Quy chế quản lý chữ ký số là văn bản nội bộ trả lời bốn câu: công ty có những chứng thư số nào, ai được giữ, ai được ký loại văn bản nào, và khi có sự cố thì ai làm gì trước. Pháp luật về giao dịch điện tử coi việc ký bằng chữ ký số của tổ chức đáp ứng yêu cầu đóng dấu khi một văn bản cần có dấu, nên quản chiếc token của công ty lỏng tay cũng giống để con dấu trên bàn ai cũng với tới.
Không có văn bản nào bắt doanh nghiệp nhỏ phải có quy chế riêng cho chữ ký số, và cũng không có "mẫu chuẩn" của nhà nước. Bài này đưa ra bố cục mà một công ty vài chục người làm được trong một buổi chiều, những điều khoản hay bị bỏ sót, và cách ban hành để quy chế có hiệu lực với người lao động. Phần chọn ai giữ token cho từng tình huống cụ thể (kế toán nghỉ việc, chi nhánh, kế toán dịch vụ) có bài riêng trong cùng chuyên mục.
Vì sao công ty nhỏ cũng nên có quy chế bằng văn bản
Ở phần lớn công ty nhỏ, chiếc token được mua lúc thành lập, giao cho kế toán và từ đó không ai nhắc tới nữa. Chừng nào mọi việc suôn sẻ thì cách làm miệng ấy không có vấn đề. Rắc rối nằm ở những lúc chuyển giao: kế toán nghỉ đột ngột, giám đốc đi công tác dài ngày, chi nhánh mới mở cần nộp hồ sơ, hoặc một tờ khai bị nộp sai mà không ai nhận là mình bấm nút ký. Khi đó câu hỏi "ai được phép" không có câu trả lời trên giấy, và mỗi người nhớ một kiểu.
Quy chế viết ra giải quyết đúng chỗ đó. Nó biến thói quen thành quy tắc có thể dẫn chiếu: người lao động biết mình được giao quyền đến đâu, người quản lý có căn cứ để nhắc nhở hoặc xử lý kỷ luật, và khi có tranh chấp với bên ngoài, công ty chứng minh được mình đã có cơ chế kiểm soát. Với ngân hàng, kiểm toán hoặc đối tác lớn, một quy chế ngắn gọn cũng là dấu hiệu công ty quản trị nghiêm túc.
Điều quan trọng là quy chế phải vừa với quy mô. Công ty năm người chỉ cần hai trang; công ty có chi nhánh và nhiều chứng thư thì cần phụ lục danh mục. Một văn bản ba mươi trang chép từ tập đoàn về sẽ không ai đọc, và một quy chế không ai đọc thì chẳng khác gì không có.
Bố cục gợi ý: tám phần là đủ
Bố cục dưới đây không phải mẫu bắt buộc, chỉ là khung để bạn không sót ý. Mỗi phần có thể chỉ vài dòng:
- Phạm vi và đối tượng: quy chế áp dụng cho chứng thư số của công ty, của chi nhánh, chứng thư cá nhân có tên công ty do công ty trả tiền, và cả tài khoản ký số từ xa.
- Danh mục chứng thư: mỗi chứng thư một dòng gồm chủ thể, loại (token, ký từ xa), dùng cho hệ thống nào, ngày hết hạn, người giữ hiện tại. Phần này nên để ở phụ lục để cập nhật mà không phải ban hành lại cả quy chế.
- Người giữ và người dự phòng: mỗi chứng thư có một người giữ chính và một người dự phòng, ghi bằng chức danh kèm họ tên.
- Thẩm quyền ký: loại văn bản nào được ký bằng chứng thư nào, ai được quyết định ký, có cần duyệt trước không.
- Quy tắc bảo quản: token cất ở đâu ngoài giờ, máy tính nào được cài phần mềm ký, có được mang token ra khỏi văn phòng không.
- Giao nhận và thay người: thủ tục bàn giao, đổi mã PIN, ghi sổ giao nhận.
- Sự cố: mất, hỏng, nghi bị dùng trái phép thì báo ai, trong bao lâu, ai liên hệ nhà cung cấp để tạm dừng hoặc thu hồi.
- Trách nhiệm và xử lý vi phạm: dẫn chiếu nội quy lao động, thoả thuận bảo mật, mức độ xử lý theo quy định nội bộ.
Nếu công ty đã có quy chế quản lý con dấu, cách gọn nhất là bổ sung một chương về chữ ký số vào đó, vì nhiều nguyên tắc giống nhau: một người giữ, có sổ theo dõi, ký phải có duyệt. Hai văn bản tách rời dễ dẫn tới chuyện con dấu được canh kỹ còn token thì không.
Danh mục chứng thư: những cột nên có
Phụ lục danh mục là phần được mở ra nhiều nhất, nên thiết kế sao cho người mới nhìn vào hiểu ngay. Ví dụ giả định một công ty thương mại có trụ sở ở Thành phố Hồ Chí Minh và một chi nhánh ở Cần Thơ:
| Chứng thư | Loại | Dùng cho | Người giữ chính / dự phòng | Hết hạn |
|---|---|---|---|---|
| Chứng thư của công ty | Token USB | Khai thuế, hoá đơn, bảo hiểm xã hội, hải quan | Kế toán trưởng / Giám đốc | Ghi ngày cụ thể |
| Chứng thư của chi nhánh | Token USB | Kê khai của chi nhánh | Kế toán chi nhánh / Giám đốc chi nhánh | Ghi ngày cụ thể |
| Chứng thư cá nhân của giám đốc | Ký số từ xa | Hợp đồng, văn bản đối ngoại | Giám đốc (không có dự phòng) | Ghi ngày cụ thể |
| Chứng thư cá nhân của trưởng phòng kinh doanh | Ký số từ xa | Báo giá, hợp đồng trong hạn mức | Trưởng phòng (không có dự phòng) | Ghi ngày cụ thể |
Hai dòng cuối là chứng thư cá nhân, gắn với một người, nên cột dự phòng để trống là đúng: không ai khác được dùng chứng thư của người đó. Muốn có người ký thay thì cấp chứng thư cho người ký thay và uỷ quyền, không phải đưa mật khẩu ký số từ xa cho nhau.
Cột hết hạn nên đi kèm một lời nhắc trên lịch chung trước vài tuần. Chứng thư hết hạn đúng ngày nộp tờ khai là tình huống hay gặp hơn bạn nghĩ.
Những điều khoản hay bị bỏ sót
Ký số từ xa. Nhiều quy chế viết từ thời chỉ có token nên chỉ nói về "thiết bị". Ký số từ xa không có thiết bị để cất vào tủ; thứ cần quản là tài khoản đăng nhập, ứng dụng xác nhận trên điện thoại và mã xác thực. Quy chế cần ghi rõ tài khoản ký số từ xa là của riêng người được cấp, không ghi lại mật khẩu ở đâu, không cài ứng dụng xác nhận trên máy của người khác.
Máy tính dùng để ký. Token cắm vào một máy nhiễm mã độc thì PIN có thể bị ghi lại. Nên chỉ định một hoặc hai máy được cài phần mềm ký, cập nhật đầy đủ, không dùng chung để lướt web giải trí.
Ngoài giờ và khi đi công tác. Có được mang token về nhà để kịp hạn nộp không? Câu trả lời tuỳ công ty, nhưng phải có câu trả lời. Nếu cho phép, ghi vào sổ giao nhận lúc mang ra và lúc mang về.
Người giữ là thành viên gia đình chủ doanh nghiệp. Ở hộ kinh doanh chuyển lên công ty, token thường do vợ hoặc chồng giám đốc giữ dù không có chức danh gì. Quy chế nên ghi họ với tư cách người được giao, kèm văn bản giao việc, để sau này không ai hỏi người đó lấy quyền gì mà ký.
Khi công ty thay đổi. Đổi tên, đổi trụ sở, đổi người đại diện theo pháp luật thì chứng thư có thể phải cập nhật. Quy chế chỉ cần một câu: ai có trách nhiệm báo cho người giữ token khi hồ sơ doanh nghiệp thay đổi.
Soạn và ban hành: trình tự gọn cho công ty nhỏ
Quy chế là văn bản quản lý nội bộ, thẩm quyền ban hành theo điều lệ công ty. Với phần đông công ty trách nhiệm hữu hạn và công ty cổ phần nhỏ, giám đốc hoặc tổng giám đốc ký quyết định ban hành, trừ khi điều lệ dành việc này cho hội đồng thành viên hoặc hội đồng quản trị. Trình tự gợi ý:
- Kiểm kê thực tế: liệt kê mọi chứng thư số đang có, kể cả chứng thư cá nhân do công ty trả tiền và tài khoản ký số từ xa. Hỏi nhà cung cấp danh sách chứng thư đã cấp cho mã số thuế của công ty nếu không chắc.
- Ghi lại cách đang làm: hiện ai giữ, ai ký, ai biết PIN. Đây là điểm xuất phát, không phải để quy lỗi.
- Soạn dự thảo theo tám phần ở trên, ưu tiên ngắn và cụ thể đến chức danh.
- Lấy ý kiến người đang giữ token và kế toán trưởng; họ biết những chỗ vướng mà người soạn không thấy.
- Đối chiếu với điều lệ và quy chế tài chính: thẩm quyền ký trong quy chế chữ ký số không được rộng hơn thẩm quyền chi tiêu, ký hợp đồng đã quy định ở chỗ khác.
- Ký quyết định ban hành, ghi ngày hiệu lực.
- Phổ biến cho người liên quan và lấy chữ ký xác nhận đã đọc; nếu quy chế có điều khoản xử lý vi phạm, đối chiếu với nội quy lao động đã đăng ký để hai văn bản không vênh nhau.
Nếu quy chế đặt ra chế tài kỷ luật, việc xử lý vẫn phải theo trình tự kỷ luật lao động và căn cứ vào nội quy lao động. Quy chế chữ ký số tự nó không thay được nội quy; nó chỉ cụ thể hoá hành vi nào bị coi là vi phạm.
Giữ cho quy chế sống: rà soát định kỳ
Một quy chế tốt vẫn hỏng nếu phụ lục danh mục không được cập nhật. Cách đơn giản là gắn việc rà soát vào hai mốc có sẵn: khi gia hạn chứng thư và khi có thay đổi nhân sự ở vị trí giữ token. Mỗi lần như vậy, người phụ trách hành chính mở phụ lục, sửa dòng tương ứng và ghi ngày sửa.
Mỗi năm một lần, nên đối chiếu danh mục với thực tế: token còn đúng người giữ không, có chứng thư nào hết hạn mà chưa thu hồi khỏi các hệ thống không, có ai đã nghỉ việc mà vẫn còn tài khoản ký số từ xa đứng tên công ty không. Lần rà soát này cũng là lúc xem lại thẩm quyền ký có còn hợp với cơ cấu hiện tại.
Khi có sự cố, dù nhỏ như một lần ký nhầm văn bản, ghi lại diễn biến và cách xử lý vào phụ lục sự cố. Sau một hai năm, phụ lục này cho bạn biết quy chế yếu ở đâu tốt hơn bất kỳ bản mẫu nào. Nếu sự cố đã dẫn tới tranh chấp với bên ngoài hoặc thiệt hại đáng kể, bạn có thể hỏi luật sư trên AI Cố Vấn trước khi trả lời đối tác bằng văn bản.
Câu hỏi thường gặp
Pháp luật có bắt buộc doanh nghiệp phải ban hành quy chế quản lý chữ ký số không?
Với doanh nghiệp tư nhân thông thường, pháp luật hiện hành không đặt nghĩa vụ chung phải có một văn bản mang đúng tên này. Tuy vậy, doanh nghiệp phải chịu trách nhiệm về các giao dịch ký bằng chữ ký số của mình, nên quy chế là công cụ tự bảo vệ. Một số ngành có quy định riêng về kiểm soát nội bộ, nên kiểm thêm văn bản của ngành mình.
Quy chế chữ ký số có cần đăng ký với cơ quan nhà nước không?
Không. Đây là văn bản quản lý nội bộ, ban hành theo thẩm quyền trong điều lệ. Phần cần đăng ký với cơ quan quản lý lao động là nội quy lao động khi doanh nghiệp thuộc diện phải đăng ký; nếu quy chế chữ ký số có điều khoản kỷ luật thì nên dẫn chiếu tới nội quy đã đăng ký.
Có nên ghi mã PIN vào quy chế hoặc phụ lục không?
Không nên. Quy chế là văn bản nhiều người được đọc. Mã PIN chỉ người giữ biết; nếu công ty muốn có phương án dự phòng, có thể niêm phong PIN trong phong bì do giám đốc giữ, ghi việc niêm phong vào sổ, và đổi PIN mỗi khi phong bì bị mở.
Hộ kinh doanh có cần quy chế như công ty không?
Hộ kinh doanh thường chỉ có một hai người dùng chữ ký số, nên không cần văn bản dài. Tuy vậy, nếu người làm sổ sách không phải chủ hộ, một văn bản giao việc ngắn ghi rõ được ký những gì, giữ token ở đâu và trả lại khi nào vẫn có ích khi có sự cố hoặc khi đổi người làm.
Quy chế nên nằm chung với quy chế con dấu hay tách riêng?
Cả hai cách đều được. Gộp chung giúp áp cùng nguyên tắc cho dấu và chứng thư số, tránh tình trạng một bên chặt một bên lỏng. Tách riêng hợp với công ty có nhiều chứng thư và hay thay đổi người giữ, vì phụ lục danh mục cần sửa thường xuyên hơn phần về con dấu.
Ai nên là người soạn quy chế trong một công ty chưa có pháp chế?
Thường là kế toán trưởng hoặc người phụ trách hành chính soạn dự thảo, vì họ hiểu token đang được dùng vào việc gì. Giám đốc duyệt nội dung thẩm quyền. Nếu công ty có nhiều chi nhánh hoặc giao dịch giá trị lớn ký điện tử, nên nhờ người làm nghề pháp lý đọc lại phần trách nhiệm trước khi ban hành.