Doanh nghiệp tuân thủ pháp luật nhưng chứng minh bằng gì?
Trong quản trị doanh nghiệp, có một khác biệt tưởng như nhỏ nhưng có thể trở nên rất quan trọng khi xảy ra thanh tra, kiểm tra, tranh chấp hoặc một cuộc rà soát nội bộ: doanh nghiệp đã thực hiện một nghĩa vụ pháp lý và doanh nghiệp có thể chứng minh rằng mình đã thực hiện nghĩa vụ đó. Hai việc này không phải lúc nào cũng đi cùng nhau.
Một doanh nghiệp có thể đã phê duyệt đúng thẩm quyền nhưng không còn lưu được hồ sơ thể hiện quá trình phê duyệt. Có thể đã thực hiện một quy trình nhân sự nhưng bằng chứng nằm rải rác trong email, bảng tính hoặc hệ thống của từng bộ phận. Có thể đã có cơ chế kiểm soát dữ liệu, nhưng không xác định được phiên bản quy trình nào đang được áp dụng hoặc ai đã thực hiện bước kiểm soát đó.
Khi hoạt động diễn ra bình thường, những khoảng trống này có thể không được chú ý. Nhưng khi doanh nghiệp cần giải trình một quyết định, chứng minh một nghĩa vụ đã được thực hiện hoặc xác định trách nhiệm trong một sự cố, câu hỏi sẽ nhanh chóng chuyển từ “doanh nghiệp có làm hay không?” sang “bằng chứng ở đâu?”.
Đây là một khía cạnh quan trọng của quản trị tuân thủ nhưng thường được nhìn nhận khá muộn. Bởi tuân thủ không chỉ là thực hiện đúng yêu cầu pháp luật. Một hệ thống tuân thủ trưởng thành còn phải tạo ra khả năng truy xuất và chứng minh những gì doanh nghiệp đã thực hiện.
“Đã làm” và “chứng minh đã làm” là hai câu chuyện khác nhau
Trong thực tế vận hành, nhiều công việc được thực hiện mà không phải lúc nào người thực hiện cũng nghĩ đến việc tạo ra bằng chứng cho chính công việc đó. Một quyết định được trao đổi trong cuộc họp. Một yêu cầu được gửi qua email. Một hồ sơ được phê duyệt trên hệ thống. Một nhân viên được hướng dẫn trực tiếp. Một quy trình được thực hiện theo thông lệ của bộ phận.
Với người trực tiếp tham gia, những việc đó có thể hoàn toàn rõ ràng. Nhưng vài tháng hoặc vài năm sau, người đó có thể đã chuyển vị trí, email không còn dễ truy xuất, hệ thống đã thay đổi hoặc doanh nghiệp không còn xác định được tài liệu nào phản ánh đúng quy trình tại thời điểm sự việc xảy ra. Khi đó, doanh nghiệp có thể vẫn khẳng định rằng mình đã thực hiện đúng. Vấn đề là khả năng chứng minh không còn tương ứng với thực tế.
Điều này đặc biệt đáng chú ý đối với những nghĩa vụ phụ thuộc vào thời điểm, thẩm quyền, quy trình hoặc sự phê duyệt của một cá nhân hay bộ phận cụ thể. Nếu doanh nghiệp không thiết kế cơ chế lưu giữ bằng chứng ngay từ đầu, việc khôi phục lại toàn bộ quá trình sau này có thể khó khăn hơn rất nhiều.
Vì vậy, trong một hệ thống tuân thủ, “bằng chứng” không nên được xem là phần hồ sơ được bổ sung sau khi có vấn đề. Nó cần được tạo ra như một phần tự nhiên của quá trình thực hiện.
Bằng chứng tuân thủ không chỉ là giấy tờ
Một cách hiểu khá phổ biến là hồ sơ tuân thủ đồng nghĩa với văn bản, giấy phép, hợp đồng, quyết định hoặc biên bản được lưu trong tủ hồ sơ. Cách hiểu này ngày càng không còn đầy đủ.
Trong hoạt động doanh nghiệp hiện nay, bằng chứng có thể nằm trong nhiều dạng khác nhau: một quyết định được phê duyệt trên hệ thống, lịch sử xử lý một yêu cầu, dữ liệu ghi nhận trên phần mềm, email trao đổi, biên bản họp, nhật ký vận hành, hồ sơ đào tạo, kết quả kiểm tra, báo cáo định kỳ hoặc tài liệu thể hiện một bước kiểm soát đã được thực hiện.
Điều quan trọng không phải bằng chứng tồn tại dưới dạng giấy hay điện tử, mà là doanh nghiệp có thể xác định được nó, truy xuất được nó và liên hệ được nó với nghĩa vụ hoặc quy trình mà doanh nghiệp cần chứng minh hay không.
Nhưng với bằng chứng điện tử, khả năng tồn tại và truy xuất vẫn chưa phải toàn bộ câu chuyện. Doanh nghiệp còn phải quan tâm đến độ tin cậy của dấu vết dữ liệu, tính toàn vẹn của nội dung và khả năng xác định nguồn tạo lập.
Luật Giao dịch điện tử 2023 quy định thông điệp dữ liệu không bị phủ nhận giá trị làm chứng cứ chỉ vì được thể hiện dưới dạng điện tử. Đồng thời, giá trị chứng cứ được xem xét dựa trên độ tin cậy của cách thức khởi tạo, lưu trữ hoặc truyền gửi, cách thức bảo đảm và duy trì tính toàn vẹn, khả năng xác định người khởi tạo và các yếu tố phù hợp khác. Luật cũng đặt ra yêu cầu về khả năng truy cập, sử dụng, xác định nguồn gốc và thời điểm gửi, nhận trong việc lưu trữ thông điệp dữ liệu.
Điều đó có nghĩa là một email, dữ liệu hệ thống hoặc lịch sử trao đổi điện tử không nên chỉ được đánh giá theo câu hỏi “có tồn tại hay không”. Cần đặt thêm những câu hỏi như: dữ liệu được tạo ra từ đâu, ai tạo hoặc phê duyệt, có thể xác định người thực hiện hay không, nội dung có được bảo đảm toàn vẹn hay không, hệ thống có lưu lại lịch sử thay đổi hay không và doanh nghiệp có thể truy xuất lại dữ liệu một cách đáng tin cậy khi cần hay không.
Một hệ thống có rất nhiều tài liệu nhưng không xác định được tài liệu nào là phiên bản đang có hiệu lực cũng chưa chắc tạo ra khả năng chứng minh tốt. Ngược lại, một quy trình đơn giản nhưng mỗi bước quan trọng đều để lại dấu vết rõ ràng, có thể xác định nguồn tạo lập và có cơ chế bảo đảm tính toàn vẹn, có thể có giá trị quản trị lớn hơn rất nhiều.
Vì vậy, khi nói về bằng chứng tuân thủ, câu hỏi không nên dừng ở việc “doanh nghiệp có hồ sơ không?”, mà cần đi xa hơn: hồ sơ đó chứng minh điều gì, được tạo ra khi nào, ai tạo ra, ai phê duyệt, phiên bản nào được áp dụng, dữ liệu có còn nguyên vẹn và có thể truy xuất lại khi cần hay không?
Bằng chứng thường bị đứt gãy ở đâu?
Khoảng trống về bằng chứng thường không xuất hiện vì doanh nghiệp hoàn toàn không lưu trữ tài liệu. Nó có thể xuất hiện ngay cả khi doanh nghiệp có rất nhiều hồ sơ. Một trong những nguyên nhân là trách nhiệm tạo và lưu giữ bằng chứng không được xác định rõ.
Pháp chế có thể lưu văn bản pháp luật và các ý kiến tư vấn. Nhân sự lưu hồ sơ lao động. Tài chính lưu chứng từ. Kinh doanh lưu hợp đồng và trao đổi với khách hàng. Công nghệ lưu dữ liệu trên hệ thống. Mỗi bộ phận đều có hồ sơ của mình, nhưng không phải lúc nào doanh nghiệp cũng có một cách nhìn thống nhất về những bằng chứng nào cần được lưu để chứng minh một nghĩa vụ pháp lý cụ thể.
Một vấn đề khác là sự thay đổi của hoạt động kinh doanh. Một quy trình cũ có thể yêu cầu phê duyệt bằng văn bản. Sau đó doanh nghiệp chuyển sang hệ thống điện tử. Cách thức phê duyệt thay đổi nhưng quy định nội bộ chưa được cập nhật. Hoặc doanh nghiệp vẫn lưu hồ sơ nhưng không còn xác định được dữ liệu trên hệ thống nào là nguồn chính thức.
Những thay đổi như vậy không nhất thiết ngay lập tức tạo ra một vi phạm. Nhưng chúng có thể làm suy yếu khả năng truy xuất của doanh nghiệp khi cần kiểm tra hoặc giải trình.
Một khoảng trống khác xuất hiện khi quy trình và thực tế vận hành tách khỏi nhau. Doanh nghiệp có thể ban hành một quy trình rất rõ về việc ai phải kiểm tra, ai phải phê duyệt và hồ sơ nào phải lưu. Nhưng nếu nhân viên thực tế thực hiện theo một cách khác, bằng chứng được tạo ra trong quá trình vận hành sẽ không còn phản ánh đúng quy trình đã được thiết kế.
Đây chính là khoảng cách giữa “quy trình có trên giấy” và “dấu vết của hoạt động thực tế”.
Xem thêm: Quản trị rủi ro thuế không bắt đầu từ phòng kế toán
Ai chịu trách nhiệm về bằng chứng?
Nếu coi bằng chứng tuân thủ là trách nhiệm riêng của pháp chế, doanh nghiệp sẽ rất dễ lặp lại vấn đề đã được phân tích ở bài trước: mọi trách nhiệm cuối cùng lại quay về một bộ phận. Trong thực tế, người tạo ra bằng chứng thường chính là người thực hiện công việc.
Bộ phận kinh doanh tạo ra hồ sơ giao dịch. Người quản lý thực hiện phê duyệt phải để lại dấu vết của quyết định. Bộ phận nhân sự quản lý hồ sơ liên quan đến người lao động. Tài chính lưu giữ chứng từ của các giao dịch thuộc phạm vi mình xử lý. Bộ phận công nghệ bảo đảm dữ liệu và lịch sử thao tác cần thiết có thể được lưu giữ và truy xuất theo cơ chế của doanh nghiệp. Pháp chế có vai trò quan trọng trong việc xác định yêu cầu pháp lý và tư vấn doanh nghiệp cần kiểm soát, cần lưu giữ loại bằng chứng nào và trong những trường hợp nào cần có cơ chế chặt chẽ hơn. Nhưng pháp chế không thể là nơi tạo ra và lưu giữ toàn bộ bằng chứng cho mọi hoạt động của doanh nghiệp.
Điều doanh nghiệp cần là một sự phân công rõ ràng: nghĩa vụ nào cần được chứng minh, bằng chứng nào phù hợp, ai tạo ra bằng chứng, ai có trách nhiệm lưu giữ và trong trường hợp cần thiết ai có thể truy xuất nó. Khi những câu hỏi này được trả lời ngay trong thiết kế quy trình, bằng chứng trở thành một phần của hoạt động thay vì một công việc hành chính phát sinh sau đó.
Đừng đợi đến khi có vấn đề mới đi tìm hồ sơ
Một trong những cách xử lý tốn nhiều nguồn lực nhất là chỉ bắt đầu tìm kiếm bằng chứng sau khi có thanh tra, kiểm tra, tranh chấp hoặc một yêu cầu giải trình. Lúc đó, doanh nghiệp thường phải dựng lại một quá trình đã xảy ra trong quá khứ. Những người trực tiếp tham gia có thể đã thay đổi vị trí. Tài liệu có thể nằm ở nhiều nơi. Một số trao đổi chỉ tồn tại trong email cá nhân hoặc các hệ thống không còn được sử dụng. Những người hiện tại có thể biết kết quả nhưng không biết đầy đủ quá trình dẫn đến kết quả đó.
Việc dựng lại lịch sử vận hành trong điều kiện như vậy không chỉ là câu chuyện mất thêm vài giờ làm việc của nhân sự. Đó là một chi phí ẩn của quản trị tuân thủ. Lãnh đạo phải dành thời gian để truy tìm và xác nhận lại những việc đã xảy ra thay vì tập trung vào hoạt động kinh doanh. Các bộ phận phải huy động nhân sự để phục hồi hồ sơ, đối chiếu dữ liệu và giải thích những quyết định trong quá khứ. Nếu việc cung cấp thông tin hoặc giải trình không kịp thời, doanh nghiệp còn có thể phải đối mặt với những hệ quả pháp lý và quản trị phát sinh từ chính việc không chứng minh được đầy đủ quá trình đã thực hiện.
Trong những vụ việc liên quan đến đối tác hoặc cổ đông, khoảng trống về bằng chứng còn có thể làm suy giảm niềm tin, ngay cả khi nguyên nhân ban đầu không xuất phát từ một hành vi cố ý vi phạm. Một doanh nghiệp không thể nhanh chóng trả lời câu hỏi “quyết định này được đưa ra như thế nào và dựa trên hồ sơ nào?” sẽ khó tạo được sự tin cậy giống như một doanh nghiệp có thể truy xuất đầy đủ lịch sử của quyết định đó.
Vì vậy, chi phí của việc không xây dựng bằng chứng từ đầu không chỉ nằm ở chi phí khôi phục hồ sơ. Nó còn bao gồm thời gian quản lý bị tiêu hao, chi phí cơ hội của các bộ phận, áp lực giải trình và những rủi ro về quan hệ với đối tác, cổ đông hoặc các bên liên quan. Một hệ thống tuân thủ tốt cần giúp doanh nghiệp tránh phải trả những chi phí này bằng cách tạo ra dấu vết đáng tin cậy ngay trong quá trình vận hành.
Xem thêm: Phát hiện rủi ro thuế: Doanh nghiệp nên xử lý như thế nào?
Từ lưu hồ sơ sang khả năng truy xuất
Một doanh nghiệp có thể có rất nhiều tài liệu nhưng vẫn gặp khó khăn khi cần trả lời một câu hỏi cụ thể.
- Ai đã phê duyệt?
- Phê duyệt vào thời điểm nào?
- Căn cứ vào quy trình nào?
- Tài liệu nào được sử dụng tại thời điểm đó?
- Ai thực hiện bước tiếp theo?
- Có bằng chứng cho thấy bước kiểm soát đã được hoàn thành hay không?
Nếu doanh nghiệp mất quá nhiều thời gian để tìm câu trả lời, đó có thể là dấu hiệu cho thấy hệ thống bằng chứng chưa được thiết kế tốt.
Khả năng truy xuất vì vậy là một phần quan trọng của quản trị tuân thủ. Nó không chỉ giúp doanh nghiệp đáp ứng yêu cầu giải trình khi có vấn đề mà còn giúp chính doanh nghiệp hiểu được cách một quyết định đã được đưa ra, một giao dịch đã được thực hiện hoặc một quy trình đã vận hành như thế nào.
Ở góc độ quản trị, giá trị của bằng chứng không nằm ở số lượng tài liệu được lưu trữ. Giá trị nằm ở khả năng sử dụng những dấu vết đó để tái hiện một quá trình khi cần thiết.
Đó cũng là lý do hệ thống công nghệ ngày càng có vai trò trong quản trị tuân thủ. Một hệ thống được thiết kế phù hợp có thể giúp doanh nghiệp ghi nhận phê duyệt, quản lý phiên bản, phân quyền truy cập, lưu lịch sử thay đổi và tạo ra khả năng truy xuất tốt hơn. Nhưng công nghệ chỉ hỗ trợ hệ thống; nó không tự quyết định doanh nghiệp cần lưu bằng chứng gì hoặc trách nhiệm thuộc về ai.
Một hệ thống tuân thủ tốt phải tạo ra bằng chứng ngay trong quá trình vận hành
Nhìn từ góc độ này, câu chuyện về bằng chứng tuân thủ quay trở lại với cách doanh nghiệp thiết kế quy trình.
Nếu một nghĩa vụ pháp lý quan trọng không có người chịu trách nhiệm, rất khó có thể kỳ vọng bằng chứng được tạo ra đầy đủ. Nếu quy trình không xác định điểm kiểm soát, doanh nghiệp cũng khó xác định cần lưu dấu vết của bước nào. Nếu không quy định nguồn hồ sơ chính thức, nhiều phiên bản khác nhau có thể cùng tồn tại.
Ngược lại, khi doanh nghiệp xác định được nghĩa vụ, người chịu trách nhiệm, điểm kiểm soát và loại bằng chứng cần có, việc chứng minh tuân thủ trở thành một phần của chính quy trình vận hành. Đây cũng là bước phát triển tiếp theo của tư duy quản trị tuân thủ.
Lưu ý: Đây là bài viết nhận định và phân tích của các chuyên gia NCA, không thay thế cho tư vấn pháp lý hoặc đánh giá chuyên môn đối với một trường hợp cụ thể.
