Skip to content
Nhiều ông chủ doanh nghiệp thường than phiền rằng sau khi bỏ ra hàng tỷ đồng và mất cả năm trời để triển khai hệ thống ERP, kết quả nhận lại vẫn là những con số nhảy múa, kho bãi vẫn lệch, và nhân viên vẫn đổ lỗi cho nhau. Khi tôi đi sâu vào kiểm tra các “ca khó” này, có một điểm chung cực kỳ phổ biến nhưng lại ít được coi trọng đúng mức: Phân quyền trên hệ thống cực kỳ lỏng lẻo hoặc chồng chéo. Phân quyền không đơn thuần là việc cấp tài khoản cho nhân viên vào nhập liệu, mà nó chính là “xương sống” của hệ thống kiểm soát nội bộ. Nếu ví doanh nghiệp như một con tàu, thì phân quyền ERP chính là việc quy định ai được cầm lái, ai được vào kho nhiên liệu và ai chỉ được đứng ở boong tàu. Sai một ly ở khâu phân quyền, toàn bộ tính chính xác của báo cáo tài chính sẽ đổ sông đổ biển.
MỤC LỤC CHI TIẾT
PHẦN 1: BẢN CHẤT CỦA PHÂN QUYỀN TRONG ERP – KHÔNG CHỈ LÀ CẤP PHÉP TRUY CẬP
PHẦN 2: NHỮNG SAI LẦM “KINH ĐIỂN” KHI PHÂN QUYỀN TẠI CÁC DOANH NGHIỆP VIỆT
PHẦN 3: NGUYÊN TẮC SEGREGATION OF DUTIES (SOD) – TAM GIÁC SẮT TRONG KIỂM SOÁT
PHẦN 4: THIẾT KẾ MA TRẬN PHÂN QUYỀN CHO CÁC CHU TRÌNH NGHIỆP VỤ CỐT LÕI
PHẦN 5: CASE STUDY THỰC TẾ TỪ REBOOSTLAB – BÀI HỌC VỀ SỰ BUÔNG LỎNG QUYỀN HẠN
PHẦN 6: NHẬT KÝ HỆ THỐNG (AUDIT TRAIL) – “MẮT THẦN” CỦA NHÀ QUẢN LÝ
PHẦN 7: QUY TRÌNH XÂY DỰNG VÀ DUY TRÌ MA TRẬN PHÂN QUYỀN (SOP PHÂN QUYỀN)
PHẦN 8: TỔNG KẾT VÀ CÁC HÀNH ĐỘNG CẦN TRIỂN KHAI NGAY
PHẦN 1: BẢN CHẤT CỦA PHÂN QUYỀN TRONG ERP – KHÔNG CHỈ LÀ CẤP PHÉP TRUY CẬP
Khi chúng ta nói về ERP (Enterprise Resource Planning), nhiều người chỉ nghĩ đó là một phần mềm kế toán mở rộng. Nhưng thực tế, ERP là sự số hóa toàn bộ quy trình vận hành của doanh nghiệp. Trong môi trường truyền thống, các “chốt chặn” kiểm soát nằm ở những con dấu và chữ ký trên giấy tờ. Chừng nào chưa có chữ ký của ông kho, ông kế toán chưa được ghi sổ. Chừng nào chưa có phê duyệt của giám đốc, thủ quỹ chưa được xuất tiền.
Tuy nhiên, khi đưa lên ERP, mọi thứ diễn ra trên môi trường số. Nếu hệ thống không được phân quyền chặt chẽ, một nhân viên kinh doanh có thể tự tạo đơn hàng, tự duyệt đơn, rồi tự xuất kho mà không ai hay biết cho đến khi kiểm kê cuối tháng thấy mất hàng. Phân quyền lúc này đóng vai trò thay thế cho các “con dấu” và “chữ ký” vật lý đó.
Hệ thống phân quyền tốt phải đảm bảo được hai yếu tố: Hiệu quả vận hành (người đúng việc được làm nhanh) và Tính an toàn (người không phận sự không được can thiệp). Phân quyền không phải là cách để thể hiện quyền lực của người đứng đầu, mà là công cụ để bảo vệ nhân viên và bảo vệ tài sản doanh nghiệp. Khi một hệ thống được phân quyền đúng, nhân viên sẽ yên tâm làm việc vì họ biết rõ giới hạn trách nhiệm của mình, và cấp quản lý cũng bớt được gánh nặng phải theo dõi từng li từng tí vì hệ thống đã tự động ngăn chặn các hành vi sai trái.
Mối liên hệ giữa SOP (Standard Operating Procedure) và ERP là mối quan hệ hữu cơ. SOP quy định ai làm gì, ở bước nào, bằng cách nào. ERP là công cụ hiện thực hóa SOP đó. Nếu SOP quy định kế toán thanh toán phải đối soát hóa đơn với phiếu nhập kho trước khi lập lệnh chi, nhưng trên ERP quyền lập lệnh chi lại không yêu cầu tham chiếu phiếu nhập, thì SOP đó chỉ là tờ giấy lộn.
PHẦN 2: NHỮNG SAI LẦM “KINH ĐIỂN” KHI PHÂN QUYỀN TẠI CÁC DOANH NGHIỆP VIỆT
Trong quá trình tư vấn cho các doanh nghiệp SME đang tăng trưởng nóng, tôi gặp không ít những tình huống dở khóc dở cười liên quan đến phân quyền.
Sai lầm đầu tiên và phổ biến nhất là tư duy “Tin tưởng tuyệt đối”. Nhiều chủ doanh nghiệp có thói quen giao tài khoản Admin (quyền tối cao) cho một người thân cận, có thể là kế toán trưởng đã đi cùng mình từ ngày đầu, hoặc thậm chí là đứa cháu làm IT. Lý do đưa ra là: “Nó là người nhà, tin được”. Nhưng vấn đề ở đây không phải là lòng tin, mà là rủi ro thao tác và rủi ro kiểm soát. Một tài khoản Admin có quyền làm mọi thứ: sửa giá bán, xóa phiếu nhập, thay đổi số dư ngân hàng mà không để lại dấu vết rõ ràng nếu họ muốn xóa log. Khi một người nắm quá nhiều quyền, họ rất dễ bị cám dỗ hoặc đơn giản là khi họ lỡ tay làm sai, họ sẽ dùng quyền đó để “lấp liếm” lỗi sai mà không ai biết.
Thứ hai là việc phân quyền theo con người thay vì theo vị trí. Ví dụ, anh Nam làm trưởng phòng mua hàng, anh ấy rất giỏi và được cấp quyền xem cả báo cáo tài chính để nắm bắt dòng tiền. Khi anh Nam chuyển sang bộ phận khác hoặc nghỉ việc, người thay thế là anh Bắc cũng mặc định được cấp bộ quyền y hệt như anh Nam, dù anh Bắc có thể chưa đủ kinh nghiệm hoặc chức năng công việc đòi hỏi khác đi. Cách làm đúng phải là xây dựng các “Role” (Vai trò). Bất kể ai ngồi vào ghế đó sẽ được gán Role đó. Điều này giúp hệ thống nhất quán và dễ quản trị.
Thứ ba là sự hào phóng quá mức với quyền “Sửa” và “Xóa”. Trong quản trị tài chính, dữ liệu đã phát sinh là lịch sử. Nếu sai, chúng ta phải dùng các bút toán điều chỉnh (Adjustment) hoặc lập phiếu hủy và tạo phiếu mới để giữ nguyên vết tích. Tuy nhiên, nhiều doanh nghiệp lại cho phép nhân viên kế toán hoặc kho quyền “Edit” trực tiếp vào các chứng từ của tháng trước, năm trước. Kết quả là gì? Báo cáo thuế đã nộp một đường, nhưng số liệu trên hệ thống lúc xem lại lại là một nẻo. Đây là “cửa tử” cho mọi nỗ lực đối soát tài chính.
Cuối cùng là sự thiếu hụt các điểm kiểm soát chéo. Trong một quy trình chuẩn, người nhập liệu không bao giờ nên là người phê duyệt. Nhưng ở nhiều nơi, để “cho nhanh”, giám đốc cấp quyền duyệt cho chính nhân viên thực hiện. Điều này triệt tiêu hoàn toàn ý nghĩa của việc kiểm soát nội bộ.
PHẦN 3: NGUYÊN TẮC SEGREGATION OF DUTIES (SOD) – TAM GIÁC SẮT TRONG KIỂM SOÁT
Tách biệt nhiệm vụ (Segregation of Duties – SoD) là nguyên tắc thiết kế quy trình sao cho không có một cá nhân đơn lẻ nào có thể vừa thực hiện một hành vi sai trái, vừa có khả năng che giấu hành vi đó trên hệ thống. Về cơ bản, có 4 nhóm chức năng cần phải tách biệt:
- Quyền Phê duyệt (Authorization): Người có quyền ký duyệt các giao dịch (Duyệt chi, duyệt mua hàng, duyệt giảm giá).
- Quyền Lưu giữ tài sản (Custody): Người trực tiếp cầm tiền mặt, quản lý kho hàng, nắm giữ tài sản vật chất.
- Quyền Ghi chép (Record-keeping): Người nhập liệu vào phần mềm kế toán, ERP.
- Quyền Đối soát/Kiểm tra (Reconciliation): Người kiểm tra lại sự khớp nhau giữa sổ sách và thực tế.
Dưới đây là bảng xung đột SoD điển hình cần tránh:
| Người giữ quyền A | Không được giữ quyền B | Rủi ro nếu vi phạm |
|---|---|---|
| Tạo Nhà cung cấp mới | Duyệt thanh toán | Tạo NCC “ma” để rút tiền công ty |
| Nhập kho hàng hóa | Kiểm kê kho | Che giấu hàng thiếu, hàng hỏng |
| Lập hóa đơn bán hàng | Nhận tiền/Thu quỹ | Bán hàng lấy tiền túi, không ghi sổ |
| Chỉnh sửa bảng lương | Phê duyệt chi lương | Tự tăng lương hoặc tạo nhân viên ảo |
PHẦN 4: THIẾT KẾ MA TRẬN PHÂN QUYỀN CHO CÁC CHU TRÌNH NGHIỆP VỤ CỐT LÕI
1. Chu trình Mua hàng – Trả tiền (Procure-to-Pay)
– Nhân viên mua hàng: Chỉ có quyền tạo Đề nghị mua hàng (PR) và Đơn mua hàng (PO). Tuyệt đối không có quyền duyệt PO.
– Trưởng phòng mua hàng/Giám đốc: Quyền duyệt PO dựa trên hạn mức ngân sách.
– Nhân viên kho: Quyền nhập kho dựa trên PO đã duyệt. Không được nhìn thấy đơn giá mua hàng.
– Kế toán thanh toán: Quyền ghi nhận hóa đơn NCC (Invoice) dựa trên nguyên tắc Three-way match.
2. Chu trình Bán hàng – Thu tiền (Order-to-Cash)
– Nhân viên kinh doanh: Tạo đơn hàng (SO). Chỉ được chọn mức chiết khấu trong khung.
– Quản lý kinh doanh: Duyệt đơn hàng nếu có chiết khấu vượt khung.
– Kế toán công nợ: Theo dõi và ghi nhận tiền về. Tuyệt đối không cho kinh doanh tự xác nhận “đã thu tiền”.
3. Chu trình Kho vận và Sản xuất
– Thủ kho: Chỉ thực hiện xuất kho theo lệnh đã duyệt. Quyền “Điều chỉnh kho” (Inventory Adjustment) phải được khóa chặt, chỉ cấp cho Kế toán kho hoặc Trưởng kho sau khi có biên bản kiểm kê.
PHẦN 5: CASE STUDY THỰC TẾ TỪ REBOOSTLAB – BÀI HỌC VỀ SỰ BUÔNG LỎNG QUYỀN HẠN
Case 1: Doanh nghiệp Nội thất và cái bẫy “Tự do chỉnh sửa kho”. Một doanh nghiệp bị thất thoát hơn 3 tỷ đồng/năm do thủ kho có quyền tự điều chỉnh số lượng tồn kho trên ERP để hợp thức hóa việc lấy hàng gỗ quý ra ngoài bán. Sau khi thu hồi quyền và thiết lập quy trình duyệt 3 lớp, tỷ lệ lệch kho giảm xuống dưới 0.5%.
Case 2: Công ty Dược phẩm và lỗ hổng “Sửa mức chiết khấu”. Nhân viên Sales tự ý nâng chiết khấu lên 20% (vượt mức 10% quy định) để lấy thưởng doanh số và chiếm dụng tiền chênh lệch. Giải pháp là gán cứng chiết khấu theo Price List và khóa quyền Edit đơn hàng sau khi xuất kho.
PHẦN 6: NHẬT KÝ HỆ THỐNG (AUDIT TRAIL) – “MẮT THẦN” CỦA NHÀ QUẢN LÝ
Audit Trail là bản ghi chi tiết: Ai, làm gì, vào lúc nào, dữ liệu trước và sau khi sửa là gì. Nhiều doanh nghiệp tắt tính năng này để tiết kiệm dung lượng, nhưng đây là sai lầm chết người. Audit Trail giúp phát hiện các giao dịch bất thường vào giờ lạ hoặc các thao tác xóa hóa đơn bất hợp lý.
PHẦN 7: QUY TRÌNH XÂY DỰNG VÀ DUY TRÌ MA TRẬN PHÂN QUYỀN
Bước 1: Liệt kê tất cả các chức danh (Job Title).
Bước 2: Xác định các quy trình nghiệp vụ tham gia.
Bước 3: Xác định mức độ quyền hạn (View, Create, Edit, Approve, Delete).
Bước 4: Xây dựng Ma trận bằng bảng Excel.
Bước 5: Quy trình thay đổi quyền khi có biến động nhân sự.
PHẦN 8: TỔNG KẾT VÀ CÁC HÀNH ĐỘNG CẦN TRIỂN KHAI NGAY
1. Rà soát tài khoản Admin: Thu hồi quyền từ những người không cần thiết.
2. Kiểm tra quyền “Sửa/Xóa”: Thu hẹp xuống mức tối thiểu.
3. Thiết lập nguyên tắc SoD: Kiểm tra các cặp quyền xung đột.
4. Kích hoạt Audit Trail: Đảm bảo tính năng ghi nhật ký đang hoạt động.
5. Ban hành SOP phân quyền: Quy định rõ quy trình cấp và thu hồi tài khoản.
#ERP #KiemSoatNoiBo #SOP #TaiChinhKeToan #QuanTriDoanhNghiep #ReboostLab #InternalControl #SoD
