Hệ sinh thái Open Banking: BaaS & Embedded Finance

Các bài trước trong series đã đi từ tổng quan Open Banking tới cơ chế API, consent & bảo mật, tổng hợp tài khoản và khởi tạo thanh toán. Đó là phần "kỹ thuật". Bài này trả lời câu hỏi kinh doanh: mở API ra thì ngân hàng được gì, mất gì, và ai kiếm tiền như thế nào? Đây là chỗ Open Banking chuyển từ nghĩa vụ tuân thủ sang chiến lược tăng trưởng.

Từ ngân hàng sản phẩm sang ngân hàng nền tảng

Ngân hàng truyền thống là một chuỗi giá trị khép kín theo chiều dọc: tự huy động vốn, tự làm sản phẩm (tiền gửi, cho vay, thẻ), tự phân phối qua chi nhánh và app của chính mình, tự sở hữu quan hệ khách hàng. Mỗi khách được "mua" bằng chi phí marketing và giữ bằng chi nhánh.

Ngân hàng nền tảng (platform bank) đảo ngược logic đó. Thay vì tự làm mọi thứ để tới tay khách, ngân hàng biến năng lực lõi của mình — mở tài khoản, giữ tiền, chuyển tiền, phát hành thẻ, tính lãi, tuân thủ KYC/AML — thành các khối API để bên khác lắp ghép. Ngân hàng trở thành "hạ tầng" mà fintech, doanh nghiệp bán lẻ, ví điện tử xây dịch vụ tài chính lên trên.

Ba mô hình kinh doanh chính hình thành từ đây:

BaaS — Banking-as-a-Service

BaaS là mô hình ngân hàng cung cấp năng lực ngân hàng có giấy phép qua API cho bên phi ngân hàng (fintech, doanh nghiệp) để họ tự nhúng dịch vụ tài chính vào sản phẩm của mình. Điểm cốt lõi: bên phi ngân hàng không có giấy phép ngân hàng, họ "thuê" giấy phép và bảng cân đối của ngân hàng.

Ngân hàng cho thuê những gì:

Khác biệt với Open Banking "thuần" (AISP/PISP đọc dữ liệu và khởi tạo thanh toán trên tài khoản đã có): BaaS tạo ra tài khoản và sản phẩm mới dưới danh nghĩa ngân hàng nhưng mang thương hiệu đối tác. Ví dụ một sàn TMĐT phát hành "ví trả lương cho tài xế" — tài khoản thực chất do NCB mở và giữ, sàn chỉ là mặt tiền.

Embedded Finance — tài chính nhúng

Embedded Finance là góc nhìn của khách hàng về cùng hiện tượng: dịch vụ tài chính được nhúng liền mạch vào một hành trình phi ngân hàng, khách dùng mà không cảm thấy mình đang "đi ngân hàng". BaaS là hạ tầng cung; Embedded Finance là trải nghiệm cầu.

Các dạng phổ biến và giá trị mang lại:

• BNPL (Buy Now Pay Later — mua trước trả sau): tại bước thanh toán của sàn TMĐT, khách chọn trả góp 3–6 kỳ không lãi. Giá trị: tăng tỷ lệ chốt đơn (conversion) và giá trị giỏ hàng trung bình (AOV) cho sàn; ngân hàng có tài sản cho vay ngắn hạn.
• Cho vay tại điểm bán (POS lending / merchant financing): cửa hàng điện máy cho khách vay ngay tại quầy trong 2 phút để mua tivi. Giá trị: ngân hàng tiếp cận khách vay ngay tại thời điểm có nhu cầu, không cần chi nhánh.
• Bảo hiểm nhúng (embedded insurance): mua vé máy bay kèm bảo hiểm trễ chuyến, mua điện thoại kèm bảo hiểm rơi vỡ — chỉ một ô tích.
• Thanh toán trong app (in-app payment / wallet): ví trong app gọi xe, app giao đồ ăn; nạp/rút, số dư, hoàn tiền đều do ngân hàng nền tảng xử lý phía sau.

Nguyên tắc chung: tài chính xuất hiện đúng lúc, đúng ngữ cảnh nhu cầu phát sinh, thay vì bắt khách rời app để vào một kênh ngân hàng riêng.

Marketplace / Platform

Chiều ngược lại: ngân hàng phân phối sản phẩm bên thứ ba trong app của mình (bán chéo bảo hiểm, quỹ đầu tư, sản phẩm fintech ngay trong app NCB), hoặc được bên thứ ba phân phối. Ngân hàng lúc này là một "sàn" thu phí giới thiệu/chia hoa hồng, tận dụng tệp khách và niềm tin thương hiệu của mình mà không tự sản xuất sản phẩm.

Vai trò trong hệ sinh thái

Bức tranh đầy đủ có nhiều mắt xích, mỗi bên một chức năng và một mức chịu trách nhiệm khác nhau:

• ASPSP (Account Servicing PSP): chính là ngân hàng giữ tài khoản và mở API — NCB đóng vai này.
• TPP (Third-Party Provider): bên thứ ba được cấp phép truy cập; gồm AISP (Account Information — đọc dữ liệu, xem tổng hợp tài khoản) và PISP (Payment Initiation — khởi tạo thanh toán, xem khởi tạo thanh toán).
• Nhà tổng hợp API (aggregator): kết nối tới hàng chục ngân hàng qua một API duy nhất, che giấu sự khác biệt chuẩn giữa các ASPSP — fintech chỉ tích hợp một lần.
• BaaS provider: lớp điều phối (orchestration) giữa ngân hàng và đối tác phi ngân hàng, lo phần quản lý ví, đối soát, tuân thủ vận hành. Có ngân hàng tự làm, có ngân hàng dùng bên trung gian.
• RegTech: cung cấp công cụ KYC điện tử (eKYC), sàng lọc danh sách cấm vận, giám sát giao dịch — thường được nhúng vào luồng BaaS.

Hợp tác hay cạnh tranh? Đây là căng thẳng trung tâm. Cùng một fintech vừa là đối tác (mua BaaS của ngân hàng) vừa là đối thủ (giành quan hệ khách hàng). Ngân hàng phải chọn: đứng ở lớp hạ tầng ("plumbing") ít biên lợi nhuận nhưng quy mô lớn, hay giữ lớp quan hệ khách hàng biên lợi cao nhưng cạnh tranh khốc liệt. Nhiều ngân hàng chọn cả hai với các phân khúc khác nhau.

Mô hình doanh thu

Mở API không tự động ra tiền. Các nguồn thu chính:

Rủi ro chiến lược lớn nhất là mất quan hệ khách trực tiếp (disintermediation). Khi khách vay qua app của sàn TMĐT, họ nhớ tới sàn, không nhớ tới NCB. Ngân hàng trở thành "utility" vô hình — mất kênh bán chéo, mất dữ liệu hành vi trực tiếp. Quyết định "làm BaaS tới mức nào" vì thế phải cân giữa doanh thu mới và giá trị vòng đời khách hàng (CLV) bị bào mòn.

Quản trị đối tác & rủi ro bên thứ ba

Mở nền tảng nghĩa là mở bề mặt rủi ro. Ngân hàng không thể chuyển hết trách nhiệm pháp lý cho đối tác — cơ quan quản lý vẫn hỏi ngân hàng đầu tiên khi có sự cố rửa tiền hay rò rỉ dữ liệu. Quản trị đối tác vì thế là xương sống của mô hình.

Các trụ cột:

• Onboarding đối tác/TPP: thẩm định pháp lý (giấy phép, năng lực tài chính, an ninh thông tin), ký hợp đồng phân định rõ nghĩa vụ, cấp credential và sandbox trước khi lên production. TPP phải qua kiểm tra bảo mật (mTLS, chứng thư, IP allowlist).
• SLA & giám sát: cam kết uptime API, độ trễ, hạn mức gọi (rate limit); giám sát thời gian thực lưu lượng bất thường, tỷ lệ lỗi, mẫu gian lận. Một đối tác "chảy máu" giao dịch lỗi có thể là dấu hiệu bị chiếm quyền.
• Phân định trách nhiệm & rủi ro: ai chịu lỗ khi gian lận? Ai xử lý khiếu nại khách? Ai báo cáo giao dịch đáng ngờ? Ghi rõ trong hợp đồng và ma trận RACI. Rủi ro bên thứ ba (third-party risk) phải được đưa vào khung rủi ro vận hành của ngân hàng.
• Tuân thủ KYC/AML cho đối tác: đây là điểm không thể nhượng bộ. Ngân hàng chịu trách nhiệm cuối cùng về nhận biết khách hàng và phòng chống rửa tiền, kể cả khi khách được onboard qua app đối tác. Phải có: eKYC đạt chuẩn, sàng lọc cấm vận, giám sát giao dịch xuyên suốt cả tài khoản do đối tác tạo, và quyền audit đối tác.
• Bảo vệ dữ liệu: consent phải rõ ràng, dữ liệu chia sẻ đúng phạm vi, tuân thủ quyền riêng tư & chia sẻ dữ liệu và privacy compliance.

Xu hướng

• Open Finance mở rộng phạm vi: từ tài khoản thanh toán sang đầu tư, bảo hiểm, hưu trí, khoản vay — một bức tranh tài chính toàn diện của khách. Cơ hội cho tư vấn tự động và sản phẩm cá nhân hóa.
• Super-app: một app duy nhất gói gọn chat, gọi xe, mua sắm, thanh toán, vay, đầu tư. Tài chính nhúng là chất kết dính. Ngân hàng đứng sau super-app vừa có quy mô khổng lồ vừa đối mặt disintermediation cực đại.
• Fintech Việt Nam: hệ sinh thái ví điện tử và Mobile Money đã phổ cập; QR code liên thông toàn quốc (xem thanh toán tức thời & QR). NHNN đang xây khung Open API và cơ chế thử nghiệm có kiểm soát (sandbox). Khoảng trống tín dụng bán lẻ và tệp khách chưa tiếp cận ngân hàng đầy đủ (underbanked) là mảnh đất màu mỡ cho BaaS và embedded lending.

Ví dụ minh họa: luồng embedded lending tại điểm bán

Kịch bản (minh họa): khách mua tivi 15 triệu tại một chuỗi điện máy, chọn "trả góp qua NCB" ngay trên máy POS của cửa hàng.

Điểm quan trọng: quyết định tín dụng, ghi sổ khoản vay và giữ tiền đều nằm ở NCB; cửa hàng chỉ là mặt tiền trải nghiệm. Toàn bộ diễn ra dưới 2 phút, không giấy tờ.

Về mặt dữ liệu, khi phân tích danh mục BaaS, ta thường tổng hợp dư nợ và giao dịch theo đối tác. Trên sandbox học tập (schema đơn giản), một truy vấn quy mô tài khoản/giao dịch có thể viết như sau:

-- ▶ Chạy được
SELECT a.currency,
       COUNT(DISTINCT a.id)                    AS so_tai_khoan,
       COUNT(t.id)                             AS so_giao_dich,
       ROUND(AVG(t.amount)::numeric, 2)        AS gd_trung_binh,
       SUM(a.balance)                          AS tong_so_du
FROM accounts a
LEFT JOIN transactions t ON t.account_id = a.id
GROUP BY a.currency
ORDER BY tong_so_du DESC;

(Truy vấn minh họa trên schema sandbox, không phải schema BaaS thật.)

Use case thực tế

Bối cảnh. NCB ký hợp tác BaaS với một ví điện tử kiêm sàn TMĐT ("đối tác V") để cung cấp hai năng lực: (1) mở tài khoản định danh + thanh toán qua API cho người dùng ví, và (2) embedded lending — cho vay tiêu dùng nhỏ ngay tại bước thanh toán trên sàn. Toàn bộ tài khoản và khoản vay do NCB đứng tên pháp lý; đối tác V lo trải nghiệm và tệp khách.

Cách vận hành & kiểm soát:

1. Onboarding: đối tác V qua thẩm định pháp lý + an ninh thông tin, ký hợp đồng phân định trách nhiệm, chạy 8 tuần trên sandbox trước khi lên production với mTLS + IP allowlist.
2. KYC/AML: người dùng ví được eKYC theo chuẩn NCB (đối chiếu giấy tờ + khuôn mặt), sàng lọc danh sách cấm vận trước khi mở tài khoản; mọi giao dịch chảy vào hệ thống giám sát AML của NCB, không phụ thuộc đối tác.
3. Tín dụng: embedded lending dùng scorecard của NCB kết hợp dữ liệu hành vi trên sàn (có consent) để chấm điểm; hạn mức nhỏ 500k–20tr, kỳ hạn 3–6 tháng.
4. Giám sát: SLA API 99.9% uptime; dashboard theo dõi tỷ lệ lỗi, gian lận, nợ quá hạn theo cohort đối tác.

Số liệu ước lượng (minh họa): năm đầu 120.000 tài khoản mở qua đối tác, 25.000 khoản vay embedded với dư nợ bình quân 6 triệu → dư nợ ~150 tỷ đồng.

Mô hình doanh thu NCB: phí nền tảng cố định + phí API theo lượng gọi; chia sẻ doanh thu 15–20% trên phí dịch vụ ví; và lãi + phí trên danh mục embedded lending (nguồn thu lớn nhất, cũng mang rủi ro tín dụng). Chi phí chính: hạ tầng API, dự phòng rủi ro tín dụng, và chi phí giám sát tuân thủ. Rủi ro theo dõi sát: nợ xấu cohort mới, và disintermediation — NCB chủ động giữ thương hiệu bằng thông báo "khoản vay được cấp bởi NCB" hiển thị trong luồng, để không biến mất khỏi tâm trí khách. Các chỉ số này được đưa vào bộ KPI/metrics của mảng nền tảng.

Ghi nhớ

• Ngân hàng nền tảng biến năng lực lõi thành API để bên khác lắp ghép, thay cho chuỗi giá trị khép kín truyền thống.
• BaaS = cho bên phi ngân hàng thuê giấy phép + bảng cân đối qua API; Embedded Finance = góc nhìn khách hàng, tài chính nhúng liền mạch vào hành trình phi ngân hàng (BNPL, POS lending, bảo hiểm nhúng, ví in-app).
• Vai trò: ASPSP (ngân hàng, ví dụ NCB) — TPP (AISP/PISP) — nhà tổng hợp API — BaaS provider — RegTech. Fintech vừa là đối tác vừa là đối thủ.
• Doanh thu: phí API, chia sẻ doanh thu, sản phẩm sinh lời (lãi/interchange/float), giá trị dữ liệu. Rủi ro lớn nhất: mất quan hệ khách trực tiếp (disintermediation).
• KYC/AML là trách nhiệm cuối cùng của ngân hàng, không thể thuê ngoài hoàn toàn — kể cả khách onboard qua app đối tác.
• Quản trị đối tác gồm onboarding, SLA, giám sát, phân định trách nhiệm & rủi ro bên thứ ba.
• Xu hướng: Open Finance mở rộng sang đầu tư/bảo hiểm, super-app, và mảnh đất fintech/underbanked tại Việt Nam.
• Xem lại nền tảng ở tổng quan Open Banking.

Nguồn tham khảo

• Open Banking Limited (UK) — The Open Banking Impact Report (openbanking.org.uk)
• BIS — Annual Economic Report 2019, Chapter III: "Big tech in finance: opportunities and risks"
• BIS Papers No 117 — "Fintech and the digital transformation of financial services: implications for market structure and public policy" (2021)
• Directive (EU) 2015/2366 (PSD2) — Payment Services Directive, khung pháp lý gốc cho Open Banking tại châu Âu
• European Banking Authority — Guidelines on outsourcing arrangements (EBA/GL/2019/02) — quản trị rủi ro bên thứ ba
• Nghị định 94/2025/NĐ-CP — Cơ chế thử nghiệm có kiểm soát (sandbox) trong lĩnh vực ngân hàng (Chính phủ Việt Nam / NHNN)