Tại các doanh nghiệp có quy mô vừa và lớn, khối lượng văn bản cần ký duyệt mỗi ngày là rất lớn: hợp đồng thương mại, đề xuất mua sắm, hóa đơn bán hàng, chứng từ tạm ứng, hồ sơ nhân sự... Nếu toàn bộ giao dịch đều dồn về một chiếc USB Token của Giám đốc, công ty sẽ rơi vào tình trạng quá tải và tắc nghẽn quy trình. Ngược lại, nếu chia sẻ mã PIN cho nhiều nhân viên cùng sử dụng, nguy cơ sai sót hoặc ký khống chứng từ ngoài ý muốn là cực kỳ nghiêm trọng.
Làm thế nào để xây dựng một cơ chế kiểm soát quyền ký an toàn, minh bạch khi doanh nghiệp có nhiều cấp lãnh đạo và người phê duyệt?
1. Cây quyết định phân tầng chữ ký số trong tổ chức
[Xác định thẩm quyền và luồng văn bản]
|
-----------------------------------------------------------------
| |
[Thẩm quyền đại diện pháp luật cao nhất] [Thẩm quyền chuyên môn / Nghiệp vụ bộ phận]
(Ký kết Hợp đồng lớn, Hồ sơ Thuế, Ngân hàng) (Ký Hóa đơn, Ký Hợp đồng lao động, Duyệt chi)
| |
v v
(Chứng thư số Tổ chức - Giám đốc quản lý) (Chứng thư số Cá nhân trong tổ chức)
- Lưu trên Token cá nhân hoặc Remote Signing - Tên chứng thư: [Tên nhân sự] - [Tên Công ty]
của Người đại diện theo pháp luật - Phân quyền cụ thể: Kế toán trưởng, Giám đốc khối
- Có giá trị pháp lý ràng buộc toàn diện công ty - Khi nhân sự nghỉ việc: Thu hồi chứng thư tức thì
Cấp 1 - Chữ ký số của tổ chức (Đại diện pháp luật): Dành cho Giám đốc / Tổng giám đốc. Dùng cho các giao dịch trọng yếu: kê khai thuế, hải quan, nộp thầu, ký hợp đồng kinh tế lớn và giao dịch tài chính với ngân hàng.
Cấp 2 - Chữ ký số cá nhân trong tổ chức: Cấp cho Kế toán trưởng, Trưởng phòng nhân sự, Giám đốc kinh doanh. Trên chứng thư ghi rõ họ tên cá nhân gắn liền với chức danh tại doanh nghiệp. Mọi văn bản ký ra đều ràng buộc trách nhiệm cá nhân của người đó theo đúng thẩm quyền được phân công.
Cấp 3 - Chữ ký số máy chủ (HSM/Cloud Signature): Tích hợp vào hệ thống phần mềm tự động (ERP, Hóa đơn điện tử). Thiết lập điều kiện tự động: Chỉ khi phiếu duyệt điện tử trên hệ thống được 2 cấp phê duyệt thì hệ thống mới tự động đóng dấu số lên hóa đơn.
2. Tiêu chí kiểm soát quyền ký đo lường được
Tiêu chí | Quản lý thủ công (Dùng chung 01 Token) | Quản lý theo chuẩn Chữ ký số phân quyền |
|---|---|---|
Ngăn chặn rủi ro ký ngoài thẩm quyền | Không thể ngăn chặn (Ai cầm token đều ký được) | Tuyệt đối (Mỗi người chỉ có quyền ký trên phạm vi được ủy quyền) |
Nhật ký truy vết (Audit Trail) | Kém (Không biết nhân viên nào là người bấm ký) | Rõ ràng (Hệ thống lưu vết chính xác ID cá nhân, thời gian, địa chỉ IP) |
Quy trình khi nhân sự nghỉ việc | Phải vội vã đổi mã PIN Token của toàn công ty | Chỉ cần gửi văn bản yêu cầu nhà mạng thu hồi chứng thư cá nhân đó |
Tính tương thích pháp lý | Dễ phát sinh tranh chấp ủy quyền khi kiện tụng | Đáp ứng đầy đủ quy định về ủy quyền theo Bộ luật Dân sự và Luật Giao dịch điện tử |
Quy định chi tiết về tính hợp pháp của việc ủy quyền ký tài liệu điện tử được làm rõ tại bài viết: Chữ Ký Số Của Người Đại Diện Pháp Luật Có Thể Ủy Quyen Cho Nhân Viên Ký Hóa Đơn Không?.
3. Câu hỏi thẩm định giải pháp với nhà cung cấp
1. Nhà cung cấp có hỗ trợ giải pháp ký số tập trung (Remote Signing / HSM) có tính năng phân quyền luồng phê duyệt đa cấp không?
2. Chi phí cấp chứng thư số cho "Cá nhân trong tổ chức" có được áp dụng mức giá ưu đãi khi mua số lượng nhiều không?
3. Khi doanh nghiệp yêu cầu hủy bỏ hoặc đình chỉ khẩn cấp một chứng thư số của nhân viên đã nghỉ việc, hệ thống xử lý trong vòng bao nhiêu phút?
Doanh nghiệp có thể tham khảo bảng giá gói chứng thư số "Cá nhân trong tổ chức" của FPT, Viettel, BKAV tại Bảng giá chữ ký số CKS.VN.