PSD3 Readiness Không Phải Là Vấn Đề Tương Lai. Đó Là Vấn Đề Hiện Tại.

Nhiều ngân hàng châu Âu vẫn nói về PSD3 như thể đó là một cột mốc xa vời, mặc dù thỏa thuận chính trị đã đạt được vào tháng 11 năm 2025 và các nhóm pháp lý hiện đặt năm 2026 là trung tâm của kế hoạch chuyển đổi. Ngành công nghiệp đã hết chỗ để coi đây là điều sẽ được củng cố “sau này”.

Một phần của vấn đề là niềm tin rằng PSD3 về cơ bản là PSD2 với vài lớp bổ sung - một dạng PSD2.0. Không phải vậy. Gói mới - Chỉ thị Dịch vụ Thanh toán Thứ Ba và Quy định Dịch vụ Thanh toán (PSR) áp dụng trực tiếp - nâng cao tiêu chuẩn về cách quản lý quyền, cách chứng thực được thể hiện và cách quản lý truy cập của bên thứ ba.

Nó cũng đến vào thời điểm các khoản thanh toán từ tài khoản này sang tài khoản khác, ví kỹ thuật số và các mô hình chia sẻ dữ liệu rộng hơn đang đặt ra những yêu cầu nặng nề hơn đối với cùng một hạ tầng mà các ngân hàng đã xây dựng cho PSD2.

Trong quá trình làm việc với các tổ chức châu Âu, chúng tôi thấy có nhiều cách tiếp cận khác nhau. Một số ngân hàng đang chờ đợi văn bản cuối cùng trước khi đưa ra quyết định. Những ngân hàng khác đã bắt đầu xây dựng lại các thành phần sẽ quyết định liệu PSD3 có trở thành một nâng cấp kiểm soát được hay một sự thay đổi đột phá. Sự khác biệt không liên quan đến diễn giải quy định mà hoàn toàn về kiến trúc.

Nơi các ngân hàng vẫn còn dễ bị tổn thương

Nhiều ngân hàng vẫn tiếp cận PSD3 qua lăng kính diễn giải chính sách, mặc dù áp lực thực sự nằm ở các hệ thống nền tảng phía dưới. Phần lớn những gì được xây dựng dưới PSD2 đã được lắp ráp nhanh chóng để đáp ứng thời hạn, và nhiều ngân hàng chưa từng quay lại để củng cố các thành phần đó sau khi áp lực ban đầu qua đi.

Ví dụ về sự đồng ý. Nhiều ngân hàng vẫn dựa vào các kho lưu trữ đồng ý theo kênh hoặc bảng điều khiển được gắn thêm trong PSD2. Những thiết lập này khiến việc quản lý quyền ở mức độ chi tiết mà PSD3 mong đợi trở nên khó khăn hơn, và việc thu hồi hoặc chứng minh chúng rõ ràng cũng khó hơn.

Việc xác thực thường cũng nằm cùng một chỗ. Chứng minh rằng một bước xác thực Khách hàng Mạnh (SCA) đã xảy ra không đủ; các ngân hàng cần thể hiện rõ ngữ cảnh xác thực và trạng thái ủy quyền của bên khởi tạo tại thời điểm giao dịch được chấp thuận.

Các biện pháp kiểm soát gian lận tạo thêm áp lực. Chúng giờ đây phải thể hiện cách đánh giá rủi ro trong thời gian thực, chứ không phải sau đó mới dựng lại. Điều này trở nên khó khăn hơn khi các công cụ giám sát còn phân mảnh hoặc dữ liệu giao dịch nằm rải rác trên các hệ thống không liên kết. Các nền tảng như SmartVista Fraud Management của BPC, kết hợp giám sát giao dịch trực tuyến với quản lý dữ liệu tập trung và hỗ trợ AI/ML, cho thấy loại kiến trúc mà các ngân hàng cần. Họ cần một hệ thống có thể đánh giá hoạt động khi nó diễn ra và thể hiện cách các quyết định đó được đưa ra. Hiệu suất API cũng nằm trong phạm vi. PSR đặt nặng hơn về việc các giao diện có duy trì hoạt động, xử lý lỗi nhất quán và cung cấp dữ liệu đáng tin cậy qua các kênh. Truy cập của bên thứ ba và quá trình onboarding cũng cần có sự chuyển đổi tương tự - từ kiểm tra định kỳ và các bước thủ công, sang xác minh liên tục và một mô hình rõ ràng hơn để quản lý quyền truy cập.

Các tổ chức đã củng cố các nền tảng này sau PSD2, hiện đang thích nghi với PSD3 với ít gián đoạn hơn nhiều. Những tổ chức để các thành phần PSD2 còn nguyên vẹn giờ đây đang phải đối mặt với một chặng đường gian nan hơn.

Những gì PSD2 bỏ lại phía sau

PSD2 để lại một bộ các quyết định kỹ thuật hiện định hình độ khó của PSD3. Nhiều tổ chức đã xây dựng nhanh chóng để đáp ứng thời hạn: các bảng điều khiển quyền riêng biệt cho các kênh khác nhau, logic xác thực phân tán khắp các sản phẩm, cổng API được tối ưu cho khối lượng thấp và các bước thủ công để kiểm tra hoặc onboarding bên thứ ba. Những lựa chọn đó giải quyết vấn đề cấp bách. Hiện chúng nằm ở trung tâm của khối lượng công việc PSD3.

Những tổ chức khác đã dùng PSD2 để chỉnh đốn nền tảng. Họ đã đưa quyền vào một nơi, xem xác thực như một dịch vụ chung, đầu tư vào các API đáng tin cậy hơn và giới thiệu các kiểm soát truy cập rõ ràng hơn. Tất cả những điều này không được thực hiện với mục đích cho PSD3, nhưng giúp họ có không gian thích ứng mà không phải tháo rỡ hệ thống.

PSD3 và PSR phơi bày sự khác biệt giữa hai con đường này. Khung mới yêu cầu các ngân hàng biết, trong thời gian thực, ai đang truy cập vào cái gì, dưới quyền nào và với mức độ đảm bảo ra sao. Nó mong đợi các API hoạt động nhất quán, các kiểm tra gian lận được chứng minh ngay tại thời điểm giao dịch và quyền truy cập được xác minh liên tục. Những mong đợi này khác nhau rất nhiều tùy thuộc vào cách nền tảng PSD2 được xây dựng.

Công việc đã làm dưới PSD2 hiện đang quyết định mức độ đột phá của PSD3.

Những quyết định không thể trì hoãn

Một số quyết định kiến trúc đã nằm trên bàn, và chờ đợi văn bản cuối cùng sẽ không làm chúng dễ dàng hơn. Quyền truy cập cần có một nơi duy nhất; các kho lưu trữ đồng ý phân tán xây dựng trong PSD2 khiến việc quản lý chi tiết, thu hồi quyền truy cập rõ ràng hoặc thể hiện những gì đã có tại thời điểm phê duyệt trở nên khó khăn hơn.

Xác thực cần hoạt động như một dịch vụ duy nhất thay vì một tập hợp các bước cấp sản phẩm, vì PSD3 mong đợi các ngân hàng thể hiện đầy đủ ngữ cảnh của một sự chấp thuận, chứ không chỉ là một sự kiện SCA đã xảy ra.

Quyền truy cập cần được kiểm tra liên tục thay vì theo định kỳ, với cách quản lý rõ ràng hơn về ai được phép làm gì theo thời gian. Và API cần được xem như hạ tầng vận hành, với mức độ đáng tin cậy và nhất quán mà PSR yêu cầu.

Đây cũng là lý do các ngân hàng bắt đầu nhìn xa hơn các giải pháp tạm thời và hướng tới các nền tảng mô-đun có thể hấp thụ các thay đổi quy định một cách sạch sẽ hơn. Đối với các tổ chức lâu đời, hạ tầng sẵn sàng cho tương lai quan trọng như việc tuân thủ hiện tại. Các nền tảng như BPC SmartVista, được thiết kế như kiến trúc mô-đun, dựa trên đám mây và xây dựng để mở rộng, mang lại cho các ngân hàng một lộ trình thực tế hơn để thích ứng với PSD3 và giảm thiểu rủi ro khi có sự thay đổi quy định tiếp theo gây ra một lần xây dựng lại đắt đỏ khác. Các ngân hàng cần các nền tảng giúp quá trình chuyển đổi dễ dàng hơn, hỗ trợ tuân thủ khi các yêu cầu phát triển và để lại không gian để thích ứng mà không phải mở lại toàn bộ hệ thống.

Những lựa chọn này sẽ quyết định liệu PSD3 có đến như một nâng cấp có thể quản lý được hay là một lần xây dựng lại đắt đỏ. Chuyển đổi sớm hơn sẽ giúp các ngân hàng có không gian thích ứng theo cách của riêng họ. Chờ đợi văn bản cuối cùng chỉ làm thu hẹp phạm vi hành động.

Thời gian còn lại ngắn hơn bạn nghĩ

Trong những lần quy định về ngân hàng mở chặt chẽ hơn trước, các ngân hàng chuyển sớm có nhiều không gian để đưa ra các lựa chọn cẩn thận hơn. Những ngân hàng chờ đợi cuối cùng lại phải vá víu dưới áp lực. PSD3 cũng đang đi theo hướng đó. Xem nó như một công việc hạ tầng ngay bây giờ sẽ giúp các ngân hàng kiểm soát tốt hơn kết quả. Chờ đợi văn bản cuối cùng chỉ làm thu hẹp không gian hành động.