Kiểm soát nội bộ và lưu chứng cứ tuân thủ cho doanh nghiệp

Nhiều công ty FDI có quy trình rất bài bản ở công ty mẹ, nhưng khi vào Việt Nam lại vận hành dựa trên lòng tin vào một vài nhân sự chủ chốt. Mọi việc ổn cho đến khi người kế toán nghỉ việc, một khoản thanh toán bất thường được phát hiện, hoặc đoàn thanh tra yêu cầu chứng minh một quyết định từ ba năm trước. Kiểm soát nội bộ doanh nghiệp là hệ thống quy chế, phân quyền và quy trình giúp ngăn ngừa sai sót, gian lận, đồng thời tạo ra dấu vết chứng minh công ty đã tuân thủ pháp luật. Bài viết này, từ kinh nghiệm xây dựng hệ thống cho doanh nghiệp FDI của Nosouno, giúp bạn biết cần chuẩn bị gì, triển khai theo các bước nào, lưu chứng cứ tuân thủ ra sao và rủi ro nếu buông lỏng.

Kiểm soát nội bộ doanh nghiệp gồm những gì?

Kiểm soát nội bộ doanh nghiệp không phải là một bộ phận riêng, mà là cách công ty tổ chức công việc để mỗi giao dịch quan trọng đều được phê duyệt đúng người, ghi nhận đầy đủ và có thể kiểm tra lại. Với một công ty FDI, hệ thống này thường gồm năm thành phần:

• Môi trường kiểm soát: điều lệ, quy chế quản trị, quy tắc ứng xử, cam kết tuân thủ của ban lãnh đạo.
• Đánh giá rủi ro: xác định những rủi ro chính theo ngành nghề, như thanh toán, mua hàng, lao động, thuế, dữ liệu cá nhân.
• Hoạt động kiểm soát: phân quyền phê duyệt, nguyên tắc “bốn mắt”, tách bạch chức năng, đối chiếu định kỳ.
• Thông tin và truyền thông: báo cáo nội bộ, kênh báo cáo vi phạm, lưu trữ tài liệu.
• Giám sát: rà soát định kỳ, kiểm tra đột xuất, báo cáo cho công ty mẹ.

Cần phân biệt kiểm soát nội bộ doanh nghiệp với kiểm toán nội bộ. Kiểm toán nội bộ là chức năng đánh giá độc lập hệ thống kiểm soát, chỉ bắt buộc với một số loại hình như công ty niêm yết, doanh nghiệp nhà nước theo quy định riêng. Đa số công ty TNHH vốn nước ngoài không bắt buộc có bộ phận kiểm toán nội bộ, nhưng vẫn cần một hệ thống kiểm soát phù hợp quy mô để bảo vệ chính mình.

Doanh nghiệp FDI cần chuẩn bị gì để xây dựng?

Trước khi thiết kế kiểm soát nội bộ doanh nghiệp, công ty nên chuẩn bị:

Thông tin về cơ cấu và quyền hạn

• Sơ đồ tổ chức, chức danh, người quản lý từng bộ phận.
• Điều lệ, quyết định bổ nhiệm, văn bản ủy quyền của người đại diện theo pháp luật.
• Yêu cầu của công ty mẹ về hạn mức phê duyệt, báo cáo tập đoàn.

Bản đồ quy trình hiện tại

• Quy trình mua hàng, thanh toán, bán hàng, thu tiền.
• Quy trình tuyển dụng, tính lương, xử lý kỷ luật.
• Quy trình ký hợp đồng, sử dụng con dấu, chữ ký số.

Danh mục nghĩa vụ tuân thủ

• Báo cáo đầu tư, thuế, lao động, thống kê và thời hạn của từng loại.
• Thời hạn hiệu lực của giấy phép, giấy phép lao động, thẻ tạm trú.
• Quy định về bảo vệ dữ liệu cá nhân áp dụng cho công ty.

Công cụ

Phần mềm kế toán, hệ thống phê duyệt điện tử hoặc ít nhất một quy trình email có lưu vết, nơi lưu trữ tài liệu có phân quyền.

Kinh nghiệm của chúng tôi khi xây dựng kiểm soát nội bộ doanh nghiệp: hãy bắt đầu từ thực tế đang vận hành, không sao chép nguyên bộ quy trình của công ty mẹ. Quy trình quá phức tạp so với quy mô sẽ bị bỏ qua, tạo ra khoảng cách nguy hiểm giữa “trên giấy” và “thực tế”.

Quy trình xây dựng kiểm soát nội bộ doanh nghiệp 5 bước

Nosouno triển khai kiểm soát nội bộ doanh nghiệp cho công ty FDI theo năm bước. Thời gian mỗi bước phụ thuộc quy mô và mức độ hoàn thiện của quy trình hiện có:

Bước 1: Đánh giá rủi ro

Phỏng vấn các bộ phận, xem xét giao dịch mẫu, xác định điểm có nguy cơ sai sót hoặc vi phạm cao nhất. Kết quả là bản đồ rủi ro làm nền cho toàn bộ hệ thống kiểm soát nội bộ doanh nghiệp.

Bước 2: Thiết kế quy chế và ma trận phê duyệt

Soạn quy chế tài chính, quy chế mua sắm, quy chế sử dụng con dấu, ma trận phân quyền theo hạn mức. Văn bản lập song ngữ để ban lãnh đạo nước ngoài và nhân viên Việt Nam hiểu thống nhất.

Bước 3: Gắn kiểm soát vào quy trình

Mỗi bước quan trọng có điểm kiểm soát: đề nghị, phê duyệt, thực hiện, đối chiếu. Người đề nghị thanh toán không đồng thời là người phê duyệt và người chuyển tiền.

Bước 4: Thiết lập lưu trữ chứng cứ

Quy định loại tài liệu phải lưu, nơi lưu, thời hạn, người chịu trách nhiệm, cách số hóa và phân quyền truy cập.

Bước 5: Đào tạo, giám sát, cải tiến

Đào tạo nhân sự, kiểm tra mẫu định kỳ, báo cáo kết quả cho ban lãnh đạo và điều chỉnh khi có thay đổi luật hoặc mô hình kinh doanh.

Những điểm kiểm soát then chốt cho công ty FDI

Không cần kiểm soát mọi thứ, vì chi phí kiểm soát cũng là chi phí vận hành. Kiểm soát nội bộ doanh nghiệp hiệu quả là tập trung vào những điểm có rủi ro cao nhất. Với công ty vốn nước ngoài, chúng tôi luôn ưu tiên:

• Thanh toán và tài khoản ngân hàng. Phân quyền ký duyệt hai cấp, giới hạn người có quyền chuyển tiền, đối chiếu sao kê hằng tháng. Riêng tài khoản vốn đầu tư nước ngoài, mọi giao dịch phải ghi rõ mục đích theo Thông tư 38/2026/TT-NHNN.
• Con dấu và chữ ký số. Sổ theo dõi sử dụng con dấu, quy định ai được giữ, ai được đóng dấu lên loại văn bản nào. Đây là điểm yếu phổ biến khi người đại diện ở nước ngoài.
• Hợp đồng. Mọi hợp đồng trên một hạn mức phải được rà soát pháp lý trước khi ký, lưu bản gốc tập trung.
• Giao dịch với bên liên kết. Hồ sơ chứng minh dịch vụ thực tế, cách xác định giá, phê duyệt của người có thẩm quyền.
• Nhân sự nước ngoài. Theo dõi thời hạn giấy phép lao động, thẻ tạm trú để gia hạn hoặc cấp mới kịp thời.
• Lịch tuân thủ. Danh sách báo cáo, thời hạn, người phụ trách, có nhắc hạn tự động.

Sáu điểm này là “xương sống” của kiểm soát nội bộ doanh nghiệp FDI; làm tốt chúng đã giảm phần lớn rủi ro thường gặp.

Lưu chứng cứ tuân thủ: lưu gì, lưu bao lâu?

Một nguyên tắc cốt lõi của kiểm soát nội bộ doanh nghiệp là: việc đã làm nhưng không có chứng cứ thì coi như chưa làm, khi đứng trước đoàn thanh tra hay tòa án. Chứng cứ tuân thủ cần đáp ứng ba yêu cầu: đầy đủ, xác thực và truy xuất được.

Lưu những gì? Trong hệ thống kiểm soát nội bộ doanh nghiệp, ngoài chứng từ kế toán, doanh nghiệp nên lưu: phê duyệt nội bộ (email, phiếu đề nghị có chữ ký), biên bản họp, báo cáo đã nộp kèm xác nhận nộp, biên bản đào tạo tuân thủ, nhật ký đối chiếu, văn bản đồng ý xử lý dữ liệu cá nhân của người lao động, khách hàng.

Lưu bao lâu? Theo Luật Kế toán 2015 và Nghị định 174/2016/NĐ-CP, chứng từ dùng trực tiếp ghi sổ kế toán và lập báo cáo tài chính lưu tối thiểu 10 năm, tài liệu không dùng trực tiếp ghi sổ tối thiểu 5 năm. Hồ sơ thanh tra, kiểm toán cũng thuộc nhóm lưu tối thiểu 10 năm. Hồ sơ lao động và hợp đồng nên lưu ít nhất đến hết thời hiệu tranh chấp có liên quan.

Lưu như thế nào? Số hóa có phân quyền, sao lưu định kỳ, ghi nhật ký truy cập. Với dữ liệu cá nhân, Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 (hiệu lực từ 01/01/2026) yêu cầu áp dụng biện pháp bảo vệ phù hợp và hạn chế người được tiếp cận.

Phát hiện và xử lý sai phạm trong nội bộ

Một hệ thống kiểm soát nội bộ doanh nghiệp tốt không chỉ ngăn ngừa, mà còn phải giúp phát hiện sớm và xử lý đúng khi sai phạm đã xảy ra. Đây là phần nhiều công ty FDI còn bỏ trống.

Kênh báo cáo. Doanh nghiệp nên có một kênh để nhân viên báo cáo dấu hiệu sai phạm, như email riêng gửi thẳng tới ban lãnh đạo hoặc công ty mẹ, cam kết bảo vệ người báo cáo. Thực tế cho thấy nhiều vụ gian lận được phát hiện nhờ chính đồng nghiệp, không phải nhờ kiểm toán.

Điều tra nội bộ. Khi có dấu hiệu, cần thu thập và bảo toàn chứng cứ trước khi làm việc với người liên quan: khóa quyền truy cập hệ thống, sao lưu email, niêm phong chứng từ. Việc này phải tuân thủ quy định về dữ liệu cá nhân và quyền của người lao động.

Xử lý đúng thủ tục. Nếu sai phạm dẫn đến kỷ luật, doanh nghiệp phải tuân thủ trình tự xử lý kỷ luật lao động theo Bộ luật Lao động 2019 và nội quy lao động. Thiếu bước nào, quyết định kỷ luật có thể bị tuyên trái luật dù sai phạm có thật. Trường hợp có dấu hiệu tội phạm, cân nhắc trình báo cơ quan có thẩm quyền.

Khắc phục gốc rễ. Sau mỗi vụ việc, cần trả lời câu hỏi: điểm kiểm soát nào đã không hoạt động? Từ đó điều chỉnh quy chế, phân quyền để kiểm soát nội bộ doanh nghiệp ngày càng chặt chẽ hơn.

Buông lỏng kiểm soát nội bộ: doanh nghiệp gặp rủi ro gì?

Thiếu kiểm soát nội bộ doanh nghiệp, công ty FDI đối mặt với cả rủi ro bên trong lẫn bên ngoài:

• Gian lận và thất thoát. Thanh toán khống, nhà cung cấp “ma”, lạm dụng con dấu là những vụ việc chúng tôi đã gặp ở các công ty mà một người kiêm nhiều khâu.
• Không chứng minh được tuân thủ. Khi bị thanh tra, chi phí không có phê duyệt, chứng từ không đầy đủ dễ bị loại, dẫn tới truy thu thuế và tiền phạt.
• Vi phạm thời hạn. Không có lịch tuân thủ dẫn tới nộp chậm báo cáo đầu tư (có thể bị phạt 30–50 triệu đồng theo Nghị định 122/2021/NĐ-CP), để giấy phép lao động hết hạn mà người nước ngoài vẫn làm việc.
• Phạt về dữ liệu cá nhân. Luật Bảo vệ dữ liệu cá nhân 2025 quy định mức phạt tối đa đến 3 tỷ đồng với nhiều vi phạm, và đến 5% doanh thu năm trước với vi phạm chuyển dữ liệu xuyên biên giới.
• Trách nhiệm cá nhân của người quản lý. Khi thất thoát xảy ra, người đại diện theo pháp luật và ban giám đốc phải giải trình với công ty mẹ, thậm chí chịu trách nhiệm pháp lý nếu không chứng minh được đã thực hiện nghĩa vụ quản lý cẩn trọng.

Vì sao nên xây dựng kiểm soát nội bộ cùng Nosouno?

Xây dựng kiểm soát nội bộ doanh nghiệp hiệu quả đòi hỏi hiểu cả yêu cầu của tập đoàn nước ngoài lẫn quy định pháp luật Việt Nam, và quan trọng nhất là thiết kế sao cho nhân sự thực sự làm theo. Nosouno đồng hành cùng doanh nghiệp FDI với:

• Đánh giá rủi ro và hiện trạng quy trình, ưu tiên những điểm kiểm soát then chốt theo ngành nghề và quy mô.
• Bộ quy chế song ngữ: quy chế tài chính, mua sắm, sử dụng con dấu, ma trận phân quyền, quy trình xử lý dữ liệu cá nhân.
• Lịch tuân thủ và hệ thống lưu chứng cứ, kết nối với dịch vụ thư ký công ty để nhắc hạn và lưu trữ.
• Kiểm tra mẫu định kỳ và báo cáo cho công ty mẹ, giúp ban lãnh đạo nước ngoài yên tâm về hoạt động tại Việt Nam.
• Hỗ trợ điều tra, xử lý khi phát hiện sai phạm, đảm bảo đúng thủ tục lao động và bảo vệ dữ liệu.

Liên hệ Nosouno để được tư vấn thiết kế hệ thống kiểm soát nội bộ doanh nghiệp phù hợp, giúp công ty bạn vận hành minh bạch và luôn sẵn sàng chứng minh tuân thủ.