Câu trả lời thẳng thắn: không tồn tại một “đáp án chung” do pháp luật ấn định cho việc mọi doanh nghiệp phải đánh giá lại rủi ro tuân thủ (compliance review) bao lâu một lần. Không có điều luật nào bắt “mọi công ty phải compliance review hàng năm”. Nghĩa vụ đánh giá tuân thủ chỉ phát sinh trong một số ngành đặc thù theo quy định riêng; với phần còn lại, chu kỳ review là quyết định quản trị dựa trên mức độ rủi ro. Bài viết đưa ma trận chu kỳ theo ngành/mức rủi ro và các “trigger” buộc phải review đột xuất.
1. Hai ngành có nghĩa vụ đánh giá tuân thủ bắt buộc
Đây là hai điểm chạm pháp luật hiếm hoi quy định cụ thể — và chỉ áp dụng trong ngành của chúng:
- Bảo hiểm: doanh nghiệp bảo hiểm phải thực hiện đánh giá tuân thủ hàng năm và đột xuất theo Thông tư 70/2022/TT-BTC. Đây là nghĩa vụ riêng của ngành bảo hiểm.
- Phòng, chống rửa tiền: các đối tượng báo cáo phải cập nhật đánh giá rủi ro rửa tiền hằng năm theo Điều 15 khoản 1 Luật Phòng, chống rửa tiền 2022. Lưu ý kỹ thuật: căn cứ đúng là Điều 15.1 — cần cảnh giác nhầm lẫn với Điều 17 khi tra cứu.
Cả hai nghĩa vụ trên đều không được suy rộng thành nghĩa vụ chung cho mọi doanh nghiệp. Viết rằng “luật yêu cầu mọi DN compliance review hàng năm” là sai.
2. Thông lệ: tối thiểu hằng năm + đột xuất khi có trigger
Ngoài các ngành bị ràng buộc nêu trên, thông lệ quản trị tuân thủ được áp dụng rộng rãi là:
- Tối thiểu hằng năm: một đợt đánh giá rủi ro tuân thủ toàn diện mỗi năm — rà soát lại ma trận rủi ro, hiệu quả kiểm soát nội bộ, các vi phạm/suýt vi phạm trong năm.
- Doanh nghiệp rủi ro cao (bất động sản, tài chính, FDI, các ngành chịu thanh tra mạnh): thông lệ review hàng quý, vì biến động pháp lý và giao dịch nhạy cảm dồn dập hơn.
- ISO 37301 (hệ thống quản lý tuân thủ): tổ chức đã được chứng nhận chịu giám sát chứng nhận hằng năm — một dạng review tuân thủ có cấu trúc theo chuẩn quốc tế.
Các chu kỳ trên là thông lệ, không phải nghĩa vụ pháp lý chung.
3. Ma trận chu kỳ khuyến nghị theo ngành và mức rủi ro
- Bảo hiểm: đánh giá tuân thủ hàng năm + đột xuất (bắt buộc theo TT 70/2022/TT-BTC).
- Tổ chức tài chính, đối tượng báo cáo PCRT: cập nhật đánh giá rủi ro rửa tiền hằng năm (bắt buộc theo Điều 15.1 Luật PCRT 2022).
- BĐS, tài chính phi bảo hiểm, FDI: review hàng quý (thông lệ cho nhóm rủi ro cao).
- Doanh nghiệp thông thường, rủi ro trung bình–thấp: review hằng năm (thông lệ).
- DN có chứng nhận ISO 37301: tuân thủ lịch giám sát chứng nhận hằng năm.
4. Các trigger buộc phải review đột xuất
Dù đang ở chu kỳ nào, các sự kiện sau đòi hỏi đánh giá lại ngay:
- Văn bản pháp luật mới tác động trực tiếp đến hoạt động (luật mới, nghị định hướng dẫn mới).
- Vi phạm hoặc suýt vi phạm (near-miss): dấu hiệu kiểm soát nội bộ có lỗ hổng.
- Thay đổi mô hình kinh doanh: mở ngành nghề mới, M&A, mở rộng sang thị trường mới, thay đổi cơ cấu sở hữu.
- Kết quả thanh tra, kiểm tra của cơ quan nhà nước có kiến nghị chấn chỉnh.
Câu hỏi thường gặp
Luật có bắt mọi doanh nghiệp compliance review hàng năm không?
Không. Chỉ một số ngành (bảo hiểm; đối tượng báo cáo phòng chống rửa tiền) có nghĩa vụ đánh giá định kỳ theo quy định riêng. Với doanh nghiệp thông thường, review hằng năm là thông lệ quản trị tốt.
Nghĩa vụ cập nhật đánh giá rủi ro rửa tiền quy định ở điều nào?
Điều 15 khoản 1 Luật Phòng, chống rửa tiền 2022 (cập nhật hằng năm). Cẩn thận đừng nhầm với Điều 17 khi tra cứu.
Doanh nghiệp nhỏ có cần compliance review không?
Không bị luật bắt buộc chung, nhưng một đợt tự đánh giá hằng năm ở quy mô phù hợp giúp phát hiện sớm rủi ro hợp đồng, thuế, lao động — chi phí thấp hơn nhiều so với xử lý vi phạm.
ISO 37301 liên quan gì đến chu kỳ review?
ISO 37301 là chuẩn quốc tế về hệ thống quản lý tuân thủ; tổ chức đạt chứng nhận phải duy trì đánh giá và chịu giám sát chứng nhận hằng năm — tạo nhịp review có cấu trúc.
Nguồn trích dẫn
- Thông tư 70/2022/TT-BTC: đánh giá tuân thủ hàng năm và đột xuất của doanh nghiệp bảo hiểm (chỉ áp dụng ngành bảo hiểm).
- Luật Phòng, chống rửa tiền 2022, Điều 15 khoản 1: cập nhật đánh giá rủi ro rửa tiền hằng năm (lưu ý phân biệt với Điều 17).
- Các chu kỳ “hằng năm”, “hàng quý” và ma trận khuyến nghị trong bài là thông lệ quản trị (bao gồm thực hành ISO 37301), không phải nghĩa vụ do luật định chung.
Doanh nghiệp cần thiết kế hoặc đánh giá lại chương trình tuân thủ — từ đánh giá rủi ro, quy trình kiểm soát nội bộ đến kế hoạch review định kỳ phù hợp ngành nghề? Liên hệ qua trang Liên hệ của FLAT Law Firm để được tư vấn.
Nội dung pháp lý của bài viết do AI Legal Council của FLAT soát xét và trình chủ sở hữu phê duyệt; đây không phải ý kiến của luật sư người thật và không thay thế tư vấn pháp lý cho từng trường hợp cụ thể.
Thông tin tham khảo, không phải tư vấn pháp lý.