhiệm vụ: 01 bộ;
b) Hồ sơ lưu giữ bao gồm: Báo cáo tổng hợp; Báo cáo tóm tắt; đĩa CD lưu trữ đầy đủ sản phẩm của nhiệm vụ.
6. Trong thời hạn 10 ngày kể từ ngày nhận được hồ sơ lưu trữ kết quả, Viện chiến lược Ngân hàng công bố kết quả trên Cổng thông tin khoa học và công nghệ ngành Ngân hàng.
7. Chuyển giao kết quả nghiên cứu
a) Trong thời hạn 10 ngày kể từ ngày kể từ ngày nhận được kết quả nghiên cứu của các nhiệm vụ khoa học và công nghệ xếp loại Đạt trở lên, Viện Chiến lược Ngân hàng có trách nhiệm chủ trì, phối hợp với cá nhân chủ nhiệm nhiệm vụ chuyển giao kết quả nghiên cứu tới các địa chỉ đã được phê duyệt tại thuyết minh nhiệm vụ hoặc được đề xuất tại Biên bản họp của Hội đồng đánh giá nghiệm thu nhiệm vụ khoa học và công nghệ;
b) Định kỳ tháng 10 hàng năm, trong 05 năm liên tiếp, thủ trưởng các tổ chức được chuyển giao kết quả nghiên cứu của các nhiệm vụ khoa học và công nghệ có trách nhiệm xây dựng báo cáo kết quả ứng dụng, sử dụng kết quả nghiên cứu được chuyển giao về Viện Chiến lược Ngân hàng để tổng hợp báo cáo Thống đốc NHNN;
c) Chi công tác chuyển giao, đánh giá việc ứng dụng, sử dụng kết quả nghiên cứu từ nguồn chi quản lý nhiệm vụ khoa học và công nghệ của NHNN.
(Điều 40 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
(Điều này có nội dung liên quan đến Điều 22.4.TT.36.26. Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.41. Công nhận kết quả và thanh lý hợp đồng
1. Việc công nhận kết quả thực hiện nhiệm vụ được áp dụng đối với các trường hợp được đánh giá từ mức “Đạt” trở lên.
2. Tài liệu để được công nhận bao gồm:
a) Biên bản họp Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ;
b) Báo cáo hoàn thiện Hồ sơ đánh giá nghiệm thu theo ý kiến của Hội đồng tư vấn đánh giá nghiệm thu kết quả thực hiện nhiệm vụ khoa học và công nghệ.
3. Công nhận kết quả thực hiện nhiệm vụ khoa học và công nghệ:
a) Chủ nhiệm nhiệm vụ có trách nhiệm tổng hợp các tài liệu nêu tại khoản 2 Điều này gửi Viện Chiến lược Ngân hàng ra quyết định công nhận kết quả;
b) Trong vòng 10 ngày kể từ khi nhận đủ các tài liệu, Viện trưởng Viện Chiến lược Ngân hàng xem xét ra quyết định công nhận kết quả thực hiện nhiệm vụ khoa học và công nghệ.
4. Thanh lý Hợp đồng
a) Sau khi có quyết định công nhận kết quả thực hiện nhiệm vụ khoa học và công nghệ, chủ nhiệm nhiệm vụ thực hiện nộp báo cáo quyết toán cho Viện Chiến lược.
Chủ nhiệm nhiệm vụ thực hiện đánh giá, kiểm kê và bàn giao sản phẩm, tài sản đã mua sắm bằng kinh phí thực hiện nhiệm vụ khoa học và công nghệ;
b) Trong vòng 10 ngày kể từ ngày nhận được hồ sơ quy định tại điểm a khoản này, Viện trưởng Viện Chiến lược Ngân hàng ký thanh lý Hợp đồng và báo cáo Thống đốc NHNN.
(Điều 41 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.42. Khen thưởng, giải thưởng khoa học và công nghệ
1. Khen thưởng:
a) Tổ chức, cá nhân thực hiện các nhiệm vụ khoa học và công nghệ đạt kết quả xuất sắc, được áp dụng vào thực tiễn hoạt động ngành, mang lại hiệu quả kinh tế - xã hội cao được Thống đốc NHNN xem xét, khen thưởng;
b) Nguồn kinh phí khen thưởng và mức khen thưởng thực hiện theo quy định của pháp luật hiện hành.
2. Giải thưởng khoa học và công nghệ: NHNN tổ chức xét tặng giải thưởng khoa học và công nghệ cho các tổ chức, cá nhân có công trình nghiên cứu khoa học và công nghệ xuất sắc trong phạm vi quản lý của NHNN hoặc đề nghị Bộ Khoa học và Công nghệ xét tặng Giải thưởng Hồ Chí Minh, Giải thưởng Nhà nước về khoa học và công nghệ và các giải thưởng khác theo quy định của pháp luật.
(Điều 42 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.43. Xử lý vi phạm
Tổ chức, cá nhân tham gia hoạt động khoa học và công nghệ có hành vi vi phạm, tùy theo mức độ sẽ bị xử phạt vi phạm hành chính theo quy định của Chính phủ về xử phạt vi phạm hành chính trong hoạt động khoa học và công nghệ, chuyển giao công nghệ hoặc chịu trách nhiệm hình sự theo quy định của pháp luật hiện hành.
(Điều 43 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.44. Trách nhiệm của các đơn vị thuộc NHNN
1. Viện Chiến lược Ngân hàng:
a) Tham mưu, giúp Thống đốc NHNN tổ chức quản lý việc thực hiện các nhiệm vụ khoa học và công nghệ trong ngành Ngân hàng;
b) Báo cáo Thống đốc NHNN kết quả tuyển chọn, giao trực tiếp đơn vị, cá nhân chủ trì nhiệm vụ khoa học và công nghệ trước khi phê duyệt nhiệm vụ khoa học và công nghệ cấp cơ sở;
c) Xây dựng và quản lý Cổng thông tin khoa học và công nghệ ngành Ngân hàng, cập nhật cơ sở dữ liệu quản lý các nhiệm vụ khoa học và công nghệ của NHNN, thực hiện các quy định về công bố thông tin kết quả thực hiện nhiệm vụ khoa học và công nghệ theo quy định hiện hành;
d) Trình Thống đốc ban hành các văn bản quy định việc quản lý các hoạt động khoa học và công nghệ của ngành Ngân hàng;
đ) Thực hiện các dịch vụ công về khoa học và công nghệ theo quy định của pháp luật và quy định của NHNN;
e) Thực hiện chức năng, nhiệm vụ của tổ chức khoa học và công nghệ chủ trì các nhiệm vụ khoa học và công nghệ cấp Bộ, cấp cơ sở theo quyết định của Thống đốc NHNN.
2. Vụ Tài chính – Kế toán
a) Hướng dẫn nghiệp vụ tài chính và các quy định hiện hành cho các đơn vị, cá nhân tham gia thực hiện nhiệm vụ khoa học và công nghệ;
b) Phối hợp với Viện Chiến lược Ngân hàng trong việc thẩm định, giao dự toán kinh phí phù hợp với nội dung nghiên cứu; tham gia kiểm tra định kỳ và đột xuất việc thực hiện nhiệm vụ khoa học và công nghệ;
c) Chủ trì, phối hợp với Viện Chiến lược Ngân hàng trong việc tổng hợp và giao dự toán kinh phí, thẩm tra, quyết toán tài chính theo đúng các quy định hiện hành.
3. Cục quản trị
a) Hướng dẫn việc giải ngân, thanh quyết toán kinh phí theo đúng quy định, đảm bảo tiến độ quyết toán của nhiệm vụ khoa học và công nghệ;
b) Chủ trì, phối hợp với Viện Chiến lược Ngân hàng, Vụ Tài chính – Kế toán về việc kiểm tra việc giải ngân, sử dụng và thanh quyết toán kinh phí đối với các nhiệm vụ khoa học và công nghệ khi có yêu cầu.
4. Học viện Ngân hàng và Trường Đại học Ngân hàng Thành phố Hồ Chí Minh:
a) Nghiên cứu, phát hiện, đề xuất nhiệm vụ khoa học và công nghệ;
b) Tổ chức triển khai các hoạt động khoa học và công nghệ trong phạm vi đơn vị; tạo điều kiện thuận lợi cho các cá nhân thuộc đơn vị thực hiện nhiệm vụ khoa học và công nghệ được giao;
c) Thực hiện công tác báo cáo, thống kê về hoạt động khoa học và công nghệ, tham gia góp ý đối với các vấn đề về khoa học và công nghệ theo yêu cầu của NHNN.
5. Các đơn vị khác:
a) Phối hợp với Viện Chiến lược Ngân hàng xây dựng định hướng, xác định, đề xuất nhiệm vụ khoa học và công nghệ của NHNN;
b) Tạo điều kiện thuận lợi cho các cá nhân thuộc đơn vị thực hiện nhiệm vụ khoa học và công nghệ được giao;
c) Thực hiện công tác báo cáo về hoạt động khoa học và công nghệ, tham gia góp ý đối với các vấn đề về khoa học và công nghệ trong lĩnh vực chuyên môn theo chức năng và nhiệm vụ của đơn vị;
d) Tổ chức ứng dụng kết quả hoạt động khoa học và công nghệ vào thực tiễn hoạt động ngành ngân hàng.
(Điều 44 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.45. Trách nhiệm của tổ chức khoa học và công nghệ chủ trì thực hiện nhiệm vụ khoa học và công nghệ
1. Chịu trách nhiệm về nội dung thuyết minh và dự toán kinh phí của nhiệm vụ nhằm đáp ứng được mục tiêu, tạo ra được sản phẩm theo Hợp đồng.
2. Lựa chọn cá nhân thuộc tổ chức có đủ trình độ chuyên môn và năng lực tổ chức thực hiện để làm chủ nhiệm nhiệm vụ trong trường hợp giao nhiệm vụ theo phương thức trực tiếp.
3. Ký Hợp đồng với NHNN; ký hợp đồng giao việc, hợp đồng thuê khoán chuyên môn với các tổ chức cá nhân tham gia thực hiện các nội dung của nhiệm vụ khoa học và công nghệ.
4. Thực hiện đầy đủ các cam kết trong Hợp đồng về trách nhiệm của bên nhận đặt hàng với NHNN và trách nhiệm của bên đặt hàng với chủ nhiệm nhiệm vụ và các tổ chức, cá nhân tham gia thực hiện nhiệm vụ.
5. Đảm bảo các điều kiện về cơ sở vật chất (trang thiết bị, nhà xưởng, phương tiện), nhân lực, huy động các nguồn tài chính hợp pháp ngoài ngân sách nhà nước (nếu có) và các điều kiện khác để đảm bảo thực hiện nhiệm vụ theo Hợp đồng đã ký.
6. Chịu trách nhiệm trước pháp luật và Thống đốc NHNN về tính hợp lý, hợp pháp của kết quả thực hiện các nhiệm vụ khoa học và công nghệ.
7. Sử dụng có hiệu quả kinh phí được cấp để thực hiện nhiệm vụ theo Hợp đồng đã ký; cấp đủ và đúng tiến độ kinh phí từ các nguồn kinh phí đã cam kết trong hợp đồng cho chủ nhiệm nhiệm vụ và các tổ chức, cá nhân tham gia thực hiện các nội dung của nhiệm vụ; thực hiện thủ tục thanh quyết toán kinh phí theo quy định hiện hành.
8. Thực hiện chế độ báo cáo theo quy định; tạo điều kiện thuận lợi và cung cấp đầy đủ thông tin cho các cơ quan quản lý, kiểm tra, thanh tra việc thực hiện nhiệm vụ; kiến nghị các điều chỉnh khi cần thiết để thực hiện được mục tiêu, nội dung, sản phẩm của nhiệm vụ.
9. Tổ chức đăng ký bảo hộ quyền sở hữu trí tuệ từ kết quả của nhiệm vụ cho các tổ chức, cá nhân theo quy định của pháp luật.
10. Thực hiện việc công bố, giao nộp kết quả thực hiện nhiệm vụ khoa học và công nghệ theo quy định tại Thông tư này và Hợp đồng.
11. Tổ chức quản lý, khai thác, chuyển giao các kết quả của nhiệm vụ, được hưởng các quyền lợi và chịu trách nhiệm phân phối các lợi ích từ các hoạt động trên theo quy định của pháp luật và Hợp đồng.
(Điều 45 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.36.46. Trách nhiệm của cá nhân chủ trì nhiệm vụ khoa học và công nghệ
1. Thực hiện nhiệm vụ khoa học và công nghệ do cơ quan, tổ chức có thẩm quyền giao, sử dụng kinh phí theo đúng quy định hiện hành của Nhà nước và theo Hợp đồng đã ký kết.
2. Kiến nghị với Thủ trưởng cơ quan quản lý trực tiếp và đơn vị chủ trì nhiệm vụ tạo điều kiện về thời gian và các hỗ trợ khác để thực hiện nhiệm vụ khoa học và công nghệ.
3. Lựa chọn các thành viên tham gia thực hiện các nhiệm vụ khoa học và công nghệ; ký hợp đồng giao việc, hợp đồng thuê khoán chuyên môn với các tổ chức và cá nhân trong và ngoài đơn vị để triển khai nội dung nghiên cứu theo đúng quy định hiện hành.
4. Báo cáo đầy đủ, đúng yêu cầu, đúng thời hạn về nội dung, tiến độ thực hiện, sản phẩm tạo ra và tình hình sử dụng kinh phí của nhiệm vụ khoa học và công nghệ với đơn vị chủ trì và Viện Chiến lược Ngân hàng.
5. Báo cáo tài chính theo quy định hiện hành và chịu trách nhiệm cung cấp đầy đủ tài liệu cho công tác thanh tra, kiểm tra và kiểm toán khi có yêu cầu.
6. Khi cần thiết, đề xuất thay đổi nội dung, địa điểm, kinh phí, thời gian thực hiện nhiệm vụ khoa học và công nghệ với đơn vị chủ trì thực hiện nhiệm vụ khoa học và công nghệ và chỉ được thực hiện những thay đổi này khi có sự đồng ý bằng văn bản của Thống đốc NHNN đối với các nhiệm vụ khoa học và công nghệ cấp Bộ, của Viện trưởng Viện Chiến lược Ngân hàng đối với các nhiệm vụ khoa học và công nghệ cấp cơ sở.
7. Phối hợp với các đơn vị, cá nhân có đủ điều kiện tham gia thực hiện nhiệm vụ theo quy định hiện hành; được hưởng quyền lợi về bản quyền tác giả đối với công trình khoa học do mình tạo ra theo quy định của pháp luật; được hưởng phụ cấp theo chế độ hiện hành.
8. Chịu trách nhiệm trước pháp luật và Thống đốc NHNN về việc sử dụng kinh phí và hoàn trả kinh phí thực hiện nhiệm vụ khoa học và công nghệ trong các trường hợp bị đình chỉ hoạt động hoặc nghiệm thu ở mức “Không đạt” và bị thanh lý hợp đồng.
9. Thực hiện đăng ký, lưu giữ kết quả thực hiện nhiệm vụ khoa học và công nghệ và quy định hiện hành về việc công bố, sử dụng, chuyển giao kết quả nghiên cứu của nhiệm vụ khoa học và công nghệ có sử dụng ngân sách nhà nước theo quy định của pháp luật.
(Điều 46 Thông tư số 37/2015/TT-NHNN, có hiệu lực thi hành kể từ ngày 16/02/2016)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.3. Nguyên tắc chung về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cho việc cung cấp dịch vụ Internet Banking
1. Hệ thống Internet Banking được xếp hạng là hệ thống công nghệ thông tin quan trọng và tuân thủ theo quy định của Ngân hàng Nhà nước về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin trong hoạt động ngân hàng.
2. Đảm bảo bí mật thông tin khách hàng; tính toàn vẹn dữ liệu giao dịch khách hàng và mọi giao dịch tài chính của khách hàng phải được xác thực tối thiểu hai yếu tố.
3. Đảm bảo tính sẵn sàng của hệ thống Internet Banking để cung cấp dịch vụ một cách liên tục.
4. Thực hiện kiểm tra, đánh giá an ninh, bảo mật hệ thống Internet Banking theo định kỳ hàng năm.
5. Xác định rủi ro, có biện pháp phòng ngừa, xử lý rủi ro trong cung cấp dịch vụ Internet Banking.
6. Các trang thiết bị hạ tầng kỹ thuật công nghệ thông tin cung cấp dịch vụ Internet Banking phải có bản quyền, nguồn gốc, xuất xứ rõ ràng; trường hợp không còn hỗ trợ của nhà sản xuất, không có khả năng nâng cấp để cài đặt phần mềm phiên bản mới đơn vị phải có kế hoạch nâng cấp, thay thế theo thông báo của nhà sản xuất.
( Điều 3 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.4. Hệ thống mạng, truyền thông và an ninh bảo mật
Đơn vị phải thiết lập hệ thống mạng, truyền thông và an ninh bảo mật đạt yêu cầu tối thiểu sau:
1. Hệ thống mạng được chia tách thành các phân vùng, tối thiểu gồm: phân vùng kết nối Internet, phân vùng trung gian giữa mạng nội bộ và mạng Internet (phân vùng DMZ), phân vùng người dùng, phân vùng quản trị, phân vùng máy chủ. Các máy tính phục vụ cho việc cung cấp thông tin trên Internet phải được đặt trong phân vùng DMZ. Các máy chủ lưu trữ, xử lý dữ liệu phải được đặt trong phân vùng máy chủ.
2. Trang bị các giải pháp an ninh bảo mật cho hệ thống Internet Banking, tối thiểu gồm: thiết bị tường lửa; phòng chống vi rút; phòng chống tấn công từ chối dịch vụ; tường lửa bảo vệ lớp ứng dụng và phòng chống tấn công xâm nhập.
3. Dữ liệu nhạy cảm không được lưu trữ tại phân vùng kết nối Internet và phân vùng DMZ.
4. Kết nối từ bên ngoài vào hệ thống Internet Banking phải thông qua phân vùng DMZ để kiểm soát an ninh, bảo mật.
5. Thiết lập chính sách hạn chế tối đa các dịch vụ, cổng kết nối vào hệ thống Internet Banking.
6. Kiểm tra chính sách an ninh bảo mật; quyền truy cập; các kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào hệ thống mạng tối thiểu ba tháng một lần.
7. Không thiết lập kết nối từ mạng không dây đến môi trường vận hành hệ thống Internet Banking.
8. Hạn chế kết nối từ xa để thực hiện công tác quản trị hệ thống. Trường hợp bắt buộc phải kết nối từ xa vào vùng máy chủ, đơn vị phải sử dụng giao thức truyền thông được mã hóa và không lưu mã khóa bí mật tại các phần mềm tiện ích.
9. Kết nối từ Internet vào hệ thống mạng nội bộ để thực hiện công tác quản trị hệ thống phải được tuân thủ các quy tắc sau:
a) Phải được người có thẩm quyền phê duyệt sau khi xem xét mục đích, cách thức kết nối;
b) Phải sử dụng giao thức truyền thông được mã hóa;
c) Thiết bị kết nối phải được cài đặt các phần mềm đảm bảo an ninh bảo mật;
d) Phải sử dụng biện pháp xác thực hai yếu tố khi đăng nhập hệ thống.
10. Đường truyền kết nối Internet phải đảm bảo tính sẵn sàng và tối thiểu phải kết nối từ hai nhà cung cấp dịch vụ khác nhau.
11. Trang bị giải pháp đảm bảo an toàn bảo mật giữa các phân vùng mạng: giữa các phân vùng mạng khác nhau phải có thiết bị tường lửa hoặc thiết bị phòng chống xâm nhập.
( Điều 4 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung, có nội dung bị bãi bỏ bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.5. Hệ thống máy chủ và phần mềm hệ thống
1. Yêu cầu đối với máy chủ
a) Hiệu năng sử dụng trung bình hàng tháng tối đa 80% công suất thiết kế;
b) Có tính năng sẵn sàng cao: Hệ thống Internet Banking phải có máy chủ dự phòng tại chỗ;
c) Tách biệt về lô-gíc hoặc vật lý với các máy chủ hoạt động nghiệp vụ khác.
2. Đơn vị phải lập danh mục các phần mềm được phép cài đặt trên máy chủ. Định kỳ tối thiểu sáu tháng một lần cập nhật, kiểm tra, đảm bảo tuân thủ danh mục này.
(Điều 5 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.6. Hệ quản trị cơ sở dữ liệu
1. Hệ quản trị cơ sở dữ liệu phải có cơ chế bảo vệ và phân quyền truy cập đối với các tài nguyên cơ sở dữ liệu.
2. Hệ thống Internet Banking phải có cơ sở dữ liệu dự phòng tại Trung tâm dự phòng thảm họa. Cơ sở dữ liệu dự phòng phải được cập nhật không quá một giờ so với cơ sở dữ liệu chính thức. Cơ sở dữ liệu phải được sao lưu định kỳ hàng ngày. Các bản sao lưu phải được quản lý, cất giữ an toàn.
3. Đơn vị phải có biện pháp giám sát, ghi nhật ký truy cập cơ sở dữ liệu và các thao tác khi truy cập cơ sở dữ liệu.
( Điều 6 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.7. Phần mềm ứng dụng Internet Banking
1. Các yêu cầu an toàn, bảo mật phải được xác định trước và tổ chức, triển khai trong quá trình phát triển phần mềm ứng dụng: phân tích, thiết kế, kiểm thử, vận hành chính thức và bảo trì. Các tài liệu về an toàn, bảo mật của phần mềm phải được hệ thống hóa và lưu trữ, sử dụng theo chế độ “Mật”.
2. Đơn vị phải kiểm soát mã nguồn phần mềm với các yêu cầu tối thiểu:
a) Kiểm tra mã nguồn, nhằm loại trừ các đoạn mã độc hại, các lỗ hổng bảo mật;
b) Chỉ định cụ thể các cá nhân quản lý mã nguồn của phần mềm ứng dụng Internet Banking;
c) Việc truy cập tới mã nguồn phải được người có thẩm quyền phê duyệt và được theo dõi, ghi nhật ký;
d) Mã nguồn phải được lưu trữ an toàn tại ít nhất hai địa điểm tách biệt;
đ) Trường hợp không được bàn giao mã nguồn, khi ký hợp đồng hoặc nghiệm thu hợp đồng, đơn vị phải yêu cầu bên cung cấp ký cam kết không có các đoạn mã độc hại trong phần mềm ứng dụng mua ngoài.
3. Đơn vị phải kiểm tra thử nghiệm phần mềm ứng dụng Internet Banking đáp ứng các yêu cầu tối thiểu sau:
a) Lập và phê duyệt kế hoạch, kịch bản thử nghiệm phần mềm ứng dụng Internet Banking, trong đó nêu rõ các điều kiện về tính an toàn, bảo mật phải được đáp ứng;
b) Phát hiện và loại trừ các lỗi, các gian lận có thể xảy ra khi nhập số liệu đầu vào;
c) Đánh giá, dò quét phát hiện lỗ hổng, điểm yếu về mặt kỹ thuật. Đánh giá khả năng phòng chống các kiểu tấn công: Injection (SQL, Xpath, LDAP…), Cross-site Scripting (XSS), Cross-site Request Forgery (XSRF), Brute-Force;
d) Ghi lại các lỗi và quá trình xử lý lỗi, đặc biệt là các lỗi về an toàn, bảo mật trong các báo cáo về kiểm tra thử nghiệm;
đ) Kiểm tra thử nghiệm các tính năng an toàn, bảo mật phải được thực hiện trên các trình duyệt (ứng dụng web) và phiên bản phần mềm hệ thống của thiết bị di động (ứng dụng mobile); có cơ chế kiểm tra, thông báo cho người dùng chạy ứng dụng trên các trình duyệt, phiên bản phần mềm hệ thống đã được kiểm tra và thử nghiệm an toàn;
e) Việc sử dụng dữ liệu trong quá trình thử nghiệm phải có biện pháp phòng ngừa tránh bị lợi dụng hoặc gây nhầm lẫn.
4. Trước khi triển khai phần mềm ứng dụng mới, đơn vị phải đánh giá những rủi ro của quá trình triển khai đối với hoạt động nghiệp vụ, các hệ thống công nghệ thông tin liên quan và lập, triển khai các phương án hạn chế, khắc phục rủi ro.
5. Đơn vị thực hiện quản lý, thay đổi và nâng cấp phiên bản phần mềm ứng dụng đáp ứng các yêu cầu sau:
a) Phân tích đánh giá ảnh hưởng của việc thay đổi đối với hệ thống hiện tại và các hệ thống có liên quan khác của đơn vị cho mỗi yêu cầu thay đổi phần mềm ứng dụng;
b) Các phiên bản phần mềm bao gồm cả mã nguồn cần được quản lý tập trung, lưu trữ, bảo mật và có cơ chế phân quyền cho từng thành viên trong việc thao tác với các tập tin;
c) Thông tin về các phiên bản, thời gian cập nhật, người cập nhật các phiên bản phải được lưu lại;
d) Mỗi phiên bản được nâng cấp phải được kiểm tra thử nghiệm các tính năng an toàn, bảo mật, mức độ rủi ro và tính ổn định trước khi triển khai chính thức;
đ) Việc nâng cấp phiên bản phải căn cứ trên kết quả thử nghiệm và được người có thẩm quyền phê duyệt;
e) Các phiên bản phần mềm ứng dụng sau khi thử nghiệm thành công phải được quản lý chặt chẽ; tránh bị sửa đổi trái phép và sẵn sàng cho việc triển khai;
g) Có các chỉ dẫn rõ ràng về nội dung thay đổi, hướng dẫn cập nhật phần mềm ứng dụng, các thông tin liên quan khác và phải được người có thẩm quyền phê duyệt trước khi triển khai phiên bản mới cho khách hàng.
6. Các tính năng bắt buộc của phần mềm ứng dụng:
a) Toàn bộ dữ liệu khi truyền trên môi trường mạng Internet được áp dụng cơ chế mã hóa điểm đầu đến điểm cuối;
b) Đảm bảo tính toàn vẹn của dữ liệu giao dịch, mọi sửa đổi bất hợp pháp phải được phát hiện trong quá trình xử lý giao dịch, lưu trữ dữ liệu;
c) Có cơ chế kiểm soát phiên giao dịch và thời gian truy cập website, ứng dụng. Trường hợp người sử dụng không thao tác trong một khoảng thời gian do đơn vị quy định nhưng không quá năm phút, hệ thống tự động ngắt phiên giao dịch hoặc áp dụng các biện pháp bảo vệ khác;
d) Có chức năng che giấu đối với việc hiển thị các mã khóa bí mật dùng để đăng nhập vào hệ thống;
đ) Đối với khách hàng là tổ chức, phần mềm ứng dụng được thiết kế để đảm bảo việc thực hiện giao dịch bao gồm tối thiểu hai bước: tạo, phê duyệt giao dịch và được thực hiện bởi tối thiểu hai người khác nhau.
( Điều 7 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.8. Phần mềm ứng dụng trên thiết bị di động
Phần mềm ứng dụng Internet Banking trên thiết bị di động do đơn vị cung cấp phải đảm bảo tuân thủ các quy định tại Điều 7 Thông tư này và các yêu cầu sau:
1. Đơn vị phải chỉ rõ đường dẫn trên website hoặc kho ứng dụng để khách hàng tải và cài đặt phần mềm ứng dụng Internet Banking trên thiết bị di động.
2. Phần mềm ứng dụng phải được áp dụng các biện pháp bảo vệ để hạn chế dịch ngược.
3. Phần mềm ứng dụng phải xác thực người dùng khi truy cập. Trường hợp xác thực sai liên tiếp quá số lần do đơn vị quy định, nhưng không được quá năm lần, phần mềm ứng dụng phải tự động khoá tạm thời không cho khách hàng tiếp tục sử dụng.
( Điều 8 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.9. Xác thực khách hàng truy cập dịch vụ Internet Banking
1. Khách hàng truy cập sử dụng dịch vụ Internet Banking phải được xác thực tối thiểu bằng tên đăng nhập và mã khóa bí mật đáp ứng các yêu cầu sau:
a) Tên đăng nhập phải có độ dài tối thiểu sáu ký tự; không được sử dụng toàn bộ ký tự trùng nhau hoặc liên tục theo thứ tự trong bảng chữ cái, chữ số;
b) Mã khóa bí mật phải có độ dài tối thiểu sáu ký tự, bao gồm các ký tự chữ và số, có chứa chữ hoa và chữ thường hoặc các ký tự đặc biệt. Thời gian hiệu lực của mã khóa bí mật tối đa 12 tháng.
2. Phần mềm ứng dụng Internet Banking phải có tính năng bắt buộc khách hàng thay đổi mã khóa bí mật ngay lần đăng nhập đầu tiên; khóa tài khoản truy cập trong trường hợp khách hàng nhập sai mã khóa bí mật liên tiếp quá số lần do đơn vị quy định, nhưng không được quá năm lần. Chỉ mở khóa tài khoản khi khách hàng yêu cầu mở tại quầy giao dịch.
( Điều 9 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.10. Yêu cầu đối với các giải pháp xác thực giao dịch
1. Đơn vị phải đánh giá mức độ rủi ro của giao dịch theo từng loại khách hàng, loại giao dịch, hạn mức giao dịch để cung cấp giải pháp xác thực giao dịch phù hợp cho khách hàng lựa chọn. Hạn mức giao dịch không vượt quá hạn mức quy định của Thống đốc Ngân hàng Nhà nước trong từng thời kỳ.
2. Yêu cầu đối với giải pháp xác thực bằng OTP gửi qua tin nhắn SMS hoặc thư điện tử:
a) OTP gửi tới khách hàng phải kèm thông tin cảnh báo để khách hàng nhận biết được mục đích của OTP;
b) OTP có hiệu lực tối đa không quá 05 phút.
3. Yêu cầu đối với giải pháp xác thực bằng thẻ ma trận OTP:
a) Thẻ ma trận OTP có thời hạn sử dụng tối đa 01 năm kể từ ngày đăng ký thẻ;
b) OTP có hiệu lực tối đa không quá 02 phút.
4. Yêu cầu đối với giải pháp xác thực bằng OTP được tạo từ phần mềm cài đặt trên thiết bị di động:
a) Đơn vị phải chỉ rõ đường dẫn trên website hoặc kho ứng dụng để khách hàng tải và cài đặt phần mềm tạo OTP;
b) Phần mềm tạo OTP phải sử dụng mã khóa do đơn vị cung cấp để kích hoạt trước khi sử dụng. Một mã khóa kích hoạt chỉ được sử dụng cho một thiết bị di động;
c) Phần mềm tạo OTP phải được kiểm soát truy cập. Trường hợp xác thực truy cập sai năm lần liên tiếp, phần mềm phải tự động khoá không cho khách hàng sử dụng tiếp;
d) OTP có hiệu lực tối đa không quá 02 phút.
5. Yêu cầu đối với giải pháp xác thực bằng OTP được tạo từ thiết bị (OTP token): OTP có hiệu lực tối đa không quá 02 phút.
6. Yêu cầu đối với giải pháp xác thực bằng chữ ký số: Đơn vị phải sử dụng chữ ký số và dịch vụ chứng thực chữ ký số của tổ chức cung cấp dịch vụ chứng thực chữ ký số hoạt động theo quy định của pháp luật về chữ ký số và dịch vụ chứng thực chữ ký số.
7. Yêu cầu đối với giải pháp xác thực bằng dấu hiệu nhận dạng sinh trắc học: dấu hiệu nhận dạng sinh trắc học phải là dấu hiệu duy nhất gắn với mỗi khách hàng và không thể giả mạo.
( Điều 10 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.11. Quản lý nhân sự quản trị, vận hành hệ thống Internet Banking
1. Đơn vị phải phân công nhân sự giám sát, theo dõi hoạt động của hệ thống, phát hiện và xử lý các sự cố kỹ thuật, các cuộc tấn công mạng.
2. Đơn vị phải phân công nhân sự tiếp nhận thông tin, hỗ trợ khách hàng, kịp thời liên lạc với khách hàng khi phát hiện các giao dịch bất thường.
3. Nhân sự quản trị, giám sát và vận hành hệ thống Internet Banking phải tham gia các khóa đào tạo cập nhật kiến thức an ninh, bảo mật hằng năm.
4. Việc cấp phát, phân quyền tài khoản quản trị hệ thống Internet Banking phải được theo dõi, giám sát bởi bộ phận độc lập với bộ phận cấp phát tài khoản.
(Điều 11 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.12. Quản lý hoạt động của môi trường vận hành hệ thống Internet Banking
1. Đơn vị không cài đặt, lưu trữ phần mềm phát triển ứng dụng, mã nguồn trên môi trường vận hành.
2. Các máy tính của nhân sự quản trị, giám sát và vận hành phải được đặt trong phân vùng mạng quản trị, được cài đặt phần mềm phòng chống vi rút và phải thiết lập chính sách tự động khóa màn hình sau một khoảng thời gian không sử dụng do đơn vị quy định, nhưng không quá 05 phút.
3. Đơn vị phải thiết lập chính sách cấm truy cập Internet đối với các máy tính của nhân sự quản trị, giám sát và vận hành.
( Điều 12 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.13. Quản lý lỗ hổng, điểm yếu về mặt kỹ thuật
Đơn vị phải thực hiện quản lý các lỗ hổng, điểm yếu của hệ thống Internet Banking với các nội dung cơ bản sau:
1. Có biện pháp phòng, chống, dò tìm phát hiện các thay đổi của website, ứng dụng Internet Banking.
2. Thiết lập cơ chế phát hiện, phòng chống xâm nhập, tấn công mạng vào hệ thống Internet Banking.
3. Phối hợp với các đơn vị quản lý nhà nước, các đối tác công nghệ thông tin kịp thời nắm bắt các sự cố, tình huống mất an toàn, bảo mật thông tin để có biện pháp ngăn chặn kịp thời.
4. Rà soát, kiểm tra việc cập nhật các bản vá lỗi của phần mềm hệ thống, hệ quản trị cơ sở dữ liệu và phần mềm ứng dụng tối thiểu ba tháng một lần.
5. Đánh giá an ninh bảo mật đối với hệ thống Internet Banking tối thiểu mỗi năm một lần. Tổ chức thực hiện diễn tập tấn công thử nghiệm để kiểm tra, đánh giá mức độ đảm bảo an ninh của hệ thống.
( Điều 13 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.14. Hệ thống quản trị, giám sát hoạt động của hệ thống Internet Banking
1. Đơn vị phải thiết lập hệ thống giám sát, theo dõi hoạt động của hệ thống Internet Banking.
2. Đơn vị phải xây dựng các tiêu chí và phần mềm để xác định các giao dịch bất thường dựa vào thời gian, vị trí địa lý, tần suất giao dịch, số tiền giao dịch, số lần đăng nhập sai quá quy định và các dấu hiệu bất thường khác.
3. Đơn vị phải bố trí phòng điều khiển tách biệt với khu vực làm việc chung để thực hiện việc quản trị, giám sát, theo dõi hoạt động của hệ thống Internet Banking đáp ứng yêu cầu sau:
a) Nhân sự ra vào phòng điều khiển phải được người có thẩm quyền phê duyệt;
b) Truy cập hệ thống để thực hiện công tác quản trị, vận hành và bảo trì phải được thực hiện thông qua các thiết bị đặt tại phòng điều khiển. Trường hợp cần truy cập từ xa hoặc trực tiếp trên thiết bị phải được người có thẩm quyền phê duyệt;
c) Truy cập từ bên ngoài vào các thiết bị đặt tại phòng điều khiển phải áp dụng các biện pháp xác thực hai yếu tố.
(Điều 14 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.15. Quản lý sự cố bảo mật thông tin
Đơn vị phải thiết lập biện pháp ghi nhận, theo dõi và xử lý các sự cố an ninh thông tin. Định kỳ ba tháng một lần đơn vị thực hiện đánh giá, tìm nguyên nhân và chủ động thực hiện các biện pháp phòng tránh tái diễn.
(Điều 15 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.16. Đảm bảo hoạt động liên tục
Đơn vị phải xây dựng hệ thống dự phòng thảm hoạ, quy trình, kịch bản đảm bảo hoạt động liên tục cho hệ thống Internet Banking theo quy định của Ngân hàng Nhà nước về đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin trong hoạt động ngân hàng. Ngoài ra, đơn vị phải thực hiện:
1. Phân tích, xác định các tình huống có thể gây mất an ninh thông tin và gián đoạn hoạt động của hệ thống Internet Banking. Xác định, đánh giá mức độ rủi ro, khả năng có thể xảy ra đối với từng tình huống tối thiểu sáu tháng một lần. Lập danh sách các tình huống có mức độ rủi ro, khả năng có thể xảy ra theo các cấp độ cao, trung bình, chấp nhận được và thấp.
2. Xây dựng phương án (quy trình, kịch bản) xử lý khắc phục các tình huống có mức độ rủi ro, khả năng có thể xảy ra ở cấp độ cao và trung bình theo Khoản 1 Điều này. Xác định thời gian dừng hoạt động tối đa để phục hồi hệ thống, phục hồi dữ liệu cho phương án xử lý đối với từng tình huống. Tổ chức phổ biến phương án xử lý đến các nhân sự có liên quan để hiểu rõ nhiệm vụ, công việc cần phải thực hiện khi xử lý.
3. Bố trí nguồn nhân lực, tài chính và các phương tiện kỹ thuật để tổ chức diễn tập phương án xử lý với các tình huống có mức độ rủi ro, khả năng xảy ra cao theo định kỳ tối thiểu sáu tháng một lần.
4. Lập kế hoạch và tiến hành diễn tập các biện pháp đảm bảo hoạt động kinh doanh liên tục, lưu giữ các hồ sơ có liên quan và tổ chức đánh giá kết quả diễn tập.
(Điều 16 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.17. Thông tin về dịch vụ Internet Banking
1. Đơn vị phải cung cấp thông tin về dịch vụ Internet Banking cho khách hàng trước khi đăng ký sử dụng dịch vụ, tối thiểu gồm:
a) Cách thức cung cấp dịch vụ: trên Internet, thiết bị di động, viễn thông. Cách thức truy cập dịch vụ Internet Banking ứng với từng phương tiện truy cập dịch vụ trên Internet, thiết bị di động, viễn thông;
b) Hạn mức giao dịch và các biện pháp xác thực giao dịch;
c) Điều kiện cần thiết về trang thiết bị khi sử dụng dịch vụ: thiết bị tạo OTP, số điện thoại di động, thư điện tử, chứng thư số, thiết bị di động để cài đặt phần mềm;
d) Các rủi ro liên quan đến việc sử dụng dịch vụ Internet Banking.
2. Đơn vị phải thông tin cho khách hàng về hợp đồng cung cấp, sử dụng dịch vụ Internet Banking, tối thiểu gồm:
a) Quyền lợi và nghĩa vụ của khách hàng sử dụng dịch vụ Internet Banking;
b) Trách nhiệm của đơn vị trong bảo mật các thông tin cá nhân của khách hàng; cách thức đơn vị thu thập, sử dụng thông tin khách hàng; cam kết không bán, tiết lộ, rò rỉ các thông tin khách hàng;
c) Cam kết khả năng đảm bảo hoạt động liên tục của hệ thống Internet Banking;
d) Các nội dung khác của đơn vị đối với dịch vụ Internet Banking (nếu có).
(Điều 17 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.18. Hướng dẫn khách hàng sử dụng dịch vụ Internet Banking
1. Đơn vị phải xây dựng quy trình, tài liệu hướng dẫn cài đặt, sử dụng các phần mềm, ứng dụng, thiết bị thực hiện các giao dịch Internet Banking và cung cấp, hướng dẫn khách hàng sử dụng các quy trình, tài liệu này.
2. Đơn vị phải hướng dẫn khách hàng thực hiện các biện pháp đảm bảo an toàn, bảo mật khi sử dụng dịch vụ Internet Banking, tối thiểu gồm các nội dung sau:
a) Bảo vệ bí mật mã khóa bí mật, OTP và không chia sẻ các thiết bị lưu trữ các thông tin này;
b) Cách thiết lập mã khóa bí mật và thay đổi mã khóa bí mật tài khoản truy cập theo định kỳ tối thiểu một năm một lần hoặc khi bị lộ, nghi bị lộ;
c) Không dùng máy tính công cộng để truy cập, thực hiện giao dịch Internet Banking;
d) Không lưu lại tên đăng nhập và mã khóa bí mật trên các trình duyệt web;
đ) Thoát khỏi ứng dụng Internet Banking khi không sử dụng;
e) Nhận dạng và hành động xử lý một số tình huống lừa đảo, giả mạo website;
g) Yêu cầu cài đặt, sử dụng phần mềm diệt vi rút trên thiết bị cá nhân sử dụng để giao dịch Internet Banking;
h) Lựa chọn các giải pháp xác thực có mức độ an toàn, bảo mật phù hợp với nhu cầu của khách hàng về hạn mức giao dịch;
i) Cảnh báo các rủi ro liên quan đến việc sử dụng dịch vụ Internet Banking;
k) Không sử dụng các thiết bị di động đã bị phá khóa để tải và sử dụng phần mềm ứng dụng Internet Banking, phần mềm tạo OTP.
l) Thông báo kịp thời cho đơn vị khi phát hiện các giao dịch bất thường;
m) Thông báo ngay cho đơn vị các trường hợp: mất, thất lạc, hư hỏng thiết bị tạo OTP, số điện thoại nhận tin nhắn SMS, thiết bị lưu trữ khoá bảo mật tạo chữ ký số; bị lừa đảo hoặc nghi ngờ bị lừa đảo; bị tin tặc hoặc nghi ngờ bị tin tặc tấn công.
3. Đơn vị phải cung cấp cho khách hàng thông tin về đầu mối tiếp nhận thông tin, số điện thoại đường dây nóng và chỉ dẫn cho khách hàng quy trình, cách thức phối hợp xử lý các lỗi và sự cố trong quá trình sử dụng dịch vụ.
(Điều 18 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.19. Bảo mật thông tin khách hàng
Đơn vị phải áp dụng các biện pháp đảm bảo an toàn, bảo mật cơ sở dữ liệu khách hàng, tối thiểu bao gồm:
1. Dữ liệu nhạy cảm của khách hàng khi lưu trữ, truyền trên mạng Internet phải được mã hóa hoặc che dấu.
2. Thiết lập quyền truy cập đúng chức năng, nhiệm vụ cho nhân sự thực hiện nhiệm vụ truy cập dữ liệu khách hàng; có biện pháp giám sát mỗi lần truy cập.
3. Có biện pháp quản lý truy cập, tiếp cận các thiết bị, phương tiện lưu trữ dữ liệu về thông tin khách hàng để phòng chống nguy cơ lộ, lọt thông tin khách hàng.
( Điều 19 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.20. Chế độ báo cáo
Các đơn vị cung cấp dịch vụ Internet Banking có trách nhiệm gửi báo cáo bằng văn bản về Ngân hàng Nhà nước Việt Nam (Cục Công nghệ tin học) như sau:
1. Báo cáo cung cấp dịch vụ Internet Banking:
a) Thời hạn gửi báo cáo: Tối thiểu 10 ngày làm việc trước khi cung cấp chính thức dịch vụ Internet Banking;
b) Nội dung báo cáo:
(i) Địa chỉ website hoặc hoặc kho ứng dụng cung cấp dịch vụ;
(ii) Các sản phẩm, dịch vụ hiện đang cung cấp;
(iii) Ngày cung cấp chính thức;
(iv) Đơn vị cung cấp sản phẩm hệ thống Internet Banking;
(v) Bên thứ ba được thuê hoặc cùng hợp tác xây dựng, vận hành hệ thống Internet Banking; các hoạt động liên quan đến hệ thống Internet Banking có sự tham gia của bên thứ ba và hình thức tham gia của các bên thứ ba này;
(vi) Các giải pháp xác thực áp dụng với từng loại khách hàng, loại giao dịch và hạn mức giao dịch;
(vii) Các tài liệu khác về hạ tầng công nghệ thông tin và truyền thông, nhân lực, quy trình kỹ thuật nghiệp vụ, các phương án xử lý rủi ro và các nội dung liên quan khác theo quy định tại Chương II của Thông tư này.
2. Báo cáo đột xuất:
a) Khi xảy ra các sự cố mất an toàn hoặc ảnh hưởng đến hoạt động của hệ thống Internet Banking trong vòng 05 ngày kể từ thời điểm phát sinh sự cố hoặc phát hiện sự cố, đơn vị phải gửi báo cáo theo nội dung sau:
(i) Thời gian, địa điểm phát sinh sự cố;
(ii) Mô tả sơ bộ về sự cố, tình trạng khi xảy ra sự cố;
(iii) Nguyên nhân sự cố;
(iv) Đánh giá rủi ro, ảnh hưởng đối với hệ thống Internet Banking và các hệ thống khác có liên quan;
(v) Tình hình thiệt hại;
(vi) Các biện pháp đã thực hiện để khắc phục sự cố, ngăn chặn và phòng ngừa rủi ro;
(vii) Kiến nghị, đề xuất.
b) Các trường hợp báo cáo đột xuất khác theo yêu cầu của Ngân hàng Nhà nước.
3. Báo cáo năm:
Thời hạn và nội dung báo cáo theo quy định của Ngân hàng Nhà nước về chế độ báo cáo thống kê áp dụng đối với các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài.
( Điều 20 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.42.21. Trách nhiệm của các đơn vị thuộc Ngân hàng Nhà nước
1. Cục Công nghệ tin học có trách nhiệm:
a) Theo dõi, tổng hợp báo cáo Thống đốc Ngân hàng Nhà nước tình hình thực hiện việc đảm bảo an toàn, bảo mật hệ thống công nghệ thông tin cung cấp dịch vụ Internet Banking của các đơn vị theo quy định tại Điều 20 Thông tư này;
b) Chủ trì, phối hợp với các đơn vị liên quan thuộc Ngân hàng Nhà nước xử lý các vướng mắc phát sinh trong quá trình triển khai thực hiện Thông tư này.
2. Cơ quan Thanh tra, giám sát ngân hàng có trách nhiệm phối hợp với Cục Công nghệ tin học kiểm tra, giám sát việc thi hành Thông tư này và xử lý vi phạm hành chính đối với hành vi vi phạm theo quy định của pháp luật.
( Điều 21 Thông tư số 35/2016/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/07/2017, có nội dung được sửa đổi, có nội dung được bổ sung bởi Điều 1 Thông tư số 35/2018/TT-NHNN có hiệu lực thi hành kể từ ngày 01/07/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.3. Kiến trúc mạng Ngân hàng Nhà nước
1. Kiến trúc logic mạng Ngân hàng Nhà nước:
a) Kiến trúc logic mạng cục bộ Ngân hàng Nhà nước bao gồm các lớp chính sau: lớp mạng lõi, lớp mạng phân phối, lớp mạng truy cập;
b) Kiến trúc logic mạng cục bộ Ngân hàng Nhà nước tại Trung tâm dữ liệu bao gồm các phân vùng chính sau: phân vùng mạng cho máy chủ nghiệp vụ, phân vùng mạng Internet, phân vùng mạng Intranet, phân vùng mạng Extranet, phân vùng DMZ và phân vùng mạng quản trị;
c) Kiến trúc logic mạng cục bộ tại các đơn vị hành chính thuộc cơ cấu tổ chức của Ngân hàng Nhà nước bao gồm các phân vùng chính sau: phân vùng mạng Intranet, phân vùng mạng Extranet, phân vùng mạng Internet và phân vùng mạng quản trị;
d) Kiến trúc mạng diện rộng Ngân hàng Nhà nước bao gồm các kết nối mạng giữa Trung tâm dữ liệu chính và Trung tâm dữ liệu dự phòng; Trung tâm dữ liệu với các đơn vị Ngân hàng Nhà nước và Ngân hàng Nhà nước chi nhánh tỉnh, thành phố; Cổng giao tiếp kết nối giữa Ngân hàng Nhà nước với các tổ chức bên ngoài.
2. Kiến trúc vật lý mạng Ngân hàng Nhà nước bao gồm: trang thiết bị mạng, hạ tầng truyền dẫn mạng cục bộ và hạ tầng truyền dẫn mạng diện rộng.
3. Phân chia hệ thống mạng cục bộ thành các phân vùng mạng theo phạm vi truy cập và kiểm soát truy cập giữa các phân vùng mạng bằng tường lửa.
(Điều 3 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.7. Quy định về lắp đặt mới, nâng cấp và sửa chữa )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.4. Nguyên tắc về xây dựng, quản lý và sử dụng mạng Ngân hàng Nhà nước
1. Mạng Ngân hàng Nhà nước phải được thiết kế, xây dựng có khả năng mở rộng và ứng dụng công nghệ mạng tiên tiến, có tính sẵn sàng cao, đảm bảo an toàn, bảo mật và băng thông đáp ứng nhu cầu hoạt động, nghiệp vụ của Ngân hàng Nhà nước.
2. Mạng Ngân hàng Nhà nước được thiết kế, xây dựng theo định hướng mạng thông minh, ảo hóa hạ tầng mạng để hướng tới tối ưu hóa công tác quản lý, sử dụng tài nguyên mạng và hướng đến hỗ trợ xây dựng điện toán đám mây của Ngân hàng Nhà nước.
3. Mạng Ngân hàng Nhà nước được quản lý tập trung, thống nhất tại Cục Công nghệ thông tin và có sự phân công, phân cấp quản lý cho các đơn vị quản lý tài sản.
4. Người sử dụng chỉ được sử dụng mạng Ngân hàng Nhà nước phục vụ cho các hoạt động chuyên môn, nghiệp vụ.
5. Việc sử dụng và chia sẻ thông tin trên mạng Ngân hàng Nhà nước phải tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng và các quy định của pháp luật có liên quan.
6. Người sử dụng không tuân thủ quy định tại Điều 23 Thông tư này sẽ bị tạm ngừng cung cấp dịch vụ mạng Ngân hàng Nhà nước.
Tổ chức bên ngoài không tuân thủ quy định tại Điều 14 Thông tư này sẽ bị xem xét hủy kết nối với mạng Ngân hàng Nhà nước.
(Điều 4 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.14. Yêu cầu kết nối với mạng Ngân hàng Nhà nước ; Điều 22.4.TT.50.23. Trách nhiệm của người sử dụng )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.5. Tài nguyên và dịch vụ mạng Ngân hàng Nhà nước
1. Tài nguyên mạng Ngân hàng Nhà nước gồm:
a) Hạ tầng truyền dẫn, các trang thiết bị mạng;
b) Hệ thống địa chỉ IP, hệ thống tên miền, tên định danh các thiết bị.
2. Dịch vụ mạng Ngân hàng Nhà nước gồm: dịch vụ truyền dữ liệu, dịch vụ hội nghị truyền hình, dịch vụ giám sát, quản trị mạng và các dịch vụ mạng khác.
(Điều 5 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.6. Bảo đảm tính sẵn sàng và an toàn hệ thống mạng Ngân hàng Nhà nước
1. Mạng Ngân hàng Nhà nước phải được trang bị hệ thống kỹ thuật cho việc quản lý, giám sát mạng nhằm phát hiện, ngăn chặn các truy cập trái phép và đảm bảo an toàn dữ liệu trao đổi trên môi trường mạng.
2. Kết nối mạng giữa các tổ chức bên ngoài với mạng Ngân hàng Nhà nước phải được kiểm soát bởi các hệ thống an ninh mạng và tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng.
3. Việc kết nối giữa mạng Ngân hàng Nhà nước với các đơn vị cấp trung ương, hội sở chính thuộc các tổ chức bên ngoài thông qua tối thiểu 02 đường truyền độc lập về hạ tầng cáp truyền dẫn.
4. Dữ liệu truyền giữa mạng Ngân hàng Nhà nước với các tổ chức bên ngoài phải được mã hóa trên đường truyền.
5. Các thiết bị đầu cuối kết nối, sử dụng tài nguyên và dịch vụ mạng Ngân hàng Nhà nước phải được xác thực bởi hệ thống an ninh mạng, cài đặt phần mềm phòng, chống mã độc, cập nhật các bản vá lỗ hổng bảo mật của hệ điều hành tối thiểu 03 tháng một lần theo hướng dẫn của Cục Công nghệ thông tin.
(Điều 6 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.7. Quy định về lắp đặt mới, nâng cấp và sửa chữa
1. Hoạt động lắp đặt mới, nâng cấp hoặc sửa chữa mạng cục bộ Ngân hàng Nhà nước phải đáp ứng yêu cầu về kiến trúc mạng Ngân hàng Nhà nước được quy định tại Điều 3 Thông tư này và kiến trúc hạ tầng an ninh bảo mật hệ thống công nghệ thông tin Ngân hàng Nhà nước.
2. Đối với lắp đặt mới và nâng cấp hạ tầng truyền dẫn mạng cục bộ: Các đơn vị quản lý tài sản lập hồ sơ thiết kế hạ tầng truyền dẫn gửi Cục Công nghệ thông tin thẩm định về mặt kỹ thuật trước khi trình cấp có thẩm quyền phê duyệt.
3. Đối với lắp đặt mới và nâng cấp trang thiết bị mạng: Hàng năm, Cục Công nghệ thông tin thực hiện theo quy định của Ngân hàng Nhà nước về quản lý và thực hiện đầu tư đối với các hoạt động ứng dụng công nghệ thông tin trong hệ thống Ngân hàng Nhà nước.
4. Sửa chữa mạng cục bộ phải đảm bảo không thay đổi cấu hình kỹ thuật, thiết kế mạng cục bộ tại đơn vị.
5. Đối với sửa chữa hạ tầng truyền dẫn mạng cục bộ:
a) Đơn vị sử dụng tài sản nhưng không phải là đơn vị quản lý tài sản khi phát sinh nhu cầu sửa chữa thì thông báo cho đơn vị quản lý tài sản;
b) Đơn vị quản lý tài sản chủ động thực hiện tổ chức sửa chữa tuân thủ Quy chế quản lý tài chính của Ngân hàng Nhà nước và thông báo cho Cục Công nghệ thông tin để phối hợp về kỹ thuật trước khi thực hiện.
6. Đối với sửa chữa trang thiết bị mạng, đơn vị quản lý tài sản thông báo cho Cục Công nghệ thông tin để phối hợp xác định tình trạng thiết bị và xử lý như sau:
a) Với các trang thiết bị còn trong thời hạn bảo hành hoặc đã được ký hợp đồng bảo trì thì thực hiện sửa chữa thiết bị theo hợp đồng đã ký;
b) Với các trang thiết bị hết thời hạn bảo hành và không có hợp đồng bảo trì, đơn vị quản lý tài sản thực hiện tổ chức sửa chữa tuân thủ Quy chế quản lý tài chính của Ngân hàng Nhà nước và thông báo cho Cục Công nghệ thông tin để phối hợp về kỹ thuật.
7. Đơn vị quản lý tài sản phải xây dựng, cập nhật và lưu trữ tài liệu thiết kế và bản vẽ hoàn công mạng cục bộ khi lắp đặt mới, nâng cấp hoặc sửa chữa.
(Điều 7 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.3. Kiến trúc mạng Ngân hàng Nhà nước )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.8. Quy định về bảo trì, kiểm tra định kỳ và xử lý sự cố
1. Quy định về bảo trì:
a) Mạng cục bộ Ngân hàng Nhà nước tại Trung tâm dữ liệu phải được bảo trì định kỳ tối thiểu 02 lần trong một năm; Mạng cục bộ tại các đơn vị hành chính thuộc cơ cấu tổ chức của Ngân hàng Nhà nước phải được bảo trì định kỳ tối thiểu 01 lần trong một năm;
b) Việc thực hiện bảo trì không được làm gián đoạn và ảnh hưởng đến hoạt động nghiệp vụ của Ngân hàng Nhà nước;
c) Quá trình bảo trì phải được ghi nhật ký về tình trạng hoạt động trước và sau khi bảo trì;
d) Đối với các trang thiết bị đã được ký hợp đồng bảo trì thì thực hiện bảo trì theo hợp đồng đã ký;
đ) Đối với trường hợp các trang thiết bị mạng hết thời gian bảo hành và không có hợp đồng bảo trì, thực hiện như sau:
(i) Cục Công nghệ thông tin xây dựng quy trình bảo trì mạng cho các đơn vị quản lý tài sản và phối hợp bảo trì từ xa các trang thiết bị mạng;
(ii) Đơn vị quản lý tài sản thực hiện bảo trì các trang thiết bị mạng do đơn vị quản lý theo quy trình bảo trì mạng do Cục Công nghệ thông tin ban hành;
e) Đơn vị quản lý tài sản chịu trách nhiệm bảo trì đối với hạ tầng truyền dẫn do đơn vị quản lý.
2. Quy định về kiểm tra định kỳ:
a) Cục Công nghệ thông tin xây dựng và ban hành quy trình kiểm tra định kỳ hệ thống mạng cục bộ;
b) Đơn vị quản lý tài sản thực hiện kiểm tra định kỳ hệ thống mạng Cục bộ theo quy trình kiểm tra do Cục Công nghệ thông tin ban hành.
3. Quy định về xử lý sự cố:
a) Cục Công nghệ thông tin xây dựng và ban hành quy trình và hướng dẫn xử lý sự cố;
b) Khi phát sinh sự cố, đơn vị quản lý tài sản ghi nhật ký và thực hiện xử lý sự cố theo quy trình và hướng dẫn của Cục Công nghệ thông tin. Đối với các sự cố phát sinh không có trong quy trình và hướng dẫn hoặc đã thực hiện theo quy trình và hướng dẫn nhưng không xử lý được, đơn vị quản lý tài sản thông báo cho Cục Công nghệ thông tin để phối hợp xử lý;
c) Trường hợp sự cố do Cục Công nghệ thông tin xử lý thì thông báo cho đơn vị quản lý tài sản và đơn vị sử dụng tài sản biết thời gian, kế hoạch khắc phục.
(Điều 8 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.9. Quy định về quản trị và sử dụng
1. Các thiết bị đầu cuối chỉ được phép kết nối vào lớp mạng truy cập.
2. Cục Công nghệ thông tin quy định việc cấp phát, sử dụng thống nhất địa chỉ IP, tên định danh các trang thiết bị và kiểm soát các thiết bị kết nối vào mạng cục bộ Ngân hàng Nhà nước.
(Điều 9 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.10. Quy định về lắp đặt mới, nâng cấp và sửa chữa
1. Hàng năm, Cục Công nghệ thông tin lập kế hoạch lắp đặt mới hoặc nâng cấp mạng diện rộng trình cấp có thẩm quyền phê duyệt. Cục Công nghệ thông tin thực hiện lắp đặt mới và nâng cấp mạng diện rộng theo kế hoạch đã được phê duyệt.
2. Cục Công nghệ thông tin đầu mối tổ chức thực hiện việc sửa chữa các trang thiết bị mạng diện rộng Ngân hàng Nhà nước.
(Điều 10 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.11. Quy định về bảo trì, kiểm tra định kỳ và xử lý sự cố
1. Quy định về bảo trì:
a) Mạng diện rộng phải được bảo trì định kỳ tối thiểu 02 lần một năm, gồm 01 lần bảo trì tại chỗ và 01 lần bảo trì từ xa;
b) Việc bảo trì mạng diện rộng không được làm gián đoạn và ảnh hưởng đến hoạt động nghiệp vụ của Ngân hàng Nhà nước;
c) Quá trình bảo trì phải thực hiện theo đúng kịch bản được phê duyệt, ghi nhật ký về tình trạng hoạt động trước và sau khi bảo trì;
d) Cục Công nghệ thông tin xây dựng kế hoạch, phương án bảo trì, chủ trì và thông báo cho các đơn vị quản lý tài sản, đơn vị sử dụng tài sản phối hợp thực hiện việc bảo trì. Trong trường hợp thuê dịch vụ bảo trì, Cục Công nghệ thông tin thực hiện theo quy định hiện hành;
đ) Đơn vị quản lý tài sản phối hợp với Cục Công nghệ thông tin trong việc thực hiện và xác nhận kết quả bảo trì.
2. Quy định về kiểm tra định kỳ và xử lý sự cố:
a) Cục Công nghệ thông tin thực hiện xây dựng, ban hành quy trình và hướng dẫn kiểm tra định kỳ, xử lý sự cố;
b) Đơn vị quản lý tài sản thực hiện kiểm tra, ghi nhật ký định kỳ và thực hiện xử lý sự cố theo quy trình và hướng dẫn của Cục Công nghệ thông tin.
(Điều 11 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.12. Quy định về quản trị và sử dụng
Cục Công nghệ thông tin chịu trách nhiệm:
1. Quản trị và kiểm soát tập trung mạng diện rộng Ngân hàng Nhà nước.
2. Xây dựng, cập nhật và lưu trữ tài liệu thiết kế và bản vẽ hoàn công mạng diện rộng khi lắp đặt mới, nâng cấp hoặc sửa chữa.
3. Ghi nhật ký hoạt động hàng ngày và lập báo cáo đánh giá tổng thể hệ thống mạng diện rộng định kỳ 01 lần trong sáu tháng.
(Điều 12 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.13. Quản lý kết nối mạng Ngân hàng Nhà nước
1. Ngân hàng Nhà nước (Cục Công nghệ thông tin) thống nhất quản lý phương thức kết nối và dải địa chỉ IP đối với các thiết bị đầu cuối của các tổ chức bên ngoài khi kết nối với mạng Ngân hàng Nhà nước.
2. Các tổ chức bên ngoài thực hiện kết nối, thay đổi kết nối với mạng Ngân hàng Nhà nước theo quy định tại Điều 15 Thông tư này; hủy kết nối với mạng Ngân hàng Nhà nước theo quy định tại Điều 16 Thông tư này.
3. Trường hợp bổ sung thiết bị, thay đổi đường truyền, các tổ chức bên ngoài gửi văn bản, tài liệu thiết kế, cấu hình và phương án thực hiện về Cục Công nghệ thông tin trước khi triển khai.
(Điều 13 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.15. Hướng dẫn thực hiện kết nối hoặc thay đổi kết nối với mạng Ngân hàng Nhà nước ; Điều 22.4.TT.50.16. Hướng dẫn hủy kết nối với mạng Ngân hàng Nhà nước )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.14. Yêu cầu kết nối với mạng Ngân hàng Nhà nước
1. Tuân thủ các quy định về kết nối mạng Ngân hàng Nhà nước.
2. Đảm bảo an toàn bảo mật theo quy định về an toàn hệ thống thông tin trong hoạt động của Ngân hàng Nhà nước đối với các thiết bị đầu cuối, thiết bị mạng và đường truyền kết nối với mạng Ngân hàng Nhà nước.
3. Có đủ trang thiết bị kỹ thuật để kết nối mạng và đảm bảo an toàn bảo mật thông tin trên đường truyền theo quy định hiện hành của Ngân hàng Nhà nước.
4. Có đội ngũ cán bộ kỹ thuật có trình độ, khả năng quản trị các thiết bị đầu cuối kết nối, trang thiết bị mạng của tổ chức.
5. Lựa chọn nhà cung cấp dịch vụ đường truyền, băng thông, chi trả các chi phí kết nối lắp đặt, chi phí thuê bao, chi phí sửa chữa và bảo trì đường truyền kết nối tới Ngân hàng Nhà nước.
(Điều 14 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.4. Nguyên tắc về xây dựng, quản lý và sử dụng mạng Ngân hàng Nhà nước )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.15. Hướng dẫn thực hiện kết nối hoặc thay đổi kết nối với mạng Ngân hàng Nhà nước
1. Tổ chức bên ngoài có nhu cầu kết nối hoặc thay đổi kết nối với mạng Ngân hàng Nhà nước lập văn bản đề nghị hướng dẫn kết nối, thay đổi kết nối theo Phụ lục 01 kèm theo Thông tư này gửi qua đường bưu điện hoặc nộp trực tiếp tại Ngân hàng Nhà nước (Cục Công nghệ thông tin) hoặc qua cổng dịch vụ công của Ngân hàng Nhà nước.
2. Trong thời hạn 07 ngày làm việc kể từ ngày nhận được văn bản đề nghị, Cục Công nghệ thông tin thông báo đến các đơn vị liên quan và hướng dẫn thực hiện kết nối.
Phụ lục 01 TT 34.2018.TT.NHNN.docx
(Điều 15 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.13. Quản lý kết nối mạng Ngân hàng Nhà nước )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.16. Hướng dẫn hủy kết nối với mạng Ngân hàng Nhà nước
1. Tổ chức bên ngoài không còn nhu cầu kết nối với mạng Ngân hàng Nhà nước, lập văn bản đề nghị hướng dẫn hủy kết nối theo Phụ lục 02 kèm theo Thông tư này gửi qua đường bưu điện hoặc nộp trực tiếp tại Ngân hàng Nhà nước (Cục Công nghệ thông tin) hoặc qua cổng dịch vụ công của Ngân hàng Nhà nước.
2. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được văn bản đề nghị, Công nghệ thông tin thông báo đến các đơn vị liên quan và hướng dẫn thực hiện hủy kết nối.
Phụ lục 02 TT 34.2018.TT.NHNN.docx
(Điều 16 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.13. Quản lý kết nối mạng Ngân hàng Nhà nước )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.17. Quản lý kết nối Internet
1. Các máy tính thuộc mạng cục bộ Ngân hàng Nhà nước kết nối Internet phải thông qua các cổng kết nối tập trung do Cục Công nghệ thông tin thiết lập và quản lý.
2. Các máy tính thuộc mạng cục bộ Ngân hàng Nhà nước kết nối sử dụng hệ thống thông tin có cấp độ từ 3 trở lên của Ngân hàng Nhà nước theo quy định Chính phủ về bảo đảm an toàn hệ thống thông tin theo cấp độ không được kết nối Internet.
3. Trường hợp các đơn vị có máy tính thuộc mạng cục bộ Ngân hàng Nhà nước có nhu cầu kết nối trực tiếp Internet không qua cổng kết nối do Cục Công nghệ thông tin thiết lập và quản lý, đơn vị phải trình Thống đốc Ngân hàng Nhà nước xem xét phê duyệt (qua Cục Công nghệ thông tin).
4. Các máy tính không thuộc mạng cục bộ Ngân hàng Nhà nước kết nối mạng Internet do Thủ trưởng đơn vị sử dụng tài sản quyết định và phải tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng và các quy định của pháp luật có liên quan.
5. Không được sử dụng các thiết bị kết nối Internet không qua cổng kết nối do Cục Công nghệ thông tin thiết lập và quản lý để kết nối trực tiếp vào mạng Ngân hàng Nhà nước trừ trường hợp quy định tại khoản 3 Điều này.
(Điều 17 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.18. Yêu cầu kết nối Internet
1. Các thiết bị đầu cuối kết nối Internet thông qua cổng kết nối tập trung do Cục Công nghệ thông tin quản lý phải tham gia Domain Ngân hàng Nhà nước, cài đặt các phần mềm phòng, chống mã độc, phần mềm an ninh và được cập nhật bản vá hệ điều hành, các phần mềm khác theo hướng dẫn của Cục Công nghệ thông tin.
2. Người sử dụng kết nối Internet qua cổng kết nối tập trung do Cục Công nghệ thông tin quản lý phải sử dụng tài khoản truy cập do Cục Công nghệ thông tin cấp.
(Điều 18 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.19. Quy định về giám sát và kiểm soát kết nối Internet
1. Cục Công nghệ thông tin chịu trách nhiệm thiết lập hệ thống an ninh mạng đảm bảo an toàn bảo mật giữa mạng Ngân hàng Nhà nước và Internet.
2. Cục Công nghệ thông tin chịu trách nhiệm quản lý, thiết lập chính sách và kiểm soát các thiết bị thuộc mạng Ngân hàng Nhà nước kết nối ra Internet.
3. Cục Công nghệ thông tin quản lý và cấp phát tài khoản truy cập Internet của người sử dụng. Trong trường hợp cần thiết, để đảm bảo an toàn cho hệ thống mạng Ngân hàng Nhà nước, Cục Công nghệ thông tin có quyền chủ động tạm ngừng hoặc thu hồi tài khoản truy cập Internet và gửi thông báo đến cá nhân, đơn vị người sử dụng.
(Điều 19 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.20. Quy định về kết nối mạng không dây, thiết bị di động
1. Hệ thống mạng không dây kết nối Internet của Ngân hàng Nhà nước phải được thiết kế, xây dựng độc lập với hệ thống mạng Ngân hàng Nhà nước.
2. Cục Công nghệ thông tin quản lý hoạt động của các thiết bị mạng cung cấp dịch vụ không dây kết nối Internet và kiểm soát thiết bị truy cập mạng không dây đến mạng Ngân hàng Nhà nước.
(Điều 20 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.21. Trách nhiệm của Cục Công nghệ thông tin
1. Quản lý kỹ thuật mạng Ngân hàng Nhà nước.
2. Quản lý việc cấp phát và sử dụng tài nguyên mạng Ngân hàng Nhà nước trong phạm vi phân cấp quản lý.
3. Theo dõi, giám sát hoạt động của hệ thống mạng Ngân hàng Nhà nước đảm bảo hoạt động liên tục, ổn định và an toàn.
4. Cảnh báo và hướng dẫn các đơn vị Ngân hàng Nhà nước khắc phục các lỗ hổng bảo mật và các nguy cơ rủi ro đến hoạt động của mạng Ngân hàng Nhà nước sau khi phát hiện và đánh giá về mức độ nghiêm trọng.
5. Thông báo cho đơn vị quản lý tài sản tối thiểu 03 ngày làm việc trước ngày tạm ngừng cung cấp dịch vụ mạng để sửa chữa, nâng cấp hoặc bảo trì.
6. Tổ chức kiểm tra kết nối mạng của các tổ chức bên ngoài với mạng Ngân hàng Nhà nước.
7. Nghiên cứu, áp dụng các công nghệ tiên tiến để xây dựng, quản lý, vận hành mạng Ngân hàng Nhà nước theo định hướng tập trung, thống nhất.
8. Nghiên cứu xây dựng hạ tầng mạng Ngân hàng Nhà nước hướng đến hoạt động theo chế độ song song (Active/Active) giữa các Trung tâm dữ liệu Ngân hàng Nhà nước.
9. Tổ chức đào tạo, hướng dẫn cho các đơn vị, cá nhân thuộc Ngân hàng Nhà nước về quản lý, sử dụng mạng Ngân hàng Nhà nước.
10. Thực hiện các nhiệm vụ khác của quy định tại Thông tư này.
(Điều 21 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.22. Trách nhiệm của đơn vị quản lý tài sản
1. Tổ chức hướng dẫn và kiểm tra việc sử dụng mạng cục bộ do đơn vị quản lý.
2. Phối hợp với Cục Công nghệ thông tin trong việc kết nối, thay đổi kết nối và hủy kết nối mạng đối với các tổ chức có kết nối về đơn vị mình.
3. Kiểm tra kết nối mạng của các tổ chức bên ngoài với mạng Ngân hàng Nhà nước thông qua cổng kết nối do Cục Công nghệ thông tin thiết lập và quản lý.
4. Phối hợp với Cục Công nghệ thông tin trong công tác quản lý kết nối mạng của các tổ chức bên ngoài có kết nối đến đơn vị.
5. Phân công cán bộ kỹ thuật quản lý các trang thiết bị mạng và phối hợp xử lý các sự cố phát sinh tại đơn vị.
6. Đảm bảo các điều kiện cần thiết cho các trang thiết bị mạng tại đơn vị hoạt động an toàn và ổn định.
(Điều 22 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.50.23. Trách nhiệm của người sử dụng
1. Sử dụng tài nguyên, khai thác thông tin trên mạng Ngân hàng Nhà nước và Internet trong phạm vi cho phép và chịu sự giám sát, kiểm soát của Cục Công nghệ thông tin.
2. Tuân thủ quy định của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng và các quy định của pháp luật có liên quan.
3. Tuân thủ các quy định của Ngân hàng Nhà nước và của pháp luật về việc kết nối, sử dụng, khai thác Internet.
4. Chỉ được sử dụng, cài đặt các công cụ, phần mềm theo quy định của Ngân hàng Nhà nước khi tham gia vào hệ thống mạng Ngân hàng Nhà nước.
5. Trường hợp phát sinh sự cố hoặc có dấu hiệu không an toàn khi sử dụng mạng Ngân hàng Nhà nước, thông báo cho cán bộ kỹ thuật tại đơn vị quản lý tài sản để được hướng dẫn và hỗ trợ khắc phục.
6. Phối hợp với cán bộ phận kỹ thuật trong việc xử lý và xác nhận kết quả xử lý sự cố.
(Điều 23 Thông tư số 34/2018/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/03/2019)
(Điều này có nội dung liên quan đến Điều 22.4.TT.50.4. Nguyên tắc về xây dựng, quản lý và sử dụng mạng Ngân hàng Nhà nước )
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.3. Nguyên tắc chung
1. Tổ chức có trách nhiệm bảo đảm an toàn thông tin theo nguyên tắc xác định rõ quyền hạn, trách nhiệm từng bộ phận và cá nhân trong tổ chức.
2. Hệ thống thông tin được phân loại theo cấp độ quy định tại Điều 5 Thông tư này và áp dụng chính sách an toàn thông tin phù hợp.
3. Các rủi ro công nghệ thông tin có thể xảy ra trong tổ chức được nhận biết, phân loại, đánh giá kịp thời và xử lý có hiệu quả.
4. Việc xây dựng, triển khai quy chế an toàn thông tin được thực hiện trên cơ sở các quy định tại Thông tư này và hài hòa giữa lợi ích, chi phí và cấp độ chấp nhận rủi ro của tổ chức.
(Điều 3 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.4. Phân loại thông tin
Thông tin xử lý, lưu trữ thông qua hệ thống thông tin được phân loại theo thuộc tính bí mật như sau:
1. Thông tin công cộng là thông tin được công khai cho tất cả các đối tượng mà không cần xác định danh tính, địa chỉ cụ thể của các đối tượng đó;
2. Thông tin riêng (hoặc thông tin nội bộ) là thông tin được phân quyền quản lý, khai thác cho một hoặc một nhóm đối tượng được xác định danh tính;
3. Thông tin cá nhân là thông tin định danh khách hàng và các thông tin sau đây: thông tin về tài khoản, thông tin về tiền gửi, thông tin về tài sản gửi, thông tin về giao dịch và các thông tin có liên quan khác;
4. Thông tin bí mật là: (i) Thông tin Mật, Tối Mật, Tuyệt Mật theo quy định của pháp luật về bảo vệ bí mật nhà nước; (ii) Thông tin hạn chế tiếp cận theo quy định của tổ chức.
(Điều 4 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.5. Phân loại hệ thống thông tin
1. Đối với hệ thống thông tin cung cấp dịch vụ trực tuyến cho khách hàng, các tổ chức thực hiện phân loại theo quy định tại Nghị định số 85/2016/NĐ-CP ngày 01/7/2016 của Chính phủ quy định về bảo đảm an toàn hệ thống thông tin theo cấp độ. Đối với các hệ thống thông tin khác, thực hiện phân loại theo quy định tại khoản 2, 3, 4, 5, 6, 7 Điều này.
2. Hệ thống thông tin cấp độ 1 là hệ thống thông tin phục vụ hoạt động nội bộ của tổ chức và chỉ xử lý thông tin công cộng.
3. Hệ thống thông tin cấp độ 2 là hệ thống thông tin có một trong các tiêu chí sau:
a) Hệ thống thông tin phục vụ hoạt động nội bộ của tổ chức, có xử lý thông tin riêng, thông tin cá nhân của người sử dụng, thông tin hạn chế tiếp cận theo quy định của tổ chức nhưng không xử lý thông tin bí mật nhà nước;
b) Hệ thống thông tin phục vụ khách hàng không yêu cầu vận hành 24/7;
c) Hệ thống cơ sở hạ tầng thông tin phục vụ hoạt động của một số bộ phận thuộc tổ chức hoặc của tổ chức tài chính vi mô, quỹ tín dụng nhân dân cơ sở.
4. Hệ thống thông tin cấp độ 3 là hệ thống thông tin có một trong các tiêu chí sau:
a) Hệ thống thông tin xử lý thông tin bí mật nhà nước ở cấp độ Mật;
b) Hệ thống thông tin phục vụ hoạt động nội bộ hàng ngày của tổ chức và không chấp nhận ngừng vận hành quá 4 giờ làm việc kể từ thời điểm ngừng vận hành;
c) Hệ thống thông tin phục vụ khách hàng yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước;
d) Các hệ thống thanh toán sử dụng của bên thứ ba dùng để thanh toán ngoài hệ thống của tổ chức;
đ) Hệ thống cơ sở hạ tầng thông tin dùng chung phục vụ hoạt động của tổ chức và của ngành Ngân hàng.
5. Hệ thống thông tin cấp độ 4 là hệ thống thông tin có một trong các tiêu chí sau:
a) Hệ thống thông tin xử lý thông tin bí mật nhà nước ở cấp độ Tối Mật;
b) Hệ thống thông tin phục vụ khách hàng có xử lý, lưu trữ dữ liệu của 10 triệu khách hàng trở lên;
c) Hệ thống thông tin quốc gia trong ngành Ngân hàng, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước;
d) Các hệ thống thanh toán quan trọng trong ngành Ngân hàng theo quy định của Ngân hàng Nhà nước;
đ) Hệ thống cơ sở hạ tầng thông tin dùng chung phục vụ hoạt động của ngành Ngân hàng, yêu cầu vận hành 24/7 và không chấp nhận ngừng vận hành mà không có kế hoạch trước.
6. Hệ thống thông tin cấp độ 5 là hệ thống thông tin có một trong các tiêu chí sau:
a) Hệ thống thông tin xử lý thông tin bí mật nhà nước ở cấp độ Tuyệt Mật;
b) Hệ thống thông tin quốc gia trong ngành Ngân hàng phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế;
c) Hệ thống cơ sở hạ tầng thông tin quốc gia trong ngành Ngân hàng phục vụ kết nối liên thông hoạt động của Việt Nam với quốc tế.
7. Trong trường hợp hệ thống thông tin bao gồm nhiều hệ thống thành phần, mỗi hệ thống thành phần lại tương ứng với một cấp độ khác nhau, cấp độ hệ thống thông tin được xác định là cấp độ cao nhất trong các cấp độ của các hệ thống thành phần cấu thành.
8. Tổ chức thực hiện phân loại hệ thống thông tin theo cấp độ quy định tại khoản 1, 2, 3, 4, 5, 6, 7 Điều này. Hồ sơ, thủ tục thẩm định, phê duyệt hệ thống thông tin theo cấp độ tuân thủ quy định tại Nghị định số 85/2016/NĐ-CP. Đối với hồ sơ đề xuất các hệ thống thông tin cấp độ 4, 5, tổ chức gửi hồ sơ cho Ngân hàng Nhà nước (Cục Công nghệ thông tin) để lấy ý kiến.
9. Danh sách hệ thống thông tin theo cấp độ phải được lập và rà soát, cập nhật sau khi hệ thống được triển khai và định kỳ hàng năm.
(Điều 5 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.6. Quy chế an toàn thông tin
1. Tổ chức xây dựng quy chế an toàn thông tin phù hợp với hệ thống thông tin, cơ cấu tổ chức, yêu cầu quản lý và hoạt động của tổ chức. Quy chế an toàn thông tin phải được người đại diện hợp pháp ký ban hành và triển khai thực hiện trong toàn tổ chức.
2. Quy chế an toàn thông tin tối thiểu gồm các nội dung cơ bản sau:
a) Quản lý tài sản công nghệ thông tin;
b) Quản lý nguồn nhân lực;
c) Bảo đảm an toàn về mặt vật lý và môi trường lắp đặt;
d) Quản lý vận hành và trao đổi thông tin;
đ) Quản lý truy cập;
e) Quản lý sử dụng dịch vụ công nghệ thông tin của bên thứ ba;
g) Quản lý tiếp nhận, phát triển, duy trì hệ thống thông tin;
h) Quản lý sự cố an toàn thông tin;
i) Bảo đảm hoạt động liên tục của hệ thống thông tin;
k) Kiểm tra nội bộ và chế độ báo cáo.
3. Tổ chức rà soát quy chế an toàn thông tin tối thiểu mỗi năm một lần, bảo đảm sự đầy đủ của quy chế theo các quy định tại Thông tư này. Khi phát hiện những bất cập, bất hợp lý gây ra mất an toàn thông tin hoặc theo yêu cầu của cơ quan có thẩm quyền, tổ chức tiến hành chỉnh sửa, bổ sung ngay quy chế an toàn thông tin đã ban hành.
(Điều 6 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.7. Quản lý tài sản công nghệ thông tin
1. Các loại tài sản công nghệ thông tin bao gồm:
a) Tài sản thông tin: các dữ liệu, thông tin ở dạng số được xử lý, lưu trữ thông qua hệ thống thông tin;
b) Tài sản vật lý: các thiết bị công nghệ thông tin, phương tiện truyền thông, vật mang tin và các thiết bị phục vụ cho hoạt động của hệ thống thông tin;
c) Tài sản phần mềm: các phần mềm hệ thống, phần mềm tiện ích, phần mềm lớp giữa, hệ quản trị cơ sở dữ liệu, chương trình ứng dụng, mã nguồn và công cụ phát triển.
2. Tổ chức lập danh sách của tất cả các tài sản công nghệ thông tin gắn với từng hệ thống thông tin theo quy định tại khoản 9, Điều 5 Thông tư này. Định kỳ hàng năm rà soát và cập nhật danh sách tài sản công nghệ thông tin.
3. Căn cứ theo cấp độ của hệ thống thông tin, tổ chức thực hiện các biện pháp quản lý, bảo vệ phù hợp với từng loại tài sản công nghệ thông tin.
4. Căn cứ phân loại tài sản công nghệ thông tin tại khoản 1 Điều này, tổ chức xây dựng và thực hiện các quy định về quản lý và sử dụng tài sản theo quy định tại Điều 8, 9, 10, 11 và Điều 12 Thông tư này.
(Điều 7 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.8. Quản lý tài sản thông tin
1. Với mỗi hệ thống thông tin, tổ chức phải lập danh sách tài sản thông tin, quy định về thẩm quyền, trách nhiệm của cá nhân hoặc bộ phận của tổ chức được tiếp cận, khai thác và quản lý.
2. Tài sản thông tin phải phân loại theo loại thông tin quy định tại Điều 4 Thông tư này.
3. Tài sản thông tin thuộc loại thông tin bí mật phải được mã hóa hoặc có biện pháp bảo vệ để bảo mật thông tin trong quá trình tạo lập, trao đổi, lưu trữ.
4. Tài sản thông tin trên hệ thống thông tin từ cấp độ 3 trở lên phải áp dụng phương án chống thất thoát dữ liệu.
(Điều 8 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.9. Quản lý tài sản vật lý
1. Tài sản vật lý là thiết bị di động, vật mang tin, ngoài các quy định tại Điều này, phải được quản lý theo quy định tại Điều 11, Điều 12 Thông tư này.
2. Với mỗi hệ thống thông tin do tổ chức trực tiếp quản lý, tổ chức phải lập danh sách tài sản vật lý gồm các thông tin cơ bản sau: tên tài sản, giá trị, vị trí lắp đặt, chủ thể quản lý, mục đích sử dụng, tình trạng sử dụng, hệ thống thông tin tương ứng.
3. Tài sản vật lý phải được giao, gán trách nhiệm cho cá nhân hoặc bộ phận quản lý, sử dụng.
4. Tài sản vật lý khi mang ra khỏi trụ sở của tổ chức phải được sự phê duyệt của cấp có thẩm quyền và phải thực hiện biện pháp bảo vệ để bảo mật thông tin lưu trữ trên tài sản nếu tài sản đó có chứa thông tin bí mật.
5. Tài sản vật lý có lưu trữ thông tin bí mật khi thay đổi mục đích sử dụng hoặc thanh lý phải được thực hiện các biện pháp tiêu hủy hoặc xóa thông tin bí mật đó bảo đảm không có khả năng phục hồi. Trường hợp không thể tiêu hủy được thông tin bí mật, tổ chức thực hiện biện pháp tiêu hủy cấu phần lưu trữ dữ liệu trên tài sản đó.
(Điều 9 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.10. Quản lý tài sản phần mềm
1. Với mỗi hệ thống thông tin do tổ chức quản lý trực tiếp phải lập danh sách tài sản phần mềm với các thông tin cơ bản gồm: tên tài sản, giá trị, mục đích sử dụng, phạm vi sử dụng, chủ thể quản lý, thông tin về bản quyền, phiên bản, hệ thống thông tin thành phần (nếu có).
2. Tài sản phần mềm phải được gắn trách nhiệm cho cá nhân hoặc bộ phận quản lý.
3. Tài sản phần mềm phải được tổ chức định kỳ rà soát và cập nhật các bản vá lỗi về an ninh bảo mật.
4. Tài sản phần mềm khi lưu trữ trên vật mang tin phải tuân thủ các quy định tại Điều 12 Thông tư này.
(Điều 10 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.11. Quản lý sử dụng thiết bị di động
1. Các thiết bị di động khi kết nối vào hệ thống mạng nội bộ của tổ chức phải được đăng ký để kiểm soát.
2. Giới hạn phạm vi kết nối từ thiết bị di động đến các dịch vụ, hệ thống thông tin của tổ chức; kiểm soát các kết nối từ thiết bị di động tới các hệ thống thông tin được phép sử dụng tại tổ chức.
3. Quy định trách nhiệm của cá nhân trong tổ chức khi sử dụng thiết bị di động để phục vụ công việc.
4. Thiết bị di động được sử dụng để phục vụ công việc phải áp dụng các biện pháp kỹ thuật tối thiểu sau:
a) Thiết lập chức năng vô hiệu hóa, khóa thiết bị hoặc xóa dữ liệu từ xa trong trường hợp thất lạc hoặc bị mất cắp;
b) Sao lưu dữ liệu trên thiết bị di động nhằm bảo vệ, khôi phục dữ liệu khi cần thiết;
c) Thực hiện các biện pháp bảo vệ dữ liệu khi bảo hành, bảo trì, sửa chữa thiết bị di động.
5. Với thiết bị di động là tài sản của tổ chức, ngoài việc áp dụng các quy định tại khoản 4 Điều này, tổ chức phải áp dụng các biện pháp kỹ thuật tối thiểu sau đây:
a) Kiểm soát các phần mềm được cài đặt; cập nhật các phiên bản phần mềm và các bản vá lỗi trên thiết bị di động;
b) Sử dụng các tính năng bảo vệ thông tin cá nhân, thông tin nội bộ, thông tin bí mật (nếu có); thiết lập mã khóa bí mật; cài đặt phần mềm phòng chống mã độc và các lỗi bảo mật khác.
(Điều 11 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.12. Quản lý sử dụng vật mang tin
Tổ chức phải quản lý sử dụng vật mang tin theo quy định sau:
1. Kiểm soát việc đấu nối, gỡ bỏ vật mang tin với thiết bị thuộc hệ thống thông tin.
2. Triển khai các biện pháp bảo đảm an toàn vật mang tin khi vận chuyển, lưu trữ.
3. Thực hiện biện pháp bảo vệ đối với thông tin bí mật chứa trong vật mang tin.
4. Quy định trách nhiệm của cá nhân trong quản lý, sử dụng vật mang tin.
(Điều 12 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.13. Tổ chức nguồn nhân lực
1. Người đại diện hợp pháp phải trực tiếp tham gia chỉ đạo và có trách nhiệm trong công tác xây dựng chiến lược, kế hoạch về bảo đảm an toàn thông tin, ứng cứu các sự cố an toàn thông tin xảy ra tại tổ chức.
2. Tổ chức chỉ có hệ thống thông tin từ cấp độ 2 trở xuống chỉ định bộ phận có trách nhiệm đảm bảo an toàn thông tin.
3. Tổ chức quản lý trực tiếp hệ thống thông tin từ cấp độ 3 trở lên thực hiện:
a) Thành lập hoặc chỉ định bộ phận chuyên trách về an toàn thông tin có chức năng, nhiệm vụ bảo đảm an toàn thông tin và ứng cứu sự cố an toàn thông tin cho tổ chức;
b) Tách biệt nhân sự giữa các nhiệm vụ: (i) Phát triển với quản trị hệ thống thông tin; (ii) Phát triển với vận hành hệ thống thông tin; (iii) Quản trị với vận hành hệ thống thông tin; (iv) Kiểm tra về an toàn thông tin với phát triển, quản trị, vận hành hệ thống thông tin.
(Điều 13 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.14. Tuyển dụng và phân công nhiệm vụ
Tổ chức tuyển dụng nhân sự và phân công nhiệm vụ theo quy định sau:
1. Xác định trách nhiệm trong việc bảo đảm an toàn thông tin của vị trí cần tuyển dụng hoặc phân công.
2. Xem xét, đánh giá tư cách đạo đức, trình độ chuyên môn thông qua lý lịch, lý lịch tư pháp trước khi phân công nhân sự làm việc tại các vị trí quan trọng của hệ thống thông tin như: vận hành hệ thống thông tin từ cấp độ 3 trở lên hoặc quản trị hệ thống thông tin.
3. Yêu cầu người được tuyển dụng cam kết bảo mật thông tin bằng văn bản riêng hoặc cam kết trong hợp đồng lao động. Cam kết này phải bao gồm các Điều Khoản về trách nhiệm bảo đảm an toàn thông tin trong và sau khi làm việc tại tổ chức.
4. Đào tạo, phổ biến các quy định của tổ chức về an toàn thông tin đối với nhân sự mới tuyển dụng.
(Điều 14 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.15. Quản lý sử dụng nguồn nhân lực
Tổ chức quản lý nguồn nhân lực như sau:
1. Phổ biến, cập nhật các quy định về an toàn thông tin cho tất cả cá nhân trong tổ chức tối thiểu mỗi năm một lần.
2. Kiểm tra việc tuân thủ các quy định về an toàn thông tin đối với cá nhân, bộ phận trực thuộc tối thiểu mỗi năm một lần.
3. Áp dụng các biện pháp xử lý kỷ luật đối với cá nhân, bộ phận vi phạm quy định an toàn thông tin theo quy định của pháp luật và quy định của tổ chức.
(Điều 15 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.16. Chấm dứt hoặc thay đổi công việc
Khi cá nhân trong tổ chức chấm dứt hoặc thay đổi công việc, tổ chức thực hiện:
1. Xác định trách nhiệm của cá nhân khi chấm dứt hoặc thay đổi công việc.
2. Yêu cầu cá nhân bàn giao lại tài sản công nghệ thông tin.
3. Thu hồi ngay quyền truy cập hệ thống thông tin của cá nhân nghỉ việc.
4. Thay đổi kịp thời quyền truy cập hệ thống thông tin của cá nhân thay đổi công việc bảo đảm nguyên tắc quyền vừa đủ để thực hiện nhiệm vụ được giao.
5. Rà soát, kiểm tra đối chiếu định kỳ tối thiểu sáu tháng một lần giữa bộ phận hoặc hệ thống quản lý nhân sự và bộ phận quản lý cấp phát, thu hồi quyền truy cập hệ thống thông tin nhằm bảo đảm tuân thủ khoản 3, khoản 4 Điều này.
6. Thông báo cho Ngân hàng Nhà nước (Cục Công nghệ thông tin) các trường hợp cá nhân làm việc trong lĩnh vực công nghệ thông tin của tổ chức bị kỷ luật với hình thức sa thải, buộc thôi việc hoặc bị truy tố về các tội quy định tại Mục 2 Chương XXI Bộ luật Hình sự (Tội phạm trong lĩnh vực công nghệ thông tin, mạng viễn thông).
(Điều 16 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.17. Yêu cầu chung đối với nơi lắp đặt trang thiết bị công nghệ thông tin
1. Bảo vệ bằng tường bao, cổng ra vào hoặc có các biện pháp kiểm soát, hạn chế rủi ro xâm nhập trái phép.
2. Thực hiện các biện pháp phòng chống nguy cơ do cháy nổ, ngập lụt.
3. Các khu vực có yêu cầu cao về an toàn, bảo mật như khu vực lắp đặt máy chủ, thiết bị lưu trữ, thiết bị an ninh bảo mật, thiết bị truyền thông của hệ thống thông tin từ cấp độ 3 trở lên phải được cách ly với khu vực dùng chung, phân phối, chuyển hàng; ban hành nội quy, hướng dẫn làm việc và áp dụng biện pháp kiểm soát ra vào khu vực đó.
(Điều 17 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.18. Yêu cầu đối với trung tâm dữ liệu
Ngoài việc bảo đảm yêu cầu tại Điều 17 Thông tư này, trung tâm dữ liệu phải bảo đảm các yêu cầu sau:
1. Cổng vào ra tòa nhà trung tâm dữ liệu phải có người kiểm soát 24/7.
2. Cửa vào ra trung tâm dữ liệu phải chắc chắn, có khả năng chống cháy, sử dụng ít nhất hai loại khóa khác nhau và phải có biện pháp bảo vệ và giám sát 24/7.
3. Khu vực lắp đặt thiết bị phải được tránh nắng chiếu rọi trực tiếp, chống thấm dột nước, tránh ngập lụt. Khu vực lắp đặt thiết bị của hệ thống thông tin từ cấp độ 3 trở lên phải được bảo vệ, giám sát 24/7.
4. Có tối thiểu một nguồn điện lưới và một nguồn điện máy phát. Có hệ thống chuyển mạch tự động giữa hai nguồn điện, khi cắt điện lưới máy phát phải tự động khởi động cấp nguồn. Nguồn điện phải đấu nối qua hệ thống lưu điện để cấp nguồn cho thiết bị, bảo đảm khả năng duy trì hoạt động liên tục của hệ thống thông tin.
5. Có hệ thống điều hòa không khí bảo đảm khả năng hoạt động liên tục.
6. Có hệ thống chống sét trực tiếp và lan truyền.
7. Có hệ thống báo cháy và chữa cháy tự động. Hệ thống chữa cháy bảo đảm khi chữa cháy không làm hư hỏng thiết bị lắp đặt bên trong, trừ trường hợp tổ chức có hệ thống dự phòng bảo đảm an toàn tuyệt đối cho dữ liệu và có khả năng thay thế hoàn toàn hệ thống chính trong vòng 01 giờ.
8. Có hệ thống sàn kỹ thuật hoặc lớp cách ly chống nhiễm điện; hệ thống tiếp địa.
9. Có hệ thống camera giám sát, lưu trữ dữ liệu giám sát tối thiểu 90 ngày.
10. Có hệ thống theo dõi, kiểm soát nhiệt độ, độ ẩm.
11. Có hồ sơ nhật ký kiểm soát vào ra trung tâm dữ liệu.
(Điều 18 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.19. An toàn tài sản vật lý
1. Tài sản vật lý phải được bố trí, lắp đặt tại các địa điểm an toàn và được bảo vệ để giảm thiểu những rủi ro do các đe dọa, hiểm họa từ môi trường và các xâm nhập trái phép.
2. Tài sản vật lý thuộc hệ thống thông tin từ cấp độ 3 trở lên phải được bảo đảm về nguồn điện và các hệ thống hỗ trợ khi nguồn điện chính bị gián đoạn. Phải có biện pháp chống quá tải hay sụt giảm điện áp, chống sét lan truyền; có hệ thống tiếp địa; có hệ thống máy phát điện dự phòng và hệ thống lưu điện bảo đảm thiết bị hoạt động liên tục.
3. Dây cáp cung cấp nguồn điện và dây cáp truyền thông sử dụng trong truyền tải dữ liệu hay những dịch vụ hỗ trợ thông tin phải được bảo vệ khỏi sự xâm phạm hoặc hư hại.
4. Các trang thiết bị dùng cho hoạt động nghiệp vụ lắp đặt bên ngoài trụ sở làm việc của tổ chức phải có biện pháp giám sát, bảo vệ an toàn phòng chống truy cập bất hợp pháp.
(Điều 19 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.20. Trách nhiệm quản lý và quy trình vận hành của tổ chức
1. Tổ chức ban hành các quy trình, tài liệu vận hành đối với hệ thống thông tin từ cấp độ 3 trở lên, tối thiểu bao gồm các nội dung: quy trình bật, tắt hệ thống; quy trình sao lưu, phục hồi dữ liệu; quy trình vận hành ứng dụng; quy trình xử lý sự cố; quy trình giám sát và ghi nhật ký hoạt động của hệ thống. Trong đó phải xác định rõ phạm vi, trách nhiệm của người sử dụng, vận hành hệ thống. Định kỳ tối thiểu mỗi năm một lần, tổ chức thực hiện rà soát, cập nhật, bổ sung các quy trình vận hành hệ thống thông tin để phù hợp thực tế.
2. Tổ chức triển khai các quy trình đến toàn bộ các đối tượng tham gia vận hành và giám sát tuân thủ việc thực hiện các quy trình đã ban hành.
3. Môi trường vận hành của hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng phải đáp ứng yêu cầu:
a) Tách biệt với các môi trường phát triển, kiểm tra và thử nghiệm;
b) Áp dụng các giải pháp bảo đảm an toàn thông tin;
c) Không cài đặt các công cụ, phương tiện phát triển ứng dụng;
d) Loại bỏ hoặc tắt các tính năng, phần mềm tiện ích không sử dụng trên hệ thống thông tin.
4. Đối với hệ thống thông tin xử lý giao dịch khách hàng phải đáp ứng yêu cầu sau:
a) Không để một cá nhân được đồng thời thực hiện các công việc khởi tạo và phê duyệt một giao dịch;
b) Áp dụng xác thực đa yếu tố tại bước phê duyệt cuối cùng khi thực hiện giao dịch tài chính phát sinh chuyển tiền điện tử liên ngân hàng có giá trị từ 100 triệu đồng trở lên (ngoại trừ hệ thống thanh toán xuyên suốt (Straight Though Process) đã có biện pháp xác thực tự động giao dịch giữa các hệ thống liên thông);
c) Áp dụng các biện pháp bảo đảm tính toàn vẹn dữ liệu giao dịch;
d) Mọi thao tác trên hệ thống phải được lưu vết, sẵn sàng cho kiểm tra, kiểm soát khi cần thiết.
(Điều 20 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.21. Lập kế hoạch và chấp nhận hệ thống thông tin
1. Tổ chức xây dựng tiêu chuẩn, định mức, yêu cầu kỹ thuật để bảo đảm hoạt động bình thường đối với tất cả các hệ thống thông tin hiện có và các hệ thống thông tin khác trước khi đưa vào áp dụng chính thức.
2. Căn cứ các tiêu chuẩn, định mức, yêu cầu kỹ thuật đã xây dựng, tổ chức giám sát, tối ưu hiệu suất của hệ thống thông tin; đánh giá khả năng đáp ứng, tình trạng hoạt động, cấu hình hệ thống của hệ thống thông tin để dự báo, lập kế hoạch mở rộng, nâng cấp bảo đảm khả năng đáp ứng trong tương lai.
3. Tổ chức rà soát, cập nhật tiêu chuẩn, định mức, yêu cầu kỹ thuật khi có sự thay đổi đối với hệ thống thông tin; thực hiện đào tạo và chuyển giao kỹ thuật đối với những nội dung thay đổi cho các nhân sự có liên quan.
(Điều 21 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.22. Sao lưu dự phòng
Tổ chức thực hiện sao lưu dự phòng bảo đảm an toàn dữ liệu như sau:
1. Lập danh sách hệ thống thông tin theo cấp độ quan trọng cần được sao lưu, kèm theo thời gian lưu trữ, định kỳ sao lưu, phương pháp sao lưu và thời gian kiểm tra phục hồi hệ thống từ dữ liệu sao lưu.
2. Dữ liệu của các hệ thống thông tin từ cấp độ 3 trở lên phải có phương án tự động sao lưu phù hợp với tần suất thay đổi của dữ liệu và bảo đảm nguyên tắc dữ liệu phát sinh phải được sao lưu trong vòng 24 giờ; dữ liệu của các hệ thống thông tin còn lại thực hiện sao lưu định kỳ theo quy định của tổ chức.
3. Dữ liệu sao lưu của các hệ thống thông tin từ cấp độ 3 trở lên phải được lưu trữ ra phương tiện lưu trữ ngoài (như băng từ, đĩa cứng, đĩa quang hoặc phương tiện lưu trữ khác) và cất giữ, bảo quản an toàn tách rời với khu vực lắp đặt hệ thống thông tin nguồn ngay trong ngày làm việc tiếp theo ngày hoàn thành việc sao lưu.
4. Kiểm tra, phục hồi dữ liệu sao lưu từ phương tiện lưu trữ ngoài theo định kỳ tối thiểu:
a) Một năm một lần đối với hệ thống thông tin từ cấp độ 3 trở lên;
b) Hai năm một lần với các hệ thống khác.
(Điều 22 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.23. Quản lý an toàn, bảo mật hệ thống mạng
Tổ chức thực hiện quản lý an toàn, bảo mật hệ thống mạng như sau:
1. Xây dựng quy định về quản lý an toàn, bảo mật hệ thống mạng và quản lý các thiết bị đầu cuối của toàn bộ hệ thống mạng.
2. Lập, lưu trữ hồ sơ về sơ đồ logic và vật lý đối với hệ thống mạng, bao gồm cả mạng diện rộng (WAN/Intranet) và mạng nội bộ (LAN).
3. Xây dựng hệ thống mạng của tổ chức đáp ứng yêu cầu tối thiểu sau:
a) Chia tách thành các vùng mạng khác nhau theo đối tượng sử dụng, mục đích sử dụng và hệ thống thông tin, tối thiểu: (i) Có phân vùng mạng riêng cho máy chủ ứng dụng và cơ sở dữ liệu của hệ thống thông tin từ cấp độ 3 trở lên; (ii) Có phân vùng mạng trung gian (DMZ) để cung cấp dịch vụ trên mạng Internet; (iii) Có phân vùng mạng riêng để cung cấp dịch vụ mạng không dây;
b) Có thiết bị có chức năng tường lửa để kiểm soát các kết nối, truy cập vào ra các vùng mạng quan trọng;
c) Có thiết bị có chức năng tường lửa và chức năng phát hiện phòng chống xâm nhập để kiểm soát kết nối, truy cập từ mạng không tin cậy vào hệ thống mạng của tổ chức;
d) Có giải pháp kiểm soát, phát hiện và ngăn chặn kịp thời các kết nối, truy cập trái phép vào hệ thống mạng nội bộ của tổ chức có hệ thống thông tin từ cấp độ 3 trở lên;
đ) Có phương án cân bằng tải và phương án ứng phó tấn công từ chối dịch vụ đối với các hệ thống thông tin từ cấp độ 3 trở lên cung cấp dịch vụ trên mạng Internet.
4. Thiết lập, cấu hình các tính năng theo thiết kế của các trang thiết bị an ninh mạng; thực hiện các biện pháp, giải pháp để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng về mặt kỹ thuật của hệ thống mạng; thường xuyên kiểm tra, phát hiện những kết nối, trang thiết bị, phần mềm cài đặt bất hợp pháp vào mạng.
(Điều 23 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.24. Trao đổi thông tin
Khi thực hiện trao đổi thông tin với khách hàng và bên thứ ba, tổ chức có trách nhiệm sau:
1. Ban hành quy định về trao đổi thông tin tối thiểu gồm: loại thông tin trao đổi; quyền và trách nhiệm của cá nhân khi tiếp cận thông tin; phương tiện trao đổi thông tin; biện pháp bảo đảm tính toàn vẹn, bảo mật khi truyền nhận, xử lý, lưu trữ thông tin; chế độ bảo quản thông tin.
2. Khi trao đổi thông tin cá nhân, thông tin nội bộ và thông tin bí mật với bên ngoài, tổ chức phải có văn bản thỏa thuận, xác định trách nhiệm và nghĩa vụ của các bên tham gia trong việc sử dụng, bảo đảm an toàn thông tin.
3. Các thông tin bí mật phải được mã hóa hoặc áp dụng các biện pháp bảo mật thông tin trước khi trao đổi. Đối với hệ thống thông tin cấp độ 5, tổ chức phải sử dụng kết nối mạng an toàn và các thiết bị, phương tiện chuyên dụng để mã hoá, giải mã thông tin bí mật và khi trao đổi thông tin.
4. Thực hiện biện pháp bảo vệ trang thiết bị, phần mềm phục vụ trao đổi thông tin nhằm hạn chế việc xâm nhập, khai thác bất hợp pháp.
5. Thực hiện các biện pháp quản lý, giám sát và kiểm soát chặt chẽ các trang thông tin điện tử cung cấp thông tin, dịch vụ, giao dịch trực tuyến cho khách hàng.
(Điều 24 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.25. Quản lý hệ thống thông tin cung cấp dịch vụ giao dịch trực tuyến
1. Hệ thống thông tin cung cấp dịch vụ trực tuyến cho khách hàng phải tuân thủ tiêu chuẩn TCVN 11930:2017 (tiêu chuẩn Công nghệ thông tin – Các kỹ thuật an toàn – Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ) và các yêu cầu sau:
a) Bảo đảm tính toàn vẹn của dữ liệu trao đổi với khách hàng trong giao dịch trực tuyến;
b) Dữ liệu trên đường truyền phải bảo đảm tính bí mật và phải được truyền đầy đủ, đúng địa chỉ và có biện pháp bảo vệ để phát hiện các thay đổi hoặc sao chép trái phép;
c) Đánh giá cấp độ rủi ro trong giao dịch trực tuyến theo đối tượng khách hàng, loại giao dịch, hạn mức giao dịch để cung cấp giải pháp xác thực giao dịch phù hợp theo quy định của Ngân hàng Nhà nước;
d) Trang thông tin điện tử giao dịch trực tuyến phải được áp dụng các biện pháp chứng thực chống giả mạo và ngăn chặn, chống sửa đổi trái phép.
2. Hệ thống dịch vụ giao dịch trực tuyến phải được áp dụng các biện pháp để giám sát chặt chẽ và phát hiện, cảnh báo về:
a) Giao dịch đáng ngờ dựa vào các tiêu chí tối thiểu gồm: thời gian giao dịch, địa điểm giao dịch (vị trí địa lý, địa chỉ IP mạng), tần suất giao dịch, số tiền giao dịch, số lần xác thực sai quy định;
b) Hoạt động bất thường của hệ thống;
c) Các cuộc tấn công từ chối dịch vụ (DoS – Denial of Service attack), tấn công từ chối dịch vụ phân tán (DdoS – Distributed Denial of Service attack).
3. Tổ chức hướng dẫn các biện pháp bảo đảm an toàn thông tin và cảnh báo rủi ro cho khách hàng trước khi tham gia sử dụng dịch vụ giao dịch trực tuyến và theo định kỳ.
4. Khi cung cấp phần mềm ứng dụng giao dịch trực tuyến trên Internet, tổ chức phải áp dụng các biện pháp bảo đảm tính toàn vẹn của phần mềm.
(Điều 25 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.26. Giám sát và ghi nhật ký hoạt động của hệ thống thông tin
Tổ chức thực hiện giám sát và ghi nhật ký hoạt động của hệ thống thông tin từ cấp độ 2 trở lên như sau:
1. Ghi và lưu trữ nhật ký về hoạt động của hệ thống thông tin và người sử dụng, các lỗi phát sinh, các sự cố an toàn thông tin nếu hệ thống hỗ trợ, tối thiểu bao gồm:
a) Thông tin kết nối mạng (firewall log);
b) Thông tin đăng nhập;
c) Thông tin thay đổi cấu hình;
d) Thông tin truy cập dữ liệu và dịch vụ quan trọng (nếu có);
đ) Thông tin các lỗi phát sinh trong quá trình hoạt động;
e) Thông tin cảnh báo từ các thiết bị;
g) Thông tin hiệu năng hoạt động của thiết bị (đối với hệ thống thông tin từ cấp độ 3 trở lên).
2. Dữ liệu nhật ký của các hệ thống thông tin cấp độ 2 phải được lưu trực tuyến tối thiểu 1 tháng và sao lưu tối thiểu 6 tháng. Dữ liệu nhật ký của các hệ thống thông tin từ cấp độ 3 trở lên phải được lưu trực tuyến tối thiểu 3 tháng theo hình thức tập trung và sao lưu tối thiểu một năm.
3. Có phương án giám sát, cảnh báo khi có thay đổi thông tin bí mật lưu trên hệ thống lưu trữ/phương tiện lưu trữ của các hệ thống thông tin từ cấp độ 4 trở lên.
4. Bảo vệ các chức năng ghi nhật ký và thông tin nhật ký, chống giả mạo, thay đổi và truy cập trái phép; bảo đảm người quản trị hệ thống và người sử dụng không thể xóa hay sửa đổi nhật ký hệ thống ghi lại các hoạt động của chính họ.
5. Thực hiện việc đồng bộ thời gian giữa các hệ thống thông tin.
(Điều 26 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.27. Phòng chống mã độc
Tổ chức xây dựng và thực hiện quy định về phòng chống mã độc như sau:
1. Xác định trách nhiệm của cá nhân và các bộ phận liên quan trong công tác phòng chống mã độc.
2. Triển khai biện pháp, giải pháp phòng chống mã độc cho toàn bộ hệ thống thông tin của tổ chức.
3. Cập nhật thường xuyên mẫu mã độc và phần mềm phòng chống mã độc mới: thiết lập cập nhật tự động hoặc theo lịch định kỳ hàng ngày.
4. Kiểm tra, diệt mã độc đối với vật mang tin trước khi sử dụng.
5. Kiểm soát việc cài đặt phần mềm bảo đảm tuân thủ theo quy chế an toàn thông tin của tổ chức.
6. Kiểm soát thư điện tử lạ, các tệp tin đính kèm hoặc các liên kết trong các thư lạ.
(Điều 27 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.28. Yêu cầu đối với kiểm soát truy cập
1. Tổ chức quy định về quản lý truy cập đối với người sử dụng, nhóm người sử dụng, các thiết bị, công cụ sử dụng để truy cập hệ thống thông tin bảo đảm đáp ứng yêu cầu nghiệp vụ và yêu cầu an toàn thông tin, bao gồm các nội dung cơ bản sau:
a) Đăng ký, cấp phát, gia hạn và thu hồi quyền truy cập của người sử dụng;
b) Mỗi tài khoản truy cập hệ thống phải được gán cho một người sử dụng duy nhất; trường hợp chia sẻ tài khoản dùng chung để truy cập hệ thống thông tin thì phải được phê duyệt bởi cấp có thẩm quyền và xác định được trách nhiệm cá nhân tại mỗi thời điểm sử dụng;
c) Đối với tài khoản để các ứng dụng, dịch vụ kết nối tự động, phải được giao cho một cá nhân quản lý và được giới hạn quyền truy cập theo mục đích sử dụng; cá nhân được giao quản lý không được phép sử dụng tài khoản này cho các mục đích khác;
d) Đối với hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng phải giới hạn và kiểm soát các truy cập sử dụng tài khoản có quyền quản trị: (i) Thiết lập cơ chế kiểm soát việc tạo tài khoản có quyền quản trị để bảo đảm không một tài khoản nào sử dụng được khi chưa được cấp có thẩm quyền phê duyệt; (ii) Phải có biện pháp giám sát việc sử dụng tài khoản có quyền quản trị; (iii) Việc sử dụng tài khoản có quyền quản trị phải được giới hạn trong khoảng thời gian đủ để thực hiện công việc và phải được thu hồi ngay sau khi kết thúc công việc; (iv) Việc kết nối quản trị hệ thống phải qua các máy chủ trung gian hoặc các hệ thống quản trị tập trung, không thực hiện trực tiếp từ máy trạm của người quản trị;
đ) Quản lý, cấp phát mã khóa bí mật truy cập hệ thống thông tin;
e) Rà soát, kiểm tra, xét duyệt lại quyền truy cập của người sử dụng;
g) Yêu cầu, điều kiện an toàn thông tin đối với các thiết bị, công cụ sử dụng để truy cập.
2. Tổ chức xây dựng quy định về quản lý mã khóa bí mật đáp ứng các yêu cầu sau:
a) Mã khóa bí mật phải có độ dài từ sáu ký tự trở lên, cấu tạo gồm các ký tự số, chữ hoa, chữ thường và các ký tự đặc biệt khác nếu hệ thống cho phép; các yêu cầu mã khóa bí mật hợp lệ phải được kiểm tra tự động khi thiết lập mã khóa bí mật;
b) Các mã khóa bí mật mặc định của nhà sản xuất cài đặt sẵn trên các trang thiết bị, phần mềm phải được thay đổi trước khi đưa vào sử dụng;
c) Phần mềm quản lý mã khóa bí mật phải có các chức năng: (i) Yêu cầu thay đổi mã khóa bí mật lần đầu đăng nhập (không áp dụng với mã khóa bí mật sử dụng một lần); (ii) Thông báo người sử dụng thay đổi mã khóa bí mật sắp hết hạn sử dụng; (iii) Hủy hiệu lực của mã khóa bí mật hết hạn sử dụng; (iv) Hủy hiệu lực của mã khóa bí mật khi người sử dụng nhập sai quá số lần cho phép; (v) Cho phép thay đổi ngay mã khóa bí mật bị lộ, có nguy cơ bị lộ hoặc theo yêu cầu của người sử dụng; (vi) Ngăn chặn việc sử dụng lại mã khóa bí mật cũ trong một khoảng thời gian nhất định.
3. Tổ chức xây dựng quy định về trách nhiệm của người sử dụng khi được cấp quyền truy cập bao gồm các nội dung: sử dụng mã khóa bí mật đúng quy định; giữ bí mật mã khóa bí mật; sử dụng thiết bị, công cụ để truy cập; thoát khỏi hệ thống khi không làm việc hoặc tạm thời không làm việc trên hệ thống.
(Điều 28 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.29. Quản lý truy cập mạng nội bộ
Tổ chức xây dựng và triển khai các chính sách quản lý truy cập mạng nội bộ đáp ứng các yêu cầu sau:
1. Xây dựng và triển khai quy định quản lý truy cập mạng và các dịch vụ mạng gồm các nội dung cơ bản sau:
a) Các mạng và dịch vụ mạng được phép sử dụng, cách thức, phương tiện và các điều kiện an toàn thông tin để truy cập;
b) Trách nhiệm của người quản trị, người truy cập;
c) Thủ tục cấp phát, thay đổi, thu hồi quyền kết nối;
d) Kiểm soát việc quản trị, truy cập, sử dụng mạng.
2. Thực hiện các biện pháp kiểm soát chặt chẽ các kết nối từ mạng không tin cậy vào mạng nội bộ của tổ chức bảo đảm an toàn thông tin.
3. Kiểm soát việc cài đặt, sử dụng các công cụ phần mềm hỗ trợ truy cập từ xa.
4. Kiểm soát truy cập các cổng dùng để cấu hình và quản trị thiết bị mạng.
5. Cấp quyền truy cập mạng và dịch vụ mạng phải bảo đảm nguyên tắc quyền vừa đủ để thực hiện nhiệm vụ được giao.
6. Kết nối từ mạng Internet vào mạng nội bộ của tổ chức để phục vụ công việc phải sử dụng mạng riêng ảo và xác thực đa yếu tố.
(Điều 29 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.30. Quản lý truy cập hệ thống thông tin và ứng dụng
Tổ chức xây dựng và triển khai việc quản lý truy cập đáp ứng yêu cầu sau:
1. Kiểm soát những phần mềm tiện ích có khả năng ảnh hưởng đến hệ thống thông tin.
2. Quy định thời gian truy cập vào ứng dụng tương ứng với thời gian hoạt động nghiệp vụ và dịch vụ mà ứng dụng cung cấp. Tự động ngắt phiên làm việc của người sử dụng sau một thời gian không sử dụng nhằm ngăn chặn sự truy cập trái phép.
3. Quản lý và phân quyền truy cập thông tin và ứng dụng bảo đảm nguyên tắc cấp quyền vừa đủ để thực hiện nhiệm vụ được giao của người sử dụng:
a) Phân quyền truy cập đến từng thư mục, chức năng của chương trình;
b) Phân quyền đọc, ghi, xóa, thực thi đối với thông tin, dữ liệu, chương trình.
4. Các hệ thống thông tin sử dụng chung nguồn tài nguyên phải được cấp có thẩm quyền phê duyệt.
5. Đối với máy chủ thuộc hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng phải sử dụng giao thức kết nối an toàn và có phương án chống đăng nhập tự động.
6. Đối với các hệ thống thông tin từ cấp độ 4 trở lên phải áp dụng xác thực đa yếu tố khi truy cập quản trị các máy chủ, ứng dụng và các thiết bị mạng, an ninh mạng quan trọng.
(Điều 30 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.31. Quản lý kết nối Internet
Tổ chức quy định và triển khai việc quản lý kết nối Internet đáp ứng yêu cầu sau:
1. Quy định quản lý kết nối, truy cập sử dụng Internet gồm các nội dung cơ bản sau:
a) Trách nhiệm cá nhân và các bộ phận có liên quan trong khai thác sử dụng Internet;
b) Đối tượng được phép truy cập, kết nối sử dụng Internet;
c) Các hành vi bị cấm, hạn chế;
d) Kiểm soát kết nối, truy cập sử dụng Internet;
đ) Các biện pháp bảo đảm an toàn thông tin khi kết nối Internet.
2. Thực hiện quản lý tập trung, thống nhất các cổng kết nối Internet trong toàn bộ tổ chức.
3. Triển khai các giải pháp an ninh mạng tại các cổng kết nối Internet để bảo đảm an toàn trước các hiểm họa tấn công từ Internet vào mạng nội bộ của tổ chức.
4. Sử dụng các công cụ để dò tìm và phát hiện kịp thời các điểm yếu, lỗ hổng và các tấn công, truy cập bất hợp pháp vào hệ thống mạng nội bộ của tổ chức thông qua cổng kết nối Internet.
(Điều 31 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.32. Các nguyên tắc chung về sử dụng dịch vụ của bên thứ ba
Khi sử dụng dịch vụ công nghệ thông tin của bên thứ ba, tổ chức bảo đảm các nguyên tắc sau đây:
1. Không làm suy giảm khả năng cung cấp dịch vụ liên tục của tổ chức cho khách hàng.
2. Không làm suy giảm việc kiểm soát quy trình nghiệp vụ của tổ chức.
3. Không làm thay đổi trách nhiệm của tổ chức trong việc bảo đảm an toàn thông tin.
4. Dịch vụ công nghệ thông tin của bên thứ ba phải đáp ứng các quy định về bảo đảm an toàn thông tin của tổ chức.
(Điều 32 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.33. Các yêu cầu khi sử dụng dịch vụ của bên thứ ba
Trước khi sử dụng dịch vụ của bên thứ ba triển khai cho các hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng, tổ chức thực hiện:
1. Đánh giá rủi ro công nghệ thông tin, rủi ro hoạt động tối thiểu bao gồm các nội dung sau:
a) Nhận diện rủi ro, phân tích, ước lượng cấp độ tổn hại, mối đe dọa đến an toàn thông tin;
b) Khả năng kiểm soát các quy trình nghiệp vụ, khả năng cung cấp dịch vụ liên tục, khả năng thực hiện nghĩa vụ cung cấp thông tin cho các cơ quan nhà nước;
c) Xác định rõ vai trò, trách nhiệm của các bên liên quan trong việc bảo đảm chất lượng dịch vụ;
d) Xây dựng các biện pháp nhằm giảm thiểu rủi ro, biện pháp phòng ngừa, ứng cứu, khắc phục sự cố;
đ) Rà soát và điều chỉnh chính sách quản lý rủi ro (nếu có).
2. Trong trường hợp sử dụng dịch vụ điện toán đám mây, ngoài các yêu cầu tại khoản 1 Điều này, tổ chức thực hiện:
a) Phân loại hoạt động, nghiệp vụ dự kiến triển khai trên điện toán đám mây dựa trên đánh giá tác động của hoạt động, nghiệp vụ đó với hoạt động của tổ chức;
b) Xây dựng phương án dự phòng đối với các cấu phần của hệ thống thông tin từ cấp độ 3 trở lên. Phương án dự phòng phải được kiểm thử và đánh giá sẵn sàng thay thế cho các hoạt động, nghiệp vụ triển khai trên điện toán đám mây;
c) Xây dựng các tiêu chí lựa chọn bên thứ ba đáp ứng yêu cầu quy định tại Điều 34 Thông tư này;
d) Rà soát, bổ sung, áp dụng các biện pháp bảo đảm an toàn thông tin của tổ chức, giới hạn truy cập từ điện toán đám mây đến các hệ thống thông tin của tổ chức.
3. Trường hợp thuê bên thứ ba thực hiện toàn bộ công việc quản trị hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin xử lý thông tin khách hàng, tổ chức thực hiện đánh giá rủi ro theo quy định tại khoản 1 Điều này và gửi báo cáo đánh giá rủi ro cho Ngân hàng Nhà nước (Cục Công nghệ thông tin).
(Điều 33 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.34. Tiêu chí lựa chọn bên thứ ba cung cấp dịch vụ điện toán đám mây
Tiêu chí lựa chọn bên thứ ba bao gồm các nội dung tối thiểu sau:
1. Bên thứ ba phải là doanh nghiệp.
2. Có hạ tầng công nghệ thông tin tương ứng với dịch vụ mà tổ chức sử dụng đáp ứng các yêu cầu sau:
a) Các quy định của pháp luật Việt Nam;
b) Có chứng nhận quốc tế còn hiệu lực về bảo đảm an toàn thông tin.
(Điều 34 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.35. Hợp đồng sử dụng dịch vụ với bên thứ ba
Hợp đồng sử dụng dịch vụ ký kết với bên thứ ba triển khai cho các hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng phải có tối thiểu những nội dung sau:
1. Cam kết của bên thứ ba về bảo đảm an toàn thông tin bao gồm:
a) Không sao chép, thay đổi, sử dụng hay cung cấp dữ liệu của tổ chức sử dụng dịch vụ cho cá nhân, tổ chức khác, trừ trường hợp có yêu cầu của cơ quan nhà nước có thẩm quyền theo quy định của pháp luật; trong trường hợp này, bên thứ ba phải thông báo cho tổ chức sử dụng dịch vụ trước khi cung cấp dữ liệu, trừ khi việc thông báo sẽ vi phạm pháp luật Việt Nam;
b) Phổ biến cho nhân sự của bên thứ ba tham gia thực hiện hợp đồng các quy định về bảo đảm an toàn thông tin của tổ chức, thực hiện các biện pháp giám sát bảo đảm tuân thủ.
2. Quy định cụ thể thời gian tối đa có thể gián đoạn dịch vụ và thời gian khắc phục sự cố, các yêu cầu liên quan đến bảo đảm hoạt động liên tục (dự phòng tại chỗ, sao lưu dữ liệu, dự phòng thảm họa), các yêu cầu liên quan đến năng lực xử lý, tính toán, lưu trữ, các biện pháp thực hiện khi chất lượng dịch vụ không được bảo đảm.
3. Trường hợp bên thứ ba sử dụng nhà thầu phụ không làm thay đổi trách nhiệm của bên thứ ba đối với dịch vụ mà tổ chức sử dụng.
4. Dữ liệu phát sinh trong quá trình sử dụng dịch vụ là tài sản của tổ chức. Khi chấm dứt sử dụng dịch vụ:
a) Bên thứ ba thực hiện trả lại hoặc hỗ trợ chuyển toàn bộ dữ liệu triển khai và dữ liệu phát sinh trong quá trình sử dụng dịch vụ về cho tổ chức;
b) Bên thứ ba cam kết hoàn thành việc xóa toàn bộ dữ liệu của tổ chức trong một khoảng thời gian xác định.
5. Bên thứ ba phải thông báo cho tổ chức khi phát hiện nhân sự vi phạm quy định về an toàn thông tin đối với dịch vụ mà tổ chức sử dụng.
6. Hợp đồng sử dụng dịch vụ điện toán đám mây, ngoài các nội dung quy định tại các khoản 1, 2, 3, 4, 5 Điều này, phải bổ sung thêm những nội dung sau:
a) Bên thứ ba phải cung cấp báo cáo kiểm toán tuân thủ công nghệ thông tin do tổ chức kiểm toán độc lập thực hiện hàng năm trong thời gian thực hiện hợp đồng;
b) Bên thứ ba phải cung cấp: công cụ kiểm soát chất lượng dịch vụ đám mây; quy trình giám sát, kiểm soát chất lượng dịch vụ đám mây;
c) Bên thứ ba phải minh bạch các vị trí (thành phố, quốc gia) đặt trung tâm dữ liệu bên ngoài lãnh thổ Việt Nam triển khai dịch vụ cho tổ chức;
d) Trách nhiệm bảo vệ dữ liệu, chống truy cập dữ liệu trái phép trên kênh phân phối dịch vụ từ bên thứ ba đến tổ chức;
đ) Bên thứ ba phải hỗ trợ, hợp tác điều tra trong trường hợp có yêu cầu từ các cơ quan nhà nước có thẩm quyền của Việt Nam theo quy định của pháp luật;
e) Dữ liệu của tổ chức phải được tách biệt với dữ liệu của khách hàng khác sử dụng trên cùng nền tảng kỹ thuật do bên thứ ba cung cấp.
(Điều 35 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.36. Trách nhiệm của tổ chức trong quá trình sử dụng dịch vụ của bên thứ ba
Khi sử dụng dịch vụ của bên thứ ba, tổ chức có trách nhiệm sau:
1. Cung cấp, thông báo và yêu cầu bên thứ ba thực hiện các quy định về an toàn thông tin của tổ chức.
2. Có quy trình và bố trí nguồn lực để giám sát, kiểm soát các dịch vụ do bên thứ ba cung cấp bảo đảm chất lượng dịch vụ theo thỏa thuận đã ký kết. Đối với dịch vụ điện toán đám mây, phải giám sát, kiểm soát chất lượng dịch vụ.
3. Áp dụng các quy định về an toàn thông tin của tổ chức đối với trang thiết bị, dịch vụ do bên thứ ba cung cấp được triển khai trên hạ tầng do tổ chức quản lý, sử dụng.
4. Quản lý các thay đổi đối với dịch vụ do bên thứ ba cung cấp bao gồm: thay đổi nhà cung cấp, thay đổi giải pháp, thay đổi phiên bản, thay đổi các nội dung quy định tại Điều 41 Thông tư này; đánh giá đầy đủ tác động của việc thay đổi, bảo đảm an toàn khi được đưa vào sử dụng.
5. Áp dụng các biện pháp giám sát chặt chẽ và giới hạn quyền truy cập của bên thứ ba khi cho phép bên thứ ba truy cập vào hệ thống thông tin của tổ chức.
6. Giám sát nhân sự của bên thứ ba trong quá trình thực hiện hợp đồng. Trường hợp phát hiện nhân sự bên thứ ba vi phạm quy định về an toàn thông tin phải thông báo và phối hợp với bên thứ ba áp dụng biện pháp xử lý kịp thời.
7. Thu hồi quyền truy cập hệ thống thông tin đã được cấp cho bên thứ ba, thay đổi các khóa, mã khóa bí mật nhận bàn giao từ bên thứ ba ngay sau khi hoàn thành công việc hoặc kết thúc hợp đồng.
8. Đối với hệ thống thông tin từ cấp độ 3 trở lên, các hệ thống thông tin xử lý thông tin khách hàng hoặc hệ thống thông tin sử dụng dịch vụ điện toán đám mây, phải đánh giá sự tuân thủ các quy định về bảo đảm an toàn thông tin của bên thứ ba theo đúng thỏa thuận đã ký kết. Thực hiện đánh giá sự tuân thủ định kỳ hàng năm hoặc đột xuất khi có nhu cầu. Việc đánh giá tuân thủ có thể sử dụng kết quả kiểm toán công nghệ thông tin của tổ chức kiểm toán độc lập.
(Điều 36 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.37. Yêu cầu về an toàn, bảo mật các hệ thống thông tin
Khi xây dựng mới hoặc nâng cấp hệ thống thông tin do tổ chức quản lý trực tiếp, tổ chức phải thực hiện phân loại hệ thống thông tin theo cấp độ quy định tại Điều 5 Thông tư này. Đối với hệ thống thông tin từ cấp độ 2 trở lên, tổ chức thực hiện:
1. Xây dựng tài liệu thiết kế, mô tả về các phương án bảo đảm an toàn hệ thống thông tin. Trong đó các yêu cầu về an toàn, bảo mật được xây dựng đồng thời với việc xây dựng các yêu cầu kỹ thuật, nghiệp vụ.
2. Xây dựng phương án kiểm tra, xác minh hệ thống được triển khai tuân thủ theo đúng tài liệu thiết kế và yêu cầu bảo đảm an toàn thông tin trước khi nghiệm thu. Kết quả kiểm tra phải lập thành báo cáo và được cấp có thẩm quyền phê duyệt trước khi đưa vào vận hành chính thức.
3. Giám sát, quản lý chặt chẽ việc thuê mua phần mềm bên ngoài theo quy định tại Điều 36 Thông tư này.
(Điều 37 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.38. Bảo đảm an toàn, bảo mật ứng dụng
Các chương trình ứng dụng nghiệp vụ phải đáp ứng các yêu cầu tối thiểu sau:
1. Kiểm tra tính hợp lệ của dữ liệu nhập vào các ứng dụng, bảo đảm dữ liệu được nhập vào chính xác và hợp lệ.
2. Kiểm tra tính hợp lệ của dữ liệu cần được xử lý tự động trong các ứng dụng nhằm phát hiện thông tin sai lệch do các lỗi trong quá trình xử lý hoặc các hành vi sửa đổi thông tin có chủ ý.
3. Có các biện pháp bảo đảm tính xác thực và bảo vệ sự toàn vẹn của dữ liệu được xử lý trong các ứng dụng.
4. Kiểm tra tính hợp lệ của dữ liệu xuất ra từ các ứng dụng, bảo đảm quá trình xử lý thông tin của các ứng dụng là chính xác và hợp lệ.
5. Mã khóa bí mật của người sử dụng trong các hệ thống thông tin từ cấp độ 2 trở lên phải được mã hóa ở lớp ứng dụng.
(Điều 38 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.39. Quản lý mã hóa
Tổ chức quản lý mã hóa như sau:
1. Quy định và đưa vào sử dụng các biện pháp mã hóa theo quy chuẩn kỹ thuật quốc gia về mã hóa dữ liệu sử dụng trong lĩnh vực ngân hàng hoặc tiêu chuẩn quốc tế đã được công nhận.
2. Có biện pháp quản lý khóa mã hóa để bảo vệ thông tin của tổ chức.
(Điều 39 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.40. An toàn, bảo mật trong quá trình phát triển phần mềm
1. Tổ chức thực hiện quản lý quá trình phát triển phần mềm như sau:
a) Quản lý, kiểm soát mã nguồn. Việc truy cập, tiếp cận mã nguồn phải được sự phê duyệt của cấp có thẩm quyền;
b) Quản lý, bảo vệ tệp tin cấu hình hệ thống;
c) Yêu cầu bên thứ ba cung cấp mã nguồn phần mềm đối với các phần mềm thuê ngoài gia công (outsourced software) của các hệ thống thông tin từ cấp độ 2 trở lên.
2. Tổ chức phải lựa chọn, kiểm soát đối với dữ liệu kiểm tra, thử nghiệm. Không sử dụng dữ liệu thật của hệ thống thông tin vận hành chính thức cho hoạt động kiểm thử khi chưa thực hiện các biện pháp che giấu hoặc thay đổi đối với dữ liệu chứa thông tin khách hàng và thông tin bí mật.
(Điều 40 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.41. Quản lý sự thay đổi hệ thống thông tin
Tổ chức ban hành quy trình, biện pháp quản lý và kiểm soát sự thay đổi hệ thống thông tin, tối thiểu bao gồm:
1. Thực hiện ghi chép lại các thay đổi; lập kế hoạch thay đổi; thực hiện kiểm tra, thử nghiệm sự thay đổi, báo cáo kết quả; phê duyệt kế hoạch thay đổi trước khi áp dụng chính thức thay đổi phiên bản phần mềm, cấu hình phần cứng, tham số phần mềm hệ thống, quy trình vận hành. Có phương án dự phòng cho việc phục hồi hệ thống trong trường hợp thực hiện thay đổi không thành công hoặc gặp các sự cố không có khả năng dự tính trước.
2. Kiểm tra, đánh giá tác động để bảo đảm hệ thống thông tin hoạt động ổn định, an toàn trên môi trường mới đối với hệ thống thông tin từ cấp độ 3 trở lên khi thay đổi phiên bản hoặc thay đổi hệ điều hành, hệ quản trị cơ sở dữ liệu, phần mềm lớp giữa.
(Điều 41 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.42. Kiểm tra, đánh giá an toàn thông tin
1. Nội dung kiểm tra, đánh giá an toàn thông tin tối thiểu phải bao gồm các nội dung sau:
a) Kiểm tra việc tuân thủ quy định của pháp luật về bảo đảm an toàn hệ thống thông tin theo cấp độ;
b) Đánh giá hiệu quả của biện pháp bảo đảm an toàn hệ thống thông tin;
c) Đánh giá, phát hiện mã độc, lỗ hổng, điểm yếu về mặt kỹ thuật theo quy định tại Điều 43 Thông tư này;
d) Kiểm tra thử nghiệm cấp độ an toàn mạng (Penetration Test), bắt buộc phải thực hiện đối với các hệ thống thông tin có kết nối và cung cấp thông tin, dịch vụ ra Internet, kết nối với khách hàng và bên thứ ba;
đ) Kiểm tra cấu hình các thiết bị bảo mật, các hệ thống cấp quyền truy cập tự động, hệ thống quản lý thiết bị đầu cuối, danh sách tài khoản.
2. Tổ chức thực hiện kiểm tra, đánh giá an toàn thông tin đối với hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng theo các nội dung quy định tại khoản 1 Điều này trước khi đưa vào vận hành chính thức.
3. Trong quá trình vận hành hệ thống thông tin, tổ chức thực hiện kiểm tra, đánh giá an toàn thông tin theo quy định tại khoản 1 Điều này định kỳ tối thiểu như sau:
a) Sáu tháng một lần đối với hệ thống thông tin cấp độ 5;
b) Một năm một lần đối với các hệ thống thông tin cấp độ 4, cấp độ 3 và các trang thiết bị giao tiếp trực tiếp với môi trường bên ngoài như Internet, kết nối với bên thứ ba;
c) Hai năm một lần thực hiện kiểm tra, đánh giá an toàn thông tin và quản lý rủi ro an toàn thông tin tổng thể trong hoạt động của tổ chức.
4. Kết quả đánh giá phải được lập thành văn bản báo cáo người đại diện hợp pháp và cấp có thẩm quyền. Đối với các nội dung chưa tuân thủ quy định về an toàn thông tin (nếu có) phải đề xuất biện pháp, kế hoạch, thời hạn xử lý, khắc phục.
(Điều 42 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.43. Quản lý các điểm yếu về mặt kỹ thuật
Tổ chức quản lý các điểm yếu về mặt kỹ thuật như sau:
1. Xây dựng quy định về việc đánh giá, quản lý và kiểm soát các điểm yếu về mặt kỹ thuật của các hệ thống thông tin đang sử dụng.
2. Thường xuyên cập nhật thông tin liên quan đến lỗ hổng, điểm yếu về mặt kỹ thuật.
3. Thực hiện dò quét lỗ hổng, điểm yếu của các hệ thống thông tin định kỳ theo quy định tại khoản 3 Điều 42 hoặc khi tiếp nhận được thông tin liên quan đến lỗ hổng, điểm yếu mới.
4. Đánh giá cấp độ tác động, rủi ro của từng lỗ hổng, điểm yếu về mặt kỹ thuật được phát hiện của các hệ thống thông tin đang sử dụng và đưa ra phương án, kế hoạch xử lý.
5. Xây dựng, tổ chức triển khai các giải pháp xử lý, khắc phục và báo cáo kết quả xử lý.
(Điều 43 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.44. Quản lý bảo trì hệ thống thông tin
Tổ chức quản lý bảo trì hệ thống thông tin như sau:
1. Ban hành quy định bảo trì hệ thống thông tin ngay sau khi đưa vào hoạt động chính thức. Quy định bảo trì tối thiểu bao gồm các nội dung sau:
a) Phạm vi, các đối tượng được bảo trì;
b) Thời điểm, tần suất bảo trì;
c) Quy trình, kịch bản kỹ thuật để thực hiện bảo trì của từng cấu phần và toàn bộ hệ thống thông tin;
d) Khi thực hiện bảo trì nếu phát hiện, phát sinh sự cố phải báo cáo cấp có thẩm quyền để xử lý;
đ) Phân công và xác định trách nhiệm của bộ phận thực hiện bảo trì và giám sát bảo trì.
2. Thực hiện bảo trì theo quy định tại khoản 1 Điều này đối với hệ thống thông tin do tổ chức quản lý trực tiếp.
3. Rà soát quy định bảo trì tối thiểu một năm một lần hoặc khi hệ thống thông tin có sự thay đổi.
(Điều 44 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.45. Quy trình xử lý sự cố
Tổ chức quản lý sự cố như sau:
1. Ban hành quy trình xử lý sự cố an toàn thông tin bao gồm những nội dung tối thiểu sau:
a) Tiếp nhận thông tin về sự cố phát sinh;
b) Đánh giá cấp độ, phạm vi ảnh hưởng của sự cố đến hoạt động của hệ thống thông tin. Tùy theo cấp độ, phạm vi ảnh hưởng của sự cố phải báo cáo đến các cấp quản lý tương ứng để chỉ đạo xử lý;
c) Thực hiện các biện pháp xử lý, khắc phục sự cố;
d) Ghi nhận hồ sơ và báo cáo kết quả xử lý sự cố.
2. Quy định trách nhiệm của cá nhân, tập thể trong việc báo cáo, tiếp nhận, xử lý các sự cố an toàn thông tin.
3. Xây dựng các mẫu biểu để ghi nhận, lưu trữ hồ sơ xử lý sự cố.
(Điều 45 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.46. Kiểm soát và khắc phục sự cố
Tổ chức kiểm soát và khắc phục sự cố như sau:
1. Lập danh sách sự cố an toàn thông tin và phương án xử lý sự cố đối với các hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng; tối thiểu 6 tháng một lần thực hiện rà soát, cập nhật danh sách, phương án ứng cứu sự cố.
2. Báo cáo ngay đến cấp có thẩm quyền và những người có liên quan khi phát sinh sự cố an toàn thông tin để có biện pháp khắc phục trong thời gian sớm nhất.
3. Trong quá trình kiểm tra, xử lý, khắc phục sự cố thu thập, ghi chép, bảo vệ chứng cứ và lưu trữ tại tổ chức.
4. Đánh giá xác định nguyên nhân và thực hiện các biện pháp phòng ngừa tránh sự cố tái diễn sau khi khắc phục sự cố.
5. Trong trường hợp sự cố an toàn thông tin có liên quan đến các vi phạm pháp luật, tổ chức có trách nhiệm thu thập và cung cấp chứng cứ cho cơ quan có thẩm quyền đúng theo quy định của pháp luật.
6. Định kỳ hàng năm tổ chức diễn tập phương án xử lý sự cố bảo đảm an toàn thông tin cho tối thiểu một trong các hệ thống thông tin từ cấp độ 3 trở lên và thực hiện luân phiên nếu có từ 02 hệ thống thông tin từ cấp độ 3 trở lên.
(Điều 46 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.47. Trung tâm Điều hành an ninh mạng
1. Tổ chức quản lý trực tiếp hệ thống thông tin từ cấp độ 3 trở lên phải thành lập hoặc chỉ định bộ phận chuyên trách để quản lý vận hành Trung tâm Điều hành an ninh mạng (không áp dụng với chi nhánh ngân hàng nước ngoài, tổ chức cung ứng dịch vụ trung gian thanh toán, tổ chức tín dụng phi ngân hàng, tổ chức tài chính vi mô, quỹ tín dụng nhân dân cơ sở, công ty thông tin tín dụng, Công ty Quản lý tài sản của các tổ chức tín dụng Việt Nam, Nhà máy in tiền quốc gia).
2. Trung tâm Điều hành an ninh mạng thực hiện các nhiệm vụ sau:
a) Chủ động theo dõi, thu thập, tiếp nhận các thông tin, cảnh báo về các nguy cơ, rủi ro an toàn thông tin từ bên trong và bên ngoài.
b) Xây dựng hệ thống quản lý và phân tích sự kiện an toàn thông tin (SIEM), thực hiện thu thập và lưu trữ tập trung tối thiểu các thông tin: nhật ký của các hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng; cảnh báo, nhật ký của trang thiết bị an ninh mạng (tường lửa, IPS/IDS).
c) Phân tích thông tin để phát hiện và cảnh báo về các rủi ro và các nguy cơ tấn công mạng, sự cố an toàn thông tin và phải gửi cảnh báo đến người quản trị hệ thống khi phát hiện sự cố liên quan đến các hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin có xử lý thông tin cá nhân của khách hàng.
d) Tổ chức điều phối ứng cứu sự cố và khoanh vùng, ngăn chặn, giảm thiểu tác động, thiệt hại đến hệ thống thông tin khi sự cố phát sinh.
đ) Điều tra, xác định nguồn gốc, cách thức, phương pháp tấn công và thực hiện các biện pháp phòng ngừa tránh sự cố tái diễn.
e) Cung cấp thông tin theo yêu cầu của Ngân hàng Nhà nước để phục vụ giám sát an ninh mạng ngành Ngân hàng.
(Điều 47 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.48. Hoạt động ứng cứu sự cố an toàn thông tin
1. Mạng lưới ứng cứu sự cố an toàn thông tin trong ngành Ngân hàng (mạng lưới) bao gồm:
a) Ban điều hành mạng lưới do Thống đốc Ngân hàng Nhà nước thành lập;
b) Cơ quan điều phối là Cục Công nghệ thông tin (Ngân hàng Nhà nước);
c) Các thành viên mạng lưới: Cục Công nghệ thông tin (Ngân hàng Nhà nước), tổ chức tín dụng (bộ phận chuyên trách an toàn thông tin) và thành viên tự nguyện tham gia mạng lưới là các cơ quan, tổ chức tự nguyện tham gia.
2. Mạng lưới có nhiệm vụ phối hợp các nguồn lực trong và ngoài ngành ứng phó hiệu quả sự cố an toàn thông tin, góp phần bảo đảm hệ thống ngân hàng hoạt động an toàn.
3. Nguyên tắc trong hoạt động điều phối và ứng cứu sự cố
a) Ban điều hành mạng lưới có nhiệm vụ: (i) Phê duyệt chiến lược và kế hoạch hoạt động hàng năm của mạng lưới; (ii) Điều hành hoạt động mạng lưới (ứng cứu sự cố, diễn tập và đào tạo, tập huấn ứng cứu sự cố); (iii) Đánh giá kết quả hoạt động của mạng lưới, báo cáo Thống đốc Ngân hàng Nhà nước hàng năm;
b) Các tổ chức theo quy định tại điểm c khoản 2 Điều này phải có trách nhiệm cung cấp nguồn lực và tham gia làm thành viên mạng lưới;
c) Khi gặp sự cố an toàn thông tin, các thành viên phải báo cáo Cơ quan điều phối theo quy định tại khoản 1 Điều 54 Thông tư này;
d) Khi gặp sự cố nghiêm trọng không tự khắc phục được, các thành viên phải gửi yêu cầu hỗ trợ đến Cơ quan điều phối;
đ) Căn cứ vào từng sự cố, Cơ quan điều phối sẽ báo cáo Ban điều hành mạng lưới và đề nghị các thành viên mạng lưới hỗ trợ hoặc các cơ quan nhà nước có thẩm quyền hỗ trợ, ứng cứu.
4. Nguyên tắc quản lý, sử dụng thông tin trong hoạt động điều phối và ứng cứu sự cố:
a) Thông tin được trao đổi, cung cấp trong quá trình điều phối và ứng cứu sự cố là thông tin bí mật;
b) Nghiêm cấm tổ chức, cá nhân sử dụng thông tin trao đổi trong quá trình điều phối và ứng cứu sự cố để làm ảnh hưởng đến uy tín, hình ảnh của tổ chức cung cấp thông tin.
(Điều 48 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.49. Nguyên tắc bảo đảm hoạt động liên tục
1. Tổ chức thực hiện các yêu cầu tối thiểu sau:
a) Phân tích tác động và đánh giá rủi ro đối với việc gián đoạn hoặc ngừng hoạt động của hệ thống thông tin;
b) Xây dựng quy trình và kịch bản bảo đảm hoạt động liên tục hệ thống thông tin theo quy định tại Điều 51 Thông tư này;
c) Tổ chức triển khai bảo đảm hoạt động liên tục theo quy định tại Điều 52 Thông tư này.
2. Trên cơ sở phân tích tác động và đánh giá rủi ro tại điểm a khoản 1 Điều này, tổ chức lập danh sách các hệ thống thông tin cần bảo đảm hoạt động liên tục tối thiểu bao gồm các hệ thống thông tin từ cấp độ 3 trở lên.
3. Các hệ thống cần bảo đảm hoạt động liên tục tại khoản 2 Điều này phải bảo đảm tính sẵn sàng cao và có hệ thống dự phòng thảm họa.
(Điều 49 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.50. Xây dựng hệ thống dự phòng thảm họa
1. Tổ chức xây dựng hệ thống dự phòng thảm họa đáp ứng các yêu cầu sau:
a) Đánh giá rủi ro và xem xét khả năng xảy ra các thảm họa ảnh hưởng đồng thời tới cả hệ thống thông tin chính và hệ thống thông tin dự phòng thảm họa khi lựa chọn địa điểm đặt hệ thống dự phòng thảm họa: thảm họa tự nhiên như động đất, lũ lụt, bão, đại dịch; thảm họa do yếu tố con người và công nghệ như các sự cố về mạng lưới điện, hỏa hoạn, giao thông, tấn công an ninh mạng;
b) Địa điểm đặt hệ thống dự phòng phải đáp ứng các yêu cầu quy định tại Điều 17 Thông tư này;
c) Hệ thống dự phòng phải bảo đảm khả năng thay thế hệ thống chính trong khoảng thời gian: (i) 4 giờ đối với các hệ thống thông tin từ cấp độ 3 trở lên (ngoại trừ các hệ thống thông tin xử lý thông tin bí mật nhà nước); (ii) 24 giờ đối với các hệ thống thông tin xử lý thông tin bí mật nhà nước; (iii) Theo thời gian quy định của tổ chức đối với các hệ thống khác.
2. Các tổ chức chỉ có một trụ sở làm việc tại Việt Nam (trừ tổ chức tài chính vi mô, quỹ tín dụng nhân dân cơ sở) phải có văn phòng dự phòng tại một địa điểm khác tách biệt trụ sở làm việc và có trang thiết bị để bảo đảm hoạt động liên tục thay thế trụ sở làm việc.
(Điều 50 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.51. Xây dựng quy trình, kịch bản bảo đảm hoạt động liên tục
Tổ chức xây dựng quy trình, kịch bản bảo đảm hoạt động liên tục như sau:
1. Xây dựng quy trình xử lý các tình huống mất an toàn, gián đoạn hoạt động của từng cấu phần trong hệ thống thông tin từ cấp độ 3 trở lên.
2. Đối với các tổ chức có cả hệ thống thông tin chính và dự phòng đặt ngoài lãnh thổ Việt Nam phải xây dựng phương án bảo đảm hoạt động liên tục trong trường hợp bị gián đoạn đường truyền kết nối với các hệ thống thông tin chính và dự phòng.
3. Xây dựng kịch bản chuyển đổi hệ thống dự phòng thay thế cho hoạt động của hệ thống chính, bao gồm nội dung công việc, trình tự thực hiện, dự kiến thời gian hoàn thành đáp ứng các nội dung sau:
a) Có các nguồn lực, phương tiện và các yêu cầu cần thiết để thực hiện;
b) Có các mẫu biểu ghi nhận kết quả;
c) Bố trí và phân công trách nhiệm cho nhân sự tham gia với các vai trò: chỉ đạo thực hiện, giám sát, thực hiện chuyển đổi, vận hành chính thức và kiểm tra kết quả;
d) Áp dụng biện pháp bảo đảm an toàn thông tin;
đ) Có phương án bảo đảm hoạt động liên tục khi việc chuyển đổi không thành công.
4. Các tổ chức chỉ có một trụ sở làm việc tại Việt Nam (trừ tổ chức tài chính vi mô, quỹ tín dụng nhân dân cơ sở) phải xây dựng kịch bản chuyển đổi hoạt động sang văn phòng dự phòng.
5. Quy trình, kịch bản chuyển đổi phải được kiểm tra và cập nhật khi có sự thay đổi của hệ thống thông tin, cơ cấu tổ chức, nhân sự và phân công trách nhiệm của các bộ phận có liên quan trong tổ chức.
(Điều 51 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.52. Tổ chức triển khai bảo đảm hoạt động liên tục
1. Tổ chức phải có kế hoạch và tổ chức triển khai bảo đảm hoạt động liên tục hệ thống thông tin (ngoại trừ các hệ thống thông tin chính và dự phòng hoạt động song song) theo các yêu cầu sau:
a) Tối thiểu sáu tháng một lần, tiến hành kiểm tra, đánh giá hoạt động của hệ thống dự phòng;
b) Thực hiện chuyển hoạt động từ hệ thống chính sang hệ thống dự phòng và hoạt động chính thức trên hệ thống dự phòng tối thiểu 1 ngày làm việc của từng hệ thống thông tin theo danh sách tại khoản 2 Điều 49 Thông tư này, một năm một lần đối với hệ thống thông tin từ cấp độ 4 trở lên, hai năm một lần đối với hệ thống thông tin từ cấp độ 3 trở xuống; đánh giá kết quả và cập nhật các quy trình, kịch bản chuyển đổi (nếu có). Trường hợp không thể chuyển đổi hoạt động trong ngày làm việc, hệ thống dự phòng phải được thiết lập có cùng công suất, cấu hình với hệ thống chính và định kỳ hàng năm thực hiện chuyển đổi, kiểm tra tính sẵn sàng của hệ thống dự phòng.
2. Các tổ chức chỉ có một trụ sở làm việc tại Việt Nam (trừ tổ chức tài chính vi mô, quỹ tín dụng nhân dân cơ sở) phải tổ chức thực hiện diễn tập bảo đảm hoạt động liên tục định kỳ hàng năm.
3. Tổ chức phải thông báo kế hoạch, nội dung và kịch bản diễn tập chuyển đổi hoạt động liên tục cho Ngân hàng Nhà nước (Cục Công nghệ thông tin) chậm nhất là 5 ngày làm việc trước khi thực hiện qua địa chỉ thư điện tử antt@sbv.gov.vn.
(Điều 52 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.53. Kiểm tra nội bộ
Tổ chức thực hiện kiểm tra nội bộ như sau:
1. Xây dựng quy định kiểm tra nội bộ về công tác bảo đảm an toàn thông tin của tổ chức.
2. Hàng năm, xây dựng kế hoạch và thực hiện công tác tự kiểm tra việc tuân thủ các quy định tại Thông tư này và các quy định nội bộ của tổ chức về bảo đảm an toàn thông tin. Đối với các ngân hàng thương mại, chi nhánh ngân hàng nước ngoài, việc kiểm tra nội bộ do bộ phận quản lý rủi ro hoặc bộ phận tuân thủ thực hiện tối thiểu một năm một lần và do bộ phận kiểm toán nội bộ hoặc tổ chức kiểm toán độc lập thực hiện tối thiểu ba năm một lần.
3. Kết quả kiểm tra về công tác bảo đảm an toàn thông tin của tổ chức phải được lập thành báo cáo gửi người đại diện theo pháp luật và cấp có thẩm quyền, trong đó các vấn đề còn tồn tại chưa bảo đảm tuân thủ các quy định về an toàn thông tin (nếu có) phải có phương án xử lý, kế hoạch thực hiện.
4. Tổ chức thực hiện và báo cáo kết quả khắc phục các tồn tại nêu trong báo cáo theo quy định tại khoản 3 Điều này.
(Điều 53 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.65.54. Chế độ báo cáo
Tổ chức có trách nhiệm gửi báo cáo về Ngân hàng Nhà nước (Cục Công nghệ thông tin) các nội dung sau:
1. Báo cáo sự cố an toàn thông tin (theo Phụ lục 01 kèm theo Thông tư này) trong vòng 24 giờ kể từ thời điểm sự cố được phát hiện và Báo cáo hoàn thành khắc phục sự cố (theo Phụ lục 02 kèm theo Thông tư này) trong vòng 05 ngày làm việc sau khi hoàn thành khắc phục sự cố. Báo cáo gửi về địa chỉ thư điện tử antt@sbv.gov.vn.
2. Báo cáo đánh giá rủi ro theo quy định tại khoản 3 Điều 33 Thông tư này gửi trực tiếp hoặc qua đường bưu điện về Ngân hàng Nhà nước (Cục Công nghệ thông tin) khi thuê ngoài toàn bộ công việc quản trị hệ thống thông tin từ cấp độ 3 trở lên và các hệ thống thông tin xử lý thông tin khách hàng trước thời điểm triển khai tối thiểu 10 ngày làm việc.
3. Báo cáo các trường hợp cá nhân làm việc trong lĩnh vực công nghệ thông tin của tổ chức bị kỷ luật theo quy định tại khoản 6 Điều 16 Thông tư này gửi trực tiếp hoặc qua đường bưu điện về Ngân hàng Nhà nước (Cục Công nghệ thông tin) trong vòng 5 ngày làm việc kể từ thời điểm có quyết định kỷ luật.
Phụlụcđínhkèm09-2020-TT-NHNN.docx
(Điều 54 Thông tư số 09/2020/TT-NHNN, có hiệu lực thi hành kể từ ngày 01/01/2021)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.4. Mục đích kiểm tra
1. Xem xét, đánh giá thông tin, số liệu, tình hình chấp hành chính sách, pháp luật về tiền tệ và ngân hàng của đối tượng kiểm tra để đảm bảo đầy đủ, chính xác, tuân thủ quy định của pháp luật về tiền tệ và ngân hàng.
2. Tăng cường hiệu lực, hiệu quả của công tác quản lý nhà nước trong lĩnh vực tiền tệ và ngân hàng.
3. Phát hiện, ngăn ngừa, xử lý các hành vi vi phạm pháp luật trong lĩnh vực tiền tệ và ngân hàng.
4. Đề xuất sửa đổi, bổ sung, hoàn thiện các cơ chế, chính sách, quy định của pháp luật về tiền tệ và ngân hàng nếu cần thiết.
5. Góp phần bảo đảm sự phát triển an toàn, lành mạnh của hệ thống các tổ chức tín dụng và hệ thống tài chính; bảo vệ quyền và lợi ích hợp pháp của người gửi tiền và khách hàng của tổ chức tín dụng.
(Điều 4 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.5. Nguyên tắc kiểm tra
1. Việc kiểm tra được thực hiện đúng thẩm quyền và trên cơ sở quy định pháp luật.
2. Việc kiểm tra được tiến hành thường xuyên theo kế hoạch hoặc đột xuất.
3. Bảo đảm chính xác, khách quan, trung thực, dân chủ, kịp thời, phối hợp hiệu quả.
4. Bảo đảm không chồng chéo, trùng lặp về nội dung, thời gian, đối tượng kiểm tra giữa hoạt động kiểm tra của các đơn vị kiểm tra, giữa hoạt động kiểm tra với hoạt động thanh tra.
Khi tiến hành hoạt động kiểm tra, nếu phát hiện chồng chéo, trùng lặp giữa hoạt động kiểm tra với hoạt động thanh tra thì thực hiện hoạt động thanh tra; nếu phát hiện chồng chéo, trùng lặp trong hoạt động kiểm tra, thủ trưởng các đơn vị kiểm tra thống nhất để thực hiện một cuộc kiểm tra.
(Điều 5 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.6. Kế hoạch kiểm trahàng năm
1. Căn cứ chức năng, nhiệm vụ, quyền hạn được giao, Cơ quan Thanh tra, giám sát ngân hàng, Ngân hàng Nhà nước chi nhánh ban hành kế hoạch kiểm tra hàng năm. Thống đốc Ngân hàng Nhà nước giao thủ trưởng các đơn vị hành chính khác thuộc Ngân hàng Nhà nước ký thừa lệnh kế hoạch kiểm tra hàng năm. Việc ban hành kế hoạch kiểm tra thực hiện như sau:
a) Cơ quan Thanh tra, giám sát ngân hàng xây dựng, ban hành kế hoạch kiểm tra cho năm tiếp theo trước ngày 15 tháng 12 hàng năm, gửi kế hoạch kiểm tra đã được ban hành cho các đơn vị hành chính khác thuộc Ngân hàng Nhà nước;
b) Các đơn vị hành chính khác thuộc Ngân hàng Nhà nước xây dựng, ban hành kế hoạch kiểm tra cho năm tiếp theo trước ngày 25 tháng 12 hàng năm, đảm bảo không trùng lặp với kế hoạch thanh tra của Thanh tra, giám sát ngành Ngân hàng, kế hoạch kiểm tra của Cơ quan Thanh tra, giám sát ngân hàng cho năm đó.
2. Kế hoạch kiểm tra hàng năm có thể sửa đổi, bổ sung khi cần thiết.
3. Kế hoạch kiểm tra hàng năm được xây dựng trên cơ sở các thông tin sau đây:
a) Kết quả triển khai thực hiện công tác kiểm tra của đơn vị kiểm tra những năm trước;
b) Kế hoạch thanh tra của Thanh tra, giám sát ngành Ngân hàng cho năm dự kiến kế hoạch kiểm tra (đối với kế hoạch kiểm tra của Cơ quan Thanh tra, giám sát ngân hàng); kế hoạch thanh tra của Thanh tra, giám sát ngành Ngân hàng, kế hoạch thanh tra của Thanh tra, giám sát Ngân hàng Nhà nước chi nhánh đó cho năm dự kiến kế hoạch kiểm tra (đối với kế hoạch kiểm tra của Ngân hàng Nhà nước chi nhánh); kế hoạch thanh tra của Thanh tra, giám sát ngành Ngân hàng, kế hoạch thanh tra của Thanh tra, giám sát Ngân hàng Nhà nước chi nhánh trên địa bàn dự kiến kiểm tra cho năm dự kiến kế hoạch kiểm tra (đối với kế hoạch kiểm tra của đơn vị hành chính khác thuộc Ngân hàng Nhà nước);
c) Tình hình chấp hành chính sách, pháp luật về tiền tệ và ngân hàng của đối tượng kiểm tra;
d) Chỉ đạo, yêu cầu của các cấp có thẩm quyền;
đ) Yêu cầu của công tác quản lý nhà nước trong ngành, lĩnh vực thuộc phạm vi quản lý;
e) Yêu cầu của nhiệm vụ phát triển kinh tế - xã hội.
4. Kế hoạch kiểm tra hàng năm phải có tối thiểu các nội dung sau đây:
a) Căn cứ ban hành kế hoạch kiểm tra;
b) Mục đích, yêu cầu kiểm tra;
c) Đối tượng kiểm tra;
d) Nội dung kiểm tra;
đ) Thời gian tiến hành kiểm tra.
5. Kế hoạch kiểm tra hàng năm và văn bản sửa đổi, bổ sung kế hoạch kiểm tra hàng năm phải được gửi cho đối tượng kiểm tra chậm nhất là 05 ngày làm việc kể từ ngày được ban hành.
(Điều 6 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.7. Kiểm tra đột xuất
Đơn vị kiểm tra thực hiện kiểm tra đột xuất trên cơ sở yêu cầu quản lý và tình hình thực tế hoặc trên cơ sở yêu cầu, đề nghị, phản ánh của cơ quan nhà nước có thẩm quyền, của tổ chức, cá nhân hoặc khi có yêu cầu, chỉ đạo của Thống đốc Ngân hàng Nhà nước.
(Điều 7 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.8. Đối tượng kiểm tra của đơn vị kiểm tra
1. Cơ quan Thanh tra, giám sát ngân hàng kiểm tra việc chấp hành chính sách, pháp luật về tiền tệ và ngân hàng đối với đối tượng kiểm tra, gồm:
a) Tổ chức tín dụng, trừ đối tượng quy định tại điểm a và điểm c khoản 3 Điều này;
b) Chi nhánh ngân hàng nước ngoài theo phân công của Thống đốc Ngân hàng Nhà nước;
c) Tổ chức hoạt động thông tin tín dụng;
d) Đối tượng kiểm tra của Ngân hàng Nhà nước chi nhánh, Thanh tra, giám sát Ngân hàng Nhà nước chi nhánh nếu thấy cần thiết.
2. Đơn vị thuộc Cơ quan Thanh tra, giám sát ngân hàng kiểm tra đối với các đối tượng kiểm tra quy định tại khoản 1 Điều này là đối tượng thanh tra, giám sát ngân hàng của đơn vị theo chức năng, nhiệm vụ được giao.
3. Ngân hàng Nhà nước chi nhánh, Thanh tra, giám sát Ngân hàng Nhà nước chi nhánh kiểm tra việc chấp hành chính sách, pháp luật về tiền tệ và ngân hàng đối với đối tượng kiểm tra trên địa bàn tỉnh, thành phố trực thuộc Trung ương nơi đặt trụ sở của Ngân hàng Nhà nước chi nhánh, gồm:
a) Quỹ tín dụng nhân dân;
b) Chi nhánh ngân hàng nước ngoài, trừ đối tượng quy định tại điểm b khoản 1 Điều này;
c) Chi nhánh, phòng giao dịch của tổ chức tín dụng;
d) Văn phòng đại diện tại Việt Nam của tổ chức tín dụng nước ngoài, tổ chức nước ngoài khác có hoạt động ngân hàng;
đ) Tổ chức có hoạt động ngoại hối, hoạt động kinh doanh vàng; tổ chức cung ứng dịch vụ trung gian thanh toán không phải là ngân hàng.
4. Các đơn vị hành chính khác thuộc Ngân hàng Nhà nước thực hiện kiểm tra việc chấp hành chính sách, thực hiện văn bản quy phạm pháp luật thuộc phạm vi chức năng tham mưu, giúp Thống đốc Ngân hàng Nhà nước thực hiện quản lý nhà nước của đơn vị đó đối với đối tượng kiểm tra, gồm:
a) Tổ chức tín dụng, trừ đối tượng quy định tại điểm a khoản 3 Điều này;
b) Chi nhánh ngân hàng nước ngoài;
c) Tổ chức có hoạt động ngoại hối, hoạt động kinh doanh vàng; tổ chức cung ứng dịch vụ trung gian thanh toán không phải là ngân hàng.
5. Trường hợp cần thiết, các đơn vị kiểm tra thực hiện kiểm tra đối với đối tượng kiểm tra khác khi được Thống đốc Ngân hàng Nhà nước giao.
(Điều 8 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.9. Quyết định kiểm tra, kế hoạch kiểm tra và việc thành lập đoàn kiểm tra
1. Kiểm tra được tiến hành tại trụ sở của đối tượng kiểm tra hoặc trụ sở của đơn vị kiểm tra. Đơn vị kiểm tra phải ban hành Quyết định kiểm tra, kế hoạch kiểm tra và thành lập đoàn kiểm tra.
2. Quyết định kiểm tra do người ra quyết định kiểm tra ký ban hành và phải được gửi cho đối tượng kiểm tra chậm nhất là 05 ngày làm việc trước ngày dự kiến kiểm tra, trừ trường hợp kiểm tra đột xuất.
Quyết định kiểm tra phải có tối thiểu các nội dung sau đây:
a) Căn cứ ra Quyết định kiểm tra;
b) Đối tượng, nội dung kiểm tra;
c) Thành phần đoàn kiểm tra;
d) Địa điểm kiểm tra;
đ) Thời hạn kiểm tra, thời gian dự kiến bắt đầu kiểm tra;
e) Thông tin, tài liệu yêu cầu đối tượng kiểm tra báo cáo, gửi đơn vị kiểm tra (nếu cần thiết).
Quyết định kiểm tra thực hiện theo Mẫu số 01 ban hành kèm theo Thông tư này.
3. Kế hoạch kiểm tra được Trưởng đoàn kiểm tra xây dựng, trình người ra quyết định kiểm tra phê duyệt trên cơ sở Quyết định kiểm tra và phải có tối thiểu các nội dung sau đây:
a) Mục đích, yêu cầu kiểm tra;
b) Đối tượng, nội dung kiểm tra;
c) Thời hạn, địa điểm kiểm tra, thời gian dự kiến bắt đầu kiểm tra;
d) Phương pháp tiến hành kiểm tra;
đ) Tổ chức thực hiện (phân công trách nhiệm; chế độ thông tin, báo cáo).
Kế hoạch kiểm tra thực hiện theo Mẫu số 02 ban hành kèm theo Thông tư này.
4. Đoàn kiểm tra phải có từ 02 thành viên trở lên, bao gồm:
a) Trưởng đoàn kiểm tra là lãnh đạo cấp phòng trở lên hoặc là chuyên viên chính và tương đương trở lên hoặc là chuyên viên và tương đương có thời gian giữ ngạch tối thiểu 5 năm;
b) Thành viên đoàn kiểm tra.
Trưởng đoàn kiểm tra, thành viên đoàn kiểm tra phải là người có phẩm chất đạo đức tốt và chuyên môn phù hợp với yêu cầu, nhiệm vụ của cuộc kiểm tra.
5. Người ra quyết định kiểm tra có thể thay đổi Trưởng đoàn kiểm tra, thành viên đoàn kiểm tra khi không đáp ứng được yêu cầu, nhiệm vụ kiểm tra hoặc có hành vi vi phạm pháp luật hoặc vì lý do khách quan khác mà không thể thực hiện nhiệm vụ kiểm tra.
PhulucThôngtư17.2023.TT-NHNN.docx
(Điều 9 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.10. Tiến hành kiểm tra
Căn cứ Quyết định kiểm tra và kế hoạch kiểm tra đã được phê duyệt, ban hành, đoàn kiểm tra thực hiện việc kiểm tra như sau:
1. Đoàn kiểm tra công bố Quyết định kiểm tra.
2. Đoàn kiểm tra yêu cầu đối tượng kiểm tra báo cáo, cung cấp các thông tin, nội dung theo yêu cầu của đoàn kiểm tra.
3. Đoàn kiểm tra trao đổi, thảo luận trực tiếp với đối tượng kiểm tra về các nội dung kiểm tra. Trường hợp cần thiết, Trưởng đoàn kiểm tra quyết định làm việc trực tiếp với những người có liên quan đến nội dung kiểm tra, yêu cầu đối tượng kiểm tra giải trình bằng văn bản về những vấn đề chưa rõ liên quan đến nội dung kiểm tra, tổ chức xác minh liên quan đến nội dung kiểm tra.
4. Đoàn kiểm tra căn cứ các thông tin, hồ sơ, tài liệu được đối tượng kiểm tra cung cấp để xem xét, đánh giá đối tượng kiểm tra theo các nội dung, mục đích, yêu cầu kiểm tra. Trường hợp cần thiết, đoàn kiểm tra yêu cầu đối tượng kiểm tra cung cấp bổ sung thông tin, hồ sơ, tài liệu liên quan đến nội dung kiểm tra.
5. Kết quả làm việc với đối tượng kiểm tra phải được lập thành biên bản giữa đoàn kiểm tra và đối tượng kiểm tra theo Mẫu số 03 ban hành kèm theo Thông tư này.
6. Quá trình kiểm tra, nếu phát hiện đối tượng kiểm tra có hành vi vi phạm hành chính thuộc lĩnh vực tiền tệ và ngân hàng, Trưởng đoàn kiểm tra phải lập biên bản vi phạm hành chính và chuyển cho người có thẩm quyền xử phạt vi phạm hành chính để xử lý theo quy định của pháp luật. Trường hợp hành vi vi phạm hành chính không thuộc lĩnh vực tiền tệ và ngân hàng, Trưởng đoàn kiểm tra phải lập biên bản làm việc để ghi nhận sự việc và chuyển ngay biên bản đến người có thẩm quyền để xử lý theo quy định của pháp luật.
Trường hợp phát hiện vụ việc có dấu hiệu tội phạm thì Trưởng đoàn kiểm tra phải báo cáo người ra quyết định kiểm tra chuyển ngay hồ sơ vụ việc, tài liệu có liên quan đến cơ quan điều tra để xem xét, quyết định theo quy định của pháp luật.
PhulucThôngtư17.2023.TT-NHNN.docx
(Điều 10 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.11. Thời hạn kiểm tra, gia hạn thời hạn kiểm tra
1. Thời hạn kiểm tra tối đa là 10 ngày làm việc kể từ ngày công bố Quyết định kiểm tra và có thể gia hạn thêm thời hạn kiểm tra không quá 05 ngày làm việc.
2. Các trường hợp được gia hạn thời hạn kiểm tra bao gồm:
a) Khi phải xác minh thông tin, tài liệu để làm rõ các vấn đề có liên quan đến nội dung kiểm tra;
b) Nội dung kiểm tra phức tạp, liên quan đến trách nhiệm của nhiều cơ quan, tổ chức, cá nhân;
c) Khi đối tượng kiểm tra, tổ chức, cá nhân có liên quan không hợp tác, cản trở, chống đối, gây khó khăn cho hoạt động kiểm tra làm ảnh hưởng đến thời hạn kiểm tra.
3. Việc gia hạn thời hạn kiểm tra do người ra quyết định kiểm tra xem xét, quyết định.
Trưởng đoàn kiểm tra có văn bản gửi người ra quyết định kiểm tra đề nghị gia hạn thời hạn kiểm tra kèm theo dự thảo quyết định gia hạn thời hạn kiểm tra; văn bản đề nghị phải nêu rõ lý do, thời hạn gia hạn.
4. Quyết định gia hạn thời hạn kiểm tra phải được gửi cho đối tượng kiểm tra trước khi hết thời hạn kiểm tra theo Quyết định kiểm tra và phải có tối thiểu các nội dung sau đây:
a) Quyết định kiểm tra;
b) Lý do gia hạn thời hạn kiểm tra;
c) Thời gian gia hạn kiểm tra.
Quyết định gia hạn thời hạn kiểm tra thực hiện theo Mẫu số 04 ban hành kèm theo Thông tư này.
PhulucThôngtư17.2023.TT-NHNN.docx
(Điều 11 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.12. Tạm dừng kiểm tra, tiếp tục kiểm tra
1. Kiểm tra được tạm dừng trong trường hợp sau đây:
a) Có sự kiện bất khả kháng theo quy định của pháp luật ảnh hưởng đến tiến độ thực hiện kiểm tra;
b) Đối tượng kiểm tra đề nghị tạm dừng kiểm tra mà có lý do chính đáng và được người ra quyết định kiểm tra đồng ý; trong trường hợp này, thời hạn tạm dừng kiểm tra không quá 10 ngày làm việc.
2. Người ra quyết định kiểm tra quyết định tiếp tục kiểm tra khi không còn sự kiện bất khả kháng hoặc hết thời hạn tạm dừng kiểm tra quy định tại điểm b khoản 1 Điều này.
3. Việc tạm dừng kiểm tra, tiếp tục kiểm tra phải có quyết định do người ra quyết định kiểm tra ký ban hành.
4. Quyết định tạm dừng kiểm tra có tối thiểu các nội dung sau đây:
a) Quyết định kiểm tra;
b) Thời gian bắt đầu kiểm tra, địa điểm kiểm tra;
c) Lý do tạm dừng kiểm tra;
d) Thời hạn tạm dừng kiểm tra và ngày bắt đầu dừng kiểm tra.
Quyết định tạm dừng kiểm tra thực hiện theo Mẫu số 05 ban hành kèm theo Thông tư này.
5. Quyết định tiếp tục kiểm tra có tối thiểu các nội dung sau đây:
a) Quyết định kiểm tra;
b) Quyết định tạm dừng kiểm tra;
c) Lý do tiếp tục kiểm tra và ngày tiếp tục kiểm tra.
Quyết định tiếp tục kiểm tra thực hiện theo Mẫu số 06 ban hành kèm theo Thông tư này.
6. Quyết định tạm dừng kiểm tra, quyết định tiếp tục kiểm tra phải được gửi cho đối tượng kiểm tra trước thời điểm tạm dừng kiểm tra, tiếp tục kiểm tra.
7. Thời gian tạm dừng kiểm tra không tính vào thời hạn kiểm tra.
PhulucThôngtư17.2023.TT-NHNN.docx
(Điều 12 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.13. Đình chỉ kiểm tra
1. Người ra quyết định kiểm tra ra quyết định đình chỉ cuộc kiểm tra hoặc một, một số nội dung kiểm tra trong các trường hợp sau đây:
a) Nội dung kiểm tra đã được cơ quan chức năng kết luận;
b) Đã có quyết định khởi tố vụ án hình sự của cơ quan nhà nước có thẩm quyền về nội dung kiểm tra;
c) Thống đốc Ngân hàng Nhà nước có văn bản yêu cầu đình chỉ kiểm tra;
d) Đối tượng kiểm tra không còn tồn tại;
đ) Thuộc trường hợp chồng chéo, trùng lặp đã được xử lý theo quy định tại khoản 4 Điều 5 Thông tư này.
2. Quyết định đình chỉ kiểm tra phải được người ra quyết định kiểm tra ký ban hành, gửi cho đối tượng kiểm tra tối thiểu 01 ngày trước ngày bắt đầu đình chỉ kiểm tra và phải có tối thiểu các nội dung sau đây:
a) Các nội dung quy định tại điểm a, b khoản 4 Điều 12 Thông tư này;
b) Lý do đình chỉ kiểm tra;
c) Thời gian bắt đầu đình chỉ kiểm tra.
Quyết định đình chỉ kiểm tra thực hiện theo Mẫu số 07 ban hành kèm theo Thông tư này.
3. Khi đình chỉ cuộc kiểm tra, đoàn kiểm tra có trách nhiệm hủy bỏ các biện pháp đã áp dụng theo thẩm quyền trong quá trình kiểm tra; hoàn trả các hồ sơ, tài liệu đối tượng kiểm tra đã cung cấp.
PhulucThôngtư17.2023.TT-NHNN.docx
(Điều 13 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.14. Báo cáo kết quả kiểm tra và kết luận kiểm tra
1. Trong thời hạn 05 ngày làm việc kể từ ngày kết thúc kiểm tra, từng thành viên đoàn kiểm tra có trách nhiệm báo cáo bằng văn bản về kết quả kiểm tra đối với nội dung kiểm tra được phân công và đề xuất, kiến nghị với Trưởng đoàn kiểm tra.
2. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được báo cáo bằng văn bản của các thành viên đoàn kiểm tra, Trưởng đoàn kiểm tra phải có báo cáo kết quả kiểm tra và dự thảo kết luận kiểm tra kèm theo hồ sơ kiểm tra có liên quan, đề xuất, kiến nghị, trình người ra quyết định kiểm tra.
3. Trong thời hạn 05 ngày làm việc kể từ ngày nhận được báo cáo kết quả kiểm tra và dự thảo kết luận kiểm tra của Trưởng đoàn kiểm tra, người ra quyết định kiểm tra xem xét, ký ban hành kết luận kiểm tra.
4. Trong thời hạn 05 ngày làm việc kể từ ngày ban hành, kết luận kiểm tra được gửi cho:
a) Đối tượng kiểm tra và các cơ quan, tổ chức, cá nhân có liên quan để thực hiện các kiến nghị được nêu tại kết luận kiểm tra;
b) Các đơn vị có liên quan thuộc Ngân hàng Nhà nước để thực hiện các kiến nghị được nêu tại kết luận kiểm tra theo chức năng, nhiệm vụ được giao.
5. Báo cáo kết quả kiểm tra, kết luận kiểm tra phải có tối thiểu các nội dung sau đây:
a) Đối tượng kiểm tra;
b) Nội dung kiểm tra;
c) Kết quả kiểm tra;
d) Kết luận kiểm tra (kết luận về việc chấp hành chính sách, pháp luật về tiền tệ và ngân hàng; xác định rõ vi phạm: tính chất, mức độ, hậu quả, nguyên nhân, trách nhiệm của tổ chức, cá nhân đối với từng vi phạm (nếu có)…);
đ) Các biện pháp xử lý theo thẩm quyền đã áp dụng (nếu có);
e) Đề xuất, kiến nghị các biện pháp xử lý kết quả kiểm tra;
g) Chế độ báo cáo kết quả khắc phục, xử lý theo kiến nghị (nếu có).
Báo cáo kết quả kiểm tra và kết luận kiểm tra thực hiện theo Mẫu số 08 và Mẫu số 09 ban hành kèm theo Thông tư này.
PhulucThôngtư17.2023.TT-NHNN.docx
(Điều 14 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)
Chương I - NHỮNG QUY ĐỊNH CHUNG
Điều 22.4.TT.73.15. Các biện pháp xử lý kết quả kiểm tra
1. Đơn vị kiểm tra có văn bản khuyến nghị, cảnh báo, chấn chỉnh hoặc yêu cầu đối tượng kiểm tra khắc phục các tồn tại, sai phạm phát hiện qua kiểm tra, thời hạn thực hiện (nếu có).
2. Đơn vị kiểm tra áp dụng hoặc kiến nghị cơ quan nhà nước có thẩm quyền áp dụng biện pháp theo quy định của pháp luật để xử lý hành vi vi phạm nếu phát hiện vi phạm.
3. Đơn vị kiểm tra trình cấp có thẩm quyền xem xét tiến hành thanh tra đối với đối tượng kiểm tra trong trường hợp phát hiện vi phạm pháp luật có nhiều tình tiết phức tạp và không thuộc thẩm quyền xử lý của đơn vị kiểm tra.
4. Người ra quyết định kiểm tra chuyển ngay hồ sơ vụ việc, tài liệu có liên quan đến cơ quan điều tra để xem xét, quyết định theo quy định của pháp luật trong trường hợp phát hiện vụ việc có dấu hiệu tội phạm.
5. Các biện pháp khác theo quy định của pháp luật.
(Điều 15 Thông tư số 17/2023/TT-NHNN, có hiệu lực thi hành kể từ ngày 08/02/2024)