Phân quyền chữ ký số trong doanh nghiệp không phải là giao USB Token và mã PIN cho kế toán giữ hộ. Doanh nghiệp chỉ kiểm soát được quyền ký khi trả lời rõ bốn câu hỏi: ai được đề nghị ký, ai kiểm tra hồ sơ, ai có thẩm quyền ký và ai quản trị hệ thống.
Tình huống thường gặp là một tài khoản hoặc thiết bị được dùng cho hóa đơn, thuế, hợp đồng và văn bản nội bộ. Cách làm này có thể xử lý nhanh khi quy mô nhỏ, nhưng sẽ bộc lộ rủi ro khi số người tham gia tăng, người đại diện đi công tác hoặc nhân sự nghỉ việc. Lúc đó, doanh nghiệp khó xác định ai đã phê duyệt, tài liệu nào được phép ký và một giao dịch có vượt thẩm quyền hay không.
Phân quyền ký số khác gì bàn giao công cụ ký?
Bàn giao công cụ chỉ cho phép một người thao tác kỹ thuật. Phân quyền là cơ chế quản trị xác định phạm vi trách nhiệm của từng vai trò và buộc giao dịch đi qua đúng luồng.
- Người khởi tạo chuẩn bị tài liệu và gửi yêu cầu, nhưng không tự phê duyệt nội dung do mình tạo.
- Người kiểm tra đối chiếu số liệu, điều khoản, hồ sơ đính kèm và phiên bản tài liệu.
- Người phê duyệt xác nhận giao dịch đáp ứng chính sách, ngân sách hoặc điều kiện nội bộ.
- Người ký sử dụng đúng chứng thư và thẩm quyền để xác nhận tài liệu.
- Quản trị viên cấu hình tài khoản, vai trò và nhật ký nhưng không mặc nhiên có quyền ký.
- Kiểm soát hoặc kiểm toán xem bằng chứng, giao dịch bất thường và việc tuân thủ quy trình.
Một người có thể đảm nhiệm nhiều vai trò ở doanh nghiệp nhỏ, nhưng hệ thống vẫn cần ghi nhận họ đang thực hiện bước nào. Người quản trị biết cách cấu hình tài khoản không đồng nghĩa có thẩm quyền ký hợp đồng; người giữ Token cũng không được ký thay chỉ vì hồ sơ đang gấp.
Hướng dẫn an toàn của cơ quan nhà nước cũng nhấn mạnh tổ chức cần có quy chế quản lý thiết bị lưu khóa bí mật và người dùng không giao Token hoặc mật khẩu cho người khác. Đây là nguyên tắc có thể tham khảo khi xây dựng quy chế doanh nghiệp, dù phạm vi áp dụng cụ thể cần theo loại chứng thư và nghiệp vụ của từng đơn vị. Xem nguồn tại Sở Khoa học và Công nghệ Đồng Nai.
Cách lập ma trận phân quyền chữ ký số
Ma trận quyền ký là bảng nối từng loại tài liệu với người thực hiện, điều kiện phê duyệt, hạn mức và phương thức ký. Không nên bắt đầu từ danh sách nhân viên; hãy bắt đầu từ danh sách giao dịch mà doanh nghiệp phải chịu trách nhiệm.
| Loại tài liệu | Khởi tạo | Kiểm tra/phê duyệt | Người ký | Điều kiện kiểm soát |
|---|---|---|---|---|
| Hóa đơn điện tử | Kế toán lập hóa đơn | Kế toán trưởng hoặc quy tắc kiểm tra | Người được phân công theo quy trình | Đúng dữ liệu bán hàng, trạng thái phát hành và hạn mức |
| Hợp đồng mua hàng | Bộ phận mua hàng | Tài chính, pháp chế và cấp ngân sách | Người đại diện hoặc người được ủy quyền | Hạn mức, đối tác, điều khoản và hồ sơ ủy quyền |
| Hồ sơ thuế | Kế toán thuế | Kế toán trưởng | Người có thẩm quyền theo hồ sơ | Kỳ kê khai, số liệu đối chiếu và thời hạn nộp |
| Hợp đồng lao động | Nhân sự | Quản lý tuyển dụng và pháp chế | Người đại diện phía doanh nghiệp | Đúng mẫu, chức danh, thu nhập và phiên bản |
| Văn bản nội bộ | Phòng ban chuyên môn | Quản lý trực tiếp | Cấp có thẩm quyền theo quy chế | Phạm vi áp dụng và danh sách người nhận |
Bảng trên là khung tham khảo, không phải mẫu ủy quyền pháp lý dùng chung. Doanh nghiệp cần đối chiếu điều lệ, quy chế tài chính, quy chế ủy quyền, chức danh và yêu cầu của từng cổng giao dịch.
5 nguyên tắc để ma trận quyền ký hoạt động được
Phân quyền theo vai trò, không theo tên người
Quy trình nên gắn quyền với vai trò như “kế toán trưởng”, “pháp chế hợp đồng” hoặc “giám đốc đơn vị”, sau đó gán nhân sự vào vai trò. Khi nhân sự thay đổi, doanh nghiệp chỉ cập nhật người đảm nhiệm thay vì sửa lại toàn bộ luồng.
Giới hạn theo loại tài liệu và hạn mức
Quyền ký hợp đồng dưới một hạn mức không đồng nghĩa được ký mọi hợp đồng. Nên bổ sung điều kiện theo đơn vị, loại giao dịch, giá trị, đối tác, thời gian và trường hợp ngoại lệ. Quyền càng rộng càng cần phê duyệt và giám sát chặt.
Tách người tạo khỏi người duyệt
Một người tự tạo, tự duyệt và tự gửi lệnh ký làm giảm khả năng phát hiện sai số hoặc thay đổi trái phép. Với giao dịch có rủi ro cao, ít nhất cần một bước kiểm tra độc lập trước người ký.
Quyền quản trị không bao gồm quyền nghiệp vụ
Quản trị viên cần đủ quyền để cấp tài khoản, cấu hình luồng và xử lý kỹ thuật, nhưng không nên được tự thêm mình vào vai trò ký rồi thực hiện giao dịch mà không có phê duyệt. Mọi thay đổi quyền quan trọng phải được ghi nhật ký.
Có ngày hết hạn cho quyền tạm thời
Ủy quyền khi người ký vắng mặt cần ghi rõ phạm vi và thời gian. Hệ thống nên tự hết hiệu lực hoặc tạo cảnh báo, tránh quyền tạm thời tồn tại vô thời hạn sau khi tình huống đã kết thúc.
Quy trình cấp, thay đổi và thu hồi quyền ký
Một quy trình đầy đủ nên có sáu bước:
- Đề nghị: quản lý nghiệp vụ nêu rõ vai trò, phạm vi tài liệu, hạn mức và thời gian cần quyền.
- Kiểm tra thẩm quyền: nhân sự hoặc pháp chế đối chiếu chức danh, ủy quyền và quy chế liên quan.
- Phê duyệt: chủ quy trình hoặc người có thẩm quyền đồng ý trước khi cấu hình.
- Cấp quyền kỹ thuật: quản trị viên gán đúng vai trò, phương thức xác thực và phạm vi.
- Kiểm thử: dùng một giao dịch thử để xác nhận người dùng chỉ thấy và thực hiện đúng phần được cấp.
- Lưu bằng chứng: lưu đề nghị, phê duyệt, thời điểm cấu hình và người thực hiện.
Khi thay đổi chức danh, chuyển bộ phận hoặc nghỉ việc, quy trình cần chạy theo chiều ngược lại: khóa quyền trước, thu hồi thiết bị hoặc phiên đăng nhập, chuyển giao hồ sơ đang chờ, cập nhật người thay thế và kiểm tra lại nhật ký. Không nên chờ đến kỳ rà soát định kỳ mới thu hồi quyền của người đã rời vị trí.
Phân quyền khi dùng USB Token và ký số từ xa
USB Token phù hợp với số lượng người ký nhỏ và quy trình đơn giản, nhưng thiết bị vật lý dễ bị biến thành “con dấu dùng chung” nếu doanh nghiệp giao cả Token lẫn PIN cho bộ phận xử lý. Cần xác định người giữ, nơi bảo quản, biên bản bàn giao và cách xử lý khi mất thiết bị.
Ký số từ xa có thể thuận lợi hơn cho từng cá nhân xác thực yêu cầu, quản lý nhiều người ký và ghi nhật ký. Tuy nhiên, doanh nghiệp vẫn phải kiểm soát ai được gửi yêu cầu tới người ký, nội dung hiển thị khi xác thực và cách thu hồi quyền truy cập hệ thống.
Ký tập trung hoặc HSM phù hợp khi khối lượng lớn, cần tích hợp và muốn chính sách ký được thực thi tự động. Công nghệ này không tự giải quyết vấn đề thẩm quyền; ma trận quyền và quy trình phê duyệt vẫn phải được thiết kế trước. Tham khảo khi nào doanh nghiệp cần chữ ký số HSM.
Nhật ký cần ghi gì để truy vết được giao dịch?
- Mã tài liệu, loại nghiệp vụ và phiên bản đã ký.
- Người khởi tạo, người kiểm tra, người phê duyệt và người ký.
- Thời gian của từng bước và kết quả thành công, từ chối hoặc hết hạn.
- Chứng thư được sử dụng và trạng thái tại thời điểm ký.
- Thay đổi vai trò, hạn mức, quy tắc hoặc người quản trị.
- Lý do hủy, ký lại, chuyển người ký hoặc xử lý ngoại lệ.
Nhật ký chỉ có giá trị nếu được xem định kỳ. Doanh nghiệp nên theo dõi số yêu cầu bị từ chối, giao dịch ký lại, thời gian chờ, quyền sắp hết hạn và tài khoản không còn sử dụng. Đây là các tín hiệu giúp phát hiện quy trình chưa rõ hoặc quyền đang được cấp quá rộng.
Checklist nghiệm thu hệ thống phân quyền
- Mỗi loại tài liệu đã có người sở hữu quy trình và người ký có thẩm quyền.
- Người tạo không thể tự bỏ qua bước phê duyệt bắt buộc.
- Hạn mức và phạm vi ủy quyền được cấu hình, không chỉ ghi trong văn bản.
- Quản trị viên không thể âm thầm cấp quyền ký cho chính mình.
- Quyền tạm thời có ngày hết hạn và người chịu trách nhiệm rà soát.
- Quy trình nghỉ việc khóa quyền đúng thời điểm và chuyển giao hồ sơ đang chờ.
- Nhật ký cho phép truy ngược từ tài liệu đến toàn bộ chuỗi phê duyệt.
- Người ký nhìn thấy đủ thông tin để quyết định trước khi xác thực.
Nếu doanh nghiệp chưa có ma trận, hãy bắt đầu với một luồng có tần suất cao hoặc rủi ro lớn, chẳng hạn hợp đồng mua hàng. Sau khi kiểm thử quyền và nhật ký, mới mở rộng sang hóa đơn, nhân sự và các cổng nghiệp vụ khác. Cách tiếp cận này thực tế hơn việc cấu hình đồng loạt rồi sửa lỗi trong vận hành.
Đọc thêm cách bảo mật phương tiện ký và xử lý khi mất thiết bị, hoặc xem cách chọn cấu hình chữ ký số doanh nghiệp theo nghiệp vụ.
Câu hỏi thường gặp
Người giữ USB Token có được ký thay người đại diện không?
Việc giữ thiết bị chỉ là quyền tiếp cận công cụ, không tự tạo ra thẩm quyền ký. Giao dịch phải do đúng người có thẩm quyền hoặc người được ủy quyền hợp lệ thực hiện theo quy chế và hồ sơ liên quan.
Doanh nghiệp nhỏ có cần ma trận quyền ký không?
Có, nhưng ma trận có thể rất gọn. Chỉ cần làm rõ loại tài liệu, người chuẩn bị, người kiểm tra, người ký và cách thay thế khi vắng mặt. Quy mô nhỏ không loại bỏ rủi ro ký nhầm hoặc dùng chung thiết bị.
Khi nhân sự nghỉ việc cần thu hồi những gì?
Cần khóa tài khoản, vai trò phê duyệt, quyền gửi yêu cầu ký, phiên đăng nhập và thiết bị liên quan; đồng thời chuyển hồ sơ đang chờ, cập nhật người thay thế và lưu bằng chứng thu hồi.
Có nên dùng một chữ ký số cho nhiều phòng ban không?
Không nên quyết định chỉ dựa trên tiết kiệm chi phí. Doanh nghiệp cần xem chứng thư thuộc chủ thể nào, ai có thẩm quyền, loại giao dịch và khả năng truy vết. Nếu nhiều phòng ban dùng chung một phương tiện và mã PIN, trách nhiệm rất khó phân định.
Cần xây dựng ma trận phân quyền chữ ký số?
DTC Digital hỗ trợ khảo sát luồng chứng từ, xác định vai trò, thiết kế quy trình cấp-thu hồi quyền và lựa chọn phương thức ký phù hợp với hệ thống hiện có.
DTC Digital – Giải pháp chuyển đổi số toàn diện
0916814646
Sale@dtcdigital.com.vn
Vinhomes Grand Park, Long Bình, Hồ Chí Minh, Việt Nam