Quy chế nội bộ có thực sự giúp doanh nghiệp kiểm soát rủi ro?

Nhiều doanh nghiệp có đầy đủ quy chế quản lý tài chính, quy trình mua hàng, quy định ký kết hợp đồng, nội quy lao động và các văn bản hướng dẫn công việc. Những tài liệu này được ban hành, phổ biến đến các bộ phận, thậm chí được rà soát định kỳ. Nhưng khi một giao dịch phát sinh vấn đề, doanh nghiệp vẫn có thể lúng túng trong việc xác định ai phải phê duyệt, căn cứ nào được sử dụng để ra quyết định và trách nhiệm thuộc về bộ phận nào.

Có những trường hợp quy chế đã quy định phải phê duyệt trước khi ký hợp đồng, nhưng người phụ trách vẫn ký trước vì cho rằng giao dịch cần được xử lý gấp. Có nơi quy định rõ hạn mức chi tiêu, nhưng các khoản thanh toán được chia nhỏ hoặc xử lý theo những ngoại lệ không được ghi nhận. Cũng có doanh nghiệp đã thay đổi cơ cấu tổ chức, phân công lại công việc, nhưng quy chế vẫn giữ nguyên tên chức danh và quy trình từ nhiều năm trước.

Những tình huống này cho thấy một khoảng cách đáng chú ý: quy chế có thể tồn tại đầy đủ trên văn bản, nhưng chưa chắc đã trở thành một phần của cách doanh nghiệp vận hành.

Quy chế nội bộ không chỉ là tài liệu để phổ biến quy định hoặc hoàn thiện hồ sơ quản trị. Nếu được thiết kế và thực hiện đúng cách, đây là công cụ chuyển các nguyên tắc quản lý thành giới hạn, trình tự và trách nhiệm cụ thể. Ngược lại, một hệ thống quy chế thiếu liên kết, chồng chéo hoặc không được cập nhật có thể tạo ra cảm giác an toàn giả tạo, trong khi những rủi ro quan trọng vẫn nằm ngoài tầm kiểm soát.

Có quy chế không đồng nghĩa với việc đã kiểm soát được rủi ro

Quy chế nội bộ thường được xây dựng để giải quyết những vấn đề có tính lặp lại trong hoạt động doanh nghiệp: ai có quyền phê duyệt, điều kiện nào cần đáp ứng trước khi thực hiện, thông tin nào phải được cung cấp, hồ sơ nào cần lưu giữ và trường hợp nào phải báo cáo cấp quản lý.

Tuy nhiên, việc ban hành văn bản mới chỉ giải quyết phần thiết kế. Để quy chế thực sự phát huy tác dụng, doanh nghiệp còn phải bảo đảm rằng người có liên quan hiểu nội dung, quy trình phù hợp với thực tế, các bước kiểm soát được thực hiện và những ngoại lệ được xử lý theo cách có thể kiểm tra lại.

Hãy hình dung một doanh nghiệp ban hành quy chế mua hàng, trong đó yêu cầu phải có đề xuất mua, đánh giá nhà cung cấp, phê duyệt ngân sách và xác nhận giao nhận. Trên giấy tờ, quy trình này có thể khá đầy đủ. Nhưng nếu bộ phận kinh doanh thường xuyên yêu cầu mua gấp, bộ phận mua hàng tự lựa chọn nhà cung cấp, còn kế toán chỉ nhận hóa đơn khi đến hạn thanh toán, các bước kiểm soát có thể bị tách rời khỏi nhau.

Mỗi bộ phận vẫn có thể hoàn thành phần việc riêng. Bộ phận kinh doanh đáp ứng nhu cầu vận hành, bộ phận mua hàng tìm được hàng hóa, nhà cung cấp giao hàng và kế toán thanh toán chứng từ. Nhưng nếu không ai kiểm tra toàn bộ quá trình, doanh nghiệp có thể không nhận diện được việc mua hàng đã vượt ngân sách, điều kiện thương mại khác với thỏa thuận ban đầu hoặc hồ sơ phê duyệt chưa được hoàn thiện đúng trình tự.

Vấn đề khi đó không nhất thiết là thiếu quy chế. Khoảng trống nằm ở mối liên hệ giữa các quy chế, trách nhiệm của các bộ phận và cách quy trình được thực hiện trong thực tế.

Phải phân biệt quy chế bắt buộc theo pháp luật với quy chế do doanh nghiệp tự thiết kế

Không phải mọi văn bản nội bộ đều có cùng cơ sở pháp lý, phạm vi áp dụng và hậu quả khi không được ban hành hoặc thực hiện đúng. Đây là điểm doanh nghiệp cần xác định trước khi xây dựng hệ thống quy chế.

Một số quy định nội bộ xuất phát trực tiếp từ yêu cầu pháp luật. Chẳng hạn, pháp luật doanh nghiệp và pháp luật chứng khoán đặt ra các yêu cầu về quản trị đối với những loại hình, đối tượng doanh nghiệp tương ứng. Công ty đại chúng phải tuân thủ các quy định chuyên biệt về quản trị công ty, trong đó có những yêu cầu về quy chế quản trị nội bộ và quy chế hoạt động của các cơ quan quản trị, kiểm soát theo pháp luật áp dụng. Các yêu cầu cụ thể cần được đối chiếu với loại hình doanh nghiệp và quy định hiện hành, không nên mặc nhiên áp dụng một bộ yêu cầu giống nhau cho mọi công ty.

Trong lĩnh vực lao động, người sử dụng lao động có nghĩa vụ ban hành nội quy lao động. Theo Bộ luật Lao động năm 2019, doanh nghiệp sử dụng từ 10 người lao động trở lên phải ban hành nội quy bằng văn bản và thực hiện thủ tục đăng ký theo quy định. Nội quy phải được thông báo đến người lao động; những nội dung chính phải được niêm yết ở nơi cần thiết tại nơi làm việc. Việc ban hành, sửa đổi nội quy cũng phải tuân thủ các yêu cầu liên quan đến tham khảo ý kiến của tổ chức đại diện người lao động tại cơ sở, nếu thuộc trường hợp luật định.

Trong khi đó, các quy chế tài chính, mua sắm, phê duyệt chi phí, ký kết hợp đồng hoặc quản lý nhà cung cấp thường được doanh nghiệp thiết kế để tổ chức hoạt động và kiểm soát rủi ro. Việc ban hành các quy chế này có thể xuất phát từ nhu cầu quản trị, điều lệ, cam kết nội bộ hoặc yêu cầu chuyên ngành cụ thể. Không thể mặc nhiên coi tất cả đều là văn bản bắt buộc phải đăng ký với cơ quan nhà nước.

Sự phân biệt này có ý nghĩa thực tế. Nếu doanh nghiệp xem một quy chế quản trị tự thiết kế như thể đó là nội quy lao động, doanh nghiệp có thể bỏ qua những yêu cầu riêng của pháp luật lao động. Ngược lại, nếu coi nội quy lao động chỉ là một tài liệu quản lý thông thường, doanh nghiệp có thể không thực hiện đúng thủ tục và điều kiện cần thiết để áp dụng các quy định về kỷ luật lao động.

Quy chế nội bộ có thể là căn cứ xử lý vi phạm đến đâu?

Đây là ranh giới pháp lý cần được đặc biệt lưu ý. Một quy chế có thể quy định rõ trách nhiệm của nhân viên, hạn mức phê duyệt, quy trình mua sắm hoặc cách thức sử dụng tài sản. Nhưng việc một người vi phạm quy chế không có nghĩa doanh nghiệp có thể tùy ý áp dụng bất kỳ hình thức kỷ luật hay yêu cầu bồi thường nào.

Đối với kỷ luật lao động, doanh nghiệp phải tuân thủ các căn cứ, nguyên tắc, hình thức và trình tự theo pháp luật lao động. Bộ luật Lao động quy định không được xử lý kỷ luật đối với hành vi vi phạm không được quy định trong nội quy lao động, hợp đồng lao động đã giao kết hoặc pháp luật lao động không có quy định. Do đó, nếu doanh nghiệp muốn một hành vi trở thành căn cứ xử lý kỷ luật, cần xem xét hành vi đó đã được quy định hợp lệ trong hệ thống căn cứ pháp lý áp dụng hay chưa, thay vì chỉ dựa vào việc quy chế tài chính hoặc mua sắm có đề cập đến hành vi ấy.

Tuy nhiên, cũng không nên suy luận rằng mọi quy chế quản trị chỉ có giá trị khi được tích hợp nguyên văn vào nội quy lao động hoặc hợp đồng lao động. Một quy chế tài chính vẫn có thể là công cụ phân định thẩm quyền và kiểm soát giao dịch. Vấn đề là phải phân biệt mục đích quản trị với căn cứ pháp lý cần thiết cho từng biện pháp xử lý cụ thể.

Đối với trách nhiệm vật chất hoặc yêu cầu bồi thường thiệt hại, doanh nghiệp cũng cần xác định căn cứ pháp luật, nghĩa vụ đã được xác lập, hành vi vi phạm, thiệt hại và các điều kiện chịu trách nhiệm tương ứng. Không phải cứ có quy chế quy định một khoản phạt hoặc nghĩa vụ bồi hoàn là doanh nghiệp có thể tự động áp dụng khoản đó. Đặc biệt, trong quan hệ lao động, việc xử lý trách nhiệm vật chất phải tuân thủ các giới hạn và thủ tục của pháp luật, không thể dùng quy chế nội bộ để thay thế.

Vì vậy, trước khi viện dẫn quy chế để xử lý một vụ việc, doanh nghiệp nên trả lời hai câu hỏi riêng biệt: quy chế có quy định rõ nghĩa vụ hoặc giới hạn đã bị vi phạm hay không; và quy định đó có đủ cơ sở pháp lý để áp dụng biện pháp xử lý mà doanh nghiệp dự kiến hay không?

Xem thêm: Quyết định đúng nhưng ai có quyền quyết định?

Khi các quy chế chồng chéo, vùng xám trách nhiệm xuất hiện

Một hệ thống quy chế có thể đầy đủ nhưng vẫn vận hành thiếu hiệu quả nếu các văn bản không thống nhất với nhau. Đây là rủi ro dễ xuất hiện ở doanh nghiệp có nhiều phòng ban, nhiều cấp quản lý hoặc trải qua quá trình mở rộng nhanh.

Chẳng hạn, quy chế tài chính quy định giám đốc tài chính có quyền phê duyệt một khoản chi trong hạn mức nhất định, nhưng quy chế mua sắm lại giao quyền quyết định cuối cùng cho trưởng ban quản lý dự án. Trong một giao dịch cụ thể, hai người có thể cùng cho rằng mình có quyền phê duyệt, hoặc mỗi người lại cho rằng trách nhiệm thuộc về người còn lại. Nếu giao dịch phát sinh thiệt hại, doanh nghiệp không chỉ phải xử lý hậu quả mà còn phải xác định lại chính hệ thống quản trị đã tạo ra sự mâu thuẫn đó.

Sự chồng chéo không chỉ xuất hiện giữa các quy chế. Nó còn có thể nằm giữa quy chế và điều lệ, giữa ma trận phân quyền và văn bản ủy quyền, hoặc giữa quy trình được ban hành với cách thức phê duyệt đang được sử dụng trên hệ thống công nghệ.

Doanh nghiệp cần có một cơ chế xác định thứ tự ưu tiên và xử lý xung đột giữa các văn bản, dựa trên hiệu lực pháp lý, thẩm quyền ban hành và phạm vi điều chỉnh của từng văn bản. Không thể chỉ quy định chung rằng văn bản ban hành sau được ưu tiên áp dụng, bởi văn bản nội bộ ban hành sau không thể mặc nhiên sửa đổi hoặc vượt qua điều lệ hay quy định pháp luật có hiệu lực cao hơn.

Việc rà soát cần hướng đến một câu hỏi cụ thể: với cùng một quyết định, các văn bản liên quan có chỉ ra một cơ chế nhất quán về người đề xuất, người thẩm định, người phê duyệt, người ký và người chịu trách nhiệm thực hiện hay không? Nếu câu trả lời chưa rõ, doanh nghiệp cần xử lý sự chồng chéo trước khi sự khác biệt trong cách hiểu trở thành tranh chấp nội bộ.

Xem thêm: Phân quyền và ủy quyền trong doanh nghiệp: Ranh giới nào cần được kiểm soát?

Quy chế phải được kết nối với thẩm quyền và hiệu lực của giao dịch

Quy chế nội bộ không thể thay thế điều lệ, quyết định của cơ quan quản trị có thẩm quyền hoặc các quy định pháp luật về đại diện. Một quy trình có thể yêu cầu phải được phê duyệt trước khi ký hợp đồng, nhưng doanh nghiệp vẫn cần xác định ai có quyền đại diện ký kết, phạm vi đại diện được xác lập ra sao và hậu quả pháp lý thế nào nếu quy trình nội bộ không được tuân thủ.

Hãy hình dung doanh nghiệp đã thay đổi cơ cấu quản lý, nhưng quy chế phê duyệt vẫn ghi tên một chức danh không còn tồn tại. Một hợp đồng sau đó được ký bởi người đang phụ trách công việc, trong khi hồ sơ phân quyền và ủy quyền chưa được cập nhật. Khi tranh chấp xảy ra, doanh nghiệp không thể chỉ dựa vào sự thiếu sót trong hồ sơ nội bộ để kết luận rằng giao dịch đương nhiên không ràng buộc mình.

Theo quy định của pháp luật dân sự về đại diện, giao dịch do người đại diện xác lập vượt quá phạm vi đại diện có thể không làm phát sinh quyền, nghĩa vụ đối với phần vượt quá phạm vi, nhưng pháp luật cũng quy định các trường hợp ngoại lệ, chẳng hạn khi người được đại diện đồng ý, biết mà không phản đối trong thời hạn hợp lý, hoặc có lỗi khiến bên giao dịch không biết hay không thể biết về việc vượt quá phạm vi đại diện. Việc áp dụng phải dựa trên điều kiện luật định và tình tiết cụ thể, không thể chỉ căn cứ vào việc bên thứ ba được mô tả là “thiện chí”.

Điều này cho thấy quy chế nội bộ chủ yếu phục vụ việc tổ chức và kiểm soát hoạt động trong doanh nghiệp; nó không tự động thay thế cơ chế đại diện khi giao dịch với bên ngoài. Nếu muốn kiểm soát rủi ro từ thẩm quyền ký kết, doanh nghiệp cần đồng bộ điều lệ, quyết định phân quyền, văn bản ủy quyền, quy trình phê duyệt và thông tin cung cấp cho các đối tác khi cần thiết.

Đây cũng là lý do quy chế không thể được xây dựng tách rời khỏi cơ cấu quản trị. Một quy trình chỉ thực sự hữu ích khi người có thẩm quyền được xác định rõ, giới hạn được cập nhật và hồ sơ thể hiện được căn cứ của quyết định.

Dấu vết quản trị: Từ hồ sơ giấy đến dữ liệu phê duyệt số

Một quy trình có thể đã được thực hiện nhưng doanh nghiệp vẫn gặp khó khăn khi cần chứng minh ai đã phê duyệt, phê duyệt nội dung gì và vào thời điểm nào. Vì vậy, quy chế hiện đại không chỉ cần xác định hồ sơ phải lưu giữ mà còn phải thiết kế cách tạo lập, bảo vệ và truy xuất dấu vết quản trị.

Dấu vết quản trị, hay audit trail, là chuỗi thông tin giúp tái hiện quá trình hình thành và thực hiện một quyết định: ai đề xuất, ai thẩm định, ai phê duyệt, nội dung nào được phê duyệt, có thay đổi nào sau đó và quyết định được chuyển sang bước tiếp theo ra sao. Dấu vết này có thể được hình thành từ hồ sơ giấy, phần mềm ERP, hệ thống quản lý văn bản điện tử, thư điện tử hoặc các hệ thống nghiệp vụ khác.

Trong môi trường số, việc phê duyệt không nhất thiết phải diễn ra bằng chữ ký tay trên văn bản giấy. Tuy nhiên, doanh nghiệp cần quy định rõ phương thức phê duyệt nào được chấp nhận, tài khoản nào có quyền thực hiện, cách xác định danh tính người phê duyệt, cách lưu giữ nội dung và lịch sử thay đổi, cũng như phương án truy xuất khi cần kiểm tra.

Email hoặc dữ liệu điện tử không bị phủ nhận giá trị pháp lý chỉ vì được thể hiện dưới dạng điện tử. Nhưng điều đó không có nghĩa mọi email, tin nhắn hay ảnh chụp màn hình đều đương nhiên chứng minh được đầy đủ thẩm quyền và nội dung phê duyệt. Giá trị chứng cứ còn phụ thuộc vào độ tin cậy của cách thức khởi tạo, gửi, nhận và lưu trữ; tính toàn vẹn của dữ liệu; khả năng xác định người khởi tạo và những yếu tố liên quan.

Chẳng hạn, một quản lý nhắn qua ứng dụng trao đổi công việc rằng “đồng ý triển khai” nhưng không nêu rõ phiên bản hợp đồng, giá trị giao dịch hoặc điều kiện đã được chấp thuận. Sau đó, nội dung hợp đồng thay đổi nhưng doanh nghiệp không có cơ chế lưu lại lịch sử. Khi cần kiểm tra, doanh nghiệp có thể chứng minh đã có trao đổi, nhưng chưa chắc chứng minh được người quản lý đã phê duyệt chính xác nội dung nào.

Vấn đề không nằm ở việc cấm sử dụng công cụ trao đổi điện tử, mà ở chỗ quy chế phải xác định phương thức nào có giá trị phê duyệt chính thức, trường hợp nào chỉ là trao đổi nghiệp vụ và khi nào cần hoàn tất xác nhận trên hệ thống được chỉ định. Nếu doanh nghiệp cho phép phê duyệt qua nhiều kênh nhưng không có cơ chế tập hợp và lưu giữ dữ liệu, dấu vết quản trị sẽ bị phân tán, khó kiểm tra và dễ phát sinh tranh cãi.

Một hệ thống quy chế tốt vì vậy cần thiết kế cả quy trình lẫn dấu vết của quy trình. Điều cần chứng minh không chỉ là công việc đã được thực hiện, mà còn là quyết định được đưa ra đúng thẩm quyền, đúng phạm vi và trên cơ sở thông tin nào.

Quy chế phải được kiểm tra trong thực tế, không chỉ rà soát trên văn bản

Một quy chế có thể phù hợp tại thời điểm ban hành nhưng dần trở nên lạc hậu khi doanh nghiệp thay đổi. Cơ cấu tổ chức mới được thiết lập, chức danh được điều chỉnh, hệ thống công nghệ được thay thế hoặc mô hình kinh doanh mở rộng có thể làm thay đổi cách công việc được thực hiện. Nếu quy chế không được cập nhật tương ứng, các quy định trên văn bản sẽ ngày càng xa thực tế.

Doanh nghiệp vì vậy cần xem xét quy chế ở cả ba khía cạnh: nội dung được thiết kế có phù hợp với yêu cầu quản trị hay không; người trong doanh nghiệp có thực hiện đúng quy trình hay không; và hồ sơ có đủ để chứng minh việc thực hiện hay không.

Việc kiểm tra không nên chỉ dừng ở câu hỏi quy chế đã được ban hành chưa hoặc các bộ phận đã ký xác nhận đã đọc chưa. Cần xem xét những giao dịch thực tế, cách phê duyệt được thực hiện, các trường hợp ngoại lệ và những điểm thường xuyên bị bỏ qua. Nếu quy chế yêu cầu một bước kiểm tra nhưng bước đó thường xuyên bị bỏ qua vì không phù hợp với hoạt động, doanh nghiệp cần xác định nguyên nhân thay vì chỉ nhắc nhở người thực hiện.

Có thể vấn đề nằm ở việc phân công chưa rõ, thời gian xử lý không thực tế, biểu mẫu quá phức tạp hoặc người thực hiện chưa được hướng dẫn đầy đủ. Cũng có thể quy trình đang tạo ra một điểm nghẽn mà cấp quản lý chưa nhận thấy. Chỉ khi tìm được nguyên nhân, doanh nghiệp mới biết cần đào tạo lại, điều chỉnh quy trình, thay đổi thẩm quyền hay bổ sung cơ chế giám sát.

Một quy chế có giá trị không phải là quy chế không bao giờ bị vi phạm. Đó là quy chế giúp doanh nghiệp phát hiện được những điểm sai lệch, xử lý ngoại lệ có kiểm soát và cải thiện cách vận hành theo thời gian.

Từ hệ thống quy chế đến năng lực quản trị doanh nghiệp

Quy chế nội bộ chỉ là một phần của hệ thống quản trị. Nó không thể thay thế vai trò của người quản lý, không tự động bảo đảm các quyết định được đưa ra đúng thẩm quyền và cũng không thể loại bỏ hoàn toàn rủi ro. Hiệu quả của quy chế phụ thuộc vào việc nó được kết nối với cơ cấu tổ chức, cơ chế phân quyền, quy trình nghiệp vụ, hệ thống thông tin và trách nhiệm của từng bộ phận như thế nào.

Đối với doanh nghiệp đang phát triển, việc rà soát hệ thống quy chế nên bắt đầu từ những hoạt động có ảnh hưởng lớn đến tài chính, nghĩa vụ hợp đồng, nhân sự và khả năng duy trì hoạt động. Doanh nghiệp cần xác định những quy định đang áp dụng, đối chiếu với cách công việc thực sự được thực hiện, nhận diện điểm thiếu hoặc chồng chéo và ưu tiên điều chỉnh những khoảng trống có thể tạo ra rủi ro đáng kể.

Không nhất thiết phải ban hành lại toàn bộ hệ thống trong một lần. Trong nhiều trường hợp, điều chỉnh một quy trình quan trọng, xác định lại thẩm quyền phê duyệt hoặc bổ sung cơ chế lưu giữ bằng chứng có thể tạo ra cải thiện rõ rệt hơn việc ban hành thêm nhiều văn bản chung.

Câu hỏi cuối cùng không phải là doanh nghiệp đã có đủ quy chế hay chưa, mà là những quy chế đó có giúp người trong doanh nghiệp ra quyết định đúng phạm vi, thực hiện công việc nhất quán và nhận biết khi nào cần chuyển cấp hay không. Đồng thời, doanh nghiệp phải biết quy chế nào là yêu cầu pháp luật bắt buộc, quy chế nào là công cụ quản trị tự thiết kế, và văn bản nào đủ cơ sở để áp dụng cho từng quan hệ pháp lý cụ thể.

Một hệ thống quy chế tốt không được đo bằng độ dày của bộ tài liệu, mà bằng khả năng biến nguyên tắc quản trị thành cách vận hành có thể thực hiện, theo dõi và cải thiện. Đó là điểm khác biệt giữa một doanh nghiệp chỉ có quy định nội bộ và một doanh nghiệp thực sự sử dụng quy chế để kiểm soát rủi ro.

Xem thêm: Hệ thống tuân thủ pháp luật trong doanh nghiệp: Tuân thủ không chỉ là “đúng luật”

Lưu ý: Đây là bài viết nhận định và phân tích của các chuyên gia NCA, không thay thế cho tư vấn pháp lý hoặc đánh giá chuyên môn đối với một trường hợp cụ thể.