Hệ thống tuân thủ chủ động năm 2026: doanh nghiệp cần làm gì khi luật thuế, dữ liệu cá nhân và lao động cùng thay đổi

Tác giả: Đội ngũ Luật sư Công ty Luật TNHH FC Legal · Reviewed: Luật sư điều hành · Ngày chốt rà soát pháp lý: 05/10/2026

Tra cứu nhanh (Quick Reference)

1. Vì sao doanh nghiệp nên rà soát tuân thủ ngay trong năm 2026

Phương thức quản lý nhà nước đang chuyển từ tiền kiểm sang hậu kiểm. Doanh nghiệp được tự do hơn khi hoạt động, nhưng phải tự chứng minh mình tuân thủ khi bị kiểm tra. Luật Quản lý thuế 2025 tiếp tục định hướng quản lý dựa trên rủi ro và dữ liệu; hóa đơn điện tử cho phép cơ quan thuế đối chiếu giao dịch ở quy mô lớn.

Bảng dưới đây chuyển các thay đổi pháp lý chính thành tác động lên quy trình của doanh nghiệp.

Mức độ trong bảng được đánh giá cho một doanh nghiệp điển hình. Mức độ thực tế phụ thuộc ngành nghề, quy mô dữ liệu và mô hình giao dịch của từng doanh nghiệp.

2. Rủi ro bị đánh giá thấp nhất: trách nhiệm hình sự của pháp nhân

Bộ luật Hình sự 2015 (sửa đổi, bổ sung) quy định pháp nhân thương mại chịu trách nhiệm hình sự đối với 33 tội danh tại Điều 76. Nhiều tội gắn trực tiếp với hoạt động kinh doanh thông thường: trốn thuế (Điều 200); in, phát hành, mua bán trái phép hóa đơn, chứng từ (Điều 203); vi phạm quy định về cạnh tranh (Điều 217); gây ô nhiễm môi trường (Điều 235); rửa tiền (Điều 324).

Theo khoản 1 Điều 75, pháp nhân chỉ chịu trách nhiệm hình sự khi thỏa mãn đồng thời bốn điều kiện. Việc pháp nhân chịu trách nhiệm hình sự không loại trừ trách nhiệm hình sự của cá nhân (khoản 2 Điều 75). Hình phạt chính gồm phạt tiền, đình chỉ hoạt động có thời hạn từ 06 tháng đến 03 năm hoặc đình chỉ hoạt động vĩnh viễn.

Sơ đồ 1. Điều kiện chịu trách nhiệm hình sự của pháp nhân thương mại (Điều 75, Điều 76 Bộ luật Hình sự)

3. Một hệ thống tuân thủ gồm những gì

Hệ thống tuân thủ không phải tập hồ sơ lưu trữ, mà là cơ chế vận hành thường xuyên: nhận diện nghĩa vụ, giao người chịu trách nhiệm, kiểm soát và lưu bằng chứng. Doanh nghiệp không cần áp dụng ngay mô hình đầy đủ. Bảng dưới đây phân biệt mức tối thiểu với mô hình đầy đủ.

Ở mô hình đầy đủ, trách nhiệm được phân thành ba tuyến: bộ phận kinh doanh, vận hành là chủ sở hữu rủi ro; pháp chế, tuân thủ thiết lập chính sách và giám sát; kiểm toán nội bộ đánh giá độc lập.

Sơ đồ 2. Mô hình Ba tuyến áp dụng cho hệ thống tuân thủ

Lưu ý về kỷ luật lao động. Để xử lý kỷ luật người lao động vi phạm chính sách tuân thủ, hành vi vi phạm và hình thức kỷ luật phải được quy định trong nội quy lao động. Doanh nghiệp sử dụng từ 10 người lao động trở lên phải có nội quy lao động bằng văn bản và đăng ký với cơ quan quản lý nhà nước về lao động theo Bộ luật Lao động 2019.

Chuẩn mực quốc tế dùng để làm gì. ISO 37301:2021, ISO 37001:2016, Nguyên tắc quản trị công ty G20/OECD (2023) và hướng dẫn đánh giá chương trình tuân thủ của Bộ Tư pháp Hoa Kỳ không ràng buộc doanh nghiệp Việt Nam, trừ doanh nghiệp có yếu tố tài phán nước ngoài. Đây là phương pháp đã được kiểm chứng để thiết kế hệ thống.

4. Khi đoàn thanh tra, kiểm tra đến: hợp tác, tuân thủ và bảo vệ quyền

Luật Thanh tra 2025 (Luật số 84/2025/QH15) quy định hoạt động thanh tra không được làm cản trở hoạt động bình thường của đối tượng thanh tra (khoản 2 Điều 4). Đối tượng thanh tra có quyền giải trình, khiếu nại, kiến nghị (khoản 1 Điều 50), đồng thời có nghĩa vụ chấp hành quyết định thanh tra và cung cấp thông tin, tài liệu kịp thời, đầy đủ, chính xác (khoản 2 Điều 50). Hoạt động kiểm tra chuyên ngành, kiểm tra thuế, hải quan thực hiện theo pháp luật chuyên ngành.

Doanh nghiệp nên chuẩn bị cách ứng xử theo ba nguyên tắc dưới đây.

Điều doanh nghiệp FDI dễ hiểu nhầm. Pháp luật Việt Nam không có cơ chế “đặc quyền luật sư – khách hàng” (attorney–client privilege) như Hoa Kỳ. Luật sư có nghĩa vụ giữ bí mật thông tin của khách hàng, nhưng nghĩa vụ này không phải căn cứ để doanh nghiệp từ chối yêu cầu hợp pháp của cơ quan có thẩm quyền. Trao đổi với nhân viên pháp chế không phải luật sư cũng không thuộc phạm vi nghĩa vụ bảo mật nghề nghiệp của luật sư.

5. Hồ sơ và chứng cứ: nền tảng để doanh nghiệp tự bảo vệ

Cơ chế giữ lại tài liệu (Legal Hold). Khi phát sinh sự kiện kích hoạt, như nhận quyết định thanh tra, kiểm tra hoặc thông báo tranh chấp, doanh nghiệp cần tạm dừng ngay việc tiêu hủy định kỳ và xóa dữ liệu tự động liên quan. Tiêu hủy tài liệu liên quan đến nội dung thanh tra là hành vi bị nghiêm cấm (khoản 6 Điều 6 Luật Thanh tra 2025). Hành vi này còn làm mất chính những chứng cứ có lợi cho doanh nghiệp.

Thời hạn lưu trữ tối thiểu cần được quy định trong chính sách nội bộ, ví dụ:

Vi bằng. Từ ngày 01/7/2026, Thừa phát lại được đổi thành Thừa hành viên theo Nghị định 151/2026/NĐ-CP. Thừa hành viên được lập vi bằng ghi nhận sự kiện, hành vi có thật trên phạm vi toàn quốc, trừ các trường hợp không được lập vi bằng. Vi bằng là nguồn chứng cứ để Tòa án, Trọng tài xem xét, nhưng không thay thế văn bản công chứng, chứng thực. Doanh nghiệp nên cân nhắc lập vi bằng khi cần ghi nhận hàng hóa hư hỏng lúc giao nhận, tình trạng công trình chậm tiến độ, hoặc nội dung trực tuyến có dấu hiệu xâm phạm trước khi bị gỡ bỏ.

6. Lộ trình 12 tháng: việc cần làm, ai làm, khi nào

Nếu nguồn lực hạn chế, doanh nghiệp nên ưu tiên theo thứ tự: (1) dữ liệu cá nhân, vì nghĩa vụ đã có hiệu lực từ 01/01/2026; (2) lao động và bảo hiểm xã hội, vì Nghị định 283/2026/NĐ-CP vừa có hiệu lực; (3) thuế và hóa đơn.

Đo lường hiệu quả. Một số chỉ số nên theo dõi từ năm đầu: tỷ lệ nhân sự hoàn thành đào tạo bắt buộc; tỷ lệ đối tác mới được thẩm định trước khi ký hợp đồng; tỷ lệ sự cố dữ liệu cá nhân được thông báo đúng hạn. Không nên đặt mục tiêu “0 sự cố”, vì mục tiêu này dễ khiến sự cố bị che giấu thay vì được báo cáo.

7. Những điểm pháp luật chưa rõ doanh nghiệp cần lưu ý

• Ân hạn cho doanh nghiệp nhỏ về bảo vệ dữ liệu cá nhân. Doanh nghiệp nhỏ, doanh nghiệp khởi nghiệp được lựa chọn thực hiện hoặc chưa thực hiện nghĩa vụ chỉ định nhân sự bảo vệ dữ liệu và lập hồ sơ đánh giá tác động trong 05 năm kể từ 01/01/2026. Ân hạn không áp dụng nếu doanh nghiệp kinh doanh dịch vụ xử lý dữ liệu cá nhân, trực tiếp xử lý dữ liệu nhạy cảm hoặc xử lý dữ liệu của số lượng lớn chủ thể. Danh mục dữ liệu nhạy cảm khá rộng; một phương án thận trọng là rà soát loại dữ liệu đang xử lý, kể cả dữ liệu của người lao động, trước khi dựa vào ân hạn.

• Giá trị của chương trình tuân thủ trong tố tụng hình sự. Như đã phân tích ở Mục 2, chưa có hướng dẫn chính thức. Doanh nghiệp nên xem hệ thống tuân thủ là công cụ phòng ngừa và lưu bằng chứng, không phải “lá chắn” pháp lý.

• Chế tài trong lĩnh vực môi trường. Nghị định 45/2022/NĐ-CP đang được áp dụng; văn bản thay thế đang trong quá trình xây dựng. Doanh nghiệp sản xuất nên theo dõi để cập nhật Danh mục nghĩa vụ.

Câu hỏi thường gặp

Doanh nghiệp có bắt buộc phải xây dựng “hệ thống tuân thủ” không?

Pháp luật không có quy định chung buộc mọi doanh nghiệp xây dựng hệ thống tuân thủ. Các nghĩa vụ trong từng lĩnh vực (thuế, lao động, dữ liệu cá nhân…) thì bắt buộc. Hệ thống tuân thủ là cách doanh nghiệp quản lý và chứng minh việc thực hiện các nghĩa vụ đó; đây là khuyến nghị quản trị, không phải nghĩa vụ pháp lý độc lập.

Có chứng nhận ISO 37301 thì doanh nghiệp có được miễn trách nhiệm không?

Không. Chứng nhận là bằng chứng khách quan về việc doanh nghiệp có hệ thống quản lý tuân thủ, nhưng pháp luật Việt Nam không quy định chứng nhận này là căn cứ miễn hoặc giảm trách nhiệm.

Đoàn thanh tra yêu cầu tài liệu có vẻ ngoài phạm vi quyết định thanh tra, doanh nghiệp nên làm gì?

Doanh nghiệp nên trao đổi để làm rõ một cách cởi mở, bằng văn bản khi cần, và đề nghị ghi nhận ý kiến vào biên bản. Không nên từ chối thẳng khi chưa làm rõ căn cứ của yêu cầu.

Bao lâu doanh nghiệp nên cập nhật bản đồ rủi ro tuân thủ?

Tối thiểu mỗi năm một lần, và ngay khi có thay đổi lớn về pháp luật hoặc mô hình kinh doanh, như mở ngành nghề mới, bắt đầu chuyển dữ liệu ra nước ngoài, hoặc tăng mạnh quy mô lao động.

Đọc thêm: Dịch vụ pháp chế doanh nghiệp thuê ngoài · Mô hình pháp chế cho doanh nghiệp · Rủi ro pháp lý doanh nghiệp: 7 dấu hiệu

Lưu ý: Nội dung này được FC Legal cung cấp nhằm mục đích thông tin và phổ biến kiến thức pháp luật chung, phản ánh quy định pháp luật tại ngày chốt rà soát pháp lý 05/10/2026. Nội dung không cấu thành ý kiến tư vấn pháp lý cho bất kỳ vụ việc hoặc giao dịch cụ thể nào và không thiết lập quan hệ luật sư – khách hàng. Việc áp dụng pháp luật có thể phụ thuộc vào tình tiết, mô hình hoạt động và hoàn cảnh cụ thể của từng doanh nghiệp. Doanh nghiệp nên tham vấn luật sư hoặc chuyên gia pháp lý phù hợp trước khi đưa ra quyết định. Việc trích dẫn lại nội dung cần ghi rõ nguồn FC Legal và đường dẫn bài viết.

Nguồn và căn cứ

• Văn bản pháp luật (Tier 1): Bộ luật Hình sự 2015 (sửa đổi, bổ sung), Điều 75, 76; Bộ luật Dân sự 2015; Bộ luật Lao động 2019; Luật Thương mại 2005; Luật Kế toán 2015 và Nghị định 174/2016/NĐ-CP; Luật Doanh nghiệp 2020 (sửa đổi, bổ sung 2025); Luật Thanh tra số 84/2025/QH15; Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định 356/2025/NĐ-CP; Luật Quản lý thuế số 108/2025/QH15; Nghị định 283/2026/NĐ-CP; Nghị định 151/2026/NĐ-CP; Nghị định 45/2022/NĐ-CP.

• Chuẩn mực tham chiếu (Tier 3): ISO 37301:2021; ISO 37001:2016; G20/OECD Principles of Corporate Governance (2023); U.S. Department of Justice – Evaluation of Corporate Compliance Programs (9/2024); The IIA’s Three Lines Model (2020).