Chữ ký số trên văn bản cho biết chứng thư nào đã ký và thời điểm ký theo đồng hồ của máy ký hoặc theo dấu thời gian nếu có; nó không cho biết nhân viên nào cầm token lúc đó. Muốn trả lời câu hỏi "ai đã ký", doanh nghiệp phải tự ghép nhiều nguồn vết: sổ giao nhận token, phiếu trình ký, nhật ký phần mềm, thông báo tiếp nhận của hệ thống nhận hồ sơ.
Bài này liệt kê các nguồn vết, mỗi nguồn cho biết gì và không cho biết gì, cách tổ chức để chúng khớp được với nhau, và trình tự ghép vết khi có sự cố. Mục tiêu không phải giám sát nhân viên, mà là để khi có câu hỏi, công ty trả lời được bằng tài liệu thay vì bằng trí nhớ.
Khoảng trống giữa chứng thư và con người
Với chứng thư cá nhân, khoảng trống này nhỏ: chứng thư mang tên một người, người đó chịu trách nhiệm giữ, nên chữ ký gần như chỉ ra đúng người. Khoảng trống chỉ xuất hiện khi người đó đã để lộ PIN hoặc mật khẩu ký số từ xa, điều mà quy chế đã cấm.
Với chứng thư tổ chức, khoảng trống lớn hơn nhiều. Một token công ty có thể đi qua tay kế toán, phó giám đốc, trưởng phòng xuất nhập khẩu trong cùng một tuần, đúng theo quy chế. Chữ ký trên văn bản chỉ nói "công ty đã ký". Đối với người nhận bên ngoài, như vậy là đủ: công ty chịu trách nhiệm. Nhưng trong nội bộ, khi có văn bản sai, công ty cần biết ai đã thao tác, ai đã duyệt, để sửa quy trình hoặc xác định trách nhiệm.
Ngay cả thời điểm ký cũng cần cẩn trọng. Nếu văn bản không có dấu thời gian từ dịch vụ tin cậy, thời điểm hiện trong chữ ký lấy từ đồng hồ của máy tính đã ký, và đồng hồ đó có thể sai. Khi ghép vết, thời điểm trên chữ ký nên được đối chiếu với một nguồn độc lập, ví dụ thông báo tiếp nhận của hệ thống nhà nước hoặc thời điểm gửi email.
Các nguồn vết và mỗi nguồn cho biết gì
Không nguồn nào đủ một mình. Bảng dưới đây giúp bạn biết cần giữ những gì và ai giữ:
| Nguồn | Cho biết | Không cho biết | Ai giữ |
|---|---|---|---|
| Chữ ký số trên văn bản | Chứng thư, thời điểm theo máy ký hoặc dấu thời gian, nội dung có bị sửa không | Người thao tác | Đi kèm văn bản |
| Sổ giao nhận token | Token đang ở trong tay ai vào khoảng thời gian nào | Văn bản cụ thể nào đã được ký | Hành chính |
| Phiếu trình ký, email duyệt | Ai đã duyệt nội dung trước khi ký | Ai bấm ký | Người tổ chức luồng ký |
| Nhật ký phần mềm ký, phần mềm quản lý văn bản | Tài khoản nào đã thao tác ký trên máy hoặc hệ thống, lúc nào | Người thật ngồi trước máy nếu tài khoản dùng chung | IT kiêm nhiệm |
| Nhật ký nhà cung cấp ký số từ xa | Yêu cầu ký nào được xác nhận từ thiết bị nào, lúc nào | Nội dung chi tiết văn bản trong một số trường hợp | Nhà cung cấp; doanh nghiệp xin trích xuất |
| Thông báo tiếp nhận của hệ thống nhà nước | Hồ sơ nào được nộp, thời điểm hệ thống nhận | Ai ở doanh nghiệp đã nộp | Gửi vào email đăng ký, lưu trên hệ thống |
Đọc theo cột "Không cho biết", bạn sẽ thấy vì sao phải giữ ít nhất ba nguồn: chữ ký trên văn bản, sổ giao nhận và phiếu duyệt. Ba nguồn ấy chồng lên nhau đủ để trả lời phần lớn câu hỏi.
Tổ chức để các nguồn vết khớp được với nhau
Vết rời rạc thì khó ghép. Vài quy ước nhỏ giúp mọi nguồn nói cùng một ngôn ngữ:
- Đồng bộ giờ máy ký với giờ chuẩn qua mạng, kiểm định kỳ, để thời điểm trên chữ ký không lệch.
- Mã văn bản thống nhất: phiếu trình ký, tên tệp, dòng sổ giao nhận cùng ghi một mã, ví dụ năm, loại văn bản, số thứ tự.
- Tài khoản riêng cho từng người trên máy ký và phần mềm quản lý văn bản; không dùng tài khoản chung "ketoan".
- Email nhận thông báo là hộp thư chung của công ty, không phải hộp thư cá nhân, để thông báo tiếp nhận không mất khi người nghỉ việc.
- Lưu thông báo tiếp nhận cạnh văn bản đã nộp, cùng thư mục, cùng mã.
- Ghi lý do khi ký ngoài luồng thông thường, như ký gấp ngoài giờ, ký khi người giữ chính vắng.
Những quy ước này không tốn thêm phần mềm nào. Chúng chỉ cần được viết vào quy chế và được người tổ chức luồng ký nhắc nhở trong vài tháng đầu cho thành thói quen.
Ghép vết khi có sự cố: trình tự
Giả sử công ty phát hiện một hồ sơ đã nộp mà không ai nhận là mình nộp. Đi theo thứ tự sau:
- Giữ nguyên hiện trạng: lưu bản điện tử của văn bản, thông báo tiếp nhận, không sửa hay xoá gì trên máy ký.
- Xác định chứng thư đã ký và thời điểm theo chữ ký; đối chiếu với thời điểm hệ thống nhà nước tiếp nhận.
- Mở sổ giao nhận: vào khoảng thời gian đó token đang ở chỗ ai.
- Tìm phiếu trình ký, email duyệt liên quan; nếu không có, ghi nhận là không có duyệt.
- Xem nhật ký trên máy ký và phần mềm quản lý văn bản, nếu có, để biết tài khoản nào đã thao tác.
- Với ký số từ xa, đề nghị nhà cung cấp trích xuất nhật ký xác nhận ký trong khoảng thời gian đó theo thủ tục của họ.
- Ghép các nguồn thành một dòng thời gian, ghi rõ chỗ nào chắc chắn, chỗ nào còn trống.
- Trao đổi với những người có tên trong dòng thời gian, ghi lại lời giải thích bằng văn bản.
Nếu kết quả cho thấy có người dùng chứng thư trái phép hoặc sự việc có thể dẫn tới trách nhiệm pháp lý, dừng ở bước tám và hỏi luật sư trên AI Cố Vấn hoặc người làm nghề pháp lý trước khi lập biên bản kỷ luật hay báo cơ quan chức năng. Cách thu thập và bảo quản chứng cứ điện tử cho tranh chấp có yêu cầu riêng mà bài này không đi sâu.
Ví dụ giả định: một tờ khai bổ sung không ai nhận
Một công ty thương mại ở Nghệ An phát hiện trên hệ thống thuế có một tờ khai bổ sung cho kỳ trước, nộp lúc tám giờ tối thứ sáu. Kế toán trưởng nói không nộp, giám đốc cũng không biết. Thời điểm trên chữ ký là tám giờ kém năm, khớp với thời điểm hệ thống tiếp nhận.
Sổ giao nhận cho thấy chiều thứ sáu, token được giao cho kế toán tổng hợp để ký hoá đơn, dòng trả ghi năm giờ chiều cùng ngày. Nhưng không có ai xác nhận dòng trả ấy; người giữ sổ đã về sớm và kế toán tổng hợp tự ghi. Nhật ký đăng nhập máy ký cho thấy tài khoản của kế toán tổng hợp vẫn hoạt động đến tám giờ tối. Hoá ra kế toán tổng hợp thấy một sai sót ở tờ khai kỳ trước, tự sửa và nộp bổ sung cho kịp, định thứ hai báo cáo.
Không có gian dối, nhưng có hai lỗ hổng: người thao tác tự ghi dòng trả token, và tờ khai bổ sung không qua duyệt. Công ty sửa cả hai: dòng trả phải có người nhận lại ký xác nhận, và tờ khai bổ sung nằm trong danh mục văn bản bắt buộc duyệt trước. Nếu không có nhật ký máy ký, câu chuyện có lẽ đã kết thúc bằng một nghi ngờ không ai giải được.
Lưu bao lâu và lưu ở đâu
Văn bản đã ký là tài liệu của doanh nghiệp, thời hạn lưu theo loại văn bản. Pháp luật kế toán quy định thời hạn lưu trữ tối thiểu cho từng nhóm tài liệu kế toán, có nhóm phải giữ nhiều năm; hồ sơ thuế, hồ sơ lao động, hợp đồng cũng có những yêu cầu riêng. Đối chiếu quy định hiện hành cho từng loại trước khi đặt thời hạn xoá.
Các nguồn vết đi kèm, như sổ giao nhận, phiếu trình ký, thông báo tiếp nhận, nên được lưu ít nhất bằng thời hạn của văn bản mà chúng chứng minh. Một hợp đồng giữ mười năm mà sổ giao nhận chỉ giữ hai năm thì sau năm thứ hai công ty không còn trả lời được ai đã thao tác ký hợp đồng ấy.
Về nơi lưu: bản điện tử gốc cần ở nơi có sao lưu, có phân quyền, không phụ thuộc vào máy tính hay hộp thư của một cá nhân. Nhật ký của phần mềm thường tự xoay vòng sau một thời gian; nếu muốn giữ lâu, xuất định kỳ ra tệp và lưu cùng chỗ với văn bản. Sổ giấy thì cất cùng hồ sơ pháp lý của công ty.
Lưu vết mà không biến thành giám sát
Nhân viên có thể cảm thấy bị theo dõi khi mọi thao tác ký đều được ghi lại. Cách giải thích đúng là vết ký bảo vệ chính người thao tác: khi có văn bản sai, người đã làm đúng quy trình có bằng chứng mình chỉ ký sau khi được duyệt, và người không liên quan có bằng chứng lúc đó token không ở trong tay mình.
Phạm vi ghi vết nên giới hạn đúng vào việc ký: ai, lúc nào, văn bản nào, theo duyệt nào. Không cần và không nên dùng việc này làm cớ để theo dõi những hoạt động khác trên máy tính của nhân viên. Nếu công ty muốn giám sát rộng hơn, đó là chuyện khác, cần thông báo minh bạch và tuân thủ quy định về dữ liệu cá nhân.
Cuối cùng, công bố quy tắc lưu vết trong quy chế, để mọi người biết trước những gì được ghi lại và ai được xem. Một hệ thống lưu vết mà nhân viên chỉ biết đến khi có sự cố sẽ tạo ra cảm giác bị đánh úp, dù mục đích ban đầu hoàn toàn chính đáng.
Câu hỏi thường gặp
Nhìn vào chữ ký số trên một tờ khai, có biết nhân viên nào đã ký không?
Nếu tờ khai được ký bằng chứng thư của tổ chức thì không. Chữ ký chỉ cho biết chứng thư của doanh nghiệp đã được dùng. Muốn biết người thao tác, doanh nghiệp phải dựa vào sổ giao nhận, phiếu duyệt và nhật ký nội bộ của mình.
Có thể yêu cầu nhà cung cấp chữ ký số cho biết token đã ký những gì không?
Với token dạng thiết bị, việc ký diễn ra trên máy của bạn nên nhà cung cấp thường không có nhật ký từng lần ký. Với ký số từ xa, nhà cung cấp lưu nhật ký các yêu cầu ký; doanh nghiệp có thể đề nghị trích xuất theo thủ tục và điều khoản dịch vụ của họ.
Thời điểm ký hiện trên chữ ký có đáng tin không?
Nếu văn bản có dấu thời gian từ dịch vụ cấp dấu thời gian, thời điểm đó đáng tin hơn nhiều. Nếu không, thời điểm lấy từ đồng hồ máy ký và có thể lệch. Nên đối chiếu với nguồn độc lập như thông báo tiếp nhận hoặc nhật ký hệ thống.
Công ty nhỏ không có phần mềm quản lý văn bản thì lưu vết thế nào?
Ba thứ là đủ cho phần lớn tình huống: sổ giao nhận token, email duyệt trước khi ký, và một thư mục chung lưu văn bản đã ký cùng thông báo tiếp nhận, đặt tên theo một quy ước. Không cần đầu tư phần mềm để bắt đầu.
Nhật ký ký số có phải là dữ liệu cá nhân của nhân viên không?
Nhật ký ghi tên người, thời điểm, thao tác nên có chứa thông tin gắn với cá nhân. Doanh nghiệp nên thu thập trong phạm vi cần thiết cho việc quản lý chữ ký số, thông báo cho nhân viên và bảo vệ dữ liệu theo quy định hiện hành về bảo vệ dữ liệu cá nhân.
Khi nào thì có thể xoá sổ giao nhận và nhật ký cũ?
Sau khi hết thời hạn lưu của những văn bản mà chúng chứng minh, và không có tranh chấp, thanh tra, kiểm toán nào đang liên quan. Trước khi xoá, kiểm lại thời hạn lưu trữ theo quy định hiện hành cho loại tài liệu tương ứng.