Chương trình tuân thủ (compliance program) là tập hợp chính sách, quy trình, con người và cơ chế kiểm tra mà doanh nghiệp dùng để ngăn ngừa, phát hiện và xử lý vi phạm pháp luật cũng như quy định nội bộ. Nó không phải một cuốn sổ tay đẹp đặt trên kệ, mà là cách công ty bảo đảm người của mình làm đúng ngay cả khi không ai nhìn.
Các chuẩn quốc tế hội tụ về cùng một bộ khung khoảng bảy cấu phần: cam kết của lãnh đạo, đánh giá rủi ro, chính sách và quy trình, đào tạo, kênh báo cáo, giám sát và kiểm tra, xử lý vi phạm và cải tiến. Cơ quan thực thi ở nhiều nước khi xét xử phạt doanh nghiệp đều hỏi cùng một câu: chương trình có được thiết kế tốt, có đủ nguồn lực, và có thực sự vận hành không.
Vì sao doanh nghiệp cần một chương trình chứ không chỉ một quy chế
Mọi doanh nghiệp đều có nội quy. Nhưng nội quy trả lời câu "điều gì bị cấm", còn chương trình tuân thủ trả lời câu "làm sao biết điều cấm đang không bị vi phạm, và nếu bị vi phạm thì phát hiện sớm thế nào". Khác biệt nằm ở vòng phản hồi: đánh giá rủi ro dẫn tới chính sách, chính sách được đào tạo, việc thực hiện được kiểm tra, kết quả kiểm tra quay lại sửa chính sách.
Lý do thứ hai là trách nhiệm pháp lý của pháp nhân và người quản lý. Ở nhiều hệ thống pháp luật, một chương trình tuân thủ thực chất là căn cứ để giảm nhẹ hoặc thậm chí miễn trách nhiệm cho doanh nghiệp khi một nhân viên vi phạm. Hướng dẫn kết án dành cho tổ chức của Hoa Kỳ (US Sentencing Guidelines, chương 8, ban hành năm 1991) là văn bản đầu tiên hệ thống hoá điều này, và bảy yếu tố của nó trở thành khuôn mẫu cho cả thế giới. Luật Chống hối lộ của Anh năm 2010 đi xa hơn: doanh nghiệp có thể bị truy cứu vì "không ngăn chặn hối lộ", và lối thoát duy nhất là chứng minh đã có "thủ tục thích đáng".
Lý do thứ ba là thương mại. Các tập đoàn đa quốc gia, quỹ đầu tư và ngân hàng ngày càng đưa câu hỏi về tuân thủ vào bảng thẩm định nhà cung cấp và bên nhận vốn. Doanh nghiệp Việt muốn vào chuỗi cung ứng của họ thường phải trả lời bảng hỏi về chống hối lộ, xung đột lợi ích, lao động và môi trường trước khi bàn đến giá.
Bảy cấu phần của một chương trình tuân thủ
1. Cam kết của lãnh đạo và văn hoá từ trên xuống. Hội đồng quản trị phê duyệt và giám sát chương trình; tổng giám đốc nói về tuân thủ bằng hành động, nhất là khi phải từ chối một hợp đồng lớn vì lý do đạo đức. Nhân viên học từ những gì lãnh đạo làm khi có áp lực doanh số, không từ những gì in trong sổ tay.
2. Đánh giá rủi ro. Xác định luật nào áp dụng cho công ty, rủi ro nằm ở đâu (bộ phận, thị trường, đối tác, quy trình), khả năng và mức tác động. Chương trình không dựa trên đánh giá rủi ro sẽ dàn trải nguồn lực đều cho mọi thứ, tức là mỏng ở chỗ cần dày.
3. Chính sách và quy trình. Bộ quy tắc ứng xử ở tầng trên, các chính sách chuyên đề (chống hối lộ, quà tặng, xung đột lợi ích, cạnh tranh, dữ liệu) ở tầng giữa, và quy trình tác nghiệp ở tầng dưới. Chính sách tốt viết cho người thực hiện đọc được, kèm ví dụ tình huống.
4. Đào tạo và truyền thông. Đào tạo theo vai trò: người mua hàng cần học về quà tặng của nhà cung cấp, người bán hàng cần học về trao đổi thông tin với đối thủ. Đo hiệu quả bằng tình huống thực tế chứ không bằng tỷ lệ hoàn thành khoá học trực tuyến.
5. Kênh báo cáo và bảo vệ người báo cáo. Nhân viên và đối tác có đường báo cáo nghi ngờ vi phạm an toàn, kể cả ẩn danh, và được bảo vệ khỏi trả đũa. Không có kênh này, công ty biết về vi phạm qua báo chí hoặc cơ quan điều tra.
6. Giám sát, kiểm tra và điều tra. Kiểm tra định kỳ, phân tích dữ liệu giao dịch bất thường, kiểm toán nội bộ, điều tra khi có tin báo. Đây là phần biến chính sách trên giấy thành kiểm soát thật.
7. Xử lý kỷ luật, khuyến khích và cải tiến. Vi phạm được xử lý nhất quán, không phân biệt cấp bậc hay doanh số; hành vi đúng được ghi nhận. Mỗi vụ việc được phân tích nguyên nhân gốc để sửa quy trình, không chỉ xử lý cá nhân.
Ba câu hỏi để biết chương trình có thật hay chỉ là giấy
Bộ Tư pháp Hoa Kỳ công bố tài liệu hướng dẫn công tố viên đánh giá chương trình tuân thủ của doanh nghiệp (Evaluation of Corporate Compliance Programs, cập nhật nhiều lần). Ba câu hỏi gốc của tài liệu này dùng được cho bất kỳ ban giám đốc nào muốn tự kiểm:
| Câu hỏi | Bằng chứng cho thấy có | Dấu hiệu chỉ là hình thức |
|---|---|---|
| Chương trình có được thiết kế tốt không? | Chính sách xuất phát từ đánh giá rủi ro gần đây; ví dụ tình huống sát nghề | Chính sách sao chép từ công ty khác, không ai giải thích được vì sao có điều khoản đó |
| Có đủ nguồn lực và thẩm quyền không? | Người phụ trách tuân thủ tiếp cận được dữ liệu, có ngân sách, báo cáo được lên hội đồng quản trị | Một nhân viên kiêm nhiệm, không có quyền xem chứng từ, báo cáo qua trưởng kinh doanh |
| Có vận hành trong thực tế không? | Có tin báo qua kênh tố giác, có vụ điều tra và kỷ luật, chính sách được sửa sau sự cố | Không có tin báo nào trong nhiều năm; không ai từng bị xử lý vì vi phạm |
Điểm đáng chú ý: "không có tin báo nào" thường là dấu hiệu xấu chứ không tốt. Ở tổ chức có hàng trăm người, việc không ai báo cáo gì cho thấy nhân viên không biết kênh, không tin kênh, hoặc sợ trả đũa.
ISO 37301 và các chuẩn tham chiếu
ISO 37301:2021 là tiêu chuẩn quốc tế về hệ thống quản lý tuân thủ, thay thế ISO 19600:2014. Khác biệt quan trọng là ISO 19600 chỉ là hướng dẫn, còn ISO 37301 là tiêu chuẩn có yêu cầu nên có thể đánh giá chứng nhận bởi bên thứ ba. Nó theo cấu trúc chung của các tiêu chuẩn hệ thống quản lý ISO (bối cảnh tổ chức, lãnh đạo, hoạch định, hỗ trợ, vận hành, đánh giá kết quả, cải tiến), nên doanh nghiệp đã có ISO 9001 hay ISO 27001 sẽ thấy quen.
Khái niệm trung tâm của ISO 37301 là nghĩa vụ tuân thủ (compliance obligations), gồm cả yêu cầu bắt buộc (luật, giấy phép, quyết định của cơ quan nhà nước) và cam kết tự nguyện (hợp đồng với khách hàng, bộ quy tắc ngành, cam kết công khai). Bước đầu tiên khi áp dụng là lập sổ nghĩa vụ tuân thủ: mỗi dòng là một nghĩa vụ, nguồn gốc, bộ phận chịu trách nhiệm, cách kiểm soát và tần suất kiểm tra.
Bên cạnh đó có ISO 37001 cho chống hối lộ (có thể tích hợp vào cùng hệ thống), ISO 37002:2021 hướng dẫn hệ thống tố giác, và mô hình ba tuyến của Viện Kiểm toán nội bộ (IIA, phiên bản 2020) để phân vai giữa bộ phận kinh doanh, chức năng tuân thủ – quản trị rủi ro và kiểm toán nội bộ. Chứng nhận không bắt buộc; nhiều doanh nghiệp dùng tiêu chuẩn làm khung xây dựng mà không đi đánh giá chứng nhận.
Lộ trình 12 tháng cho doanh nghiệp bắt đầu từ con số không
Lộ trình dưới đây phù hợp doanh nghiệp vài trăm đến vài nghìn nhân viên. Doanh nghiệp nhỏ hơn có thể rút gọn, nhưng không nên bỏ bước đánh giá rủi ro.
- Tháng 1–2: Chỉ định người phụ trách và được hội đồng quản trị phê duyệt nhiệm vụ. Văn bản ghi rõ quyền tiếp cận thông tin, kênh báo cáo và ngân sách.
- Tháng 2–3: Lập sổ nghĩa vụ tuân thủ và đánh giá rủi ro. Phỏng vấn trưởng các bộ phận, rà hợp đồng lớn, xem lịch sử thanh tra, khiếu nại. Chọn ra năm đến bảy rủi ro trọng yếu.
- Tháng 3–5: Viết bộ quy tắc ứng xử và chính sách cho rủi ro trọng yếu. Ưu tiên ngắn, có tình huống, có người hỏi đáp.
- Tháng 5–6: Mở kênh báo cáo. Có lựa chọn ẩn danh, có quy trình tiếp nhận và cam kết không trả đũa.
- Tháng 6–8: Đào tạo theo vai trò, bắt đầu từ ban điều hành và các vị trí rủi ro cao (mua hàng, bán hàng, làm việc với cơ quan nhà nước).
- Tháng 8–10: Gắn kiểm soát vào quy trình: mục kiểm tra trong phê duyệt chi phí, thẩm định đối tác trước khi ký, mẫu khai báo xung đột lợi ích hằng năm.
- Tháng 10–12: Kiểm tra thử và báo cáo lên hội đồng quản trị. Chọn mẫu giao dịch kiểm tra, đo hiểu biết nhân viên bằng khảo sát tình huống, đề xuất kế hoạch năm sau.
Sai lầm phổ biến là dồn sức vào tài liệu trong sáu tháng đầu rồi hết hơi. Phần quyết định giá trị là tháng 8–12, khi kiểm soát đi vào quy trình hằng ngày.
Những dấu hiệu chương trình đang hỏng
Chương trình tuân thủ hiếm khi sụp đổ một lần; nó mục dần. Các dấu hiệu sau đáng để ban giám đốc hỏi lại:
- Ngoại lệ được phê duyệt nhiều hơn quy định: "lần này đặc biệt" xuất hiện hằng tháng.
- Người phụ trách tuân thủ biết về sự cố sau cùng, qua tin đồn hoặc qua đối tác.
- Kỷ luật không nhất quán: nhân viên thường bị xử lý, người có doanh số lớn được bỏ qua.
- Đào tạo chỉ còn là khoá trực tuyến bấm qua, tỷ lệ hoàn thành 100% nhưng không ai nhớ nội dung.
- Chính sách không được sửa nhiều năm dù công ty đã mở thị trường mới, đổi mô hình bán hàng.
- Thưởng doanh số thiết kế theo cách khiến vi phạm có lợi, rồi mong đào tạo sẽ bù lại.
Điểm cuối cùng thường là gốc rễ. Hệ thống khuyến khích mạnh hơn mọi chính sách: nếu cách tính thưởng đẩy nhân viên tới ranh giới, chương trình tuân thủ chỉ còn là người dọn dẹp sau.
Câu hỏi thường gặp
Doanh nghiệp vừa và nhỏ có cần chương trình tuân thủ đầy đủ bảy cấu phần không?
Cần đủ bảy cấu phần nhưng ở quy mô tương xứng. Một công ty năm mươi người có thể dùng một bộ quy tắc ngắn, một buổi đào tạo mỗi năm, một hộp thư báo cáo do thành viên hội đồng quản trị độc lập nhận, và một danh mục kiểm tra khi ký hợp đồng lớn. Nguyên tắc tương xứng với rủi ro được hầu hết chuẩn quốc tế thừa nhận.
Chương trình tuân thủ khác kiểm toán nội bộ thế nào?
Tuân thủ là tuyến hai: thiết kế chính sách, tư vấn, giám sát liên tục. Kiểm toán nội bộ là tuyến ba: đánh giá độc lập xem cả tuyến một và tuyến hai có vận hành hiệu quả không, báo cáo trực tiếp cho uỷ ban kiểm toán. Kiểm toán nội bộ có thể kiểm toán chính chương trình tuân thủ, nên hai chức năng không nên do cùng một người phụ trách.
Có nên mua phần mềm quản lý tuân thủ ngay từ đầu?
Thường chưa nên. Phần mềm giúp khi đã có quy trình rõ và khối lượng lớn: hàng trăm khai báo xung đột lợi ích, hàng nghìn đối tác cần thẩm định. Mua sớm dễ dẫn tới việc nhập liệu cho phần mềm thay vì quản lý rủi ro. Bảng tính có phân quyền là đủ cho năm đầu với phần lớn doanh nghiệp vừa.
Ai nên là người phụ trách tuân thủ trong doanh nghiệp vừa?
Người có hiểu biết pháp lý hoặc kiểm soát, được tôn trọng trong nội bộ và không trực tiếp chịu chỉ tiêu doanh số. Trưởng pháp chế kiêm nhiệm là lựa chọn phổ biến. Tránh giao cho giám đốc tài chính hay giám đốc kinh doanh vì họ thường là người phê duyệt các giao dịch cần kiểm tra.
Chứng nhận ISO 37301 có giúp miễn trách nhiệm khi xảy ra vi phạm không?
Không có cơ chế tự động nào như vậy. Chứng nhận là bằng chứng về thiết kế hệ thống tại thời điểm đánh giá, còn cơ quan thực thi và toà án xem chương trình có thực sự vận hành khi vi phạm xảy ra hay không. Chứng nhận hữu ích trong thẩm định đối tác và đấu thầu, nhưng không thay được hồ sơ vận hành thực tế.
Đo văn hoá tuân thủ bằng cách nào?
Kết hợp khảo sát ẩn danh với các câu như "nếu thấy vi phạm, bạn có dám báo cáo không" và "cấp trên có ưu tiên doanh số hơn quy tắc không", với dữ liệu hành vi: số tin báo, tỷ lệ tin báo có tên, thời gian xử lý, số người báo cáo bị nghỉ việc sau đó. Xu hướng qua các năm có giá trị hơn con số một lần.