Phát hiện khoảng trống tuân thủ: Doanh nghiệp cần xử lý như thế nào?

Một hệ thống tuân thủ chỉ thực sự có giá trị khi doanh nghiệp có khả năng nhận ra lúc hệ thống không còn hoạt động như thiết kế và biết phải làm gì tiếp theo.
Ở bài trước, chúng ta đã đi từ việc xây dựng quy trình, phân công trách nhiệm và tạo lập bằng chứng đến một câu hỏi thực tế hơn: hệ thống đó có thực sự vận hành trong hoạt động hằng ngày hay không? Việc kiểm tra có thể cho thấy những quy trình đang bị bỏ qua, những trường hợp ngoại lệ lặp lại, bằng chứng không đầy đủ hoặc những điểm kiểm soát không còn phù hợp với cách doanh nghiệp đang vận hành.

Nhưng phát hiện ra khoảng trống mới chỉ là bước đầu. Một khoảng trống nếu chỉ được ghi nhận trong một báo cáo rồi để đó thì chưa tạo ra giá trị quản trị. Doanh nghiệp cần xác định mức độ nghiêm trọng, nguyên nhân, trách nhiệm xử lý, biện pháp khắc phục và quan trọng nhất là phải biết khi nào có thể coi vấn đề đã thực sự được đóng lại.

Đây là giai đoạn thường bị xem nhẹ trong quản trị tuân thủ. Doanh nghiệp có thể khá tốt trong việc phát hiện vấn đề nhưng lại thiếu một cơ chế rõ ràng để đưa vấn đề từ trạng thái “đã biết” sang “đã được xử lý”.

Không phải khoảng trống nào cũng cần xử lý theo cùng một cách

Sau một cuộc kiểm tra, doanh nghiệp có thể phát hiện nhiều vấn đề cùng lúc. Có vấn đề chỉ là thiếu một bước trong quy trình. Có vấn đề liên quan đến phân quyền. Có vấn đề xuất phát từ việc nhân viên chưa hiểu yêu cầu. Có vấn đề bắt nguồn từ hệ thống công nghệ. Cũng có những trường hợp đã phát sinh hậu quả thực tế và cần được xử lý ngay.

Nếu tất cả các vấn đề đều được đưa vào cùng một danh sách và xử lý theo cùng một thứ tự, doanh nghiệp rất dễ phân tán nguồn lực. Điều cần làm trước tiên là phân loại khoảng trống theo mức độ rủi ro và tác động đối với doanh nghiệp.

Một vấn đề có khả năng dẫn đến hậu quả pháp lý nghiêm trọng, ảnh hưởng đến hoạt động kinh doanh, quyền lợi của người lao động, khách hàng hoặc đối tác thường cần được ưu tiên cao hơn một thiếu sót mang tính thủ tục và chưa tạo ra ảnh hưởng đáng kể.

Điều này cũng có nghĩa là một hệ thống quản trị tuân thủ tốt không nhất thiết phải đặt mục tiêu “không còn bất kỳ lỗi nào”. Mục tiêu thực tế hơn là nhận diện được những khoảng trống quan trọng, ưu tiên đúng vấn đề và đưa chúng về trạng thái được kiểm soát.

Tuy nhiên, “được kiểm soát” không nhất thiết đồng nghĩa với việc mọi khoảng trống đều phải được loại bỏ. Trong một số trường hợp, sau khi cân nhắc mức độ rủi ro, chi phí khắc phục và tác động đến hoạt động kinh doanh, Ban Lãnh đạo có thể quyết định chấp nhận một mức rủi ro còn lại. Khi đó, việc chấp nhận rủi ro cần được ghi nhận chính thức, xác định rõ phạm vi và được phê duyệt bởi người có thẩm quyền. Rủi ro được chấp nhận có chủ đích khác hoàn toàn với một vấn đề bị bỏ ngỏ vì không ai chịu trách nhiệm xử lý.

Ví dụ: Một doanh nghiệp phân phối phát hiện một số hợp đồng có giá trị nhỏ vẫn được ký trước khi hoàn tất một bước kiểm tra nội bộ. Qua rà soát, doanh nghiệp nhận thấy rủi ro pháp lý ở nhóm giao dịch này thấp, trong khi việc bổ sung thêm một cấp phê duyệt cho tất cả hợp đồng sẽ làm tăng đáng kể thời gian xử lý. Ban Lãnh đạo quyết định không bổ sung cấp phê duyệt mới, nhưng ghi nhận rõ mức rủi ro được chấp nhận, phạm vi áp dụng, lý do của quyết định và biện pháp kiểm soát thay thế. Đây là chấp nhận rủi ro có chủ đích, không phải bỏ qua rủi ro.

Một khung xử lý thực tế: từ phát hiện đến đóng vấn đề

Trong thực tế, doanh nghiệp có thể quản lý một khoảng trống tuân thủ theo một chuỗi tương đối đơn giản. Điều quan trọng không phải là tạo thêm một quy trình phức tạp, mà là bảo đảm không có bước quan trọng nào bị bỏ lại giữa lúc phát hiện và lúc vấn đề được đóng.

Bước 1 – Ghi nhận khoảng trống.
Xác định chính xác vấn đề là gì, phát hiện ở đâu, liên quan đến hoạt động hoặc nghĩa vụ nào và bằng chứng nào cho thấy khoảng trống đang tồn tại. Tránh những mô tả quá chung như “chưa tuân thủ” mà không chỉ ra cụ thể điều gì đang thiếu hoặc sai lệch.

Bước 2 – Đánh giá mức độ rủi ro.
Xem xét khả năng xảy ra, mức độ tác động và phạm vi ảnh hưởng. Một khoảng trống chỉ xuất hiện trong một giao dịch đơn lẻ sẽ khác với một khoảng trống đang tồn tại trong toàn bộ quy trình. Đây là cơ sở để quyết định mức độ ưu tiên.

Bước 3 – Kiểm soát rủi ro trước mắt.
Nếu vấn đề vẫn đang tiếp tục phát sinh, cần có biện pháp ngăn hoặc hạn chế tác động trước khi hoàn thành phân tích nguyên nhân. Có thể là tạm dừng giao dịch, tăng cấp phê duyệt, hạn chế quyền truy cập hoặc rà soát các trường hợp tương tự.

Bước 4 – Xác định nguyên nhân.
Không dừng ở việc xác định “ai đã làm sai”. Cần xem xét nguyên nhân nằm ở con người, quy trình, phân quyền, công nghệ, thông tin, đào tạo hay chính thiết kế của hệ thống. Nếu cùng một vấn đề xuất hiện nhiều lần, cần đặc biệt xem xét khả năng đây là lỗi hệ thống.

Bước 5 – Quyết định cách xử lý.
Tùy trường hợp, doanh nghiệp có thể sửa quy trình, bổ sung kiểm soát, đào tạo lại, điều chỉnh phân quyền, thay đổi hệ thống công nghệ hoặc rà soát các hồ sơ đã phát sinh. Nếu sau đánh giá, Ban Lãnh đạo quyết định chấp nhận rủi ro còn lại, quyết định đó cần được ghi nhận và phê duyệt đúng thẩm quyền thay vì để vấn đề tự chuyển sang trạng thái “không xử lý”.

Bước 6 – Giao trách nhiệm và thời hạn.
Mỗi biện pháp khắc phục cần có người chịu trách nhiệm chính, thời hạn và kết quả đầu ra cụ thể. Pháp chế có thể tư vấn hoặc giám sát yêu cầu pháp lý, nhưng bộ phận sở hữu quy trình vẫn phải chịu trách nhiệm thực hiện phần việc thuộc chức năng của mình.

Bước 7 – Tạo và lưu bằng chứng khắc phục.
Quy trình mới, quyết định phê duyệt, hồ sơ đào tạo, thay đổi hệ thống, kết quả rà soát hoặc các tài liệu liên quan cần được lưu giữ để chứng minh biện pháp đã thực sự được thực hiện.

Bước 8 – Xác nhận hiệu quả và đóng vấn đề.
Không nên coi một vấn đề đã được xử lý chỉ vì hành động khắc phục đã hoàn thành. Với những vấn đề có mức độ rủi ro đáng kể, cần kiểm tra lại để xác nhận biện pháp mới thực sự có hiệu quả. Chỉ khi có đủ cơ sở cho thấy nguyên nhân đã được xử lý hoặc rủi ro còn lại đã được chấp nhận và kiểm soát ở mức phù hợp, vấn đề mới nên được đóng.

Khung này cũng tạo ra một nguyên tắc quan trọng: một vấn đề tuân thủ không kết thúc ở “đã xử lý”, mà kết thúc ở “đã kiểm soát được”.

Xem thêm: Phát hiện rủi ro thuế: Doanh nghiệp nên xử lý như thế nào?

Khắc phục không chỉ là sửa cái đã sai

Một trong những điểm dễ nhầm lẫn nhất là coi việc khắc phục như một hành động sửa chữa đơn lẻ. Nếu một hợp đồng thiếu bước phê duyệt, doanh nghiệp có thể bổ sung phê duyệt cho chính hợp đồng đó. Nhưng nếu quy trình phê duyệt không rõ ràng và nhiều hợp đồng khác cũng đang được xử lý theo cách tương tự, việc hoàn thiện một hồ sơ cụ thể chưa giải quyết được nguyên nhân.

Tương tự, nếu phát hiện một nhân viên không thực hiện đúng quy trình, việc nhắc nhở người đó có thể cần thiết nhưng chưa chắc đã đủ. Cần xem xét liệu quy trình có rõ không, trách nhiệm có được phân công đúng không, nhân viên có được hướng dẫn không và hệ thống có hỗ trợ họ thực hiện đúng hay không. Đây là sự khác biệt giữa khắc phục một trường hợp và khắc phục nguyên nhân tạo ra khoảng trống.

Một hệ thống tuân thủ tốt không chỉ hỏi “vấn đề đã được sửa chưa?”, mà còn phải hỏi “điều gì khiến vấn đề xuất hiện và làm thế nào để hạn chế khả năng nó lặp lại?”.

Ví dụ: Một doanh nghiệp sản xuất phát hiện nhiều hợp đồng mua nguyên liệu được ký khi chưa hoàn tất bước phê duyệt theo quy trình. Ban đầu, doanh nghiệp có thể yêu cầu hoàn thiện lại hồ sơ của những hợp đồng đã ký. Nhưng nếu rà soát cho thấy nguyên nhân là bộ phận mua hàng phải xử lý đơn hàng gấp trong khi quy trình phê duyệt mất nhiều thời gian, việc yêu cầu nhân viên “tuân thủ đúng quy trình” sẽ khó giải quyết tận gốc vấn đề. Doanh nghiệp có thể cần thiết kế lại ma trận phê duyệt, phân cấp theo giá trị giao dịch hoặc tích hợp phê duyệt vào hệ thống quản lý mua hàng.

Có những trường hợp cần xử lý ngay trước khi tìm nguyên nhân

Không phải lúc nào doanh nghiệp cũng có thể chờ phân tích đầy đủ nguyên nhân rồi mới hành động. Nếu phát hiện một hoạt động đang tạo ra rủi ro tiếp diễn, ưu tiên trước hết có thể là ngăn vấn đề tiếp tục phát sinh. Có thể cần tạm dừng một quy trình, hạn chế một giao dịch, kiểm soát quyền truy cập, rà soát các hồ sơ tương tự hoặc đưa ra một biện pháp kiểm soát tạm thời. Đây là bước có thể gọi là kiểm soát tức thời.

Sau khi rủi ro trước mắt đã được kiểm soát, doanh nghiệp mới có điều kiện xem xét nguyên nhân và xây dựng biện pháp khắc phục lâu dài. Việc phân biệt giữa biện pháp xử lý tức thời và biện pháp khắc phục nguyên nhân giúp doanh nghiệp tránh một tình trạng khá phổ biến: vấn đề tạm thời biến mất nhưng nguyên nhân bên dưới vẫn còn nguyên.

Ai chịu trách nhiệm khắc phục?

Một báo cáo kiểm tra có thể xác định rất nhiều vấn đề nhưng nếu không có người chịu trách nhiệm cụ thể, phần việc khắc phục rất dễ bị kéo dài. Trách nhiệm này không nên mặc nhiên được chuyển cho phòng pháp chế chỉ vì vấn đề có yếu tố pháp lý.

Nếu khoảng trống nằm trong quy trình bán hàng, bộ phận kinh doanh phải tham gia xử lý. Nếu nằm trong quản lý nhân sự, HR phải có trách nhiệm tương ứng. Nếu liên quan đến hệ thống công nghệ, bộ phận IT cần tham gia. Pháp chế có thể xác định yêu cầu pháp lý, tư vấn phương án kiểm soát và đánh giá tính phù hợp của biện pháp khắc phục, nhưng không thể thay thế các bộ phận sở hữu quy trình trong việc thực hiện.

Điều quan trọng là mỗi vấn đề cần có một chủ thể chịu trách nhiệm chính, một thời hạn và một kết quả cần đạt được. Nếu trách nhiệm chỉ được giao cho “các bộ phận liên quan”, khả năng cao không bộ phận nào thực sự sở hữu vấn đề.

Khắc phục phải tạo ra bằng chứng

Một khoảng trống được coi là đã xử lý không nên chỉ dựa trên một thông báo rằng “đã hoàn thành”. Doanh nghiệp cần có bằng chứng cho thấy biện pháp khắc phục đã được thực hiện.

Nếu quy trình được sửa đổi, cần xác định phiên bản mới, người phê duyệt và thời điểm áp dụng. Nếu nhân sự được đào tạo lại, cần có bằng chứng về việc đào tạo. Nếu hệ thống công nghệ được thay đổi, cần có dấu vết về việc thay đổi và phạm vi áp dụng. Nếu một nhóm hồ sơ được rà soát lại, cần xác định kết quả rà soát và những vấn đề phát hiện thêm.

Điều này tạo ra sự liên kết trực tiếp với bài trước về bằng chứng tuân thủ: không chỉ cần chứng minh doanh nghiệp đã thực hiện nghĩa vụ, mà còn cần chứng minh rằng doanh nghiệp đã thực hiện biện pháp khắc phục khi phát hiện khoảng trống. Nếu không có bằng chứng, doanh nghiệp rất khó biết một vấn đề đã thực sự được xử lý hay mới chỉ được đánh dấu là hoàn thành trên hệ thống quản lý.

“Đã đóng” không có nghĩa là vấn đề đã được giải quyết

Đây là một điểm đặc biệt quan trọng. Một vấn đề có thể được đánh dấu là “Closed” vì quy trình đã được sửa, nhân viên đã được đào tạo hoặc hồ sơ đã được bổ sung. Nhưng điều đó chưa chắc chứng minh rằng kiểm soát mới đang hoạt động.

Ví dụ: Một doanh nghiệp dịch vụ phát hiện nhân viên thường xuyên sử dụng mẫu hợp đồng cũ dù mẫu mới đã được ban hành. Doanh nghiệp tổ chức đào tạo lại và đánh dấu vấn đề là đã hoàn thành. Tuy nhiên, khi kiểm tra lại sau vài tháng, một số hợp đồng vẫn sử dụng mẫu cũ. Điều này cho thấy biện pháp khắc phục mới dừng ở đào tạo, trong khi nguyên nhân có thể nằm ở việc doanh nghiệp chưa kiểm soát phiên bản tài liệu và chưa loại bỏ mẫu cũ khỏi nơi nhân viên có thể tiếp cận.

Vì vậy, với những vấn đề có mức độ rủi ro đáng kể, cần có bước xác nhận hiệu quả của biện pháp khắc phục. Doanh nghiệp có thể kiểm tra lại một số giao dịch, xem xét hồ sơ mới, kiểm tra dữ liệu hệ thống hoặc thực hiện một đợt rà soát ngắn sau một khoảng thời gian nhất định. Mục tiêu là trả lời câu hỏi: biện pháp khắc phục có thực sự làm thay đổi cách hệ thống vận hành hay không?

Đừng biến khắc phục thành một hệ thống thủ tục mới

Một rủi ro khác trong quá trình cải thiện tuân thủ là phản ứng quá mức. Sau khi phát hiện một sai sót, doanh nghiệp có thể bổ sung thêm một biểu mẫu, thêm một cấp phê duyệt, thêm một bước kiểm tra và thêm một yêu cầu báo cáo. Nếu vấn đề tiếp tục xuất hiện, lại có thêm một lớp kiểm soát mới. Kết quả là hệ thống ngày càng phức tạp nhưng chưa chắc kiểm soát tốt hơn.

Khắc phục hiệu quả không nhất thiết đồng nghĩa với việc thêm thủ tục. Trong nhiều trường hợp, giải pháp tốt hơn có thể là đơn giản hóa quy trình, làm rõ trách nhiệm, tự động hóa một bước kiểm soát, thay đổi cách phân quyền hoặc đưa một điểm kiểm soát vào ngay trong hệ thống công nghệ.

Mục tiêu của remediation không phải là tạo thêm việc cho doanh nghiệp. Mục tiêu là làm cho rủi ro được kiểm soát tốt hơn với cách thức phù hợp và bền vững hơn.

Khoảng trống tuân thủ cần được theo dõi đến khi thực sự đóng lại

Khi doanh nghiệp đã xác định vấn đề, biện pháp khắc phục và người chịu trách nhiệm, phần việc tiếp theo là theo dõi tiến độ. Điều này đặc biệt quan trọng với những vấn đề có nhiều bước xử lý hoặc cần sự phối hợp của nhiều bộ phận. Nếu không có thời hạn và cơ chế theo dõi, những vấn đề không cấp bách thường dễ bị đẩy xuống sau các công việc kinh doanh hằng ngày.

Một cơ chế quản trị đơn giản có thể bao gồm: vấn đề là gì, mức độ rủi ro, nguyên nhân, biện pháp xử lý, người chịu trách nhiệm, thời hạn, bằng chứng hoàn thành và kết quả xác nhận sau khắc phục.

Điểm cuối cùng rất quan trọng. Hoàn thành hành động không đồng nghĩa với đóng vấn đề. Vấn đề chỉ nên được coi là đã đóng khi doanh nghiệp có đủ cơ sở để xác nhận rằng nguyên nhân đã được xử lý hoặc rủi ro còn lại đã được chấp nhận và kiểm soát ở mức phù hợp.

Từ khắc phục sang một vòng quản trị liên tục

Nhìn toàn bộ chuỗi tuân thủ, có thể thấy các bước không tách rời nhau. Doanh nghiệp cần biết mình có những nghĩa vụ pháp lý nào, đưa chúng vào hệ thống, phân công trách nhiệm, tạo bằng chứng, kiểm tra cách hệ thống vận hành và xử lý những khoảng trống được phát hiện. Sau đó, hệ thống lại quay trở về điểm bắt đầu. Hoạt động kinh doanh thay đổi, pháp luật thay đổi, công nghệ thay đổi, nhân sự thay đổi và những rủi ro mới xuất hiện. Những thay đổi đó có thể tạo ra các khoảng trống mới mà doanh nghiệp cần tiếp tục nhận diện và xử lý.

Tuân thủ vì vậy không phải là một dự án có ngày hoàn thành. Nó là một vòng quản trị liên tục: nhận diện – thiết kế – thực hiện – chứng minh – kiểm tra – khắc phục – kiểm tra lại.

Một doanh nghiệp có năng lực quản trị tuân thủ không phải là doanh nghiệp không bao giờ có khoảng trống. Đó là doanh nghiệp có khả năng phát hiện khoảng trống đủ sớm, xác định đúng mức độ rủi ro, xử lý đúng nguyên nhân và biết được khi nào vấn đề thực sự đã được kiểm soát.

Nhưng ngay cả một cơ chế khắc phục tốt cũng chưa thể bảo đảm những khoảng trống sẽ không xuất hiện trở lại. Nếu lãnh đạo chỉ coi tuân thủ là một tập hợp quy trình cần sửa khi có vấn đề, doanh nghiệp sẽ luôn phải chạy theo các sai lệch mới. Một quy trình được thiết kế đúng có thể bị bỏ qua; một quy định được ban hành tốt có thể không được thực hiện; và một bài học từ sự cố có thể mất đi khi nhân sự hoặc người quản lý thay đổi.

Muốn những yêu cầu tuân thủ thực sự trở thành một phần của cách doanh nghiệp ra quyết định và vận hành, cần có một yếu tố sâu hơn cả quy trình: văn hóa tuân thủ (Compliance Culture).

Văn hóa đó bắt đầu từ cách Ban Lãnh đạo nhìn nhận rủi ro, cách người quản lý phản ứng khi phát hiện sai lệch và cách nhân viên hiểu trách nhiệm của mình đối với pháp luật trong công việc hằng ngày. Nếu tuân thủ được coi là giá trị quản trị chung thay vì nhiệm vụ của riêng pháp chế, những khoảng trống sẽ có cơ hội được nhận diện và xử lý ngay từ nơi chúng phát sinh.

Đó là bước tiếp theo của chuỗi bài: từ xây dựng và khắc phục hệ thống tuân thủ đến xây dựng một văn hóa tuân thủ có khả năng duy trì hệ thống đó trong thực tế.

Lưu ý: Đây là bài viết nhận định và phân tích của các chuyên gia NCA, không thay thế cho tư vấn pháp lý hoặc đánh giá chuyên môn đối với một trường hợp cụ thể.