Hệ thống tuân thủ có thực sự hoạt động như thiết kế?

Ở những bài trước, câu chuyện tuân thủ pháp luật đã được nhìn từ nhiều góc độ: xác định nghĩa vụ pháp lý, phân công trách nhiệm, đưa yêu cầu pháp luật vào quy trình, phân biệt vai trò của pháp chế với trách nhiệm của toàn doanh nghiệp và xây dựng bằng chứng để có thể chứng minh việc tuân thủ. Nhưng đến đây vẫn còn một câu hỏi quan trọng: những gì doanh nghiệp đã thiết kế có thực sự diễn ra trong hoạt động hằng ngày hay không?

Một quy trình có thể được ban hành đúng, trách nhiệm đã được phân công và biểu mẫu đã được xây dựng. Nhưng trong một giao dịch cụ thể, nhân viên có thực hiện đúng các bước đó không? Người có thẩm quyền có thực sự phê duyệt trước khi giao dịch được thực hiện không? Bằng chứng có được tạo ra và lưu giữ đúng cách không?

Khoảng cách giữa hệ thống trên giấy và cách doanh nghiệp thực sự vận hành là nơi nhiều rủi ro tuân thủ bắt đầu xuất hiện. Đáng chú ý, sự lệch này thường không xảy ra đột ngột mà hình thành từng bước qua thời gian.

Sự xói mòn quy trình thường bắt đầu từ những ngoại lệ nhỏ

Trong quản trị, hiện tượng này có thể được nhìn nhận như sự xói mòn quy trình theo thời gian (Process Drift). Một bước kiểm tra bị bỏ qua vì giao dịch cần xử lý gấp. Một cấp phê duyệt được thực hiện bằng email thay vì theo quy trình chính thức. Một biểu mẫu được hoàn thiện sau khi công việc đã bắt đầu. Một trường hợp ngoại lệ không được ghi nhận vì mọi người cho rằng đó chỉ là tình huống đặc biệt.

Nếu những cách xử lý như vậy lặp lại mà không được xem xét, ngoại lệ có thể dần trở thành thói quen. Sau một thời gian, nhân viên mới được hướng dẫn theo chính cách làm đó, người quản lý coi đó là cách vận hành bình thường, trong khi quy trình trên văn bản vẫn không thay đổi.

Điểm nguy hiểm của Process Drift nằm ở chỗ doanh nghiệp có thể không nhận ra hệ thống đã lệch khỏi thiết kế ban đầu cho đến khi một sự cố buộc phải đối chiếu giữa “quy trình phải làm” và “quy trình thực tế đã làm”. Vì vậy, kiểm tra định kỳ không chỉ để phát hiện một lỗi tại một thời điểm, mà còn để nhận ra những thay đổi nhỏ đang dần trở thành cách vận hành mới.

Kiểm tra hệ thống không nhất thiết phải là một cuộc rà soát lớn

Khi nói đến kiểm tra tuân thủ, doanh nghiệp thường hình dung một cuộc rà soát quy mô lớn, kéo theo nhiều hồ sơ, bộ phận và thời gian. Nhưng không phải lúc nào cũng cần bắt đầu như vậy. Điều quan trọng trước hết là xác định những điểm kiểm soát có ý nghĩa đối với rủi ro của doanh nghiệp. Nếu rủi ro lớn nằm ở hợp đồng, có thể chọn một số giao dịch thực tế và xem lại toàn bộ đường đi: yêu cầu kinh doanh, dự thảo, ý kiến pháp lý, phê duyệt, ký kết, thực hiện và lưu hồ sơ. Nếu rủi ro nằm ở lao động, có thể kiểm tra cách một số quy trình nhân sự thực sự được thực hiện thay vì chỉ đọc nội quy và quy chế. Nếu rủi ro liên quan đến dữ liệu, có thể theo dõi một quy trình cụ thể từ lúc dữ liệu được thu thập, sử dụng, chia sẻ đến khi được lưu giữ và kiểm soát quyền truy cập.

Cách tiếp cận này giúp doanh nghiệp nhìn thấy hệ thống trong trạng thái vận hành thực tế, thay vì chỉ nhìn vào những gì được quy định trên giấy.

Kiểm tra tuân thủ không nên trở thành một cuộc “vạch lá tìm sâu”

Một trở ngại thực tế khi kiểm tra vận hành là tâm lý phòng thủ của các bộ phận nghiệp vụ. Kinh doanh có thể lo kiểm tra làm chậm giao dịch, HR e ngại thiếu sót trong hồ sơ, còn các cấp quản lý trung gian có thể sợ mỗi khoảng trống được phát hiện sẽ trở thành vấn đề về trách nhiệm cá nhân.

Nếu tâm lý này chi phối quá trình kiểm tra, các bộ phận có xu hướng giải thích hoặc bảo vệ cách làm của mình thay vì giúp doanh nghiệp nhìn thấy vấn đề.

Cách tiếp cận hiệu quả hơn là coi kiểm tra tuân thủ như một Legal Compliance Health Check – kiểm tra sức khỏe của hệ thống.

Mục tiêu trước hết không phải tìm xem cá nhân nào mắc lỗi, mà là xác định hệ thống đang yếu ở đâu. Một bước kiểm soát thường xuyên bị bỏ qua có thể phản ánh vấn đề trong thiết kế quy trình. Một hồ sơ thường xuyên thiếu bằng chứng có thể cho thấy trách nhiệm lưu trữ chưa rõ. Một quy trình liên tục phải xử lý bằng ngoại lệ có thể cho thấy chính quy trình đó không còn phù hợp.

Điều này không có nghĩa doanh nghiệp bỏ qua trách nhiệm cá nhân khi có hành vi vi phạm. Nhưng về mặt quản trị, cần phân biệt giữa một lỗi cá nhân và một lỗi mang tính hệ thống. Nếu cùng một sai sót xuất hiện ở nhiều người, nhiều giao dịch hoặc trong thời gian dài, câu hỏi cần đặt ra không chỉ là “ai làm sai?” mà còn là “điều gì trong hệ thống khiến sai sót này có thể lặp lại?”.

Có những khoảng trống chỉ xuất hiện khi kiểm tra hoạt động thực tế

Một quy trình có thể được thiết kế đúng nhưng vẫn thất bại ở một mắt xích cụ thể. Doanh nghiệp quy định mọi hợp đồng phải được phê duyệt trước khi ký, nhưng bộ phận kinh doanh vẫn ký trước rồi mới hoàn thiện hồ sơ. Doanh nghiệp quy định một nhóm giao dịch phải xin ý kiến pháp chế, nhưng nhân viên không nhận diện được giao dịch của mình thuộc nhóm đó. Hoặc các bước kiểm soát đều được thực hiện nhưng không tạo ra bằng chứng đủ rõ ràng để xác định ai đã thực hiện và dựa trên thông tin nào.

Những tình huống này cho thấy một hệ thống tuân thủ cần được nhìn qua ba lớp: thiết kế, thực hiện và bằng chứng. Thiết kế cho biết doanh nghiệp muốn kiểm soát điều gì. Thực hiện cho biết kiểm soát đó có thực sự diễn ra hay không. Bằng chứng cho phép doanh nghiệp truy xuất và đánh giá lại quá trình. Chỉ khi ba lớp này liên kết với nhau, doanh nghiệp mới có cơ sở đánh giá chất lượng thực tế của hệ thống.

Xem thêm: Rà soát thuế nên được thực hiện vào thời điểm nào?

Ngoại lệ không phải lúc nào cũng là thất bại của hệ thống

Trong hoạt động kinh doanh, không thể tránh hoàn toàn các trường hợp ngoại lệ. Có giao dịch cần xử lý gấp, có khách hàng yêu cầu điều kiện đặc biệt, có tình huống thị trường buộc doanh nghiệp phải thay đổi cách vận hành. Vấn đề không nằm ở việc có ngoại lệ, mà ở chỗ ngoại lệ có được nhận diện, giải thích và kiểm soát hay không.

Một hệ thống tuân thủ tốt không nhất thiết buộc mọi hoạt động đi qua cùng một con đường. Hệ thống cần xác định trường hợp nào có thể xử lý theo quy trình thông thường, trường hợp nào cần phê duyệt bổ sung và trường hợp nào phải chuyển lên cấp có thẩm quyền. Nếu mọi ngoại lệ đều bị coi là vi phạm, hệ thống dễ trở nên cứng nhắc. Nhưng nếu ngoại lệ trở thành cách để bỏ qua kiểm soát, hệ thống lại trở nên hình thức. Quan trọng hơn, những ngoại lệ lặp lại cần được xem xét để xác định liệu chúng có đang trở thành một dạng Process Drift hay không.

Phát hiện khoảng trống chỉ có ý nghĩa khi hệ thống được cải thiện

Một cuộc kiểm tra chỉ tạo ra giá trị quản trị nếu kết quả của nó quay trở lại hệ thống. Nếu một bước kiểm soát thường xuyên bị bỏ qua, doanh nghiệp cần xem lại bước đó có thực sự cần thiết và phù hợp với cách vận hành hiện tại hay không. Nếu nhân sự không nhận diện được nghĩa vụ pháp lý, có thể cần đào tạo, hướng dẫn hoặc thay đổi cách phân công trách nhiệm. Nếu bằng chứng thường xuyên bị thiếu, doanh nghiệp có thể phải điều chỉnh quy trình lưu trữ hoặc tích hợp việc tạo bằng chứng vào chính hoạt động vận hành. Nếu quy trình không còn phù hợp với mô hình kinh doanh mới, giải pháp không chỉ là yêu cầu nhân viên tuân thủ quy trình cũ mà phải xem xét lại chính quy trình đó.

Tuân thủ vì vậy cần một vòng phản hồi liên tục: yêu cầu pháp lý thay đổi, hoạt động kinh doanh thay đổi, hệ thống được điều chỉnh, việc thực hiện được kiểm tra và những phát hiện mới lại được đưa trở lại quá trình cải thiện hệ thống.

Xem thêm: 7 dấu hiệu cho thấy doanh nghiệp nên rà soát thuế

Từ kiểm tra hệ thống đến xử lý khoảng trống tuân thủ

Một hệ thống tuân thủ không được đánh giá chỉ bằng số lượng quy chế, quy trình hay hồ sơ doanh nghiệp đang có. Điều quan trọng hơn là hệ thống đó có được thực hiện trong thực tế, có tạo ra bằng chứng và có khả năng phát hiện những điểm đang lệch khỏi thiết kế ban đầu hay không.

Doanh nghiệp có năng lực quản trị tuân thủ không nhất thiết là doanh nghiệp không bao giờ có sai sót. Khác biệt nằm ở khả năng phát hiện sai lệch đủ sớm, hiểu nguyên nhân và đưa vấn đề trở lại đúng quỹ đạo trước khi nó trở thành một rủi ro lớn hơn.

Nhưng phát hiện khoảng trống mới chỉ là bước đầu. Sau một cuộc kiểm tra, doanh nghiệp có thể phát hiện vấn đề về quy trình, con người, công nghệ, nghĩa vụ pháp lý hoặc bằng chứng đã được tạo lập trong quá khứ. Không phải khoảng trống nào cũng có mức độ nghiêm trọng như nhau và cũng không thể xử lý bằng cùng một cách.

Doanh nghiệp cần biết khoảng trống nào phải xử lý ngay, khoảng trống nào có thể khắc phục theo kế hoạch, ai chịu trách nhiệm, biện pháp nào phù hợp và làm thế nào để xác nhận rằng vấn đề đã thực sự được đóng lại.

Đó là bước tiếp theo của quản trị tuân thủ: từ phát hiện khoảng trống đến khắc phục và kiểm soát việc khắc phục.

Lưu ý: Đây là bài viết nhận định và phân tích của các chuyên gia NCA, không thay thế cho tư vấn pháp lý hoặc đánh giá chuyên môn đối với một trường hợp cụ thể.