Chứng nhận Hệ thống quản lý chống hối lộ
ISO 37001:2025

2. NHỮNG YÊU CẦU TRỌNG TÂM CỦA ISO 37001:2025

Các yêu cầu từ Điều 4 đến Điều 10 tạo thành một chu trình quản lý gồm hoạch định, thực hiện, đánh giá và cải tiến. Trong đó, đánh giá rủi ro hối lộ là cơ sở để lựa chọn và điều chỉnh các biện pháp kiểm soát. Cam kết của lãnh đạo, sự phân công trách nhiệm rõ ràng và văn hóa chống hối lộ giúp bảo đảm hệ thống được thực hiện nhất quán trong hoạt động hằng ngày.

2.1. Bối cảnh, phạm vi và đánh giá rủi ro hối lộ – Điều 4

Tổ chức cần xác định những yếu tố có thể ảnh hưởng đến việc quản lý chống hối lộ, bao gồm cơ cấu tổ chức, thẩm quyền ra quyết định, địa bàn, ngành nghề, mô hình kinh doanh, quan hệ với đối tác và mức độ tiếp xúc với người thực thi công vụ. Việc xem xét cũng cần bao gồm các đơn vị mà tổ chức kiểm soát, các đơn vị có quyền kiểm soát tổ chức và những nghĩa vụ pháp luật, hợp đồng hoặc yêu cầu khác có liên quan. Phạm vi ABMS phải được xác định rõ và thể hiện bằng văn bản.

• Nhận diện, đánh giá và ưu tiên xử lý rủi ro: Xác định những tình huống có thể phát sinh hối lộ; phân tích, đánh giá và xếp thứ tự ưu tiên xử lý theo tiêu chí do tổ chức thiết lập. Các hoạt động như đấu thầu, mua sắm, bán hàng qua đại lý, thực hiện thủ tục cấp phép, nghiệm thu và thanh toán cần được xem xét theo điều kiện thực tế.
• Đánh giá các biện pháp kiểm soát hiện có: Xem xét mức độ phù hợp và khả năng giảm rủi ro của từng biện pháp. Kết quả đánh giá phải được sử dụng để lựa chọn, bổ sung hoặc điều chỉnh biện pháp kiểm soát và cải tiến ABMS.
• Rà soát và cập nhật rủi ro: Thực hiện định kỳ và khi có thay đổi đáng kể về cơ cấu hoặc hoạt động, chẳng hạn mở rộng thị trường, triển khai dự án lớn, thay đổi nhân sự chủ chốt hoặc cách thức sử dụng đại lý, bên trung gian.

2.2. Lãnh đạo, văn hóa và trách nhiệm chống hối lộ – Điều 5

Nếu tổ chức có cơ quan quản trị riêng, cơ quan này có trách nhiệm phê duyệt chính sách chống hối lộ, giám sát việc triển khai và yêu cầu bố trí nguồn lực phù hợp. Nếu không có cơ quan quản trị riêng, lãnh đạo cao nhất thực hiện các trách nhiệm đó. Lãnh đạo cao nhất chịu trách nhiệm chung về việc triển khai, tuân thủ ABMS và đưa các yêu cầu chống hối lộ vào quá trình quản lý, điều hành.

• Chính sách và văn hóa chống hối lộ: Chính sách phải cấm hối lộ, yêu cầu tuân thủ pháp luật chống hối lộ có liên quan, khuyến khích phản ánh trên cơ sở thiện chí hoặc có căn cứ hợp lý và nêu rõ hậu quả của việc vi phạm. Lãnh đạo cần thể hiện cam kết bằng hành vi nhất quán, các quyết định cụ thể và cách xử lý vi phạm ở mọi cấp.
• Bộ phận hoặc người phụ trách chống hối lộ: Tổ chức phải giao chức năng chống hối lộ (anti-bribery function) cho người có năng lực, vị thế và thẩm quyền phù hợp. Tổ chức phải bảo đảm tính độc lập, bố trí đủ nguồn lực và tạo điều kiện để họ tiếp cận trực tiếp, kịp thời cơ quan quản trị và lãnh đạo cao nhất. Đầu mối này có trách nhiệm giám sát việc xây dựng, triển khai ABMS, bảo đảm hệ thống phù hợp với tiêu chuẩn, hướng dẫn và báo cáo về kết quả thực hiện. Người quản lý từng đơn vị vẫn chịu trách nhiệm áp dụng và tuân thủ ABMS tại đơn vị mình.
• Ủy quyền và kiểm soát xung đột lợi ích: Đối với quyết định có rủi ro hối lộ được đánh giá cao hơn mức thấp theo tiêu chí phân loại của tổ chức, tổ chức phải thiết lập quy trình ra quyết định và phân cấp thẩm quyền phù hợp, bảo đảm không có xung đột lợi ích thực tế hoặc tiềm ẩn. Việc ủy quyền không loại bỏ trách nhiệm của lãnh đạo.

2.3. Mục tiêu, nguồn lực, nhân sự và thông tin – Điều 6 và Điều 7

Tổ chức phải xác định các rủi ro, cơ hội có thể ảnh hưởng đến kết quả của ABMS; lập kế hoạch hành động và thiết lập mục tiêu chống hối lộ. Mỗi mục tiêu cần gắn với người chịu trách nhiệm, nguồn lực, thời hạn và cách đánh giá kết quả. Mục tiêu phải đo lường được khi khả thi, được theo dõi và cập nhật phù hợp. Những thay đổi của hệ thống cũng phải được hoạch định trước khi thực hiện.

• Kiểm soát nhân sự theo mức độ rủi ro: Đối với các vị trí có rủi ro hối lộ cao hơn mức thấp và người được giao chức năng chống hối lộ, cần thẩm tra trước khi tuyển dụng, điều chuyển hoặc thăng chức. Tổ chức phải xem xét định kỳ các chỉ tiêu công việc, tiền thưởng và cơ chế khuyến khích để tránh tạo động cơ hối lộ. Nhân sự thuộc các nhóm này, lãnh đạo cao nhất và cơ quan quản trị cần định kỳ xác nhận việc tuân thủ chính sách và ABMS, với tần suất tương xứng với rủi ro.
• Nâng cao nhận thức và đào tạo: Nhân sự cần hiểu chính sách, trách nhiệm của mình, các tình huống có thể phát sinh hối lộ, cách nhận diện và ứng phó, cũng như cách phản ánh khi có nghi ngờ. Hoạt động nâng cao nhận thức và đào tạo phải phù hợp với vai trò, mức độ rủi ro, được thực hiện từ khi bắt đầu làm việc và theo định kỳ. Tổ chức cũng cần xác định nhu cầu đào tạo đối với đối tác có rủi ro hối lộ cao hơn mức thấp và hoạt động thay mặt hoặc vì lợi ích của tổ chức.
• Trao đổi thông tin và quản lý hồ sơ: Truyền đạt chính sách bằng ngôn ngữ phù hợp với người tiếp nhận; kiểm soát việc lập, cập nhật, truy cập, bảo mật và lưu giữ tài liệu, hồ sơ. Cần lưu bằng chứng về năng lực nhân sự và việc thực hiện các chương trình nâng cao nhận thức, đào tạo, bao gồm nội dung, đối tượng và thời điểm thực hiện.

2.4. Thẩm tra và kiểm soát giao dịch, đối tác – Điều 8.1 đến Điều 8.6

Thẩm tra (due diligence) là quá trình thu thập và đánh giá thông tin để làm rõ rủi ro hối lộ liên quan đến một giao dịch, dự án, hoạt động, đối tác hoặc nhân sự cụ thể. Khi một nhóm đối tượng được đánh giá có rủi ro hối lộ cao hơn mức thấp, tổ chức cần xác định mức độ thẩm tra cần thiết đối với các đối tượng thuộc nhóm đó và cập nhật thông tin theo tần suất đã xác định.

• Thẩm tra có trọng tâm: Tùy đối tượng và rủi ro, có thể xem xét chủ sở hữu, người hưởng lợi, năng lực thực hiện, quan hệ với người thực thi công vụ, thông tin về vi phạm trước đây, tính hợp lý của dịch vụ, mức phí và phương thức thanh toán. Nội dung thẩm tra cần được lựa chọn phù hợp với từng trường hợp.
• Kiểm soát tài chính: Quản lý rủi ro hối lộ trong phê duyệt chi phí, thanh toán, ghi nhận kế toán và quản lý tiền mặt. Ví dụ: phân tách trách nhiệm đề nghị, phê duyệt và chi trả; đối chiếu chứng từ với hàng hóa, dịch vụ thực tế; kiểm tra khoản hoa hồng bất thường hoặc khoản thanh toán cho bên thứ ba không rõ căn cứ.
• Kiểm soát phi tài chính: Quản lý rủi ro trong lựa chọn nhà cung cấp, đấu thầu, bán hàng, tuyển dụng, thực hiện hợp đồng, pháp chế, mua bán và sáp nhập, cũng như các hoạt động liên quan đến cơ quan quản lý nhà nước. Biện pháp có thể gồm tiêu chí lựa chọn minh bạch, xem xét độc lập và kiểm soát xung đột lợi ích.
• Kiểm soát tại các đơn vị thuộc quyền kiểm soát và đối tác kinh doanh: Yêu cầu các đơn vị thuộc quyền kiểm soát áp dụng ABMS của tổ chức hoặc các biện pháp chống hối lộ riêng, phù hợp với rủi ro. Đối với đối tác ngoài quyền kiểm soát có rủi ro cao hơn mức thấp, cần xem xét các biện pháp chống hối lộ của họ; yêu cầu thiết lập hoặc bổ sung biện pháp khi khả thi và khi các biện pháp đó có thể giúp giảm rủi ro liên quan.
• Cam kết chống hối lộ: Trong phạm vi khả thi, yêu cầu đối tác có rủi ro cao hơn mức thấp cam kết phòng ngừa hối lộ liên quan đến giao dịch, đồng thời có thỏa thuận cho phép chấm dứt quan hệ khi xảy ra hối lộ. Nếu không thể đáp ứng các yêu cầu này, tổ chức phải xem xét ảnh hưởng của việc đó trong đánh giá và quản lý rủi ro. Tiêu chuẩn không yêu cầu mọi đối tác đều phải có chứng chỉ ISO 37001.

2.5. Kiểm soát quà tặng, lợi ích và xử lý khi biện pháp kiểm soát chưa đầy đủ – Điều 8.7 và Điều 8.8

Tổ chức cần có quy trình kiểm soát việc đề nghị, cung cấp hoặc nhận quà tặng, chiêu đãi, tài trợ và các lợi ích tương tự để ngăn ngừa hối lộ. Việc xem xét cần tính đến cả trường hợp hành vi đó có thể được nhận định là hối lộ trên cơ sở hợp lý. Các yếu tố kiểm soát có thể gồm mục đích, giá trị, tần suất, thời điểm, người nhận, thẩm quyền phê duyệt và hồ sơ theo dõi.

ISO 37001 không quy định một hạn mức giá trị chung cho quà tặng hoặc lợi ích áp dụng cho mọi tổ chức. Một lợi ích có giá trị nhỏ vẫn có thể liên quan đến hối lộ. Các khoản chi không chính thức để thực hiện hoặc đẩy nhanh thủ tục thông thường mà người chi có quyền được giải quyết (facilitation payments) được tiêu chuẩn xem là hối lộ; hướng dẫn áp dụng của tiêu chuẩn khuyến nghị cấm các khoản chi này trong ABMS.

Khi kết quả thẩm tra cho thấy các biện pháp hiện có không đủ để quản lý rủi ro, tổ chức cần xem xét bổ sung biện pháp kiểm soát hoặc điều chỉnh giao dịch. Nếu không thể hoặc không lựa chọn thực hiện các biện pháp cần thiết, tổ chức phải:

• Đối với giao dịch, dự án hoặc quan hệ mới: Trì hoãn hoặc từ chối tiếp tục.
• Đối với giao dịch, dự án hoặc quan hệ đang thực hiện: Có biện pháp phù hợp để đình chỉ, chấm dứt hoặc rút khỏi trong thời gian sớm nhất có thể thực hiện.

2.6. Tiếp nhận phản ánh, bảo vệ người phản ánh và điều tra – Điều 8.9 và Điều 8.10

ABMS cần tạo điều kiện để mọi người phản ánh hành vi hối lộ đã xảy ra, đang được thực hiện hoặc bị nghi ngờ, cũng như các vi phạm và điểm yếu của hệ thống. Cơ chế tiếp nhận phải bảo mật thông tin, cho phép phản ánh ẩn danh và bảo vệ người phản ánh trên cơ sở thiện chí hoặc có căn cứ hợp lý khỏi bị trả đũa. Việc thực hiện cần tính đến các giới hạn của pháp luật áp dụng.

Thông tin tiếp nhận phải được xem xét, xác minh và điều tra khi cần thiết; kết quả điều tra phải được sử dụng để quyết định biện pháp xử lý phù hợp. Người thực hiện điều tra và người nhận báo cáo kết quả không được thuộc bộ phận hoặc đảm nhiệm vai trò đang bị điều tra. Tổ chức cần giao đủ thẩm quyền cho người điều tra, yêu cầu nhân sự liên quan hợp tác, bảo mật quá trình và kết quả, đồng thời báo cáo tình hình, kết quả điều tra cho đầu mối phụ trách chống hối lộ và các bộ phận tuân thủ liên quan khi thích hợp.

2.7. Đánh giá hiệu lực và cải tiến – Điều 9 và Điều 10

Tổ chức phải theo dõi, đo lường, phân tích và đánh giá kết quả thực hiện để xác định ABMS có được duy trì và đạt mục tiêu đề ra hay không. Đánh giá nội bộ phải được thực hiện theo kế hoạch, bảo đảm tính khách quan và không để người đánh giá tự đánh giá công việc của mình. Lãnh đạo cao nhất và cơ quan quản trị thực hiện việc xem xét hệ thống theo trách nhiệm được quy định. Đầu mối phụ trách chống hối lộ thường xuyên đánh giá mức độ đầy đủ của các biện pháp và hiệu lực triển khai ABMS, báo cáo định kỳ hoặc đột xuất khi cần.

Các chỉ số tham khảo có thể gồm tỷ lệ hồ sơ thẩm tra hoàn thành trước khi phê duyệt giao dịch, tỷ lệ nhân sự tại vị trí có rủi ro được đào tạo, thời gian xử lý phản ánh và tỷ lệ hành động khắc phục đạt kết quả. Ít hoặc không có phản ánh chưa đủ để kết luận hệ thống hoạt động tốt; tổ chức cần xem xét thêm việc nhân sự có biết, có thể sử dụng và tin tưởng vào cơ chế phản ánh hay không.

Khi phát hiện sự không phù hợp, tổ chức phải xử lý vấn đề và hậu quả liên quan, phân tích nguyên nhân, thực hiện hành động khắc phục và kiểm tra kết quả. Những thông tin này cần được sử dụng để điều chỉnh biện pháp kiểm soát, ngăn ngừa tái diễn và cải tiến hệ thống.

Giá trị và giới hạn của chứng nhận: Chứng nhận ISO 37001:2025 xác nhận hệ thống quản lý chống hối lộ đáp ứng yêu cầu của tiêu chuẩn trong phạm vi được đánh giá. Chứng nhận không bảo đảm rằng hối lộ chưa từng hoặc sẽ không xảy ra, cũng không thay thế trách nhiệm tuân thủ pháp luật của tổ chức. ISO ban hành tiêu chuẩn; việc đánh giá và cấp chứng chỉ do tổ chức chứng nhận thực hiện. Khi sử dụng và quảng bá chứng nhận, doanh nghiệp cần nêu đúng phạm vi, phiên bản tiêu chuẩn và tuân thủ các quy định liên quan.