Toàn bộ checklist

Nếu cơ quan thuế xác minh không thấy công ty ở địa chỉ đăng ký, mã số thuế có thể bị khoá và người đại diện có thể bị hạn chế xuất cảnh khi còn nợ thuế, không cần ngưỡng nợ tối thiểu. Đây là tình huống phổ biến với công ty thuê địa chỉ ảo hoặc đã chuyển văn phòng mà chưa đăng ký lại.

Khoá mã số thuế, không xuất được hoá đơn, không nộp được tờ khai. Người đại diện bị tạm hoãn xuất cảnh nếu còn nợ thuế, không cần ngưỡng. Mở lại tốn nhiều tuần.

Địa chỉ trên giấy đăng ký có đúng nơi đang làm việc không? Có người nhận thư, tiếp đoàn kiểm tra không?

Một số ngành phải có giấy phép riêng hoặc đáp ứng điều kiện trước khi hoạt động. Kinh doanh trước khi có giấy phép có thể bị phạt và bị buộc dừng.

Bị buộc dừng hoạt động, phạt hành chính theo luật chuyên ngành, có thể bị thu hồi giấy đăng ký. Doanh thu từ hoạt động chưa có phép có thể bị xử lý.

Ngành đang làm có nằm trong danh mục ngành nghề đầu tư kinh doanh có điều kiện không? Giấy phép còn hạn không?

Chứng từ phải lưu nhiều năm. Khi bị kiểm tra thuế cho các năm cũ, không xuất trình được chứng từ là chi phí bị loại.

Không xuất trình được chứng từ khi kiểm tra là chi phí bị loại, thuế đầu vào bị bác, truy thu cộng phạt 20% và chậm nộp. Phạt riêng về lưu trữ với tổ chức khoảng 10-40 triệu.

Chứng từ các năm trước đang lưu ở đâu, dạng giấy hay điện tử? Có tìm lại được trong 1 ngày không?

Chữ ký số của doanh nghiệp có giá trị như con dấu và chữ ký người đại diện cộng lại: ký được tờ khai thuế, hồ sơ bảo hiểm, hoá đơn, hợp đồng điện tử, hồ sơ đăng ký kinh doanh, một số giao dịch ngân hàng. Một chiếc token duy nhất nằm trong túi kế toán hoặc ở công ty dịch vụ kế toán nghĩa là người đó ký thay công ty được mọi thứ mà không ai duyệt. Rủi ro thường gặp: nhân viên nghỉ mang theo hoặc giữ mật khẩu, ký hợp đồng hay hoá đơn chưa được duyệt, chữ ký số ký hoá đơn tự động nằm trên máy chủ không ai quản, token hết hạn đúng ngày nộp tờ khai.

Người giữ chữ ký số ký được hợp đồng, hoá đơn, hồ sơ pháp lý thay công ty mà không ai duyệt. Hậu quả không giới hạn ở tiền phạt mà là nghĩa vụ hợp đồng và trách nhiệm pháp lý công ty phải gánh.

Công ty đang có bao nhiêu chữ ký số (token, chữ ký số từ xa, chữ ký số cá nhân của người đại diện)? Mỗi cái ai giữ, ký được loại tài liệu nào, hết hạn khi nào? Có tách chữ ký số cho thuế và bảo hiểm, cho hoá đơn, cho hợp đồng không? Có nhật ký ký hoặc quy chế sử dụng chữ ký số không? Người nghỉ việc có bị thu hồi quyền ngay không?

Người giữ sổ sách nghỉ việc là lúc công ty dễ mất dấu hồ sơ nhất. Bàn giao phải có biên bản kèm danh mục: sổ sách, chứng từ theo năm, tài khoản và mật khẩu các cổng (thuế, bảo hiểm, hoá đơn điện tử, ngân hàng), chữ ký số, con dấu, hợp đồng đang hiệu lực, việc đang dở và hạn sắp tới. Nếu chữ ký số, tài khoản cổng thuế đứng tên hoặc gắn số điện thoại cá nhân của người nghỉ thì phải chuyển ngay.

Mất quyền truy cập cổng thuế, bảo hiểm, ngân hàng; trễ hạn nhiều kỳ liên tiếp; không tìm ra chứng từ cũ. Nhiều vụ truy thu bắt đầu từ một lần đổi kế toán không bàn giao.

Có mẫu biên bản bàn giao chưa? Tài khoản các cổng và chữ ký số đang gắn với email, số điện thoại của công ty hay của cá nhân?

Dữ liệu phần mềm kế toán, hoá đơn điện tử dạng gốc, hồ sơ số là tài liệu kế toán, mất là không tái tạo được. Phần mềm cài trên máy thì phải có bản sao lưu định kỳ ở nơi khác và có thử khôi phục thật. Phần mềm trên nền tảng đám mây thì phải xem hợp đồng nhà cung cấp cam kết gì về sao lưu, cách xuất dữ liệu khi ngừng dịch vụ, và công ty vẫn nên tự xuất định kỳ. Hoá đơn điện tử gốc là tệp dữ liệu có chữ ký số, không phải bản in; cần tải về lưu riêng vì nhà cung cấp chỉ giữ theo hợp đồng.

Mất dữ liệu kế toán là không tái tạo được sổ sách nhiều năm; bị coi là không có tài liệu kế toán, chi phí bị loại hàng loạt, cộng phạt về lưu trữ.

Bản sao lưu gần nhất là khi nào, để ở đâu, ai kiểm tra? Đã thử khôi phục từ bản sao lưu bao giờ chưa, mất bao lâu? Nếu đổi phần mềm kế toán, dữ liệu cũ mở bằng gì?

Đây là tờ khai phải nộp đều kể cả khi không có doanh thu. Phần lớn tiền phạt của các công ty bỏ không đến từ việc bỏ nộp tờ khai này nhiều kỳ liên tiếp, phạt tính theo từng tờ khai.

Phạt chậm nộp tờ khai theo số ngày, khung với tổ chức từ vài triệu đến khoảng 25 triệu mỗi tờ khai; quá 90 ngày có thể bị xem là trốn thuế. Đây là nguồn phạt lớn nhất của công ty bỏ không.

Công ty đang khai theo tháng hay quý? Tờ khai gần nhất nộp ngày nào? Có kỳ nào bị bỏ trống không?

Lỗ vẫn phải nộp hồ sơ quyết toán và báo cáo tài chính. Đây là bộ hồ sơ mà ngân hàng, đối tác lớn, nhà đầu tư sẽ hỏi đến, nên nộp trễ hay nộp không khớp đều để lại dấu vết.

Phạt chậm nộp hồ sơ quyết toán và báo cáo tài chính, mỗi loại phạt riêng; ngân hàng, đối tác lớn từ chối hồ sơ vay, đấu thầu khi không có báo cáo tài chính đã nộp.

Hồ sơ quyết toán và báo cáo tài chính năm trước đã nộp chưa, có biên nhận không? Số liệu có khớp giữa các báo cáo không?

Ngưỡng bắt buộc chuyển khoản để được khấu trừ thuế và tính chi phí đã hạ xuống thấp hơn nhiều so với trước. Chi bằng tiền mặt, hoặc nộp tiền mặt vào tài khoản người bán, cho hoá đơn trên ngưỡng là mất quyền khấu trừ.

Mất quyền khấu trừ thuế giá trị gia tăng và bị loại chi phí cho toàn bộ hoá đơn trên ngưỡng trả bằng tiền mặt. Truy thu cả hai loại thuế cộng phạt 20% và chậm nộp.

Ngưỡng hiện hành là bao nhiêu? Quy trình mua hàng có chặn thanh toán tiền mặt trên ngưỡng không? Nhiều hoá đơn nhỏ cùng ngày cùng nhà cung cấp xử lý sao?

Công ty dùng dịch vụ nước ngoài như máy chủ đám mây, quảng cáo, phần mềm thuê bao, trí tuệ nhân tạo thường trả bằng thẻ và không kê khai gì. Khi kiểm tra, cơ quan thuế đối chiếu dòng tiền ra nước ngoài và truy thu. Quy định về trách nhiệm khấu trừ của bên mua vừa thay đổi giữa năm 2026, cách áp dụng đang được thảo luận.

Truy thu thuế nhà thầu trên toàn bộ tiền đã trả ra nước ngoài trong thời hiệu, cộng phạt 20% và chậm nộp; chi phí tương ứng có thể bị loại. Thường là khoản truy thu lớn nhất với công ty công nghệ.

Đã lập danh sách toàn bộ nhà cung cấp nước ngoài đang trả tiền chưa? Nhà cung cấp nào đã đăng ký thuế tại Việt Nam, nhà cung cấp nào chưa? Công ty có kê khai và nộp thuế nhà thầu cho khoản nào không?

Trường hợp phổ biến nhất hiện nay: mua ChatGPT, Claude, Google Workspace, Microsoft 365, quảng cáo Meta, Google. Các nhà cung cấp này đã đăng ký thuế tại Việt Nam và tự kê khai, nên công ty không phải khấu trừ thuế nhà thầu thay. Nhưng công ty chỉ nhận được invoice, không có hoá đơn giá trị gia tăng Việt Nam và không có chứng từ nộp thuế thay, nên không đủ điều kiện khấu trừ thuế giá trị gia tăng đầu vào. Khoản chi vẫn được tính vào chi phí được trừ khi tính thuế thu nhập doanh nghiệp nếu đủ hồ sơ. Cơ quan thuế địa phương đã có văn bản trả lời theo hướng này cuối tháng 8/2026 cho trường hợp ChatGPT Business. Hai kết luận này độc lập, kế toán hay gộp thành một.

Hai kiểu sai ngược nhau: khấu trừ thuế giá trị gia tăng cho các khoản này là khấu trừ sai, truy thu cộng phạt 20% và chậm nộp trên toàn bộ thuê bao nhiều năm; tự loại khỏi chi phí vì 'không có hoá đơn' là nộp thừa thuế thu nhập doanh nghiệp không cần thiết. Công ty công nghệ có hàng chục thuê bao loại này nên số tích luỹ lớn.

Danh sách thuê bao nước ngoài của công ty, nhà cung cấp nào đã đăng ký thuế tại Việt Nam (tra trên cổng nhà cung cấp nước ngoài của cơ quan thuế)? Với các khoản đó, kế toán có đang khấu trừ thuế giá trị gia tăng không (sai)? Có đang tự loại khỏi chi phí không (thiệt)? Mỗi khoản đã lưu đủ 5 loại hồ sơ: invoice, hợp đồng hoặc điều khoản dịch vụ, chứng từ thanh toán, tài liệu chứng minh dùng cho kinh doanh (tài khoản gắn nhân viên, mục đích), hồ sơ thuế nhà thầu nếu có?

Chủ sở hữu có từ hai công ty trở lên, giữa các công ty có mua bán dịch vụ, cho vay, dùng chung nhân sự hay văn phòng, thì đó là giao dịch liên kết. Phải kê khai phụ lục kèm quyết toán, có thể phải lập hồ sơ xác định giá, và chi phí lãi vay bị khống chế. Ít công ty nhỏ biết mình thuộc diện này.

Không kê khai phụ lục là phạt riêng; cơ quan thuế được ấn định giá giao dịch, điều chỉnh tăng thu nhập chịu thuế, loại chi phí lãi vay vượt trần. Truy thu thường lớn và kéo dài nhiều năm.

Công ty có giao dịch với công ty nào cùng chủ sở hữu, cùng người điều hành không? Đã kê khai phụ lục giao dịch liên kết chưa?

Một công ty có thể bán nhiều thứ chịu thuế suất khác nhau: phần mềm thuộc nhóm không chịu thuế, thiết bị chịu thuế suất phổ thông, dịch vụ cho khách nước ngoài có thể được 0% nhưng điều kiện đã siết lại từ luật mới, một số nhóm còn được giảm thuế suất tạm thời theo nghị quyết từng năm. Áp sai một nhóm là sai cả chuỗi hoá đơn, kê khai và khấu trừ đầu vào.

Áp sai một mã sản phẩm là sai hàng loạt hoá đơn nhiều kỳ: truy thu thuế đầu ra cộng phạt 20%, phải điều chỉnh hoá đơn với từng khách hàng.

Đã lập bảng thuế suất cho từng mã sản phẩm, dịch vụ đang bán chưa? Hàng bán kèm dịch vụ (thiết bị đi kèm phần mềm) đang tách hay gộp thuế suất? Có khoản nào đang áp 0% cho khách nước ngoài không, có đủ điều kiện không?

Có nhiều diện ưu đãi mà công ty nhỏ hay bỏ lỡ hoặc áp sai: ưu đãi cho sản xuất sản phẩm phần mềm, ưu đãi cho doanh nghiệp nhỏ và vừa mới thành lập, ưu đãi cho doanh nghiệp khởi nghiệp sáng tạo theo nghị quyết năm 2025, chuyển lỗ sang các năm sau. Mỗi diện có điều kiện riêng về ngành, hồ sơ, thời gian, và có diện không được cộng dồn với nhau.

Bỏ lỡ ưu đãi là nộp thừa nhiều năm không lấy lại được hết. Áp ưu đãi khi không đủ điều kiện là truy thu toàn bộ số thuế được miễn cộng phạt và chậm nộp.

Công ty có thuộc diện ưu đãi nào không? Đã xác định năm bắt đầu tính ưu đãi chưa? Có hồ sơ chứng minh đủ điều kiện (ví dụ xác nhận sản phẩm phần mềm) không? Lỗ các năm trước đã đăng ký chuyển chưa?

Muốn hưởng ưu đãi thuế cho phần mềm thì phải chứng minh công ty thật sự sản xuất phần mềm theo quy trình 7 công đoạn: xác định yêu cầu; phân tích và thiết kế; lập trình viết mã; kiểm tra thử nghiệm; hoàn thiện đóng gói; cài đặt, chuyển giao, bảo hành bảo trì; phát hành phân phối. Điều kiện tối thiểu là thực hiện ít nhất một trong hai công đoạn đầu và có tài liệu cho từng công đoạn đã làm. Doanh nghiệp tự xác định, tự chịu trách nhiệm và gửi thông tin về bộ quản lý ngành để tổng hợp. Đội kỹ thuật thường có đủ tài liệu nhưng nằm rải rác, không ai gom theo đúng khung này, đến khi bị kiểm tra mới lục lại.

Không chứng minh được thì mất toàn bộ ưu đãi thuế cho phần mềm của cả giai đoạn, truy thu số thuế đã miễn cộng phạt 20% và chậm nộp tính từ nhiều năm trước.

Ai đang giữ hồ sơ theo 7 công đoạn cho từng sản phẩm phần mềm? Tài liệu yêu cầu, thiết kế, kế hoạch kiểm thử, biên bản bàn giao có lưu theo sản phẩm không? Đã gửi thông tin về bộ quản lý ngành chưa?

Chi phí có thật, có trả tiền, không đồng nghĩa với chi phí được trừ khi tính thuế thu nhập doanh nghiệp. Phải đủ 3 điều kiện: phục vụ kinh doanh, có hoá đơn chứng từ hợp lệ, thanh toán không dùng tiền mặt trên ngưỡng. Kế toán thường chỉ hạch toán mà không phân loại, đến quyết toán mới gạt đại hoặc gạt thiếu. Dấu hiệu đáng lo: chỉ tiêu chi phí không được trừ trên tờ khai quyết toán bằng 0 nhiều năm liên tiếp. Luật mới từ kỳ tính thuế 2025 có thay đổi danh mục, thêm khoản được trừ (chi nghiên cứu phát triển, chuyển đổi số) và sửa một số khống chế.

Chi phí bị loại khi kiểm tra là khai thiếu thuế: truy thu cộng phạt 20% và chậm nộp trên toàn bộ phần bị loại, tính cho nhiều năm trong thời hiệu.

Có danh sách bằng văn bản các khoản chi bị loại năm gần nhất kèm lý do không? Chỉ tiêu chi phí không được trừ trên tờ khai quyết toán các năm là bao nhiêu? Kế toán có rà theo quý hay chỉ làm lúc quyết toán?

Đây là những khoản gần như công ty nhỏ nào cũng có và gần như lần kiểm tra nào cũng bị hỏi: (1) dịch vụ nước ngoài trả bằng thẻ, không hoá đơn, chưa nộp thuế nhà thầu thay; (2) chi phí do giám đốc hoặc nhân viên trả bằng thẻ cá nhân mà không có quy chế uỷ quyền và chứng từ hoàn ứng; (3) thuê nhà, thuê xe của cá nhân không có hợp đồng, không chứng từ thanh toán, không kê khai nộp thuế thay khi vượt ngưỡng; (4) chi từ 5 triệu trả tiền mặt; (5) phúc lợi trực tiếp cho nhân viên (du lịch, sinh nhật, hiếu hỉ) vượt mức khống chế theo lương bình quân; (6) trang phục chi bằng tiền vượt mức; (7) lãi vay của cá nhân vượt mức trần, hoặc lãi vay tương ứng phần vốn điều lệ chưa góp đủ; (8) khấu hao tài sản không có hoá đơn, không đứng tên công ty, xe dưới 9 chỗ phần giá vượt ngưỡng; (9) tiền phạt vi phạm hành chính, tiền chậm nộp thuế; (10) lương, thưởng chưa chi đến hạn nộp quyết toán, thưởng ngoài quy chế; (11) mua hàng của cá nhân không có hoá đơn mà không lập bảng kê theo mẫu; (12) chi không có hoá đơn, chỉ có phiếu chi nội bộ. Mỗi khoản đều có cách xử lý đúng nếu làm từ đầu; làm sau thì phần lớn không cứu được.

Mỗi khoản bị loại là khai thiếu thuế thu nhập doanh nghiệp: truy thu 20% giá trị khoản chi (theo thuế suất) cộng phạt 20% số thiếu cộng chậm nộp 0,03% mỗi ngày. Các khoản này lặp lại hằng tháng nên số truy thu tích luỹ nhiều năm thường lớn hơn dự tính.

Đi từng khoản trong 12 khoản, công ty có khoản nào không? Khoản đó đang được hạch toán là chi phí được trừ hay đã tự loại? Với khoản còn cứu được (bổ sung hợp đồng, quy chế, chứng từ hoàn ứng, kê khai thuế thay), đã làm chưa?

Không phải hoá đơn đầu vào nào cũng khấu trừ được. Không khấu trừ khi: đầu vào phục vụ hoạt động không chịu thuế (ví dụ công ty bán phần mềm thuộc nhóm không chịu thuế thì đầu vào dùng riêng cho phần mềm không được khấu trừ, đầu vào dùng chung phải phân bổ theo tỉ lệ doanh thu), thiếu chứng từ thanh toán không dùng tiền mặt, hoá đơn từ doanh nghiệp bỏ trốn hoặc rủi ro, hoá đơn sai tên hay mã số thuế người mua, xe ô tô dưới 9 chỗ phần giá vượt ngưỡng, dịch vụ nước ngoài chưa nộp thuế nhà thầu thay. Phần không được khấu trừ có thể tính vào chi phí nếu đủ điều kiện, nhưng phải tách ra đúng.

Khấu trừ thừa là truy thu đúng số đã khấu trừ sai cộng phạt 20% và chậm nộp. Với công ty có hoạt động không chịu thuế mà khấu trừ toàn bộ đầu vào, số truy thu thường lớn.

Công ty có hoạt động không chịu thuế giá trị gia tăng không? Nếu có, đầu vào dùng chung đang phân bổ theo tỉ lệ nào, tính lại cuối năm chưa? Có danh sách hoá đơn đầu vào không được khấu trừ kèm lý do không? Phần không được khấu trừ đã chuyển sang chi phí đúng cách chưa?

Nhận hoá đơn từ doanh nghiệp bỏ trốn, doanh nghiệp rủi ro cao là bị loại chi phí và có thể bị xem là mua bán hoá đơn. Cơ quan thuế có công cụ tra cứu công khai.

Hoá đơn từ doanh nghiệp bỏ trốn bị loại chi phí và bác khấu trừ, truy thu cộng phạt; số lượng nhiều có thể bị điều tra mua bán hoá đơn, trách nhiệm hình sự.

Kế toán có tra cứu tình trạng nhà cung cấp trước khi hạch toán hoá đơn lớn không?

Người làm việc có trả lương và chịu sự quản lý là quan hệ lao động, dù gọi bằng tên khác. Hợp đồng xác định thời hạn chỉ được ký một số lần nhất định rồi phải chuyển sang không xác định thời hạn, và không được kéo dài bằng phụ lục.

Không có hợp đồng bằng văn bản: phạt theo số người, khung với tổ chức từ khoảng 4 đến 50 triệu. Ký sai loại: khi tranh chấp toà coi là hợp đồng không xác định thời hạn, chi phí chấm dứt cao hơn nhiều.

Có ai đang làm việc mà chưa có hợp đồng bằng văn bản không? Có hợp đồng nào đã ký xác định thời hạn quá số lần cho phép không?

Với công ty công nghệ, sản phẩm nhân viên làm ra là tài sản lớn nhất. Luật có quy định về tác phẩm tạo ra theo nhiệm vụ, nhưng ghi rõ trong hợp đồng thì đỡ tranh chấp về sau. Bảo mật thông tin và bí mật kinh doanh cũng nên có điều khoản riêng.

Không phạt hành chính, nhưng khi nhân viên nghỉ mang theo mã nguồn, dữ liệu, khách hàng, công ty không có căn cứ rõ để đòi hoặc ngăn chặn. Với công ty công nghệ đây là rủi ro sống còn.

Hợp đồng lao động hiện tại có điều khoản về quyền sở hữu sản phẩm công việc và bảo mật không?

Đây là điểm phát sinh kiện tụng nhiều nhất. Thời hạn báo trước, các khoản phải thanh toán, thời hạn thanh toán, trợ cấp thôi việc cho giai đoạn không đóng bảo hiểm thất nghiệp, đều có quy định cụ thể.

Chấm dứt trái luật: nhận lại người lao động, trả lương và bảo hiểm cho toàn bộ thời gian không làm việc, cộng ít nhất 2 tháng lương; không nhận lại thì thêm ít nhất 2 tháng nữa. Kiện tụng kéo dài.

Có quy trình chấm dứt hợp đồng bằng văn bản không? Lần nghỉ việc gần nhất có thanh toán đủ, đúng hạn không?

Thuê người nước ngoài phải có giấy phép lao động hoặc xác nhận miễn, và có báo cáo riêng. Làm việc từ xa cho công ty Việt Nam cũng cần xem xét.

Phạt với tổ chức khoảng 60-150 triệu theo số người; người lao động bị trục xuất; hợp đồng có thể bị vô hiệu.

Công ty có thuê người nước ngoài không, kể cả làm từ xa? Giấy phép còn hạn không?

Hợp đồng từ một tháng trở lên đã thuộc diện đóng, không phải đợi đủ ba tháng như nhiều người nghĩ. Thoả thuận đặt tên khác nhưng có trả lương và có quản lý điều hành cũng bị xem là hợp đồng lao động.

Truy thu toàn bộ số tiền chưa đóng cộng lãi 0,03% mỗi ngày; phạt 12-15% số tiền trốn đóng, tối đa 75 triệu; trốn đóng số lớn có thể bị xử lý hình sự.

Có ai đang làm việc mà chưa được đóng bảo hiểm không? Lý do là gì, có đúng luật không?

Lương đóng bảo hiểm không được thấp hơn lương tối thiểu vùng và có trần theo quy định. Đóng trên mức lương thấp hơn lương thực trả là rủi ro truy thu khi kiểm tra, vì cơ quan bảo hiểm đối chiếu được với dữ liệu thuế.

Đóng dưới mức đúng là trốn đóng: truy thu phần chênh cộng lãi và phạt 12-15%; cơ quan bảo hiểm đối chiếu được với dữ liệu thuế nên dễ bị phát hiện hàng loạt.

Lương đóng bảo hiểm so với lương thực trả và so với lương tối thiểu vùng hiện hành như thế nào?

Lương làm căn cứ đóng gồm 3 phần: mức lương theo công việc hoặc chức danh, phụ cấp lương gắn với điều kiện làm việc, và khoản bổ sung khác nếu đồng thời xác định được số tiền cụ thể, ghi trong hợp đồng và trả đều mỗi kỳ. Không tính đóng: thưởng, hoa hồng, khoản biến động theo năng suất hay kết quả kinh doanh, và các khoản phúc lợi tách riêng (ăn giữa ca, xăng xe, điện thoại, nhà ở, nuôi con, hiếu hỉ, sinh nhật). Nghĩa là lương cố định phải đóng đủ, phần hoa hồng biến động không phải đóng, nhưng phải ghi rõ và tách rõ trên hợp đồng và bảng lương. Rủi ro lớn nhất: cơ quan bảo hiểm đối chiếu được lương đóng với thu nhập trên quyết toán thuế thu nhập cá nhân; lệch lớn mà không giải thích được bằng quy chế là bị truy thu cả gói.

Khoản gọi là hỗ trợ nhưng trả cố định bị coi là lương và truy thu cho toàn bộ nhân viên, toàn bộ thời gian, cộng lãi và phạt. Đây là dạng truy thu bảo hiểm phổ biến nhất.

Hợp đồng lao động có tách rõ mức lương, từng loại phụ cấp, khoản bổ sung và khoản phúc lợi thành mục riêng không? Hoa hồng, thưởng hiệu quả có quy chế tính bằng văn bản không? Có khoản nào gọi là 'hỗ trợ' nhưng trả cố định hằng tháng cho mọi người không? Chênh lệch giữa lương đóng bảo hiểm và thu nhập chịu thuế của từng người giải thích được bằng gì?

Luật mới có hiệu lực đầu năm 2026, thay nghị định cũ, kèm nghị định hướng dẫn mới. Bất kỳ công ty nào lưu tên, số điện thoại, email khách hàng đều thuộc phạm vi. Mức phạt cao hơn nhiều so với trước.

Khung phạt cao nhất trong checklist: một số hành vi phạt tới 5% doanh thu năm trước, các vi phạm khác tới khoảng 3 tỷ với tổ chức; có thể bị đình chỉ xử lý dữ liệu, tức dừng dịch vụ.

Công ty đang thu và lưu những dữ liệu cá nhân gì, của ai, để làm gì? Đã có ai đọc luật mới chưa?

Phải công khai mục đích, loại dữ liệu, thời gian lưu, bên thứ ba nhận dữ liệu. Sự đồng ý phải tách bạch và chứng minh được, không gộp vào điều khoản chung.

Xử lý dữ liệu không có đồng ý hợp lệ là vi phạm cốt lõi, phạt theo khung của luật; mọi hoạt động tiếp thị dựa trên dữ liệu đó có thể bị buộc dừng.

Website, ứng dụng có chính sách quyền riêng tư không? Người dùng đồng ý bằng cách nào, có lưu lại bằng chứng không?

Hồ sơ phải lập và gửi cơ quan chuyên trách trong thời hạn kể từ khi bắt đầu xử lý. Doanh nghiệp nhỏ, khởi nghiệp được lựa chọn chưa làm trong một số năm đầu, hộ kinh doanh và doanh nghiệp siêu nhỏ được miễn. Tuy nhiên miễn trừ không áp dụng nếu xử lý dữ liệu nhạy cảm, kinh doanh dịch vụ xử lý dữ liệu, hoặc xử lý dữ liệu của số lượng lớn người.

Nếu thuộc diện bắt buộc mà không có hồ sơ, phạt theo khung của luật và bị yêu cầu dừng xử lý đến khi hoàn thành. Với công ty xử lý dữ liệu tài chính, sức khoẻ, đây là mục đầu tiên bị hỏi.

Công ty thuộc diện được miễn trừ hay không? Có xử lý dữ liệu tài chính, sức khoẻ, vị trí không? Số người dùng có dữ liệu là bao nhiêu?

Ba tình huống đều tính là chuyển ra nước ngoài: đưa dữ liệu đang lưu tại Việt Nam lên máy chủ ngoài Việt Nam kể cả cloud; chuyển cho tổ chức, cá nhân ở nước ngoài; dùng nền tảng đặt ở nước ngoài để xử lý dữ liệu thu thập tại Việt Nam. Nghĩa là dùng cloud vùng nước ngoài, bộ công cụ văn phòng, công cụ trí tuệ nhân tạo, email marketing, phân tích, họp trực tuyến có dữ liệu khách hàng hoặc nhân viên đi qua đều thuộc diện. Phải lập hồ sơ riêng và gửi cơ quan chuyên trách, không nằm trong hồ sơ đánh giá tác động thông thường. Hồ sơ gồm báo cáo đánh giá tác động chuyển dữ liệu xuyên biên giới theo mẫu quy định, hợp đồng hoặc thoả thuận chuyển giao dữ liệu với bên nhận, tài liệu chứng minh chính sách và quy trình bảo vệ dữ liệu, kèm thông báo gửi hồ sơ. Nộp trong 60 ngày kể từ lần chuyển đầu tiên, làm một lần nhưng phải làm thủ tục thay đổi khi đổi bên nhận hoặc đổi loại dữ liệu. Cơ quan chuyên trách phản hồi trong 15 ngày và có quyền yêu cầu dừng chuyển.

Chuyển dữ liệu ra nước ngoài không có hồ sơ là hành vi có khung phạt tới 5% doanh thu năm trước; có thể bị buộc dừng chuyển, tức dừng dùng dịch vụ đám mây nước ngoài.

Đã liệt kê mọi nhà cung cấp nước ngoài đang nhận dữ liệu cá nhân của khách hàng, nhân viên chưa? Hồ sơ đã nộp có khớp danh sách thực tế không, đặc biệt các công cụ trí tuệ nhân tạo và dịch vụ thêm vào sau khi nộp? Có hợp đồng hoặc thoả thuận xử lý dữ liệu với từng bên nhận không? Công ty có thuộc diện miễn trừ không (siêu nhỏ, hộ kinh doanh, trừ khi kinh doanh chính là xử lý dữ liệu, dữ liệu nhạy cảm, số lượng lớn)?

Khi xảy ra sự cố, công ty phải thông báo cơ quan chuyên trách trong thời hạn quy định. Không có quy trình sẵn thì không kịp.

Không thông báo trong thời hạn khi có sự cố là vi phạm riêng, cộng thêm vi phạm gốc; thiệt hại uy tín và bồi thường dân sự cho khách hàng.

Nếu lộ dữ liệu tối nay, ai làm gì, báo ai, trong bao lâu?

Việt Nam theo nguyên tắc ai nộp đơn trước được ưu tiên, không phải ai dùng trước. Đã có nhiều trường hợp công ty làm thương hiệu lớn rồi phát hiện người khác đã đăng ký tên đó.

Người khác đăng ký trước có quyền buộc công ty đổi tên, đổi thương hiệu, gỡ sản phẩm, bồi thường. Chi phí đổi thương hiệu sau vài năm hoạt động lớn hơn nhiều lần phí đăng ký.

Tên công ty, tên sản phẩm chính đã nộp đơn đăng ký nhãn hiệu chưa? Ai giữ văn bằng?

Phần mềm có bản dành cho cá nhân, gia đình, học sinh với giá rẻ hoặc không thu tiền, nhưng điều khoản không cho dùng trong tổ chức, mục đích thương mại. Dùng bản đó trong công ty là vi phạm bản quyền dù đã trả tiền.

Thanh tra bản quyền có thể đến bất ngờ; phạt hành chính cộng bồi thường theo giá license cho toàn bộ máy vi phạm; quy mô thương mại có thể bị xử lý hình sự. Mất uy tín khi làm với đối tác nước ngoài.

Đã kiểm kê toàn bộ phần mềm đang dùng chưa? Mỗi phần mềm đang dùng bản nào, điều khoản có cho tổ chức dùng không?

Luật cho công ty tự quyết định con dấu và cách quản lý, không còn thủ tục đăng ký mẫu dấu. Nghĩa là toàn bộ trách nhiệm nằm ở quy chế nội bộ. Giám đốc thường không tự đóng dấu mà giao kế toán hoặc hành chính, nhưng nếu không có quy chế và biên bản bàn giao thì khi dấu bị đóng vào văn bản chưa duyệt, đóng khống lên giấy trắng, hay đóng vào hợp đồng bất lợi, công ty vẫn chịu trách nhiệm với bên ngoài và rất khó quy trách nhiệm bên trong.

Dấu bị đóng vào văn bản chưa duyệt, đóng khống, đóng vào hợp đồng bất lợi: công ty vẫn phải thực hiện với bên ngoài, khó quy trách nhiệm cá nhân bên trong nếu không có quy chế và biên bản.

Con dấu đang do ai giữ, có biên bản bàn giao ghi rõ trách nhiệm không? Có quy chế nêu rõ chỉ đóng dấu sau khi người có thẩm quyền đã ký không? Có sổ theo dõi đóng dấu cho văn bản ra bên ngoài không? Có cấm đóng dấu khống, dấu treo không?

Nguyên tắc cơ bản: người lập lệnh không phải là người duyệt lệnh. Ngân hàng điện tử doanh nghiệp đều có cơ chế tài khoản lập và tài khoản duyệt, hạn mức theo người, theo giao dịch, theo ngày, danh sách người thụ hưởng cố định. Nếu kế toán vừa lập vừa duyệt được, hoặc giám đốc giao luôn thiết bị xác thực cho kế toán để đỡ phiền, thì công ty không có lớp kiểm soát nào trước khi tiền đi, chỉ còn phát hiện sau khi xem sổ phụ. Đây là kịch bản chiếm dụng phổ biến nhất ở công ty nhỏ, thường kéo dài nhiều năm mới lộ.

Rủi ro chiếm dụng tiền của chính người trong công ty, không có lớp chặn trước, thường phát hiện sau nhiều năm với số tiền lớn. Đòi lại khó, kiện tụng dài.

Trên ngân hàng điện tử, ai có quyền lập lệnh, ai có quyền duyệt? Có ai vừa lập vừa duyệt được không? Thiết bị xác thực của người duyệt đang ở đâu? Có hạn mức theo giao dịch và theo ngày không? Có bắt buộc đề nghị thanh toán được duyệt trước khi lập lệnh không?

Ngoài tài khoản đăng nhập, tiền có thể đi bằng nhiều thứ: thiết bị sinh mã của ngân hàng, mã xác thực gửi về số điện thoại nào đó, chữ ký số nếu ngân hàng đã chấp nhận chữ ký số làm phương thức xác thực cho tài khoản công ty, tài khoản nộp thuế điện tử trích tiền trực tiếp từ ngân hàng, thẻ công ty, ví hoặc cổng thanh toán liên kết. Mỗi thứ là một cửa. Không ai liệt kê đủ thì không biết cửa nào đang mở và ai đang cầm chìa.

Một cửa tiền không ai quản là một đường chiếm dụng hoặc bị lừa đảo chuyển tiền; công ty không biết mình có bao nhiêu cửa thì không đóng được cửa nào.

Đã liệt kê đủ mọi phương thức có thể tạo lệnh chi từ tài khoản công ty chưa? Mỗi phương thức ai đang giữ? Chữ ký số của công ty có được đăng ký làm phương thức xác thực trên ngân hàng điện tử không? Số điện thoại nhận mã xác thực là của ai?

Bốn việc nên do những người khác nhau làm: đề nghị chi, duyệt chi, thực hiện chi, ghi sổ và đối soát. Công ty nhỏ không đủ người để tách hết, thì tối thiểu người duyệt và người đối soát sổ phụ ngân hàng không phải là người thực hiện. Giám đốc nên nhận thông báo biến động số dư và tự xem sổ phụ định kỳ, không đợi báo cáo của kế toán. Đối soát tự động giữa sổ phụ ngân hàng và sổ kế toán là công cụ rẻ nhất để phát hiện lệch sớm.

Không có đối soát độc lập thì mọi kiểm soát khác đều có thể bị người thực hiện che giấu. Đây là lớp cuối cùng phát hiện lệch, thiếu nó là mất khả năng phát hiện.

Sổ phụ ngân hàng hằng tháng ai đối soát với sổ kế toán, người đó có phải người lập lệnh không? Giám đốc có nhận thông báo biến động số dư không? Lần cuối giám đốc tự mở sổ phụ xem là khi nào?