ISO 37001 là tiêu chuẩn quốc tế quy định yêu cầu và hướng dẫn cho hệ thống quản lý chống hối lộ (anti-bribery management system), giúp tổ chức ngăn ngừa, phát hiện và xử lý hối lộ do chính mình, nhân viên hoặc đối tác kinh doanh thực hiện. Tiêu chuẩn được ISO ban hành lần đầu năm 2016, áp dụng cho mọi loại hình tổ chức, nhà nước lẫn tư nhân, và có thể được đánh giá chứng nhận bởi bên thứ ba.
Điểm cần hiểu ngay: ISO 37001 không bảo đảm tổ chức sạch hối lộ. Nó bảo đảm tổ chức đã áp dụng các biện pháp hợp lý và tương xứng để phòng chống. Tiêu chuẩn tự nói rõ giới hạn này, và đây cũng là cách cơ quan thực thi nhìn nhận: chứng chỉ là một bằng chứng, không phải tấm khiên. Tiêu chuẩn đã được rà soát và cập nhật sau lần ban hành đầu; khi áp dụng, hãy kiểm phiên bản hiện hành.
Hối lộ trong khu vực tư: bối cảnh pháp lý doanh nghiệp cần nắm
Nhiều chủ doanh nghiệp vẫn nghĩ hối lộ chỉ là chuyện giữa doanh nghiệp và cán bộ nhà nước. Thực tế pháp luật đã đi xa hơn. Bộ luật Hình sự Việt Nam 2015 (sửa đổi 2017) mở rộng các tội đưa hối lộ, nhận hối lộ và môi giới hối lộ sang khu vực ngoài nhà nước, nghĩa là nhân viên mua hàng của một công ty tư nhận tiền của nhà cung cấp để chọn họ cũng có thể bị xem xét trách nhiệm hình sự. Luật Phòng, chống tham nhũng 2018 cũng có các quy định áp dụng cho doanh nghiệp ngoài nhà nước, trong đó có yêu cầu với một số loại doanh nghiệp về quy tắc đạo đức và kiểm soát nội bộ. Phạm vi và mức xử lý cụ thể cần đối chiếu văn bản hiện hành.
Với doanh nghiệp có yếu tố nước ngoài, hai đạo luật có tầm ảnh hưởng ngoài lãnh thổ là Đạo luật Chống tham nhũng ở nước ngoài của Hoa Kỳ (FCPA, 1977) và Luật Chống hối lộ của Anh (UK Bribery Act, 2010). Luật Anh có tội danh "tổ chức không ngăn chặn hối lộ" do người liên quan thực hiện vì lợi ích của tổ chức, và cách phòng vệ là chứng minh có "thủ tục thích đáng". Hướng dẫn của Bộ Tư pháp Anh nêu sáu nguyên tắc: thủ tục tương xứng, cam kết của lãnh đạo cao nhất, đánh giá rủi ro, thẩm định, truyền thông và đào tạo, giám sát và rà soát. ISO 37001 được xây dựng có tham chiếu các chuẩn mực như vậy.
Hệ quả thực tế: một nhà cung cấp Việt Nam bán hàng cho công ty con của tập đoàn Anh hay Mỹ sẽ được yêu cầu cam kết chống hối lộ trong hợp đồng, chấp nhận quyền kiểm toán, và đôi khi phải chứng minh có hệ thống quản lý. ISO 37001 là một cách trả lời có cấu trúc cho yêu cầu đó.
Phạm vi của ISO 37001: hối lộ nào được tính
Tiêu chuẩn định nghĩa hối lộ rộng: đề nghị, hứa hẹn, đưa, nhận hoặc gợi ý nhận một lợi ích không chính đáng có giá trị bất kỳ (tài chính hoặc phi tài chính), trực tiếp hay gián tiếp, để thúc đẩy hoặc thưởng cho một người hành động hay không hành động liên quan tới nhiệm vụ của họ. Phạm vi bao gồm:
- Hối lộ trong khu vực công, tư và phi lợi nhuận.
- Hối lộ do tổ chức thực hiện, do nhân viên thực hiện thay mặt hoặc vì lợi ích của tổ chức, và do đối tác kinh doanh thực hiện thay mặt tổ chức.
- Hối lộ mà tổ chức là bên nhận, ví dụ nhân viên mua hàng nhận lại quả.
- Hối lộ trực tiếp và gián tiếp, qua bên thứ ba như đại lý, nhà thầu phụ, đơn vị tư vấn, người môi giới.
- Lợi ích phi tiền mặt: quà tặng, chuyến đi, cơ hội việc làm cho người thân, tài trợ, đóng góp từ thiện có điều kiện.
Tiêu chuẩn không bao trùm gian lận, độc quyền, rửa tiền hay các hành vi tham nhũng khác ngoài hối lộ, dù tổ chức có thể tự mở rộng phạm vi. Nó cũng không tự xác định thế nào là "không chính đáng" — điều đó phụ thuộc luật áp dụng và chính sách của tổ chức, ví dụ ngưỡng quà tặng chấp nhận được.
Một điểm hay bị hỏi là khoản "phí bôi trơn" (facilitation payment), tức khoản tiền nhỏ trả cho công chức để đẩy nhanh thủ tục mà người nộp vốn đã có quyền được hưởng. Luật Anh và luật Việt Nam không có ngoại lệ cho loại này; FCPA có ngoại lệ hẹp. ISO 37001 yêu cầu tổ chức xử lý nó trong chính sách, và phần lớn tập đoàn quốc tế hiện cấm hẳn.
Các yêu cầu chính theo cấu trúc tiêu chuẩn
ISO 37001 theo cấu trúc chung của tiêu chuẩn hệ thống quản lý. Bảng dưới tóm lược nội dung thực chất của từng nhóm điều khoản:
| Nhóm | Yêu cầu thực chất | Bằng chứng đánh giá viên thường xem |
|---|---|---|
| Bối cảnh | Xác định phạm vi, các bên liên quan, thực hiện đánh giá rủi ro hối lộ | Báo cáo đánh giá rủi ro, có ngày và người phê duyệt |
| Lãnh đạo | Cơ quan quản lý (hội đồng quản trị) và lãnh đạo cao nhất cam kết; ban hành chính sách; chỉ định chức năng tuân thủ chống hối lộ độc lập, đủ thẩm quyền | Nghị quyết phê duyệt, quyết định bổ nhiệm, biên bản báo cáo định kỳ |
| Hoạch định | Mục tiêu chống hối lộ đo được, hành động xử lý rủi ro | Kế hoạch năm có chỉ tiêu, người phụ trách |
| Hỗ trợ | Nguồn lực, năng lực, thẩm định nhân sự ở vị trí rủi ro, đào tạo, quản lý thông tin dạng văn bản | Hồ sơ tuyển dụng có kiểm tra, danh sách đào tạo theo vai trò |
| Vận hành | Thẩm định giao dịch, đối tác, nhân sự; kiểm soát tài chính và phi tài chính; cam kết chống hối lộ của đối tác; quản lý quà tặng; kênh báo cáo; điều tra | Hồ sơ thẩm định đối tác, sổ quà tặng, nhật ký tin báo |
| Đánh giá | Giám sát, đánh giá nội bộ, xem xét của lãnh đạo và của cơ quan quản lý | Báo cáo đánh giá nội bộ, biên bản xem xét lãnh đạo |
| Cải tiến | Xử lý sự không phù hợp, hành động khắc phục, cải tiến liên tục | Hồ sơ hành động khắc phục có theo dõi đóng |
Hai yêu cầu đặc thù khiến ISO 37001 khác các tiêu chuẩn quản lý khác: chức năng tuân thủ chống hối lộ phải có đủ độc lập và tiếp cận trực tiếp cơ quan quản lý, và thẩm định (due diligence) phải được áp dụng tương xứng với rủi ro cho cả giao dịch, đối tác lẫn nhân sự.
Kiểm soát tài chính và phi tài chính: phần làm nên khác biệt
Kiểm soát tài chính là các biện pháp trên dòng tiền: phân tách nhiệm vụ giữa người đề xuất, người phê duyệt và người thanh toán; hai chữ ký cho khoản chi vượt ngưỡng; hạn chế tiền mặt; yêu cầu chứng từ chi tiết và mô tả dịch vụ cụ thể cho phí tư vấn, hoa hồng; rà soát định kỳ các khoản thanh toán cho đại lý và người môi giới. Một dấu hiệu kinh điển là "phí tư vấn" lớn trả cho một công ty mới thành lập, không có nhân sự, đúng lúc công ty trúng thầu.
Kiểm soát phi tài chính nằm ở quy trình mua hàng, bán hàng, nhân sự và pháp chế: tiêu chí chọn nhà cung cấp minh bạch, đấu thầu cạnh tranh, luân chuyển nhân sự ở vị trí nhạy cảm, điều khoản chống hối lộ và quyền kiểm toán trong hợp đồng, quy trình phê duyệt tài trợ và đóng góp từ thiện.
Kiểm soát với tổ chức bị kiểm soát và đối tác là yêu cầu áp dụng kiểm soát tương đương ở công ty con, liên doanh có quyền chi phối; với đối tác không bị kiểm soát mà rủi ro cao, yêu cầu họ có biện pháp chống hối lộ, cam kết bằng văn bản, và quyền chấm dứt hợp đồng nếu vi phạm.
Kiểm soát với quà tặng, chiêu đãi, tài trợ gồm ngưỡng giá trị, yêu cầu khai báo và phê duyệt, sổ đăng ký, cấm tuyệt đối trong một số thời điểm như khi đang đấu thầu hay đang bị thanh tra. Đây thường là phần nhân viên gặp nhiều nhất trong đời sống hằng ngày.
Lộ trình áp dụng và chứng nhận
Thời gian thực tế phụ thuộc quy mô và mức sẵn có của hệ thống kiểm soát. Doanh nghiệp đã có ISO 9001 và kiểm soát nội bộ tương đối tốt thường đi nhanh hơn.
- Khảo sát hiện trạng (gap analysis): so sánh kiểm soát hiện có với yêu cầu tiêu chuẩn, xác định khoảng trống.
- Đánh giá rủi ro hối lộ: theo địa bàn, ngành, loại giao dịch, mức tiếp xúc với công chức, mức dùng bên trung gian.
- Thiết kế hệ thống: chính sách chống hối lộ, quy trình thẩm định, kiểm soát tài chính và phi tài chính, kênh báo cáo, quy trình điều tra.
- Triển khai và đào tạo: bắt đầu từ lãnh đạo và vị trí rủi ro cao; cho hệ thống chạy đủ lâu để có hồ sơ vận hành.
- Đánh giá nội bộ và xem xét của lãnh đạo: tự kiểm toàn bộ yêu cầu, sửa sai trước khi mời tổ chức chứng nhận.
- Đánh giá chứng nhận hai giai đoạn: giai đoạn một xem hồ sơ và mức sẵn sàng, giai đoạn hai đánh giá việc vận hành tại hiện trường.
- Duy trì: đánh giá giám sát định kỳ trong chu kỳ chứng nhận, cập nhật đánh giá rủi ro khi có thay đổi lớn.
Chọn tổ chức chứng nhận được công nhận bởi tổ chức công nhận có uy tín và có chuyên gia đánh giá thật sự hiểu chống hối lộ. Hỏi rõ họ đã đánh giá bao nhiêu tổ chức trong ngành của bạn, và yêu cầu xem ví dụ về các phát hiện họ thường đưa ra.
Giới hạn và phê phán đối với ISO 37001
Lời phê phán phổ biến nhất là nguy cơ "chứng nhận để trưng bày": tổ chức có chứng chỉ nhưng văn hoá không đổi. Các vụ bê bối lớn trên thế giới cho thấy hệ thống quản lý có thể tồn tại song song với hối lộ quy mô lớn khi lãnh đạo cao nhất tham gia hoặc làm ngơ. Không tiêu chuẩn nào chống được việc người đứng đầu chủ động vượt qua kiểm soát.
Phê phán thứ hai là chi phí và gánh nặng hồ sơ với doanh nghiệp nhỏ. Tiêu chuẩn có nguyên tắc tương xứng, nhưng trong thực hành, đánh giá viên đôi khi kỳ vọng mức hồ sơ của tập đoàn. Doanh nghiệp nhỏ nên cân nhắc: nếu khách hàng không yêu cầu chứng nhận, dùng tiêu chuẩn làm khung xây dựng nội bộ đã mang lại phần lớn giá trị.
Phê phán thứ ba liên quan đến bằng chứng hiệu quả. Đến nay, bằng chứng thực nghiệm chặt chẽ cho thấy tổ chức có chứng nhận ít hối lộ hơn còn hạn chế, một phần vì hối lộ khó đo. Điều đáng ghi nhận là các yếu tố trong tiêu chuẩn — thẩm định bên thứ ba, kiểm soát thanh toán, kênh tố giác — đều là những biện pháp mà các vụ việc thực tế cho thấy nếu có thì đã phát hiện sớm hơn. Hãy xem chứng nhận như công cụ quản trị, không phải mục tiêu.
Câu hỏi thường gặp
ISO 37001 có bắt buộc với doanh nghiệp Việt Nam không?
Không. Đây là tiêu chuẩn tự nguyện. Sức ép áp dụng thường đến từ khách hàng là tập đoàn đa quốc gia, nhà đầu tư, tổ chức tài trợ quốc tế hoặc yêu cầu đấu thầu của một số dự án. Pháp luật Việt Nam có các yêu cầu riêng về phòng chống tham nhũng cho một số loại doanh nghiệp; nên đối chiếu văn bản hiện hành để biết doanh nghiệp mình thuộc diện nào.
ISO 37001 khác ISO 37301 thế nào?
ISO 37001 chỉ tập trung vào hối lộ, với các yêu cầu chi tiết về thẩm định, kiểm soát tài chính và quà tặng. ISO 37301 bao trùm mọi nghĩa vụ tuân thủ, từ cạnh tranh, dữ liệu đến môi trường. Hai tiêu chuẩn cùng cấu trúc nên có thể tích hợp: dùng ISO 37301 làm khung chung và ISO 37001 cho mảng hối lộ, với cùng một chức năng tuân thủ và kênh báo cáo.
Chi phí áp dụng ISO 37001 gồm những khoản nào?
Gồm thời gian nhân sự nội bộ để thiết kế và vận hành, phí tư vấn nếu thuê, chi phí đào tạo, có thể có chi phí công cụ thẩm định đối tác, và phí đánh giá của tổ chức chứng nhận theo số ngày công đánh giá, phụ thuộc quy mô và số địa điểm. Khoản lớn nhất thường là thời gian nội bộ, không phải phí chứng nhận.
Thẩm định đối tác theo ISO 37001 cần làm sâu đến mức nào?
Tương xứng với rủi ro. Nhà cung cấp văn phòng phẩm giá trị nhỏ có thể chỉ cần kiểm tra đăng ký và cam kết chống hối lộ. Đại lý thay mặt công ty làm việc với cơ quan nhà nước cần xem chủ sở hữu thực, quan hệ với công chức, lý do cần thuê, mức phí so với thị trường và lịch sử vi phạm. Ghi lại lý do chọn mức thẩm định là một phần của bằng chứng.
Nếu phát hiện hối lộ sau khi đã có chứng nhận thì sao?
Hệ thống được thiết kế để điều đó có thể xảy ra và được xử lý: điều tra, kỷ luật, xem xét nghĩa vụ báo cáo cơ quan chức năng, phân tích nguyên nhân, sửa kiểm soát. Tổ chức chứng nhận có thể đánh giá đặc biệt. Việc phát hiện và xử lý tốt một vụ việc là bằng chứng hệ thống vận hành, khác với việc che giấu.