Kiểm soát tuân thủ nội bộ là gì và vận hành thế nào?

Vì vậy, một chính sách được ban hành chưa đồng nghĩa với việc tổ chức đã có kiểm soát. Kiểm soát chỉ thực sự hình thành khi yêu cầu tuân thủ được gắn với một điểm trong quy trình có người chịu trách nhiệm, điều kiện thực hiện, bằng chứng để kiểm tra, cách xử lý ngoại lệ và cơ chế đánh giá xem kiểm soát có hoạt động như dự kiến hay không. ISO 37302:2025 nhấn mạnh việc đánh giá hiệu lực hệ thống quản lý tuân thủ thông qua giám sát, đo lường và các chỉ báo, thay vì chỉ xác nhận rằng quy định hay thủ tục đã tồn tại.

Bản chất của kiểm soát tuân thủ nội bộ nằm ở đâu?

Điểm cốt lõi của kiểm soát tuân thủ là biến một nghĩa vụ trừu tượng thành một hành động có thể kiểm chứng. Quy định có thể nói rằng tổ chức phải thẩm định một đối tác trước khi giao dịch. Kiểm soát tương ứng không dừng ở câu “nhân viên phải thẩm định đối tác”, mà phải xác định ai thực hiện việc thẩm định, thông tin nào bắt buộc phải thu thập, trường hợp nào cần phê duyệt bổ sung, hệ thống có cho phép giao dịch khi chưa hoàn tất thẩm định hay không và bằng chứng nào chứng minh việc kiểm soát đã diễn ra.

Sự khác biệt giữa chính sách và kiểm soát nằm ở điểm này. Chính sách quy định điều gì được phép, bị cấm hoặc phải thực hiện; kiểm soát tác động trực tiếp đến quyết định, giao dịch hoặc hành vi để yêu cầu đó được thực thi. Một quy tắc về xung đột lợi ích chỉ là chính sách nếu nhân viên được yêu cầu “phải khai báo”. Nó trở thành một điểm kiểm soát mạnh hơn khi việc khai báo là điều kiện bắt buộc trước một quyết định nhất định, dữ liệu được lưu lại, trường hợp có xung đột được chuyển sang người có thẩm quyền độc lập và quyết định xử lý có thể truy vết.

COSO nhìn nhận kiểm soát nội bộ như một phương tiện hỗ trợ tổ chức đạt các mục tiêu về hoạt động, báo cáo và tuân thủ. ISO 37301 cũng tiếp cận compliance như một hệ thống phải được thiết lập, triển khai, đánh giá, duy trì và cải tiến, thay vì một tập hợp tài liệu đứng riêng khỏi hoạt động kinh doanh.

Điều đó dẫn đến một giới hạn quan trọng: có kiểm soát không có nghĩa là rủi ro đã bị loại bỏ. Một kiểm soát có thể bị thiết kế sai, bị bỏ qua, bị vô hiệu hóa bởi người có quyền, dựa trên dữ liệu không đầy đủ hoặc không còn phù hợp khi hoạt động kinh doanh thay đổi. Hướng dẫn đánh giá chương trình tuân thủ của Bộ Tư pháp Hoa Kỳ (DOJ) cũng không sử dụng một công thức cứng cho mọi doanh nghiệp và thừa nhận việc đánh giá phải phụ thuộc vào quy mô, ngành, địa bàn, môi trường pháp lý và hồ sơ rủi ro cụ thể của từng tổ chức.

Một kiểm soát tuân thủ vận hành theo chu trình nào?

Một hệ thống kiểm soát có giá trị khi tạo thành vòng khép kín từ nhận diện nghĩa vụ đến cải tiến sau sự cố. Nếu một mắt xích bị thiếu, tổ chức có thể có rất nhiều thủ tục nhưng vẫn không biết thủ tục nào đang kiểm soát rủi ro nào và liệu chúng có thực sự hoạt động.

1.    Xác định nghĩa vụ và rủi ro tuân thủ: Tổ chức xác định những yêu cầu có liên quan đến hoạt động của mình, sau đó phân tích tình huống có thể dẫn tới vi phạm và ưu tiên những khu vực có mức rủi ro cao. DOJ coi đánh giá rủi ro là điểm khởi đầu của một chương trình tuân thủ được thiết kế tốt và yêu cầu kiểm soát phải được điều chỉnh theo hồ sơ rủi ro cụ thể

2.    Thiết kế điểm kiểm soát: Với từng rủi ro trọng yếu, tổ chức xác định điểm nào trong quy trình có thể ngăn giao dịch sai xảy ra, phát hiện dấu hiệu bất thường hoặc hạn chế hậu quả nếu sự cố đã xuất hiện. Kiểm soát phải tương xứng với rủi ro thay vì áp dụng cùng một mức kiểm tra cho mọi trường hợp

3.    Gắn kiểm soát với người, dữ liệu và bằng chứng: Phải xác định người sở hữu kiểm soát, thời điểm thực hiện, dữ liệu đầu vào, thẩm quyền phê duyệt, bằng chứng lưu lại và cách xử lý khi điều kiện không được đáp ứng. DOJ đặc biệt xem xét khả năng tiếp cận dữ liệu của chức năng compliance và control vì dữ liệu quyết định khả năng giám sát và kiểm thử kịp thời

4.    Giám sát và kiểm thử: Tổ chức không chỉ kiểm tra xem bước kiểm soát có được thực hiện hay không mà còn phải đánh giá nó có thực sự phát hiện hoặc ngăn được loại sai phạm mà nó được thiết kế để xử lý. DOJ xem kiểm thử kiểm soát, phân tích dữ liệu, kiểm toán định kỳ và đo lường hiệu lực là những yếu tố của việc đánh giá chương trình trong thực tế

5.    Xử lý và cải tiến: Cảnh báo, khiếu nại, phát hiện kiểm toán hoặc sự cố thực tế phải quay trở lại quá trình phân tích nguyên nhân và thiết kế kiểm soát. Nếu một vi phạm lặp lại mà control, quy trình hoặc phân bổ trách nhiệm không thay đổi, vòng kiểm soát chưa thực sự khép kín

Điểm đáng chú ý là chu trình này không kết thúc khi một giao dịch được phê duyệt đúng thủ tục. Kiểm soát tuân thủ là cơ chế động: rủi ro thay đổi thì thiết kế phải thay đổi; dữ liệu cho thấy nhiều ngoại lệ thì control phải được xem xét; một vụ việc mới phát sinh thì nguyên nhân và “cơ hội phát hiện đã bị bỏ lỡ” phải trở thành đầu vào cho lần điều chỉnh tiếp theo.

Kiểm soát ngăn ngừa và phát hiện vi phạm phối hợp ra sao?

Không nên đặt “ngăn ngừa” và “phát hiện” thành hai lựa chọn thay thế nhau. Một hệ thống có sức chống chịu tốt thường sử dụng nhiều lớp: ngăn giao dịch không phù hợp trước khi nó hoàn thành, tìm dấu hiệu bất thường mà lớp đầu không chặn được, rồi có cơ chế xử lý và khắc phục khi vấn đề đã xảy ra. DOJ đánh giá một chương trình compliance dựa trên cả khả năng phòng ngừa lẫn phát hiện hành vi sai trái và đặc biệt quan tâm việc control đã được kiểm thử để chứng minh chúng có thể ngăn hoặc phát hiện hành vi tương tự trong tương lai.

Ví dụ, với một quy trình tạo và thanh toán cho nhà cung cấp, kiểm soát ngăn ngừa có thể yêu cầu hoàn tất thẩm định và phân tách người tạo nhà cung cấp với người phê duyệt. Tuy nhiên, nếu thông tin bị khai báo sai hoặc những người liên quan thông đồng, lớp phòng ngừa vẫn có thể bị vượt qua. Khi đó, kiểm soát phát hiện như phân tích giao dịch bất thường, kiểm tra trùng tài khoản thanh toán, đối soát sau giao dịch hoặc thông tin từ kênh báo cáo nội bộ tạo thêm khả năng nhận diện vấn đề.

Kênh tố giác vì thế không phải thành phần “bổ sung” chỉ dùng khi hệ thống thất bại. ISO 37002 xây dựng quản lý tố giác quanh bốn giai đoạn nhận thông tin, đánh giá, xử lý và kết thúc vụ việc, trên các nguyên tắc về tin cậy, khách quan và bảo vệ. DOJ cũng coi cơ chế báo cáo bảo mật cùng quá trình điều tra đáng tin cậy là bằng chứng quan trọng cho khả năng phát hiện và phòng ngừa hành vi sai trái.

Ai sở hữu kiểm soát, ai giám sát và ai đánh giá độc lập?

Một hiểu nhầm phổ biến là coi kiểm soát tuân thủ là công việc riêng của phòng pháp chế, compliance hoặc kiểm toán nội bộ. Cách tổ chức đó dễ tạo ra tình trạng “compliance kiểm soát thay cho kinh doanh”, trong khi nhiều điểm quyết định rủi ro thực tế lại nằm ở mua hàng, bán hàng, tài chính, nhân sự, công nghệ hoặc các đơn vị vận hành.

Ở cấp vận hành, người sở hữu quy trình thường phải sở hữu hoặc trực tiếp thực hiện những control gắn với quyết định mà họ có quyền đưa ra. Chẳng hạn, nếu rủi ro xuất hiện tại bước phê duyệt nhà cung cấp, control cần nằm ngay tại luồng phê duyệt chứ không nên chờ bộ phận compliance kiểm tra toàn bộ giao dịch sau đó. Compliance có thể xác định yêu cầu, tư vấn thiết kế, giám sát, phân tích dữ liệu, thách thức các quyết định rủi ro và theo dõi các vấn đề được escalated, nhưng trách nhiệm tuân thủ không vì thế được chuyển khỏi hoạt động kinh doanh. ISO cũng nhấn mạnh rằng hệ thống compliance phải được tích hợp vào hoạt động của tổ chức, thay vì bị giới hạn trong một bộ phận riêng biệt.

Kiểm toán nội bộ có vai trò khác. Theo cách tiếp cận Three Lines hiện hành của The Institute of Internal Auditors, internal audit cung cấp sự bảo đảm độc lập và khách quan đối với quản trị, quản lý rủi ro và kiểm soát; nó không nên trở thành chủ sở hữu của các control mà sau này chính nó phải đánh giá.

Sự phân vai này giải quyết một vấn đề thực tế: người thực hiện control, người giám sát control và người đưa ra assurance độc lập không nên bị nhập làm một khi điều đó làm mất tính khách quan. DOJ cũng xem xét địa vị, nguồn lực, quyền tiếp cận dữ liệu và mức độ độc lập của chức năng compliance và control khi đánh giá liệu chương trình có thực sự được trao quyền để hoạt động hay không.

Đo hiệu lực kiểm soát tuân thủ bằng chỉ số nào?

Đếm số chính sách, số khóa đào tạo hay số control trong một ma trận không cho biết hệ thống có hiệu lực. Điều cần đo là mối quan hệ giữa rủi ro cần kiểm soát, cách control được thiết kế, mức độ control thực sự vận hành và kết quả sau khi vận hành.

Trước hết là hiệu lực thiết kế. Một control có thể được thực hiện 100% số lần nhưng vẫn yếu nếu bản thân thiết kế không giải quyết đúng rủi ro. Ví dụ, mọi hồ sơ đều được “phê duyệt đầy đủ” không có nhiều ý nghĩa nếu người phê duyệt không có thông tin cần thiết, không độc lập với người đề xuất hoặc hệ thống cho phép phê duyệt sau khi giao dịch đã hoàn tất.

Sau đó mới đến hiệu lực vận hành. Tổ chức có thể theo dõi tỷ lệ ngoại lệ của control, tỷ lệ control được thực hiện đúng hạn, thời gian từ khi cảnh báo xuất hiện đến khi được phân loại, thời gian xử lý điều tra, số vấn đề tái diễn, tỷ lệ hành động khắc phục quá hạn, kết quả kiểm thử control và mức độ hoàn thành việc xác minh remediation. Những chỉ số này phải được đọc cùng với mức độ rủi ro: số lượng cảnh báo tăng chưa chắc có nghĩa hệ thống xấu đi, vì nó cũng có thể phản ánh khả năng phát hiện tốt hơn.

Không có một tỷ lệ phần trăm duy nhất có thể dùng làm chuẩn hiệu lực cho mọi doanh nghiệp. DOJ nói rõ rằng việc đánh giá compliance không dựa trên công thức cứng và phải tính tới đặc điểm của từng tổ chức; đồng thời hướng dẫn của DOJ đặt câu hỏi trực tiếp về thời gian hoàn thành điều tra, kiểm thử control, dữ liệu compliance, các action item và tần suất đo hiệu lực. ISO 37302:2025 cũng sử dụng cách tiếp cận dựa trên nguyên tắc và chỉ báo để đánh giá effectiveness, hỗ trợ cải tiến liên tục thay vì đưa ra một ngưỡng số học chung cho mọi hệ thống.

Vì vậy, KPI tuân thủ tốt phải trả lời được một câu hỏi quản trị chứ không chỉ tạo ra con số. “95% control hoàn thành đúng hạn” chỉ có giá trị khi tổ chức biết 5% còn lại thuộc rủi ro nào, tại sao bị bỏ lỡ, hậu quả tiềm tàng là gì và ai phải hành động. Chỉ số phải giúp tìm ra điểm yếu của hệ thống, không phải giúp hệ thống trông đẹp trên báo cáo.

Phát hiện dấu hiệu vi phạm rồi, hệ thống phải làm gì tiếp?

Một cảnh báo không tự động đồng nghĩa với vi phạm. Nó là tín hiệu cần được đánh giá. Nếu tổ chức coi mọi alert là kết luận, hệ thống dễ tạo xử lý thiếu khách quan; nếu coi alert chỉ là dữ liệu để lưu trữ, control phát hiện cũng không tạo ra giá trị. Quá trình phía sau cảnh báo vì thế quan trọng không kém bản thân công cụ phát hiện.

Khi một vấn đề đáng kể xuất hiện, quy trình cần bảo toàn thông tin liên quan, xác định mức độ nghiêm trọng, chuyển vụ việc đến người có thẩm quyền, xử lý xung đột lợi ích, tiến hành xem xét hoặc điều tra với phạm vi phù hợp và theo dõi cho đến khi kết quả được xử lý. Đối với cơ chế tố giác, ISO 37002 nhấn mạnh các nguyên tắc tin cậy, khách quan và bảo vệ; DOJ cũng xem xét việc tiếp nhận khiếu nại, phân tuyến, điều tra kịp thời, bảo vệ người báo cáo và theo dõi kết quả.

Tuy nhiên, đóng một vụ việc chưa phải là kết thúc của kiểm soát tuân thủ. Một hệ thống trưởng thành phải hỏi tiếp: control nào đã thất bại, dấu hiệu nào đã từng xuất hiện nhưng bị bỏ qua, nguyên nhân nằm ở thiết kế, con người, quyền hạn, dữ liệu hay văn hóa, và thay đổi nào có thể làm giảm khả năng tái diễn. DOJ coi phân tích nguyên nhân gốc, xem xét những điểm yếu trước đó và remediation phù hợp là đặc điểm quan trọng của một chương trình compliance hoạt động trong thực tế.

Đây cũng là nơi phân biệt sửa sự cố với khắc phục hệ thống. Hủy một giao dịch sai có thể xử lý hậu quả trước mắt; sửa logic phê duyệt, thay đổi phân quyền, bổ sung dữ liệu giám sát hoặc điều chỉnh cách đánh giá rủi ro mới giúp giải quyết nguyên nhân khiến giao dịch sai có thể xảy ra. Nếu remediation không quay trở lại thiết kế và kiểm thử control, tổ chức rất dễ gặp lại cùng một dạng vi phạm dưới một hình thức khác. DOJ nhấn mạnh chính khả năng học từ sự cố, kiểm thử định kỳ và điều chỉnh chương trình theo bài học thực tế khi đánh giá hiệu lực lâu dài.

Kiểm soát tuân thủ nội bộ hiệu quả vì thế không được đo bằng số lượng quy trình hay độ dày của sổ tay compliance. Giá trị của nó nằm ở khả năng nối một nghĩa vụ tuân thủ với rủi ro cụ thể, đặt control đúng điểm trong quy trình, giao trách nhiệm rõ ràng, tạo bằng chứng có thể kiểm tra, phát hiện ngoại lệ, escalated vấn đề và biến kết quả điều tra thành hành động khắc phục.

Một control đáng tin cậy phải trả lời được ít nhất: nó kiểm soát rủi ro nào, ai chịu trách nhiệm, khi nào được kích hoạt, bằng chứng nào chứng minh nó đã hoạt động, điều gì xảy ra khi control thất bại và tổ chức kiểm thử hiệu lực của nó bằng cách nào. Nếu những câu hỏi đó chưa có câu trả lời, tổ chức có thể đang có một quy định hoặc một thủ tục, nhưng chưa chắc đã có một kiểm soát tuân thủ nội bộ thực sự vận hành. Cách tiếp cận dựa trên rủi ro, kiểm thử và cải tiến liên tục này phù hợp với logic của ISO 37301, ISO 37302, COSO và hướng dẫn đánh giá chương trình compliance của DOJ.