Pháp chế và hệ thống tuân thủ: Doanh nghiệp đang kỳ vọng sai điều gì?

Trong nhiều doanh nghiệp, đặc biệt khi quy mô bắt đầu lớn hơn và hoạt động kinh doanh trở nên phức tạp hơn, một câu hỏi thường xuất hiện: doanh nghiệp có cần một bộ phận pháp chế riêng hay không?
Câu hỏi này hoàn toàn hợp lý. Nhưng phía sau nó đôi khi tồn tại một cách hiểu đơn giản hơn: chỉ cần tuyển một luật sư giỏi, thành lập phòng pháp chế hoặc thuê một đơn vị tư vấn pháp lý thường xuyên thì bài toán tuân thủ pháp luật sẽ được giải quyết.

Trên thực tế, pháp chế có thể đóng vai trò rất quan trọng trong việc giúp doanh nghiệp nhận diện và xử lý các vấn đề pháp lý. Nhưng pháp chế không thể thay thế cho một hệ thống tuân thủ, cũng như một hệ thống tuân thủ không thể được hình thành chỉ bằng việc bổ sung thêm nhân sự pháp lý.
Sự khác biệt này càng đáng lưu ý khi doanh nghiệp phát triển. Bởi pháp luật không chỉ xuất hiện trong các hợp đồng, hồ sơ hay văn bản cần luật sư xem xét. Những yêu cầu pháp lý còn nằm trong cách doanh nghiệp tuyển dụng và sử dụng lao động, phê duyệt giao dịch, quản lý tài chính, thực hiện nghĩa vụ với cơ quan nhà nước, quảng cáo và bán hàng, sử dụng dữ liệu, vận hành hệ thống công nghệ, quản lý nhà cung cấp và thực hiện các quyết định của bộ máy quản trị.
Nói cách khác, pháp chế xử lý một phần quan trọng của bài toán pháp lý; còn tuân thủ là câu chuyện doanh nghiệp tổ chức toàn bộ hoạt động của mình như thế nào để các yêu cầu pháp lý được nhận diện, phân công, thực hiện, kiểm soát và có thể chứng minh khi cần thiết.

Pháp chế làm gì và hệ thống tuân thủ làm gì?

Pháp chế, xét về chức năng, thường là nơi doanh nghiệp tìm đến khi cần giải thích một quy định pháp luật, đánh giá một vấn đề pháp lý, rà soát hợp đồng, tư vấn giao dịch, xử lý một tình huống có rủi ro hoặc hỗ trợ doanh nghiệp làm việc với các vấn đề pháp lý phát sinh.

Đó là một chức năng chuyên môn và có vai trò không thể thiếu trong nhiều doanh nghiệp. Nhưng một yêu cầu pháp lý sau khi được pháp chế xác định chưa đồng nghĩa với việc doanh nghiệp đã tuân thủ yêu cầu đó.

Ví dụ, pháp chế có thể xác định rằng một loại giao dịch cần được kiểm soát hoặc phê duyệt ở một cấp có thẩm quyền nhất định. Nhưng để yêu cầu này thực sự được tuân thủ, doanh nghiệp còn phải xác định giao dịch nào thuộc phạm vi kiểm soát, ai có trách nhiệm phát hiện giao dịch đó, hồ sơ nào phải được chuẩn bị, ai kiểm tra, ai phê duyệt, bộ phận nào lưu giữ bằng chứng và phải làm gì nếu giao dịch được thực hiện không đúng quy trình.

Đây là khoảng cách giữa ý kiến pháp lý và khả năng vận hành tuân thủ.

Pháp chế có thể trả lời câu hỏi “pháp luật yêu cầu gì?”. Hệ thống tuân thủ phải giúp doanh nghiệp trả lời thêm những câu hỏi như “yêu cầu đó được đưa vào đâu trong quy trình?”, “ai chịu trách nhiệm?”, “kiểm soát bằng cách nào?”, “bằng chứng nằm ở đâu?” và “doanh nghiệp sẽ phát hiện ra vấn đề bằng cách nào?”.
Nếu không có bước chuyển này, yêu cầu pháp lý rất dễ dừng lại ở một bản tư vấn, một email hoặc một ý kiến của luật sư mà chưa thực sự đi vào hoạt động của doanh nghiệp.

Sai lầm phổ biến: giao toàn bộ trách nhiệm tuân thủ cho pháp chế

Một trong những cách tổ chức dễ gặp là coi pháp chế như “người gác cổng pháp luật” của doanh nghiệp. Mọi hợp đồng đều chuyển cho pháp chế. Mọi vấn đề phát sinh đều hỏi pháp chế. Mọi quy trình có yếu tố pháp lý đều chờ pháp chế xem xét. Khi có thay đổi pháp luật, doanh nghiệp chờ pháp chế thông báo.

Cách làm này có thể phù hợp ở một mức độ nhất định, đặc biệt với những doanh nghiệp chưa có hệ thống quản trị phức tạp. Nhưng khi quy mô hoạt động tăng lên, nó có thể tạo ra một nghịch lý: trách nhiệm tuân thủ càng được đẩy về pháp chế thì pháp chế càng khó kiểm soát toàn bộ những gì đang diễn ra trong doanh nghiệp.

Pháp chế không trực tiếp thực hiện mọi giao dịch. Không phải pháp chế tuyển dụng nhân viên, duyệt từng khoản thanh toán, quản lý từng khách hàng, vận hành từng cơ sở hoặc trực tiếp thực hiện mọi quy trình kinh doanh.

Nếu bộ phận kinh doanh ký một hợp đồng, bộ phận nhân sự tuyển một người lao động, bộ phận tài chính thực hiện một khoản thanh toán hoặc bộ phận vận hành đưa một quy trình mới vào hoạt động, thì trách nhiệm thực hiện đúng yêu cầu pháp lý vẫn thuộc về chính hoạt động đó. Pháp chế có thể tư vấn, cảnh báo, thiết kế điểm kiểm soát và hỗ trợ xử lý. Nhưng không thể thay thế trách nhiệm của người đang sở hữu và vận hành quy trình.

Khi bị đặt vào vị trí “người gác cổng” cho gần như mọi hoạt động, pháp chế còn có thể gặp một hệ lụy khác: để giảm khả năng phát sinh trách nhiệm, bộ phận này có xu hướng kiểm soát theo hướng thận trọng tối đa. Những yêu cầu pháp lý có thể được diễn giải theo cách an toàn nhất, nhiều giao dịch được yêu cầu xin ý kiến trước, nhiều bước phê duyệt được bổ sung dù mức độ rủi ro không thực sự tương xứng.

Về mặt pháp lý, cách tiếp cận này có thể tạo cảm giác an toàn. Nhưng về mặt vận hành, nó dễ biến pháp chế thành một “nút thắt cổ chai”. Khi ngày càng nhiều quyết định kinh doanh phải đi qua một đầu mối pháp lý, tốc độ xử lý của doanh nghiệp có thể phụ thuộc vào khả năng xử lý của chính đầu mối đó. Pháp chế càng cố gắng kiểm soát mọi thứ, các bộ phận kinh doanh càng có xu hướng chờ ý kiến pháp chế thay vì tự chịu trách nhiệm trong phạm vi được phân quyền.

Cuối cùng, chính cách tổ chức này lại có thể làm suy yếu khả năng tuân thủ mà nó muốn bảo vệ: trách nhiệm bị tập trung, trong khi năng lực tuân thủ không được phân bổ xuống nơi công việc thực sự diễn ra. Đây cũng là lý do một doanh nghiệp có phòng pháp chế rất mạnh vẫn có thể phát sinh vấn đề tuân thủ. Vấn đề không nhất thiết nằm ở năng lực của pháp chế. Có thể vấn đề nằm ở cách doanh nghiệp thiết kế trách nhiệm.

Khoảng cách giữa văn bản pháp lý và công việc thực tế

Một ví dụ dễ thấy là việc doanh nghiệp xử lý dữ liệu cá nhân của khách hàng. Pháp chế có thể xây dựng quy định nội bộ, điều khoản hoặc cơ chế ghi nhận sự đồng ý phù hợp với yêu cầu pháp luật. Nghị định 13/2023/NĐ-CP quy định sự đồng ý của chủ thể dữ liệu phải được thể hiện rõ ràng, cụ thể và ở định dạng có thể kiểm chứng; đồng thời, trong trường hợp có tranh chấp, trách nhiệm chứng minh sự đồng ý thuộc về bên kiểm soát dữ liệu cá nhân hoặc bên kiểm soát và xử lý dữ liệu cá nhân.

Nhưng nếu bộ phận Marketing triển khai một biểu mẫu thu thập thông tin khách hàng không đúng với cơ chế đã được thiết kế, hệ thống công nghệ không lưu lại được bằng chứng về sự đồng ý, hoặc dữ liệu được sử dụng theo cách không phù hợp với mục đích đã được thông báo, thì bộ hồ sơ pháp chế đã chuẩn bị cũng không thể tự nó khắc phục được vấn đề. Pháp chế có thể đã hoàn thành phần việc của mình, nhưng quy trình tuân thủ vẫn có thể thất bại ở khâu vận hành.

Điều tương tự có thể xảy ra trong quản trị lao động. Bộ phận pháp chế hoặc nhân sự có thể xây dựng đầy đủ quy định, quy trình và tài liệu về an toàn lao động, nhưng nếu bộ phận sản xuất không thực hiện các hoạt động theo yêu cầu hoặc không lưu giữ được bằng chứng về việc đã thực hiện, doanh nghiệp vẫn có thể đối mặt với khoảng cách giữa “quy định đã được ban hành” và “nghĩa vụ đã thực sự được thực hiện”.

Đây chính là lý do một hệ thống tuân thủ không thể chỉ được đánh giá bằng chất lượng của các văn bản do pháp chế soạn thảo. Cần nhìn vào cả hành vi vận hành, điểm kiểm soát và bằng chứng được tạo ra trong quá trình thực hiện.

Một hệ thống tuân thủ không bắt đầu bằng việc tuyển thêm người

Nếu coi tuân thủ là một hệ thống, câu hỏi đầu tiên không nên là “cần thêm bao nhiêu nhân sự pháp chế?”, mà là “doanh nghiệp cần kiểm soát những nghĩa vụ nào và chúng đang được kiểm soát ở đâu?”. Từ đó mới có thể xác định doanh nghiệp thực sự cần nguồn lực gì.

Có doanh nghiệp chỉ cần một bộ phận pháp chế nhỏ nhưng xây dựng được quy trình rõ ràng, phân quyền hợp lý và xác định được những điểm bắt buộc phải có ý kiến pháp lý. Có doanh nghiệp có đội ngũ pháp chế lớn nhưng vẫn phụ thuộc quá nhiều vào xử lý sự vụ vì các yêu cầu pháp lý chưa được tích hợp vào quy trình vận hành.

Quy mô của bộ phận pháp chế vì thế không phải là thước đo trực tiếp của mức độ trưởng thành về tuân thủ. Một hệ thống phù hợp cần xác định được ít nhất ba lớp trách nhiệm.

Lớp thứ nhất là trách nhiệm chuyên môn pháp lý: xác định yêu cầu pháp luật, giải thích quy định, nhận diện rủi ro và tư vấn phương án xử lý.
Lớp thứ hai là trách nhiệm quản lý: quyết định mức độ kiểm soát, phê duyệt chính sách, phân bổ nguồn lực và chịu trách nhiệm về cách doanh nghiệp tổ chức việc tuân thủ.
Lớp thứ ba là trách nhiệm vận hành: đưa yêu cầu pháp lý vào công việc hàng ngày và bảo đảm quy trình thực tế được thực hiện đúng.

Ba lớp này có thể được tổ chức khác nhau tùy quy mô và mô hình doanh nghiệp. Một doanh nghiệp nhỏ có thể không cần một phòng compliance riêng. Một doanh nghiệp lớn có thể cần cơ chế chuyên trách và các tầng kiểm soát phức tạp hơn. Điểm cốt lõi không nằm ở tên gọi của bộ phận mà ở việc trách nhiệm có được xác định rõ và hệ thống có thực sự vận hành hay không.

Pháp chế nên đứng ở đâu trong hệ thống tuân thủ?

Trong một hệ thống được tổ chức tốt, pháp chế không bị đẩy ra ngoài hoạt động kinh doanh, nhưng cũng không phải bộ phận chịu trách nhiệm thay cho tất cả các bộ phận khác. Pháp chế có thể đóng vai trò như một chức năng chuyên môn giúp doanh nghiệp hiểu và chuyển hóa yêu cầu pháp lý thành các yêu cầu quản trị có thể thực hiện được.

Chẳng hạn, khi doanh nghiệp chuẩn bị một sản phẩm, dịch vụ hoặc mô hình kinh doanh mới, pháp chế có thể tham gia từ giai đoạn đầu để xác định các điều kiện pháp lý liên quan. Khi doanh nghiệp xây dựng hợp đồng, pháp chế có thể xác định các điều khoản cần kiểm soát. Khi một quy trình mới được thiết kế, pháp chế có thể chỉ ra những điểm cần phê duyệt hoặc những giới hạn cần tuân thủ.
Nhưng sau khi các yêu cầu đó được xác định, trách nhiệm thực hiện phải được đưa trở lại đúng nơi nó thuộc về.

Bộ phận kinh doanh phải biết giới hạn của giao dịch mà mình được thực hiện. Bộ phận nhân sự phải biết những yêu cầu cần kiểm soát trong quy trình lao động. Tài chính phải biết những chứng từ và phê duyệt nào cần thiết. Người quản lý phải biết quyết định nào thuộc thẩm quyền của mình và quyết định nào cần được kiểm tra trước.
Khi đó, pháp chế không còn chỉ là nơi “duyệt giấy tờ” ở cuối quy trình. Pháp chế trở thành một phần của cơ chế thiết kế và kiểm soát rủi ro pháp lý.

Doanh nghiệp cần một hệ thống phù hợp, không phải một bộ máy cồng kềnh

Cũng cần tránh một cực đoan khác: sau khi nhận ra pháp chế không thể gánh toàn bộ trách nhiệm tuân thủ, doanh nghiệp xây dựng một bộ máy kiểm soát quá lớn. Tuân thủ càng nhiều thủ tục không có nghĩa là tuân thủ càng tốt. Một quy trình có thêm nhiều tầng phê duyệt nhưng không ai hiểu mục đích kiểm soát cũng không tạo ra nhiều giá trị. Một danh mục chính sách rất dài nhưng không được cập nhật hoặc không được sử dụng trong thực tế cũng không làm cho doanh nghiệp an toàn hơn.

Hệ thống tuân thủ cần tương xứng với quy mô, mô hình kinh doanh và mức độ rủi ro của doanh nghiệp. Những vấn đề có hậu quả lớn cần được kiểm soát chặt hơn; những vấn đề có rủi ro thấp không nhất thiết phải tạo ra một quy trình phức tạp. Đây cũng là nguyên tắc cần được giữ khi doanh nghiệp quyết định đầu tư cho chức năng pháp chế và tuân thủ: chi phí quản trị tuân thủ không nên vượt quá giá trị của rủi ro mà nó được thiết kế để ngăn ngừa hoặc kiểm soát.

Một hệ thống tốt không phải là hệ thống có nhiều người pháp chế nhất, nhiều quy trình nhất hay nhiều chữ ký nhất. Đó là hệ thống giúp doanh nghiệp biết mình phải tuân thủ điều gì, ai chịu trách nhiệm, kiểm soát ở đâu và phải làm gì khi có thay đổi hoặc phát hiện sai lệch.

Điều doanh nghiệp thực sự cần thay đổi là cách nhìn về trách nhiệm

Nhìn từ góc độ này, câu chuyện “có cần phòng pháp chế hay không?” không còn là câu hỏi trung tâm. Câu hỏi quan trọng hơn là: doanh nghiệp đang tổ chức trách nhiệm tuân thủ như thế nào?

Nếu mọi vấn đề pháp lý đều phải chờ một cá nhân hoặc một bộ phận phát hiện, doanh nghiệp sẽ luôn ở thế phản ứng. Nếu yêu cầu pháp lý được đưa vào quy trình, phân công cho người chịu trách nhiệm và gắn với những điểm kiểm soát cụ thể, doanh nghiệp có thể chuyển sang một trạng thái chủ động hơn. Đó cũng là ranh giới giữa một doanh nghiệp có người làm pháp lý và một doanh nghiệp có năng lực quản trị tuân thủ.

Pháp chế là một thành phần quan trọng của năng lực đó. Nhưng pháp chế không thể thay thế vai trò của lãnh đạo, các bộ phận nghiệp vụ và những người trực tiếp vận hành doanh nghiệp. Khi trách nhiệm tuân thủ được phân bổ đúng, pháp chế có thể tập trung vào những vấn đề cần chuyên môn pháp lý thực sự; các bộ phận vận hành hiểu rõ trách nhiệm của mình; còn ban lãnh đạo có thể nhìn thấy tuân thủ như một phần của hệ thống quản trị thay vì một công việc xử lý hồ sơ. Và khi đó, câu hỏi tiếp theo không còn là doanh nghiệp có pháp chế hay chưa, mà là làm thế nào để biết hệ thống tuân thủ đang thực sự vận hành hiệu quả trong thực tế.

Đó là bước chuyển từ việc xây dựng hệ thống sang đánh giá, kiểm tra và cải thiện hệ thống – cũng là nơi hoạt động Legal Compliance Audit có ý nghĩa rõ ràng hơn trong quản trị doanh nghiệp.

Lưu ý: Đây là bài viết nhận định và phân tích của các chuyên gia NCA, không thay thế cho tư vấn pháp lý hoặc đánh giá chuyên môn đối với một trường hợp cụ thể.