Chữ ký số và tài khoản định danh của tổ chức trên cổng thuế điện tử: phân quyền cho kế toán dịch vụ và rủi ro pháp lý

Nhiều doanh nghiệp FDI giao toàn bộ token chữ ký số và mật khẩu cổng thuế cho công ty kế toán dịch vụ như một thao tác hành chính vô hại. Về pháp lý, đó là hành vi trao cho bên ngoài quyền ký nhân danh doanh nghiệp trước cơ quan thuế — và tờ khai sai do bên dịch vụ ký vẫn là tờ khai của doanh nghiệp.

Căn cứ pháp lý

Bản chất pháp lý của chữ ký số tổ chức và tài khoản định danh thuế

Chữ ký số của tổ chức được xây dựng trên chứng thư số do tổ chức cung cấp dịch vụ chứng thực chữ ký số cấp theo khung Luật Giao dịch điện tử 20/2023/QH15 và Nghị định 130/2018/NĐ-CP; chứng thư số của tổ chức gắn với tổ chức và người đại diện theo pháp luật, còn cá nhân thuộc tổ chức được cấp chứng thư số cá nhân để ký trong phạm vi được ủy quyền. Khi kế toán dịch vụ dùng token của doanh nghiệp để ký tờ khai, hệ thống cơ quan thuế ghi nhận đó là chữ ký của doanh nghiệp — không tồn tại khái niệm “ký thay ngoài ý muốn” để doanh nghiệp chối bỏ tờ khai sau này.

Song song, tài khoản giao dịch thuế điện tử và tài khoản định danh điện tử của tổ chức (theo khung Nghị định 59/2022/NĐ-CP được sửa đổi bởi Nghị định 69/2024/NĐ-CP) là kênh để phân quyền theo người dùng: doanh nghiệp có thể tạo tài khoản con cho nhân viên và đơn vị dịch vụ với phạm vi thao tác giới hạn thay vì chia sẻ một tài khoản gốc duy nhất. Việc vẫn dùng chung một tài khoản và một token cho mọi bên là lựa chọn vận hành của doanh nghiệp, không phải yêu cầu của hệ thống — và rủi ro phát sinh thuộc về lựa chọn đó.

Trách nhiệm kê khai không chuyển giao theo hợp đồng dịch vụ

Theo Luật Quản lý thuế 108/2025/QH15, người nộp thuế có thể ủy quyền hoặc sử dụng đại lý thuế, tổ chức kinh doanh dịch vụ kế toán để thực hiện thủ tục thuế, nhưng trách nhiệm về tính chính xác, trung thực của hồ sơ khai thuế trước cơ quan thuế vẫn thuộc về người nộp thuế. Bên dịch vụ sai sót khiến doanh nghiệp bị truy thu và phạt chậm nộp thì quan hệ bồi thường giữa hai bên là quan hệ dân sự theo hợp đồng — cơ quan thuế không truy thu từ bên dịch vụ thay cho doanh nghiệp. Đây là điểm khác biệt căn bản giữa “thuê người làm” và “chuyển trách nhiệm”: hợp đồng dịch vụ chỉ tạo quyền đòi bồi thường nội bộ, không tạo lá chắn trước cơ quan thuế.

Về phía bên dịch vụ, đơn vị kinh doanh dịch vụ kế toán và đại lý thuế hoạt động theo điều kiện hành nghề riêng (Luật Kế toán 88/2015/QH13 đối với dịch vụ kế toán; quy định về đại lý thuế trong pháp luật quản lý thuế), và phải chịu trách nhiệm bồi thường thiệt hại do lỗi của mình theo hợp đồng. Nhưng một hợp đồng dịch vụ mẫu chung chung — không liệt kê ai được ký tài liệu nào, giới hạn giá trị giao dịch và nghĩa vụ bàn giao — sẽ khiến quyền đòi bồi thường đó rất khó thực thi khi sự cố xảy ra.

Phân tích áp dụng

Ba kịch bản rủi ro lặp lại trong thực tế: (1) nhân viên của bên dịch vụ dùng token doanh nghiệp ký tờ khai, hóa đơn hoặc văn bản ngoài phạm vi được giao (ví dụ ký xác nhận công nợ, ký hồ sơ hoàn thuế) — doanh nghiệp khó chứng minh vượt quyền vì chính doanh nghiệp đã giao phương tiện ký; (2) quan hệ dịch vụ chấm dứt nhưng token, mật khẩu và quyền truy cập không được thu hồi đồng bộ — bên cũ vẫn còn khả năng thao tác trên cổng thuế trong nhiều tháng; (3) một token dùng chung cho nhiều khách hàng của bên dịch vụ bị lộ — doanh nghiệp bị cuốn vào sự cố bảo mật không do mình gây ra. Cả ba kịch bản đều phòng ngừa được bằng cấu trúc phân quyền, không phải bằng niềm tin.

Thiết kế phân quyền đúng gồm ba lớp: lớp kỹ thuật — tài khoản con riêng cho bên dịch vụ trên cổng thuế, chứng thư số cá nhân của người phụ trách thay vì token tổ chức, giới hạn IP hoặc thời gian truy cập nếu hệ thống cho phép; lớp hợp đồng — danh mục tài liệu được ký, ngưỡng giá trị phải báo trước, nghĩa vụ thông báo ngay khi nhân sự phụ trách thay đổi, trách nhiệm bồi thường và bảo hiểm nghề nghiệp; lớp vận hành — đối soát định kỳ danh sách quyền đang mở, nhật ký ký số do doanh nghiệp tự trích xuất thay vì nhận báo cáo từ bên dịch vụ, và quy trình thu hồi quyền có checklist đóng dấu thời điểm ngay khi chấm dứt hợp đồng.

Khuyến nghị hành động

Lập danh mục toàn bộ tài khoản, token và quyền truy cập thuế đang nằm ngoài doanh nghiệp; thu hồi các quyền không còn người chịu trách nhiệm cụ thể.
Chuyển từ dùng chung token tổ chức sang tài khoản con + chứng thư số cá nhân của người phụ trách bên dịch vụ, phạm vi thao tác tối thiểu cần thiết.
Bổ sung phụ lục phân quyền vào hợp đồng dịch vụ kế toán: danh mục được ký, ngưỡng phải phê duyệt trước, nghĩa vụ thông báo thay nhân sự, điều khoản bồi thường và bàn giao.
Thiết lập quy trình thu hồi quyền trong 24 giờ khi chấm dứt dịch vụ: đổi mật khẩu, khóa tài khoản con, thu hồi chứng thư số qua tổ chức chứng thực, thông báo cơ quan thuế quản lý.

Câu hỏi thường gặp

Doanh nghiệp phân quyền chữ ký số, tài khoản thuế điện tử cho kế toán dịch vụ có rủi ro pháp lý gì?

Rủi ro cốt lõi là chữ ký bằng token của doanh nghiệp được hệ thống ghi nhận là hành vi của doanh nghiệp: tờ khai, hóa đơn hay văn bản do bên dịch vụ ký ngoài phạm vi được giao vẫn ràng buộc doanh nghiệp trước cơ quan thuế và đối tác. Kèm theo là rủi ro không thu hồi quyền khi đổi nhân sự hoặc chấm dứt dịch vụ, và rủi ro lộ chứng thư khi bên dịch vụ dùng chung phương tiện ký cho nhiều khách hàng. Các rủi ro này được kiểm soát bằng phân quyền theo tài khoản con và chứng thư cá nhân, không phải bằng việc giao trọn token tổ chức.

Hợp đồng dịch vụ kế toán cần điều khoản phân quyền, trách nhiệm ký thay thế nào?

Hợp đồng cần: danh mục cụ thể các tài liệu và giao dịch bên dịch vụ được ký thay (tờ khai kỳ, tờ khai quyết toán, hồ sơ hoàn thuế, văn bản giải trình); ngưỡng giá trị hoặc loại việc phải được doanh nghiệp phê duyệt văn bản trước khi ký; nghĩa vụ thông báo ngay khi thay đổi nhân sự phụ trách và bàn giao phương tiện ký; điều khoản bồi thường toàn bộ số truy thu, tiền phạt và lãi chậm nộp phát sinh từ lỗi của bên dịch vụ; và cam kết bảo mật, không dùng chung chứng thư cho khách hàng khác.

Kế toán dịch vụ ký sai tờ khai thì trách nhiệm thuộc về doanh nghiệp hay bên dịch vụ?

Trước cơ quan thuế, trách nhiệm thuộc về doanh nghiệp: người nộp thuế chịu trách nhiệm về hồ sơ khai thuế của mình kể cả khi thực hiện qua đại lý thuế hay tổ chức dịch vụ kế toán theo Luật Quản lý thuế 108/2025/QH15; doanh nghiệp bị truy thu và tính tiền chậm nộp trực tiếp. Với bên dịch vụ, đó là trách nhiệm bồi thường theo hợp đồng dân sự — doanh nghiệp đòi lại thiệt hại dựa trên điều khoản trách nhiệm đã thỏa thuận. Vì vậy chất lượng điều khoản hợp đồng quyết định doanh nghiệp có thu hồi được thiệt hại hay không.

Doanh nghiệp thu hồi quyền truy cập cổng thuế khi chấm dứt dịch vụ kế toán thế nào?

Thực hiện đồng bộ bốn việc ngay tại thời điểm chấm dứt: (1) đổi mật khẩu tài khoản giao dịch thuế điện tử và xóa hoặc khóa các tài khoản con đã cấp cho bên dịch vụ; (2) thu hồi token và yêu cầu tổ chức cung cấp dịch vụ chứng thực chữ ký số thu hồi hoặc khóa chứng thư số đã cấp cho cá nhân thuộc bên dịch vụ; (3) rà soát và thay đổi thông tin liên hệ nhận thông báo thuế (email, số điện thoại) về đầu mối của doanh nghiệp; (4) lập biên bản bàn giao hồ sơ, dữ liệu kế toán và xác nhận bằng văn bản rằng bên dịch vụ không còn giữ phương tiện truy cập nào.