Trả lời nhanh: Công ty dịch vụ kế toán nên quản lý IT theo từng khách hàng và vai trò: cấp quyền tối thiểu, bật MFA cho email và kho lưu trữ, dùng kênh chia sẻ được duyệt, cập nhật thiết bị, kiểm tra backup và thu hồi quyền khi nhân sự thay đổi. Trước kỳ chốt sổ, xác nhận đầu mối hỗ trợ, nhà cung cấp phần mềm và khả năng khôi phục. IT hỗ trợ thiết bị, tài khoản, mạng và phối hợp vendor; người phụ trách nghiệp vụ quyết định ai được xem hồ sơ và thao tác kế toán.
Bài này dành cho công ty dịch vụ kế toán, kiểm toán và tư vấn thuế quản lý hồ sơ của nhiều khách hàng. Đây là checklist vận hành IT, không thay thế tư vấn pháp lý, nghiệp vụ kế toán hoặc xác nhận nghĩa vụ theo quy định tại Việt Nam.
Vì sao công ty dịch vụ kế toán cần cách quản lý IT riêng?
Khác với một phòng kế toán nội bộ, công ty dịch vụ có thể làm việc với nhiều doanh nghiệp, bộ hồ sơ và nhóm nhân sự trong cùng hệ thống. Bảng tính, hóa đơn, hợp đồng, chứng từ, email và file xuất từ phần mềm có thể nằm ở nhiều nơi. Rủi ro không chỉ là máy tính hỏng: gửi nhầm thư mục, quyền cũ chưa thu hồi, tài khoản dùng chung, laptop thất lạc hoặc backup chưa từng thử khôi phục đều có thể làm chậm công việc và khiến việc xác minh sự cố khó hơn.
IRS Publication 4557 và tài liệu cho tax professionals của IRS có khuyến nghị thực hành về bảo vệ dữ liệu, kế hoạch an toàn thông tin và dấu hiệu bị xâm nhập. Đây là tài liệu tham khảo của Hoa Kỳ, không phải căn cứ pháp lý cho doanh nghiệp Việt Nam. Công ty cần đối chiếu hợp đồng, chính sách nội bộ và quy định hiện hành với tư vấn có thẩm quyền.
Checklist IT cốt lõi
| Hạng mục | Cần xác nhận | Bằng chứng vận hành |
|---|---|---|
| Hồ sơ và quyền | Ai xem, sửa, tải, chia sẻ hồ sơ từng khách hàng; ai phê duyệt | Danh sách nhóm/quyền, chủ hồ sơ, ngày rà soát |
| Email và tài khoản | MFA, khôi phục tài khoản, phiên đăng nhập, tài khoản admin, rule chuyển tiếp | Checklist tài khoản trọng yếu; không lưu mật khẩu |
| Thiết bị | Người nhận laptop, cập nhật, bảo vệ endpoint, thiết bị làm việc từ xa | Kiểm kê, người sở hữu, trạng thái bản vá |
| Chia sẻ hồ sơ | Đúng người nhận/thư mục, hạn liên kết, quyền tải và thu hồi | Quy trình gửi nhận và xác nhận thu hồi |
| Backup | Phạm vi, nơi lưu, retention, người theo dõi, lần restore gần nhất | Nhật ký backup và biên bản thử phục hồi an toàn |
| Nhân sự/vendor | Joiner-mover-leaver, tài khoản riêng, người duyệt thao tác nhạy cảm | Checklist bàn giao, ticket, change log |
1. Tách quyền theo khách hàng và nhiệm vụ
Không phải nhân viên nào cũng cần xem mọi bộ hồ sơ. Lập danh sách khách hàng, nhóm phụ trách, người phê duyệt và nơi lưu trữ; cấp quyền qua nhóm có chủ sở hữu thay vì chia sẻ thủ công tới tài khoản không rõ trách nhiệm. Với hồ sơ quan trọng, tách quyền xem, chỉnh sửa, tải xuống và chia sẻ ra ngoài. Người phụ trách khách hàng duyệt quyền; IT cấu hình và lưu bằng chứng.
Rà lại quyền khi nhân viên chuyển nhóm, đổi khách hàng phụ trách hoặc nghỉ việc. Tài khoản quản trị phải tách khỏi tài khoản sử dụng hằng ngày. Vendor không dùng chung thông tin đăng nhập với nhân viên. Không đưa mật khẩu, mã MFA hay hồ sơ thật vào ticket phổ thông hoặc nhóm chat chưa được duyệt.
2. Chuẩn hóa việc gửi và nhận hồ sơ
Email đính kèm thuận tiện nhưng khó kiểm soát khi tệp được chuyển tiếp nhiều lần. Chọn kênh được phép, cách xác minh người nhận, cách đặt tên phiên bản, thời hạn liên kết và người có quyền cấp/thu hồi. Rà quyền kế thừa của thư mục dùng chung trước khi đưa hồ sơ khách hàng mới vào. Trước khi gửi, kiểm tra người nhận, đơn vị, thư mục đích và chắc chắn không có dữ liệu của khách hàng khác.
Nếu gửi nhầm, thấy liên kết công khai hoặc nghi tài khoản bị chiếm, báo ngay qua kênh sự cố đã thống nhất. Không xóa log hoặc tự che giấu sự cố; người được giao trách nhiệm quyết định biện pháp khoanh vùng, liên hệ bên liên quan và lưu bằng chứng theo quy trình.
3. Chuẩn bị thiết bị trước kỳ chốt sổ
Trước cao điểm, kiểm tra laptop, dung lượng, cập nhật hệ điều hành/phần mềm, máy in/scan, mạng, tài khoản và license. Xác nhận nhân viên đăng nhập được đúng phần mềm, đúng môi trường và chỉ truy cập dữ liệu được giao. Dùng dữ liệu thử phù hợp, không đưa hồ sơ khách hàng thật vào công cụ chưa được phê duyệt. Cập nhật danh bạ escalation và giờ hỗ trợ của vendor phần mềm kế toán, hóa đơn điện tử, chữ ký số, email và nhà mạng.
Tránh cập nhật lớn, chuyển máy chủ, di chuyển dữ liệu hoặc đổi quyền hàng loạt sát hạn nếu chưa có người duyệt, backup, kế hoạch kiểm tra và phương án quay lại. Lịch bảo trì cần thống nhất với chủ quy trình để không va vào thời điểm làm việc quan trọng.
4. Backup phải đi kèm thử khôi phục
“Đã có backup” chưa cho biết dữ liệu nào được sao lưu, phiên bản nào còn giữ, ai có quyền xóa hay có thể phục hồi trong thời gian chấp nhận được không. Lập bản đồ dữ liệu ở máy trạm, NAS/server, cloud drive, mailbox và hệ thống do vendor vận hành. Với từng nhóm, ghi chủ sở hữu, lịch backup, vị trí bản sao, quyền truy cập và người có thẩm quyền yêu cầu restore.
Thử phục hồi trên bản sao hoặc môi trường được duyệt; xác nhận tệp mở được, đúng phiên bản và quyền không bị mở rộng. Không restore đè dữ liệu đang dùng để “test”. CISA khuyến nghị doanh nghiệp nhỏ chú ý backup, logging và bảo vệ dữ liệu; hãy điều chỉnh theo quy mô và hệ thống thực tế, không áp cấu hình máy móc.
5. Phân định IT, kế toán và vendor khi có sự cố
Khi phần mềm không đăng nhập, không xuất báo cáo hoặc dữ liệu bất thường, ghi thời điểm, user, thiết bị, phiên bản, thao tác gần nhất và phạm vi ảnh hưởng. IT kiểm tra thiết bị, mạng, tài khoản, license và kết nối trong phạm vi được giao. Vendor xử lý lỗi ứng dụng hoặc dữ liệu thuộc hệ thống của họ. Người phụ trách kế toán xác nhận kết quả nghiệp vụ. Trước thao tác có thể ảnh hưởng dữ liệu, phải xác định người duyệt và bản sao phù hợp.
Ưu tiên sự cố theo số người/hồ sơ bị ảnh hưởng và hạn công việc, không chỉ theo tên lỗi. Ticket cần người chịu trách nhiệm, lần cập nhật tiếp theo và kiểm tra sau khôi phục. Không gửi dữ liệu cá nhân, thông tin đăng nhập hoặc hồ sơ khách hàng trong ảnh/log ra ngoài nếu chưa được phép và chưa che phần nhạy cảm.
Nhịp rà soát gợi ý
- Hằng ngày: tiếp nhận sự cố, xác định phạm vi, ghi ticket và theo dõi cảnh báo đã thống nhất.
- Khi thay đổi nhân sự/khách hàng: phê duyệt và cập nhật quyền, thiết bị, license; lưu người duyệt.
- Trước cao điểm: rà thiết bị, dung lượng, tài khoản, vendor, backup và đầu mối escalation.
- Định kỳ theo rủi ro: đối soát quyền, tài khoản vendor, log, backup và thử khôi phục; công ty tự xác định chu kỳ.
- Sau sự cố: ghi nguyên nhân đã xác nhận, tác động, thời gian gián đoạn, khắc phục và việc phòng ngừa; điều chưa rõ ghi là chưa xác định.
Khi nào công ty dịch vụ kế toán nên thuê IT ngoài?
Thuê ngoài có thể phù hợp khi công ty cần một đầu mối Helpdesk, quản lý thiết bị/tài khoản, theo dõi mạng/email/backup hoặc phối hợp nhiều vendor nhưng chưa cần tuyển đủ mọi chuyên môn. Thỏa thuận nên nêu rõ quyền truy cập, kênh sự cố, giờ hỗ trợ, SLA, nơi lưu bằng chứng, người phê duyệt và việc IT không được tự thực hiện. Công ty kế toán vẫn sở hữu quyết định nghiệp vụ và quyền cho phép truy cập hồ sơ khách hàng.
IT Systems có thể khảo sát Helpdesk, thiết bị, tài khoản, mạng, backup và vendor để đề xuất phạm vi phù hợp. Xem dịch vụ IT Support, bảo mật hệ thống IT doanh nghiệp và hướng dẫn phối hợp xử lý lỗi phần mềm kế toán.
Câu hỏi thường gặp
Có nên lưu toàn bộ hồ sơ khách hàng trên laptop nhân viên?
Không nên phụ thuộc vào một thiết bị cá nhân. Dùng kho lưu trữ được duyệt, có chủ sở hữu, phân quyền theo vai trò, backup và quy trình thu hồi quyền.
IT có được xem dữ liệu kế toán?
Chỉ khi được ủy quyền và cần thiết. Cấp quyền tối thiểu, không đưa nội dung hồ sơ vào ticket thông thường và để người phụ trách nghiệp vụ quyết định ai được xem/sửa.
Backup cloud có đủ không?
Chưa thể kết luận chỉ vì dữ liệu nằm trên cloud. Cần xác nhận phạm vi sao lưu, thử restore, quyền xóa, retention và tài khoản quản trị.
IT Support có sửa lỗi phần mềm kế toán?
IT khoanh vùng máy, mạng, tài khoản, quyền và kết nối; lỗi ứng dụng/dữ liệu có thể cần vendor. Trước khi thay đổi hay restore dữ liệu phải xác định người duyệt và phương án bảo toàn.
Cần rà soát IT cho công ty dịch vụ kế toán?
IT Systems có thể cùng doanh nghiệp lập danh sách thiết bị, tài khoản, kho hồ sơ, backup và vendor; xác định việc ưu tiên và phạm vi Helpdesk định kỳ.
Nguồn tham khảo: IRS: tài liệu bảo vệ dữ liệu cho chuyên gia thuế (tham khảo thực hành Hoa Kỳ, không phải tư vấn pháp lý Việt Nam); CISA: Secure your business.
