Quy tắc cốt lõi khi giữ chữ ký số và tài khoản thuế của khách: văn phòng chỉ giữ hộ, dùng đúng mục đích trong hợp đồng, với quyền tối thiểu và luôn để lại dấu vết. Thiết bị chữ ký số cất trong tủ có khoá và có sổ mượn trả; mật khẩu nằm trong kho mật khẩu có phân quyền, không nằm trong bảng tính hay nhóm nhắn tin; mỗi lần sử dụng đều ghi lại.
Chữ ký số của doanh nghiệp ký lên tờ khai, hoá đơn, văn bản gửi cơ quan nhà nước — về mặt pháp lý, đó là doanh nghiệp ký. Một thiết bị bị lấy đi hay một mật khẩu bị lộ có thể dẫn tới hoá đơn lập nhân danh khách mà khách không hề biết. Phần dưới đây là các cách tiếp cận và quy tắc vận hành mà văn phòng nên áp dụng.
Chọn cách tiếp cận trước khi nhận giữ
Không phải lúc nào văn phòng cũng cần giữ chữ ký số của khách. Có vài cách tiếp cận, mỗi cách có đánh đổi riêng:
| Cách | Ưu | Nhược |
|---|---|---|
| Khách tự giữ, ký khi văn phòng gửi tờ khai | Rủi ro cho văn phòng thấp nhất, khách kiểm soát hoàn toàn | Dễ trễ hạn nếu khách bận, đi xa |
| Văn phòng giữ thiết bị chữ ký số | Chủ động nộp đúng hạn | Văn phòng gánh trách nhiệm cất giữ, phải có quy tắc chặt |
| Chữ ký số từ xa, khách xác nhận trên điện thoại mỗi lần ký | Không phải giữ thiết bị, khách biết mỗi lần ký | Phụ thuộc khách xác nhận kịp |
| Văn phòng là đại lý thuế, khai thay theo cơ chế dành cho đại lý | Dùng chữ ký của chính đại lý, không cần giữ của khách cho việc khai | Phải đáp ứng điều kiện đại lý thuế; phạm vi theo quy định hiện hành |
Nên chọn cách ít phải giữ nhất mà vẫn đảm bảo đúng hạn. Khi đã nhận giữ, ghi vào hợp đồng danh sách thiết bị, tài khoản được giao, mục đích dùng và người được dùng, kèm biên bản giao nhận.
Cất giữ thiết bị chữ ký số
- Tủ có khoá, đặt trong khu vực không phải khách ra vào. Chìa hoặc mã tủ chỉ vài người giữ.
- Mỗi thiết bị một ngăn, dán mã khách nội bộ (không dán tên doanh nghiệp hay mã số thuế lên thiết bị).
- Sổ mượn trả: ai lấy, lúc nào, dùng cho việc gì, trả lúc nào.
- Không cắm thiết bị qua đêm vào máy tính, không để trên bàn khi rời chỗ.
- Không mang thiết bị ra khỏi văn phòng trừ khi có lý do và được trưởng nhóm đồng ý.
- Mã PIN không dán lên thiết bị, không ghi trong sổ mượn trả; lưu trong kho mật khẩu.
Mỗi quý kiểm kê tủ một lần: đủ số thiết bị, đúng ngăn, ngày hết hạn của từng chứng thư. Thiết bị của khách đã ngừng dịch vụ phải được trả lại ngay kèm biên bản, không để lại trong tủ “phòng khi cần”.
Mật khẩu tài khoản thuế và cổng hoá đơn
Lỗi phổ biến nhất về bảo mật trong văn phòng kế toán là mật khẩu của khách nằm trong một bảng tính dùng chung, hoặc được gửi qua nhóm nhắn tin. Quy tắc tối thiểu:
- Mật khẩu lưu trong kho mật khẩu có phân quyền, mỗi người chỉ thấy mật khẩu của khách mình phụ trách.
- Không gửi mật khẩu qua nhóm nhắn tin, thư điện tử. Khi cần chia sẻ, dùng chức năng chia sẻ có thời hạn của kho mật khẩu.
- Không dùng chung một mật khẩu cho nhiều tài khoản của cùng khách.
- Đổi mật khẩu khi có người rời văn phòng hoặc thôi phụ trách khách đó, và định kỳ theo lịch.
- Khi đăng nhập cần mã xác thực gửi về điện thoại của khách, thống nhất với khách cách chuyển mã nhanh mà vẫn an toàn — tốt nhất khách đọc trực tiếp qua điện thoại, không chụp màn hình gửi vào nhóm.
Phân quyền theo người phụ trách
Không phải ai trong văn phòng cũng cần vào mọi tài khoản của mọi khách. Phân quyền hợp lý:
- Người phụ trách: quyền dùng tài khoản và chữ ký số của các khách mình giữ.
- Người kiểm chéo: chỉ cần xem hồ sơ trong thư mục nội bộ; nếu cần xem trên tài khoản thuế, dùng quyền xem khi có thể.
- Trưởng nhóm: quyền của nhóm mình, để làm thay khi người phụ trách vắng.
- Trợ lý, thực tập sinh: không có quyền vào tài khoản thuế và chữ ký số của khách; chỉ làm trên dữ liệu đã được tải về thư mục nội bộ.
Phân quyền phải được xem lại mỗi khi có thay đổi người phụ trách, và mỗi quý một lần. Quyền cấp tạm để làm thay trong kỳ nghỉ phép phải được thu lại khi người phụ trách quay về.
Cách đơn giản để giữ phân quyền đúng là có một sổ quyền truy cập: mỗi dòng là một người, một khách, một loại quyền, ngày cấp và ngày thu hồi. Sổ này dùng lại được khi có người nghỉ việc, khi khách ngừng dịch vụ và khi khách hỏi ai đang được vào tài khoản của họ.
Nhật ký sử dụng: thứ giúp văn phòng tự bảo vệ
Nếu một ngày khách hỏi “ai đã lập hoá đơn này”, văn phòng phải trả lời được. Nhật ký sử dụng tối thiểu gồm:
| Cột | Ghi gì |
|---|---|
| Thời gian | Ngày giờ bắt đầu và kết thúc sử dụng |
| Khách | Mã khách nội bộ |
| Người dùng | Nhân viên sử dụng |
| Tài khoản hoặc thiết bị | Tài khoản thuế điện tử, cổng hoá đơn, chữ ký số |
| Việc đã làm | Nộp tờ khai kỳ nào, lập hoá đơn số nào theo yêu cầu nào, tải dữ liệu gì |
| Căn cứ | Yêu cầu của khách hoặc bước trong danh mục việc |
Nhật ký có thể gộp với sổ mượn trả thiết bị. Việc lập hoá đơn thay khách, nếu văn phòng nhận làm, luôn phải có yêu cầu bằng văn bản của khách làm căn cứ.
Khi có sự cố: mất thiết bị, lộ mật khẩu, truy cập lạ
Sự cố xảy ra thì tốc độ quyết định mức thiệt hại. Trình tự:
- Báo khách ngay trong ngày, nói rõ sự việc. Không tự xử lý trong im lặng.
- Đề nghị khách thu hồi hoặc tạm dừng chứng thư với nhà cung cấp chữ ký số nếu mất thiết bị.
- Đổi mật khẩu tài khoản thuế điện tử, cổng hoá đơn, và mọi tài khoản dùng chung mật khẩu đó.
- Kiểm tra trên cổng hoá đơn điện tử xem có hoá đơn nào lập bất thường trong khoảng thời gian nghi ngờ; kiểm tra trên tài khoản thuế điện tử xem có hồ sơ nào nộp mà văn phòng không biết.
- Ghi biên bản sự cố: thời điểm phát hiện, việc đã làm, kết quả kiểm tra.
- Rà lại quy tắc để biết vì sao sự cố xảy ra, sửa chỗ hở.
Nếu phát hiện hoá đơn hoặc hồ sơ không do doanh nghiệp lập, khách cần liên hệ cơ quan thuế quản lý để được hướng dẫn xử lý. Văn phòng hỗ trợ chuẩn bị hồ sơ và giải trình đúng sự việc.
Để khách tự kiểm tra định kỳ
Văn phòng giữ hộ không có nghĩa khách không cần nhìn. Hướng dẫn khách tự xem định kỳ: đăng nhập tài khoản thuế điện tử hoặc ứng dụng thuế trên điện thoại để xem tờ khai đã nộp, số phải nộp và thông báo mới; mở cổng hoá đơn điện tử để xem danh sách hoá đơn đã lập nhân danh doanh nghiệp. Khách thấy điều gì lạ thì báo văn phòng ngay.
Việc khách tự kiểm vừa là lớp bảo vệ thứ hai, vừa giúp văn phòng: khi mọi thứ đều khớp và khách đã xem, sẽ không có nghi ngờ về sau. Nhắc khách theo dõi cả ngày hết hạn chứng thư chữ ký số. Muốn đọc thêm về quản lý chữ ký số và tài khoản ở phía doanh nghiệp, có thể xem phần chữ ký số và tài khoản trên Thuế Chuẩn.
Câu hỏi thường gặp
Văn phòng giữ chữ ký số của khách có hợp pháp không?
Việc giữ hộ dựa trên thoả thuận và uỷ quyền của khách; về mặt pháp lý, mọi văn bản ký bằng chữ ký số đó vẫn là của doanh nghiệp. Vì vậy cần hợp đồng, biên bản giao nhận và quy tắc sử dụng rõ ràng. Nếu văn phòng là đại lý thuế, nên xem cơ chế khai thay dành cho đại lý theo quy định hiện hành.
Có nên để thiết bị chữ ký số của nhiều khách trên một máy tính chung?
Không nên cắm thường trực. Dùng xong rút ra, cất vào tủ. Máy dùng để ký nên được cập nhật, có phần mềm bảo vệ và không dùng cho việc lướt mạng tuỳ ý.
Khách đòi văn phòng giữ luôn mật khẩu ngân hàng thì sao?
Không nên nhận giữ quyền chuyển tiền của khách. Nếu cần sao kê, đề nghị khách đăng ký quyền xem hợp lệ hoặc tự tải và gửi. Giữ quyền chuyển tiền đặt văn phòng vào rủi ro rất lớn.
Chứng thư chữ ký số hết hạn thì ai chịu trách nhiệm gia hạn?
Khách là chủ chứng thư nên là người gia hạn, nhưng văn phòng nên theo dõi ngày hết hạn và nhắc trước đủ lâu. Ghi trách nhiệm nhắc vào hợp đồng.
Có cần mua bảo hiểm cho thiết bị chữ ký số không?
Thiết bị không đắt, cái đắt là hậu quả khi bị dùng sai. Đầu tư vào tủ khoá, kho mật khẩu và nhật ký sử dụng hiệu quả hơn nhiều.
Làm việc từ xa thì giữ chữ ký số thế nào?
Hạn chế mang thiết bị về nhà. Nếu văn phòng thường làm từ xa, nên chuyển sang cách khách ký hoặc xác nhận từ xa, hoặc chữ ký số từ xa có xác thực của khách mỗi lần ký.
