Ở công ty nhỏ, chữ ký số của doanh nghiệp thường nằm trong một chiếc token cắm thường trực ở máy kế toán, mã PIN viết trên mảnh giấy dán dưới bàn phím. Ai ngồi vào máy đó cũng ký được hồ sơ thuế, hoá đơn, hợp đồng điện tử nhân danh công ty. Chữ ký số có giá trị pháp lý như chữ ký tay kèm con dấu, nhưng được giữ cẩn thận kém xa con dấu đỏ trong két.
Bài này dành cho giám đốc và kế toán ở doanh nghiệp nhỏ: ai nên giữ chữ ký số, giữ thế nào, ký số từ xa trên điện thoại khác token ở chỗ nào về mặt quản lý, ghi sổ những gì đã ký, và làm gì khi đổi người hay mất token. Phần khái niệm chữ ký số khác chữ ký điện tử ra sao có trong danh mục chữ ký số của trang; ở đây chỉ bàn chuyện quản trị trong công ty.
Ký bằng chữ ký số của công ty nghĩa là công ty đã ký
Chứng thư chữ ký số cấp cho doanh nghiệp gắn với pháp nhân. Một văn bản điện tử được ký bằng chứng thư đó, khi kiểm tra hợp lệ, được hiểu là do doanh nghiệp ký. Hệ thống không biết và không quan tâm người bấm nút ký hôm đó là giám đốc, kế toán hay một nhân viên ngồi nhầm máy. Đây là khác biệt lớn so với chữ ký tay: chữ ký tay gắn với bàn tay một người, chữ ký số gắn với người nắm được thiết bị và mã PIN.
Vì vậy câu hỏi quản trị không phải "chữ ký số có an toàn không" mà là "ai đang có khả năng ký nhân danh công ty". Nếu câu trả lời là bất kỳ ai ngồi vào máy kế toán, công ty đang trao quyền ký cho một nhóm người không xác định. Hồ sơ thuế nộp sai, hợp đồng bất lợi được ký, hoá đơn xuất sai người mua, tất cả đều mang chữ ký hợp lệ của công ty.
Thời AI thêm một rủi ro mới: các tác tử AI và công cụ tự động hoá được giới thiệu là có thể "tự nộp hồ sơ, tự ký" thay người. Nguyên tắc ở đây không đổi: bất cứ thứ gì có quyền dùng chữ ký số của công ty, dù là người hay phần mềm, đều phải được giao quyền rõ ràng, có giới hạn và có người duyệt trước khi ký.
Những thói quen làm chữ ký số mất ý nghĩa
Token cắm thường trực. Token cắm sẵn ở máy tính bật cả ngày, máy không khoá màn hình. Ai đi ngang qua cũng ký được nếu biết mã PIN, và mã PIN thì thường nằm ngay gần đó.
Mã PIN mặc định hoặc dán kèm. Không đổi mã PIN sau khi nhận token, hoặc ghi mã PIN lên nhãn token, mảnh giấy dán dưới bàn phím, ghi chú trong điện thoại chung.
Dịch vụ kế toán thuê ngoài cầm token. Token của công ty nằm ở văn phòng dịch vụ kế toán, cùng với token của hàng chục công ty khác. Công ty không biết token được dùng khi nào, để ký những gì.
Chia sẻ tài khoản ký số từ xa. Với chữ ký số từ xa, tên đăng nhập và mật khẩu được chia cho nhiều người, mã xác nhận gửi về điện thoại của một người rồi chuyển tiếp cho người cần ký.
Không ai biết chứng thư hết hạn khi nào. Chứng thư hết hạn đúng hôm phải nộp hồ sơ, hoặc người đăng ký gia hạn là kế toán đã nghỉ, email liên hệ là email cá nhân của họ. Lúc đó công ty vừa trễ hạn nộp, vừa phải chứng minh lại quyền với nhà cung cấp dịch vụ, mất thêm nhiều ngày.
Token USB và ký số từ xa: quản lý khác nhau ở đâu
Hai hình thức phổ biến của chữ ký số doanh nghiệp đặt ra yêu cầu quản lý khác nhau. Bảng dưới so sánh theo góc quản trị nội bộ, không so tính năng của nhà cung cấp nào.
| Tiêu chí | Token USB | Ký số từ xa |
|---|---|---|
| Thứ cần giữ | Thiết bị vật lý và mã PIN | Tài khoản đăng nhập, mật khẩu, thiết bị nhận mã xác nhận |
| Rủi ro hay gặp | Cắm thường trực, mất token, mã PIN lộ | Chia sẻ tài khoản, mã xác nhận bị chuyển tiếp, điện thoại nhận mã bị mất |
| Kiểm soát ai ký | Theo người đang cầm token | Theo người kiểm soát tài khoản và điện thoại nhận mã |
| Khi người giữ nghỉ việc | Thu lại token, đổi mã PIN | Đổi mật khẩu, đổi thiết bị nhận mã, kiểm lịch sử ký |
| Ký khi đi vắng | Phải mang token theo hoặc giao cho người khác | Ký được từ điện thoại, giảm nhu cầu giao lại cho người khác |
Ký số từ xa giúp giám đốc tự ký mà không phải để token lại văn phòng, nhưng chỉ có ích khi tài khoản và điện thoại nhận mã thật sự nằm trong tay giám đốc. Nếu điện thoại nhận mã là máy của kế toán, mọi thứ quay lại như token cắm thường trực.
Quy chế giao và giữ chữ ký số trong công ty nhỏ
Quy chế dưới đây có thể viết gọn trong một trang, giám đốc ký ban hành, người được giao giữ ký nhận.
- Ghi rõ công ty có những chứng thư chữ ký số nào: của doanh nghiệp, của cá nhân giám đốc, của kế toán trưởng nếu có; hình thức token hay ký từ xa; ngày hết hạn.
- Chỉ định người giữ từng chứng thư. Người giữ chịu trách nhiệm bảo quản và chỉ ký trong phạm vi được giao.
- Đổi mã PIN và mật khẩu ngay khi nhận; không ghi lại ở chỗ người khác nhìn thấy; dùng trình quản lý mật khẩu nếu cần lưu.
- Quy định phạm vi ký: loại văn bản người giữ được ký ngay, loại phải có giám đốc duyệt trước như hợp đồng trên một giá trị nhất định, văn bản cam kết, uỷ quyền.
- Rút token khỏi máy sau khi ký xong, cất vào tủ có khoá. Máy tính có token phải tự khoá màn hình khi không dùng.
- Với dịch vụ kế toán thuê ngoài, ghi trong hợp đồng thời điểm nào họ giữ token, phạm vi ký, cách bàn giao lại, và yêu cầu báo cáo danh sách văn bản đã ký.
- Đặt nhắc lịch trước ngày chứng thư hết hạn đủ sớm để gia hạn; email đăng ký là email chung của công ty.
Quy chế này nên được nhắc lại mỗi khi có người mới nhận giữ chữ ký số. Ký nhận bàn giao token giống như ký nhận bàn giao con dấu.
Sổ theo dõi văn bản đã ký
Một sổ theo dõi đơn giản, bằng bảng tính, giúp công ty trả lời được câu hỏi "chữ ký số của mình đã ký những gì". Các cột nên có:
- Ngày giờ ký.
- Loại văn bản: tờ khai thuế, hoá đơn, hợp đồng, công văn, hồ sơ thủ tục.
- Số hiệu hoặc tên văn bản, đối tác hay cơ quan nhận.
- Chứng thư dùng để ký: của doanh nghiệp hay của cá nhân.
- Người thực hiện ký và người duyệt trước, nếu văn bản thuộc loại phải duyệt.
- Nơi lưu bản đã ký: thư mục, hệ thống, hộp thư.
- Ghi chú khi có sự cố: ký nhầm, phải ký lại, văn bản bị từ chối.
Hoá đơn và tờ khai thường đã được hệ thống ghi lại, nên sổ chỉ cần ghi tổng theo đợt. Thứ cần ghi kỹ là hợp đồng, văn bản cam kết, uỷ quyền, những thứ không có hệ thống nào ghi giúp mà rủi ro thì lớn. Khi nhà cung cấp dịch vụ ký số từ xa có trang xem lịch sử ký, đối chiếu sổ với lịch sử đó định kỳ.
Khi đổi người, mất token hoặc nghi bị dùng trái phép
Khi người giữ chữ ký số nghỉ việc, thu lại token trong ngày cuối, đổi mã PIN, đổi mật khẩu tài khoản ký từ xa, đổi thiết bị nhận mã xác nhận, và kiểm lịch sử ký trong thời gian gần đây. Nếu chứng thư là chứng thư cá nhân của chính người nghỉ việc, như chữ ký số cá nhân của kế toán trưởng dùng để ký một số hồ sơ, công ty cần chuyển sang người mới và cập nhật với các cơ quan, đối tác liên quan.
Khi mất token hoặc nghi mã PIN, mật khẩu bị lộ, liên hệ ngay tổ chức cung cấp dịch vụ chứng thực chữ ký số để tạm dừng hoặc thu hồi chứng thư theo thủ tục của họ. Ghi lại thời điểm phát hiện và thời điểm yêu cầu thu hồi. Văn bản ký sau thời điểm chứng thư bị thu hồi sẽ không còn được kiểm tra là hợp lệ, nên báo sớm giúp giới hạn thiệt hại.
Khi phát hiện có văn bản được ký mà công ty không hề chủ trương, như một hợp đồng lạ hay một hoá đơn không có giao dịch, hãy giữ nguyên dữ liệu, đối chiếu sổ theo dõi và lịch sử ký, báo cho bên nhận văn bản biết văn bản có dấu hiệu bị ký trái phép. Tình huống này có yếu tố pháp lý; bạn nên hỏi luật sư, và trang AI Cố Vấn là một nơi có thể bắt đầu.
Dùng AI đọc văn bản trước khi ký và soạn quy chế
Chatbot có thể giúp người giữ chữ ký số đọc kỹ hơn trước khi bấm ký, nhất là với hợp đồng dài do đối tác soạn. Câu lệnh mẫu: "Dưới đây là một hợp đồng cung cấp dịch vụ đã được thay tên các bên bằng Bên A và Bên B, bỏ đơn giá. Hãy liệt kê các điều khoản về thời hạn, gia hạn tự động, phạt vi phạm, đơn phương chấm dứt, giới hạn trách nhiệm, và chỉ ra điều khoản nào có vẻ bất lợi cho Bên A cần hỏi lại." Che tên đối tác, giá trị, số tài khoản trước khi dán.
AI cũng soạn nhanh bản nháp quy chế quản lý chữ ký số và mẫu sổ theo dõi. Bạn yêu cầu chatbot không dẫn số văn bản pháp luật, vì dẫn sai là chuyện thường gặp, và tự đối chiếu phần pháp lý với nguồn chính thức.
Điều không giao cho AI là quyết định ký. Công cụ tự động hoá có thể chuẩn bị hồ sơ, điền tờ khai, nhắc lịch, nhưng bước ký bằng chứng thư của công ty phải là một người có thẩm quyền, đọc và chịu trách nhiệm. Đừng cấp mã PIN hay tài khoản ký từ xa cho bất kỳ công cụ AI nào chỉ vì nó hứa tiết kiệm thời gian.
Câu hỏi thường gặp
Giám đốc có nên tự giữ chữ ký số của doanh nghiệp không?
Ở công ty nhỏ, giám đốc giữ hoặc ít nhất kiểm soát được việc dùng chữ ký số là cách an toàn. Nếu giao cho kế toán giữ để ký hồ sơ thường ngày, quy chế phải ghi rõ phạm vi ký và loại văn bản cần giám đốc duyệt trước.
Mã PIN token chữ ký số nên đổi khi nào?
Đổi ngay khi nhận token, đổi khi người giữ thay đổi, và đổi khi nghi mã PIN bị lộ. Không dùng mã PIN dễ đoán như ngày thành lập công ty, không ghi mã PIN cạnh token hay trên máy tính dùng chung.
Có nên để dịch vụ kế toán thuê ngoài giữ token của công ty không?
Nếu bắt buộc, ghi trong hợp đồng phạm vi ký, thời điểm giữ, cách bàn giao lại và yêu cầu báo cáo văn bản đã ký. Cách tốt hơn là công ty giữ token, ký các văn bản do dịch vụ chuẩn bị, hoặc dùng ký số từ xa do giám đốc kiểm soát.
Chữ ký số cá nhân của giám đốc có dùng để ký thay chữ ký số công ty được không?
Hai chứng thư dùng cho hai tư cách khác nhau. Văn bản nhân danh doanh nghiệp thường cần chứng thư của doanh nghiệp, có khi kèm chữ ký cá nhân người đại diện. Yêu cầu cụ thể tuỳ loại văn bản và quy định hiện hành, bạn kiểm với nơi nhận.
Mất token chữ ký số thì văn bản đã ký trước đó còn giá trị không?
Văn bản ký trước thời điểm chứng thư bị tạm dừng hoặc thu hồi, khi chứng thư còn hiệu lực, về nguyên tắc vẫn được kiểm tra hợp lệ. Vì vậy cần báo thu hồi sớm và ghi lại thời điểm, để phân biệt văn bản ký trước và sau sự cố.