Theo Luật Giao dịch điện tử, công ty dịch vụ kế toán giữ hồ sơ của nhiều khách cần bảo đảm gì?

Công ty dịch vụ kế toán thường giữ luôn chữ ký số của khách hàng — thực hành tiện lợi nhưng chứa rủi ro lớn. Bài viết chỉ ra cách làm an toàn hơn.

Một công ty dịch vụ kế toán quy mô vừa làm sổ sách cho 50-100 doanh nghiệp. Họ nắm toàn bộ chứng từ, hóa đơn, hợp đồng, bảng lương, và rất thường xuyên là cả thiết bị chữ ký số của khách hàng. Đây là mức tập trung rủi ro cao mà ít đơn vị trong ngành nhận thức đầy đủ.

Vấn đề số một — giữ chữ ký số của khách

Đây là thực hành phổ biến tới mức được coi là bình thường: khách gửi thiết bị chữ ký số cho kế toán dịch vụ để tiện ký tờ khai, ký hóa đơn.

Về mặt bản chất, chữ ký số thay thế chữ ký và con dấu của người đại diện doanh nghiệp. Giao thiết bị và mã kích hoạt cho bên khác nghĩa là giao khả năng ký thay mình.

Khoản 3 Điều 33 Luật 20/2023/QH15 quy định các hoạt động của tổ chức cung cấp dịch vụ chứng thực chữ ký số công cộng, trong đó điểm a là phát hành chứng thư chữ ký số công cộng để xác nhận và duy trì trạng thái hiệu lực chứng thư chữ ký số công cộng của chủ thể ký thông điệp dữ liệu, và điểm b là thu hồi chứng thư chữ ký số công cộng.

Cụm "chủ thể ký" cho thấy thiết kế của chế định này: chữ ký số gắn với một chủ thể xác định, và chủ thể đó chịu trách nhiệm về những gì được ký.

Năm rủi ro cụ thể khi giao thiết bị:

• Nhân viên kế toán dịch vụ có thể ký những văn bản khách không biết;
• Nếu nhân viên đó nghỉ việc mà chưa trả thiết bị, rủi ro kéo dài;
• Thiết bị mất hoặc bị lấy cắp tại văn phòng dịch vụ;
• Không xác định được ai đã ký khi có tranh chấp;
• Khách hàng vẫn là bên chịu trách nhiệm về hồ sơ đã ký.

Cách làm an toàn hơn:

• Khách tự giữ thiết bị, kế toán dịch vụ chuẩn bị hồ sơ rồi khách ký;
• Nếu bắt buộc phải giữ, lập biên bản bàn giao ghi rõ thiết bị, thời gian, người nhận;
• Ghi nhật ký từng lần sử dụng — ký gì, khi nào, ai thao tác;
• Cất giữ có kiểm soát, không để trên bàn làm việc;
• Trả lại ngay khi chấm dứt hợp đồng dịch vụ.

Việc ghi nhật ký bảo vệ chính công ty dịch vụ: khi khách khiếu nại về một hồ sơ đã nộp, có căn cứ để làm rõ.

Rủi ro tập trung

Điều 26 Luật 116/2025/QH15 quy định các nội dung bảo đảm an ninh dữ liệu.

Công ty dịch vụ kế toán là mục tiêu hấp dẫn vì một lần xâm nhập lấy được dữ liệu của hàng chục doanh nghiệp. Sáu biện pháp nền tảng:

• Phân quyền theo khách hàng — kế toán viên phụ trách khách A không xem được hồ sơ khách B;
• Xác thực nhiều lớp cho mọi tài khoản, đặc biệt tài khoản khai thuế, bảo hiểm;
• Mã hóa ổ đĩa máy tính, nhất là máy xách tay;
• Sao lưu tách biệt và kiểm tra khôi phục định kỳ;
• Ghi nhật ký truy cập và xuất dữ liệu;
• Thu hồi quyền ngay khi nhân viên nghỉ việc — gồm cả tài khoản trên các cổng dịch vụ công.

Điểm cuối phức tạp hơn vẻ ngoài: một kế toán viên có thể có tài khoản trên nhiều hệ thống, cho nhiều khách hàng. Cần danh sách đầy đủ để thu hồi.

Bảo mật dữ liệu khách hàng

Khoản 1 Điều 27 Luật 148/2025/QH15 quy định chủ quản dữ liệu phải chủ động thiết lập quy trình, biện pháp bảo vệ dữ liệu phù hợp với tính chất hoạt động và phương thức đáp ứng yêu cầu của chủ thể dữ liệu.

Hồ sơ kế toán chứa nhiều loại dữ liệu nhạy cảm: doanh thu, lợi nhuận, danh sách khách hàng và nhà cung cấp, bảng lương từng nhân viên, hợp đồng.

Bốn nguyên tắc bổ sung:

• Không dùng dữ liệu của khách này để phục vụ khách khác — kể cả ở dạng tham khảo mặt bằng;
• Không tiết lộ khách hàng của mình là ai nếu chưa được đồng ý — danh sách khách hàng của công ty dịch vụ cũng là thông tin cần giữ;
• Kênh trao đổi chứng từ có kiểm soát — không nhận qua ứng dụng nhắn tin cá nhân của nhân viên;
• Cam kết bảo mật với mọi nhân viên, có hiệu lực sau khi nghỉ việc.

Điểm thứ nhất là ranh giới nghề nghiệp quan trọng. Một công ty dịch vụ biết mặt bằng chi phí, biên lợi nhuận của cả chục doanh nghiệp cùng ngành — thông tin này không được dùng ngoài phạm vi phục vụ từng khách.

Chứng từ điện tử

Khoản 1 Điều 9 Luật 20/2023/QH15 quy định thông điệp dữ liệu được xem là đáp ứng yêu cầu về văn bản nếu thông tin trong thông điệp dữ liệu đó có thể truy cập và sử dụng được để tham chiếu.

Nghĩa là phần lớn chứng từ nội bộ có thể lưu điện tử. Nhưng pháp luật về kế toán, thuế, hóa đơn có quy định riêng về chứng từ và thời hạn lưu — cần tra riêng và tuân thủ đầy đủ.

Ba yêu cầu thực tế với hồ sơ điện tử:

• Đọc được sau nhiều năm — lưu ở định dạng phổ thông, không khóa trong phần mềm kế toán chuyên dụng;
• Tập hợp được theo kỳ — khi cơ quan thuế kiểm tra, cần xuất nhanh toàn bộ hồ sơ một kỳ;
• Bàn giao được khi khách đổi đơn vị dịch vụ.

Điểm thứ ba là vấn đề đạo đức nghề nghiệp thường gặp. Khách muốn chuyển sang đơn vị khác, và một số công ty dịch vụ gây khó khăn trong việc bàn giao dữ liệu.

Nguyên tắc đúng: hồ sơ kế toán là của doanh nghiệp khách hàng, không phải tài sản của công ty dịch vụ. Việc bàn giao đầy đủ, đúng hạn, ở định dạng dùng được là nghĩa vụ.

Ghi vào hợp đồng dịch vụ

• Phạm vi công việc và dữ liệu công ty dịch vụ được tiếp cận;
• Xử lý chữ ký số — ai giữ, nếu công ty dịch vụ giữ thì quy trình thế nào;
• Kênh trao đổi chứng từ;
• Cam kết bảo mật và thời hạn hiệu lực;
• Trách nhiệm khi có rò rỉ hoặc sai sót;
• Quy trình bàn giao khi chấm dứt — thời hạn, định dạng, chi phí;
• Nghĩa vụ xóa dữ liệu sau bàn giao.

Điểm thứ sáu nên được thỏa thuận ngay từ đầu, khi quan hệ còn tốt đẹp.

Khi phát hiện sai sót của khách

Tình huống nghề nghiệp: kế toán dịch vụ phát hiện hồ sơ khách có dấu hiệu không đúng thực tế. Đây là vấn đề đạo đức nghề nghiệp và pháp lý, không phải vấn đề dữ liệu — nhưng có khía cạnh liên quan.

Ba nguyên tắc: trao đổi trực tiếp với khách bằng văn bản, lưu lại; không tự ý sửa để hợp thức hóa; và nếu không thống nhất được thì cân nhắc chấm dứt hợp đồng, có ghi nhận lý do.

Việc lưu lại trao đổi bảo vệ công ty dịch vụ trong trường hợp sau này phát sinh trách nhiệm.

Danh sách kiểm tra

• Có giữ chữ ký số của khách không? Có biên bản bàn giao và nhật ký sử dụng không?
• Kế toán viên có xem được hồ sơ mọi khách hàng không?
• Đã bật xác thực nhiều lớp cho tài khoản khai thuế chưa?
• Máy tính có mã hóa ổ đĩa chưa?
• Có danh sách đầy đủ tài khoản cần thu hồi khi nhân viên nghỉ không?
• Chứng từ nhận qua kênh nào?
• Hợp đồng có quy định bàn giao khi chấm dứt không?

Đọc thêm cùng chủ đề

• Cửa hàng điện máy bán trả góp xử lý hồ sơ khách thế nào?
• Trung tâm dạy nghề số hóa hồ sơ học viên cần lưu ý gì?
• Công ty tư vấn du học xử lý hồ sơ học sinh cần bảo đảm gì?

Căn cứ pháp lý

• Luật 20/2023/QH15 Điều 9
• Luật 20/2023/QH15 Điều 33
• Luật 148/2025/QH15 Điều 27
• Luật 116/2025/QH15 Điều 26

Bài viết dẫn chiếu văn bản đang có hiệu lực. Nội dung mang tính tham khảo, không thay thế ý kiến tư vấn cho từng trường hợp cụ thể.