Onboarding nhà cung cấp B2B 2026 — Quy trình 7 bước, KYB, RACI và 5 template

Supplier onboarding là tuyến phòng thủ đầu tiên — không phải thủ tục hành chính. Đây là chuỗi hoạt động có cấu trúc mà bộ phận mua hàng và các phòng ban liên quan thực hiện để đánh giá, phê duyệt, thiết lập dữ liệu và tích hợp một pháp nhân mới vào hệ sinh thái cung ứng của doanh nghiệp trước khi phát sinh đơn hàng đầu tiên. Theo định nghĩa của CIPS (Chartered Institute of Procurement & Supply, UK), phạm vi onboarding kéo dài từ thời điểm phòng ban nội bộ phát sinh nhu cầu sourcing cho đến khi nhà cung cấp đã được kích hoạt trong hệ thống ERP, ký hợp đồng khung và sẵn sàng giao dịch. Theo các khảo sát Chief Procurement Officer được Deloitte công bố giai đoạn 2023-2024, rủi ro bên thứ ba liên tục nằm trong nhóm ưu tiên hàng đầu của CPO toàn cầu, trong khi tỷ lệ doanh nghiệp có quy trình onboarding chuẩn hoá end-to-end vẫn còn thấp đáng kể — đây là gap lớn nhất của procurement function năm 2026.

Bài này tổng hợp 5 góc nhìn để xây quy trình onboarding nhà cung cấp B2B chuẩn 2026: (1) định nghĩa + quy trình 7 bước + KPI; (2) 9 lỗi onboarding kinh điển doanh nghiệp Việt thường mắc; (3) 3 case study đã có KLĐT hoặc bản án (Tập đoàn Thiên Minh Đức, Công ty Việt Á, Vạn Thịnh Phát giai đoạn 2); (4) tech stack 2026 + AI agent + reference architecture; (5) khung pháp lý Việt Nam 2025-2026 + RACI 7 phòng ban + 5 template paste-ready. Đối tượng đọc: trưởng phòng mua sắm, giám đốc tài chính, compliance officer, internal audit và đội risk management tại các doanh nghiệp B2B từ trung trở lên. Bước 2-3 (KYB screening + Due Diligence) của quy trình dưới đây đối chiếu trực tiếp với checklist due diligence đối tác B2B Việt Nam 38 mục — nếu chưa nắm 38 mục, mở song song để vận dụng từng mục vào đúng bước nội bộ.

Góc 1 — Định nghĩa, quy trình 7 bước, KPI và RACI cho onboarding nhà cung cấp B2B

Nội dung dưới đây mang tính tham khảo về khung quản trị rủi ro mua sắm, không thay thế tư vấn pháp lý chính thức. Doanh nghiệp nên tham vấn luật sư có chứng chỉ hành nghề khi áp dụng vào tình huống cụ thể.

1.1. Phân biệt onboarding với KYB và vendor master setup

Cần phân biệt rõ ba khái niệm hay bị gộp lẫn ở thị trường Việt Nam:

• Customer onboarding hướng vào khách hàng — mục tiêu là kích hoạt giá trị sử dụng sản phẩm, đo bằng time-to-value và activation rate. Đây là phạm vi của Sales/CSM, không phải Procurement.
• KYB nhà cung cấp (Know Your Business) chỉ là một mắt xích trong onboarding — gồm xác thực pháp nhân, beneficial ownership, sàng lọc danh sách đen. KYB trả lời "đối tác có thật và có hợp pháp không"; onboarding trả lời thêm "có phù hợp để mua hàng không, ở mức rủi ro nào, ai chịu trách nhiệm gì".
• Vendor master setup trong ERP (SAP MM-XK01, Oracle Supplier Hub, Bravo, Misa, Fast) là bước vận hành cuối — tạo mã nhà cung cấp, nhập tài khoản ngân hàng, payment terms, tax code. Nếu chỉ làm bước này mà bỏ qua DD và risk scoring, doanh nghiệp đang gánh full rủi ro pháp lý và tài chính.

1.2. Quy trình 7 bước chuẩn (CIPS + Deloitte TPRM)

Bước 1 — Supplier request và pre-qualification (PQQ)

Bộ phận sử dụng (requestor) gửi yêu cầu sourcing kèm hồ sơ pre-qualification (PQQ — Pre-Qualification Questionnaire). PQQ tối thiểu thu thập: tên pháp nhân, mã số thuế, ngành nghề đăng ký, doanh thu 3 năm gần nhất, danh sách khách hàng tham chiếu, chứng chỉ ISO 9001/14001/45001 nếu áp dụng. CIPS khuyến nghị nguyên tắc định tính: PQQ là filter sớm để loại nhà cung cấp không phù hợp trước khi tốn chi phí Due Diligence chuyên sâu — không nên kéo dài quá mức cần thiết. Mẫu Form 1 ở Góc 5 dùng được ngay.

Bước 2 — KYB screening

Đây là bước có ràng buộc pháp lý cứng tại Việt Nam:

• Luật Doanh nghiệp 2020 (59/2020/QH14) sửa đổi bởi Luật số 76/2025/QH15 (hiệu lực 1/7/2025) yêu cầu xác định và lưu trữ thông tin chủ sở hữu hưởng lợi (beneficial owner) — đối tượng cá nhân sở hữu trực tiếp/gián tiếp từ 25% vốn điều lệ trở lên hoặc có quyền chi phối.
• Luật Phòng chống rửa tiền số 14/2022/QH15 (hiệu lực 1/3/2023) tại Điều 9-14 quy định nghĩa vụ KYC/KYB đối với đối tượng báo cáo (tổ chức tín dụng, chi nhánh NHNNg và một số ngành phi tài chính như BĐS, casino, kế toán, công chứng). Doanh nghiệp B2B thông thường không phải đối tượng báo cáo nhưng nên áp dụng làm chuẩn quản trị rủi ro.
• Nghị định 19/2023/NĐ-CP hướng dẫn chi tiết Luật PCRT, phân biệt Standard Due Diligence và Enhanced Due Diligence theo mức độ rủi ro (áp cho đối tượng báo cáo).

Đầu ra KYB bắt buộc gồm: xác minh GCN ĐKDN (đối chiếu cổng dangkykinhdoanh.gov.vn), tình trạng hoạt động trên cổng tracuunnt.gdt.gov.vn (mã số thuế còn active, không ở mã 06), sàng lọc danh sách OFAC/UN/EU sanctions, danh sách PEP (Politically Exposed Persons), và danh sách doanh nghiệp rủi ro về thuế do Cục Thuế công bố hàng quý.

Bước 3 — Due Diligence: Standard DD vs Enhanced DD

Theo Thông tư 09/2023/TT-NHNN hướng dẫn Luật PCRT (áp dụng cho tổ chức tín dụng, chi nhánh ngân hàng nước ngoài; DN phi tài chính tham chiếu làm best practice), phân tầng DD như sau:

• Standard DD áp dụng cho nhà cung cấp rủi ro thấp/trung bình: xác thực pháp nhân, BCTC 2 năm, đánh giá năng lực kỹ thuật, kiểm tra litigation cơ bản (cổng án lệ Toà án Nhân dân Tối cao congbobanan.toaan.gov.vn).
• Enhanced DD (EDD) bắt buộc khi nhà cung cấp thuộc một trong các nhóm: pháp nhân từ jurisdictions rủi ro cao (FATF grey/black list), giao dịch chiếm tỷ trọng lớn trong spend hàng năm, ngành nhạy cảm (xuất nhập khẩu, dược, thiết bị y tế, đấu thầu công), có dấu hiệu UBO không minh bạch, hoặc nhà cung cấp dạng không có hoạt động sản xuất kinh doanh thực. EDD bổ sung: site visit, phỏng vấn ban lãnh đạo, kiểm toán độc lập (với hợp đồng giá trị lớn), background check cá nhân UBO.

Thực tiễn TPRM (Third-Party Risk Management) ở doanh nghiệp lớn cho thấy nguyên tắc Pareto: một tỷ lệ nhỏ nhà cung cấp (thường 15-20%) chiếm phần lớn giá trị spend và rủi ro, cần được đưa vào diện EDD.

Bước 4 — Risk scoring và phê duyệt

Tổng hợp output từ KYB và DD thành bảng điểm rủi ro đa chiều, tối thiểu 4 trục: rủi ro tài chính (Z''-score Altman cho non-manufacturing private firms, DSCR), rủi ro tuân thủ (sanctions, tax flag, litigation), rủi ro vận hành (capacity, single-source dependency), rủi ro ESG (đặc biệt quan trọng từ 2026 do CBAM EU áp dụng cho nhà cung cấp trong chuỗi cung ứng EU). Các nền tảng Source-to-Pay được Gartner xếp Leader trong các báo cáo Magic Quadrant for Source-to-Pay Suites gần đây (Coupa, SAP Ariba, GEP, Ivalua, Jaggaer) đều có module risk scoring tích hợp dữ liệu từ Dun & Bradstreet, EcoVadis, RepRisk.

Quy trình phê duyệt nên phân tầng theo ngưỡng spend (con số dưới đây là chỉ tiêu tham khảo, doanh nghiệp tự điều chỉnh theo quy mô):

• < 500 triệu/năm: Procurement Manager phê duyệt.
• 500 triệu - 5 tỷ/năm: Procurement Director + Compliance phê duyệt 2-bên.
• > 5 tỷ/năm: Steering Committee có đại diện CFO phê duyệt.

Bước 5 — Master data setup trong ERP

Bước này chỉ được kích hoạt sau khi Bước 4 ra quyết định "Approved" hoặc "Approved with conditions". Finance/AP là Accountable, IT Master Data team đóng vai trò Responsible hỗ trợ kỹ thuật — đây là nguyên tắc tách biệt nhiệm vụ (segregation of duties) để Procurement không vừa chọn vừa setup vendor. Trường tối thiểu: mã số thuế (validate format 10/13 ký tự), tài khoản ngân hàng (validate SWIFT/CITAD), payment terms, currency, withholding tax code, ESG rating, risk tier. Đảm bảo nguyên tắc single source of truth — một pháp nhân = một mã nhà cung cấp duy nhất, tránh duplicate vendor và ghost vendor.

Bước 6 — Hợp đồng và onboarding agreement

Ký hợp đồng khung (Master Supply Agreement) kèm các phụ lục: Code of Conduct (theo UN Global Compact 10 nguyên tắc), Anti-bribery clause (tham chiếu Luật Phòng chống tham nhũng 36/2018/QH14), Data Processing Agreement nếu nhà cung cấp xử lý dữ liệu cá nhân (theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân), và SLA vận hành. Hợp đồng nên link ngược lại risk tier ở Bước 4 — nhà cung cấp tier cao nên xem xét bổ sung điều khoản audit right và termination for cause.

Bước 7 — Ongoing monitoring và annual review

Onboarding không kết thúcở thời điểm ký hợp đồng. CIPS Sustainable Procurement Guide nhấn mạnh chu kỳ giám sát liên tục: sanctions screening định kỳ (vì danh sách OFAC/UN cập nhật thường xuyên), kiểm tra tình trạng MST hàng quý, recertification toàn bộ hồ sơ KYB hàng năm với nhà cung cấp tier 2-3, mỗi 2 năm với tier 1. Trigger tái đánh giá ngoài lịch: thay đổi UBO, M&A, sự kiện tiêu cực truyền thông, vi phạm SLA lặp lại.

1.3. KPI chuẩn của Procurement function

Tham chiếu Gartner Supply Chain Top 25, CIPS Procurement Performance Benchmark, và các nguồn benchmark độc lập như Hackett Group / APQC Open Standards Benchmarking, bộ KPI tối thiểu gồm:

• Onboarding cycle time: thời gian từ Bước 1 đến Bước 5 hoàn tất. Doanh nghiệp top-quartile thường rút ngắn cycle time đáng kể nhờ tự động hoá KYB; con số benchmark cụ thể tuỳ ngành và nguồn (Hackett/APQC).
• Cost per onboarded supplier: tổng chi phí FTE + tool + data subscription chia số nhà cung cấp onboard thành công. Cần đối chiếu benchmark Hackett Group hoặc APQC cập nhật.
• First-time KYB pass rate: tỷ lệ nhà cung cấp pass KYB ở lần submit đầu tiên. Tỷ lệ thấp là chỉ dấu PQQ và hướng dẫn cho nhà cung cấp chưa rõ ràng.
• Risk score distribution: phân bổ danh mục theo tier. Healthy portfolio nghiêng về tier thấp; tỷ lệ tier cao bất thường cần đưa vào báo cáo Audit Committee.
• Reonboarding/churn rate: tỷ lệ nhà cung cấp bị deactivate trong 12 tháng đầu — chỉ dấu vấn đề ở Bước 1-2.
• Spend under management (SUM): tỷ lệ chi tiêu đi qua nhà cung cấp đã onboard chuẩn. Doanh nghiệp Việt Nam còn dư địa lớn so với benchmark quốc tế theo các báo cáo của McKinsey Operations Practice.

1.4. Tra cứu nhanh nhà cung cấp tiềm năng trên doanhnghiep.vn

Mỗi hồ sơ doanh nghiệp tại /tim-kiem đã đối chiếu sẵn dữ liệu từ 4 nguồn nhà nước (NBRP, Cục Thuế, HOSE/HNX, Toà án nhân dân). Ví dụ tra hồ sơ Công ty CP FPT: trang hồ sơ hiển thị ngay trạng thái pháp lý, MST đối chiếu với cổng Cục Thuế, vốn điều lệ, đại diện pháp luật, lịch sử thay đổi đăng ký. So sánh với Vinamilk(supplier chain F&B quy mô lớn có yêu cầu ESG) hoặc Techcombank (tổ chức tín dụng — đối tượng báo cáo PCRT bắt buộc, có yêu cầu CDD/EDD cứng) qua /so-sanh để thấy bất thường về vốn / quy mô / số lao động BHXH ngay từ bước PQQ.

Góc 2 — 9 lỗi onboarding kinh điển của doanh nghiệp Việt

Onboarding nhà cung cấp không phải là thủ tục hành chính — nó là tuyến phòng thủ đầu tiên chống gian lận mua sắm, rửa tiền và rủi ro pháp lý. Theo ACFE Report to the Nations 2024 (1.921 vụ tại 138 quốc gia, median 145.000 USD/vụ), gian lận mua sắm là nhóm scheme phổ biến trong khối Corruption, với thời gian phát hiện trung bình kéo dài nhiều tháng đến hơn một năm. Ở Việt Nam, các vụ án lớn gần đây cho thấy hậu quả khi onboarding bị bỏ qua. Dưới đây là 9 lỗi kinh điển.

Lỗi 1 — Onboard chỉ dựa trên GCN ĐKDN, bỏ qua KYB đầy đủ

Phần lớn doanh nghiệp Việt chỉ yêu cầu nhà cung cấp gửi bản scan Giấy chứng nhận ĐKDN và mã số thuế, rồi nhập thẳng vào ERP. Đây là KYB "giấy" — không có đối chiếu chéo với Cổng thông tin quốc gia về đăng ký doanh nghiệp (NBRP), không kiểm tra tình trạng hoạt động trên tracuunnt.gdt.gov.vn, không verify chữ ký số người đại diện pháp luật.

Hậu quả: Nhà cung cấp có thể đã bị thu hồi GCN, đang "tạm ngưng hoạt động", hoặc bị cơ quan thuế xác định "không hoạt động tại địa chỉ đã đăng ký" (mã trạng thái MST 06 theo Thông tư 105/2020/TT-BTC). Trong vụ Tập đoàn Thiên Minh Đức (theo KLĐT của Cơ quan CSĐT Bộ Công an công bố tháng 5/2026), Thiên Minh Đức bị đề nghị truy tố về hành vi liên quan đến việc xuất 153 hoá đơn cho 21 doanh nghiệp với khối lượng ghi trên hoá đơn 72 triệu lít xăng dầu, doanh số ảo 842 tỷ đồng — nhiều bên mua được ghi nhận đã hạch toán hoá đơn vì hồ sơ "đủ giấy tờ".

Phòng tránh: Nên đối chiếu MST với cổng NBRP và tracuunnt.gdt.gov.vn ở thời điểm onboard và định kỳ. Lưu screenshot có timestamp làm bằng chứng audit trail.

Lỗi 2 — Bỏ qua Enhanced Due Diligence cho high-risk vendor

Nhiều doanh nghiệp áp dụng cùng một quy trình onboarding cho mọi nhà cung cấp, bất kể nhà cung cấp là công ty bán văn phòng phẩm 50 triệu/năm hay đối tác tài chính 500 tỷ/năm. Không có risk-based approach, không screening PEP (Politically Exposed Persons), không kiểm tra danh sách trừng phạt OFAC/UN/EU, không đánh giá rủi ro địa lý.

Hậu quả: Đối với các tổ chức thuộc đối tượng báo cáo theo Luật PCRT 14/2022/QH15 (TCTD, chi nhánh ngân hàng nước ngoài, một số ngành phi tài chính), việc không áp dụng biện pháp tăng cường với khách hàng/đối tác rủi ro cao có thể bị xử phạt theo các nghị định xử phạt VPHC trong lĩnh vực tiền tệ và ngân hàng. Với doanh nghiệp B2B thông thường, rủi ro chính là pháp lý liên đới và uy tín khi đối tác bị truy tố.

Phòng tránh: Phân loại nhà cung cấp theo 3 tier rủi ro (low/medium/high) dựa trên giá trị hợp đồng, ngành, quốc tịch UBO, lịch sử pháp lý. Tier high nên qua EDD: phỏng vấn trực tiếp, kiểm tra hiện trường, báo cáo tín dụng.

Lỗi 3 — Không xác minh chủ sở hữu hưởng lợi (UBO)

Đây là lỗi nghiêm trọng nhất từ 2023. Điều 7 Nghị định 19/2023/NĐ-CP và Luật Doanh nghiệp sửa đổi 76/2025/QH15 (hiệu lực 1/7/2025) yêu cầu xác định người sở hữu/kiểm soát từ 25% trở lên. Nhiều doanh nghiệp Việt chỉ nhận danh sách cổ đông trên giấy ĐKDN, không truy ngược lên cá nhân cuối cùng.

Hậu quả: Không phát hiện nhà cung cấp thực chất do "người nhà" của Giám đốc mua sắm sở hữu — đây chính là kịch bản conflict of interest dẫn đến gian lận. Đối với đối tượng báo cáo PCRT, vi phạm Điều 38 Luật PCRT về lưu trữ thông tin UBO có thể bị xử phạt VPHC và có thể bị truy cứu hình sự nếu cấu thành đồng phạm rửa tiền.

Phòng tránh: Yêu cầu vendor cam kết UBO Declaration Form có chữ ký Giám đốc, đối chiếu với hồ sơ NBRP đã update theo NĐ 19/2023, screening UBO qua OpenSanctions hoặc provider có hợp đồng SLA (LSEG World-Check, Dow Jones Risk & Compliance).

Lỗi 4 — Không yêu cầu BCTC kiểm toán + AML certification

Hợp đồng vài tỷ đồng nhưng không yêu cầu BCTC 2-3 năm gần nhất đã được kiểm toán độc lập, không yêu cầu cam kết tuân thủ PCRT/chống tham nhũng. Nhà cung cấp tự khai năng lực tài chính bằng file Word.

Hậu quả: Đối tác phá sản giữa hợp đồng (mất tiền ứng trước, không có hàng giao), hoặc dùng doanh nghiệp làm vỏ bọc cho dòng tiền bẩn. Theo ACFE Report to the Nations 2024, tip-off từ nhân viên/đối tác là phương thức phát hiện gian lận phổ biến nhất — chỉ dấu rằng kiểm toán nội bộ và due diligence trước đó đã thất bại.

Phòng tránh: Nên xem xét yêu cầu BCTC kiểm toán bởi công ty kiểm toán có đăng ký hành nghề tại Bộ Tài chính theo Luật Kiểm toán độc lập 67/2011/QH12đối với hợp đồng giá trị lớn; ký Anti-Bribery & AML Compliance Certificate; review lại mỗi 12 tháng.

Lỗi 5 — Master data nhập từ bản scan, không cross-check NBRP/GDT

Nhân viên mua sắm nhập tên công ty, MST, địa chỉ, số tài khoản từ bản scan vendor gửi qua email. Không API call NBRP để verify, không check tracuunnt.gdt.gov.vn để xác nhận MST còn hoạt động, không gọi điện ngân hàng xác minh tài khoản đứng tên đúng pháp nhân.

Hậu quả: Đây chính là lỗ hổng được mô tả trong vụ Tập đoàn Thiên Minh Đức (theo KLĐT Bộ Công an công bố tháng 5/2026): 21 doanh nghiệp bị cơ quan điều tra xác định có dấu hiệu pháp nhân không hoạt động thực tế, liên quan đến 153 hoá đơn với khối lượng 72 triệu lít xăng dầu, doanh số ảo 842 tỷ đồng. Bên mua tự động kê khai khấu trừ VAT đầu vào — đến khi bị truy thu cộng phạt 1-3 lần thì doanh nghiệp đối mặt rủi ro tài chính nghiêm trọng.

Phòng tránh: Tích hợp Vendor Master Data với cổng NBRP và GDT; mọi thay đổi số tài khoản nên qua 4-eyes approval và xác minh qua kênh chính thức (văn bản công ty + chữ ký số).

Lỗi 6 — Không có ongoing monitoring sau onboard

Onboard xong là "khoá sổ". Không annual review, không re-screen sanctions list, không theo dõi tin tức tiêu cực (adverse media) về nhà cung cấp. Nhà cung cấp có thể đã bị khởi tố, đã bị thu hồi giấy phép, đã thay đổi UBO sang người bị cấm — nhưng hệ thống không biết.

Hậu quả: Doanh nghiệp tiếp tục giao dịch với pháp nhân đã có vấn đề pháp lý, tạo rủi ro lây nhiễm. Đối với đối tượng báo cáo PCRT, vi phạm Điều 12 Luật PCRT về giám sát giao dịch liên tục có thể bị xử phạt.

Phòng tránh: Thiết lập continuous monitoring: tự động re-screen định kỳ, cảnh báo khi có thay đổi tại NBRP (UBO, vốn, người đại diện), thiết lập Google Alerts/news monitoring cho top 50 vendor.

Lỗi 7 — Không có Conflict of Interest declaration

Nhân viên mua sắm và người phê duyệt vendor không phải ký tờ khai xung đột lợi ích định kỳ. Không có quy định cấm người thân (vợ/chồng, anh chị em, con) sở hữu hoặc làm việc tại nhà cung cấp.

Hậu quả: Đây là gốc rễ vụ Công ty CP Công nghệ Việt Á. Theo bản án phúc thẩm của Toà án Quân sự Trung ương ngày 18/7/2024, Phan Quốc Việt được giảm án trong vụ án quân sự xuống còn 22 năm tù. Tổng hợp với các bản án trước theo nguyên tắc tổng hợp hình phạt tại Điều 55 BLHS 2015 (mức trần tù có thời hạn là 30 năm). Theo các bản án đã có hiệu lực, một số cán bộ tại các đơn vị y tế công đã bị xét xử về tội Nhận hối lộ (Điều 354 BLHS) và Vi phạm quy định về đấu thầu gây hậu quả nghiêm trọng (Điều 222 BLHS). Khi người phê duyệt mua sắm có quan hệ lợi ích với người bán, mọi quy trình KYB đều giảm hiệu lực.

Phòng tránh: Annual CoI declaration cho toàn bộ nhân sự procurement, finance, internal audit; whistleblowing hotline ẩn danh; segregation of duties giữa người chọn vendor — người duyệt — người thanh toán.

Lỗi 8 — Không có SLA và Termination Clause rõ ràng

Hợp đồng vendor copy template chung, không định nghĩa KPI giao hàng/chất lượng, không có quyền terminate khi vendor vi phạm AML/anti-bribery, không có audit right để doanh nghiệp được vào kiểm tra sổ sách.

Hậu quả: Khi vendor vi phạm hoặc bị khởi tố, doanh nghiệp có thể thiếu cơ sở pháp lý rõ ràng để chấm dứt hợp đồng, vẫn phải tiếp tục thanh toán hoặc bị kiện ngược. Đặc biệt nguy hiểm với hợp đồng dịch vụ outsourcing dài hạn.

Phòng tránh: Mọi hợp đồng nên xem xét đưa vào 3 clause: (a) Right to Audit — quyền vào kiểm tra trong 30 ngày báo trước; (b) Compliance Termination — quyền chấm dứt ngay khi vendor vi phạm AML/anti-bribery; (c) SLA định lượng với mức phạt vi phạm.

Lỗi 9 — Không lưu hồ sơ onboarding 5 năm

Sau onboard, hồ sơ giấy hoặc PDF được lưu lung tung trong email, Google Drive cá nhân, ổ cứng nhân viên. Khi nhân viên nghỉ việc, hồ sơ biến mất. Khi cơ quan thanh tra yêu cầu, không lục được.

Hậu quả: Đối với đối tượng báo cáo PCRT, Điều 38 Luật PCRT 14/2022/QH15 yêu cầu lưu trữ hồ sơ nhận biết khách hàng/đối tác tối thiểu 5 năm kể từ ngày kết thúc giao dịch; vi phạm có thể bị xử phạt VPHC theo nghị định xử phạt trong lĩnh vực tiền tệ và ngân hàng. Đối với doanh nghiệp B2B thông thường, đây không phải nghĩa vụ trực tiếp nhưng là best practice phục vụ kiểm toán nội bộ và phòng vệ pháp lý.

Phòng tránh: Triển khai Vendor Management System tập trung với retention policy tự động 5-7 năm, audit log immutable, quyền truy cập phân tầng và sao lưu off-site.

Tổng kết Góc 2: chi phí phòng ngừa luôn rẻ hơn nhiều lần chi phí xử lý hậu quả. Một quy trình KYB-EDD-UBO-monitoring đầy đủ tốn vài chục triệu đồng/năm cho doanh nghiệp vừa, nhưng giảm đáng kể rủi ro truy thu thuế, rủi ro liên đới pháp lý và quan trọng nhất — rủi ro hình sự cho lãnh đạo.

Góc 3 — 3 case study Việt Nam: onboarding kém dẫn đến mất tiền

Ba vụ án dưới đây — đều đã có kết luận điều tra hoặc bản án công khai trên báo chính thống Việt Nam — minh hoạ ba bối cảnh trong đó thiếu hụt kiểm soát onboarding là một trong các yếu tố tạo điều kiện cho hành vi vi phạm. Nội dung không phải tư vấn pháp lý. Mọi mô tả hành vi đều dẫn nguồn KLĐT hoặc bản án; với vụ Thiên Minh Đức (chưa có bản án có hiệu lực), bài viết tuân thủ nguyên tắc suy đoán vô tội theo Điều 13 Bộ luật Tố tụng Hình sự 2015.

Case 1 — Tập đoàn Thiên Minh Đức (KLĐT Bộ Công an 5/2026)

Bối cảnh: Công ty CP Tập đoàn Thiên Minh Đức (trụ sở tại tỉnh Nghệ An theo KLĐT công bố) là một trong những đầu mối kinh doanh xăng dầu lớn ở Bắc Trung Bộ. Theo Kết luận điều tra của Cơ quan Cảnh sát điều tra Bộ Công an công bố tháng 5/2026, trong giai đoạn 2020-2022, Thiên Minh Đức bị đề nghị truy tố về hành vi liên quan đến việc xuất 153 hoá đơn giá trị gia tăng cho 21 doanh nghiệp ở nhiều tỉnh thành, với tổng khối lượng ghi trên hoá đơn lên tới 72 triệu lít xăng dầu và doanh số ghi trên hoá đơn 842 tỷ đồng. Vụ án hiện ở giai đoạn KLĐT, chưa có bản án có hiệu lực.

Theo KLĐT, bên mua trải rộng nhiều ngành: vận tải, xây dựng, thương mại tổng hợp — đa phần là doanh nghiệp tư nhân quy mô vừa cần hoá đơn đầu vào để khấu trừ thuế GTGT và hợp thức chi phí.

Lỗi onboarding cụ thể (theo cáo buộc KLĐT):

1. Không tra cứu trạng thái hoá đơn trên hoadondientu.gdt.gov.vn — Hệ thống của Tổng cục Thuế (nay là Cục Thuế thuộc Bộ Tài chính) cho phép bên mua kiểm tra hoá đơn điện tử có hợp lệ hay không miễn phí.
2. Không screening dòng tiền — không có giao dịch ngân hàng tương ứng với khối lượng xăng dầu ghi trên hoá đơn theo cáo buộc; trong nhiều trường hợp, bên mua bị cơ quan điều tra xác định không nhận hàng vật chất.
3. Không có hợp đồng kinh tế thực, không có biên bản giao nhận, không có hồ sơ vận chuyển — theo cáo buộc, "giao dịch" chỉ tồn tại trên hoá đơn.

Hậu quả (theo KLĐT và quy định hiện hành):

• Truy thu thuế GTGT đã khấu trừ + thuế TNDN với các doanh nghiệp bên mua, kèm tiền phạt và tiền chậm nộp theo quy định pháp luật về quản lý thuế.
• Đề nghị truy tố theo Điều 200 BLHS (Trốn thuế) đối với cá nhân/doanh nghiệp bên mua sử dụng hoá đơn để khấu trừ thuế trái pháp luật; Điều 203 BLHS (In, phát hành, mua bán trái phép hoá đơn) đối với người bán và trung gian.
• Reputation: 21 doanh nghiệp bị nêu trong KLĐT của Bộ Công an, ảnh hưởng đến khả năng đấu thầu và tiếp cận tín dụng ngân hàng.

Nguồn: Kết luận điều tra Cơ quan CSĐT Bộ Công an công bố tháng 5/2026; Báo Công an Nhân dân (cand.vn); Báo Chính phủ (baochinhphu.vn); Báo Tuổi Trẻ Online.

Case 2 — Công ty Việt Á (phúc thẩm Toà án Quân sự TW 18/7/2024)

Bối cảnh: Công ty CP Công nghệ Việt Á do Phan Quốc Việt làm Chủ tịch HĐQT là nhà cung cấp kit xét nghiệm SARS-CoV-2 cho hàng loạt CDC tỉnh và bệnh viện công trong giai đoạn 2020-2021. Bản án phúc thẩm của Toà án Quân sự Trung ương ngày 18/7/2024 trong vụ án quân sự tuyên Phan Quốc Việt 22 năm tù (giảm so với mức án sơ thẩm). Tổng hợp với các bản án trước theo nguyên tắc tổng hợp hình phạt tại Điều 55 BLHS 2015 — mức trần tù có thời hạn là 30 năm. Theo các bản án đã có hiệu lực ở các vụ liên quan, một số cán bộ y tế tại các CDC tỉnh, đơn vị y tế công, Bộ Y tế và Học viện Quân y đã bị xét xử về các tội danh khác nhau bao gồm Nhận hối lộ (Điều 354 BLHS) và Vi phạm quy định về đấu thầu gây hậu quả nghiêm trọng (Điều 222 BLHS).

Lỗi onboarding (theo cáo buộc và nhận định của các bản án đã có hiệu lực):

1. Onboard qua "chỉ định thầu" mà không Enhanced Due Diligence — Việt Á được nhiều bệnh viện và CDC tỉnh chọn theo hình thức chỉ định thầu rút gọn (viện dẫn lý do khẩn cấp dịch bệnh) mà không kiểm tra: năng lực sản xuất thực tế, nguồn gốc kit test, giấy phép lưu hành, biên độ giá so với thị trường.
2. Không có cơ chế Conflict-of-Interest Declaration — theo các bản án đã có hiệu lực, một số cán bộ tại các đơn vị mua sắm bị xác định đã nhận khoản chi ngoài hợp đồng từ Việt Á, nhưng quy trình mua sắm không yêu cầu khai báo lợi ích cá nhân với nhà cung cấp.
3. Không tham chiếu giá thị trường (price benchmark) — kit test bị xác định đã được mua với mức giá cao hơn đáng kể so với chi phí sản xuất theo nhận định trong các bản án.

Hậu quả: nhiều vụ án hình sự liên quan đã được xét xử ở các cấp khác nhau (vụ dân sự chính, vụ quân sự, các vụ tại CDC địa phương). Cán bộ y tế từ cấp Bộ đến cấp Sở/CDC ở các địa phương đã có bản án bị xét xử về Nhận hối lộ và Vi phạm quy định đấu thầu — danh sách cụ thể theo từng bản án đã công bố. Thiệt hại ngân sách nhiều trăm tỷ đồng phải khắc phục theo nội dung các bản án, kèm chi phí xã hội về niềm tin vào hệ thống y tế công.

Nguồn: Bản án phúc thẩm Toà án Quân sự Trung ương ngày 18/7/2024; Báo Chính phủ; Báo Công an Nhân dân; Báo Nhân Dân.

Case 3 — Vạn Thịnh Phát giai đoạn 2 (Bản án 504/2024/HSST)

Bối cảnh: Bản án sơ thẩm số 504/2024/HSST ngày 17/10/2024 của TAND TP.HCM đối với Trương Mỹ Lan và đồng phạm trong giai đoạn 2 vụ án Vạn Thịnh Phát đã làm rõ: 25 mã trái phiếu được phát hành bởi 4 công ty bình phong — An Đông, Sunny World, Quang Thuận, Setra — với tổng mệnh giá 30.869 tỷ đồng, gây thiệt hại cho 35.824 nhà đầu tư trái phiếu (theo nội dung bản án).

Bên phân phối: nhân viên môi giới của một ngân hàng thương mại và công ty chứng khoán thuộc hệ sinh thái, đứng ra tư vấn và bán trái phiếu cho khách hàng cá nhân.

Lỗi onboarding issuer (theo nhận định của HĐXX trong Bản án 504/2024/HSST):

1. Theo Bản án sơ thẩm số 504/2024/HSST, HĐXX nhận định bốn công ty An Đông, Sunny World, Quang Thuận, Setra không có dòng tiền hoạt động kinh doanh thực để đảm bảo nghĩa vụ trả nợ trái phiếu, nhưng vẫn được đưa vào danh mục phân phối.
2. Không có BCTC được kiểm toán độc lập đáng tin cậy + không có thẩm định mục đích sử dụng vốn — yêu cầu cơ bản theo Nghị định 153/2020/NĐ-CP và Nghị định 65/2022/NĐ-CP về chào bán trái phiếu doanh nghiệp riêng lẻ.
3. Không có UBO verification — theo nhận định trong bản án, bốn issuer này có mối liên kết về sở hữu/kiểm soát, nhưng quy trình onboarding issuer ở khâu phân phối không phát hiện hoặc không xử lý mối quan hệ liên kết này.
4. Không có warning về risk concentration — khi nhiều mã trái phiếu thực chất tập trung rủi ro về một nhóm, nhà đầu tư đối mặt rủi ro tập trung lớn.

Hậu quả: 35.824 nhà đầu tư bị thiệt hại tài chính theo bản án, với tổng mệnh giá 30.869 tỷ đồng. Bản án sơ thẩm tuyên các bị cáo liên quan với hình phạt nghiêm khắc; tội danh áp dụng theo bản án bao gồm Lừa đảo chiếm đoạt tài sản (Điều 174 BLHS) và Rửa tiền (Điều 324 BLHS) — đây là hai tội danh độc lập trong bản án, không gộp. Vụ án trở thành chất xúc tác cho việc siết chặt khung pháp lý trái phiếu doanh nghiệp riêng lẻ từ 2024.

Nguồn: Bản án sơ thẩm số 504/2024/HSST ngày 17/10/2024 của TAND TP.HCM; Báo Chính phủ; Báo Pháp luật TP.HCM; Báo VnExpress; Báo Tuổi Trẻ.

Bảng tổng hợp 3 case → 4 lỗi onboarding

Ba case này đều đã có kết luận điều tra hoặc bản án công khai trên báo chính thống Việt Nam. Chi phí của một quy trình onboarding nhà cung cấp đầy đủ — tra hoadondientu.gdt.gov.vn, đối chiếu BCTC kiểm toán, kiểm tra UBO, yêu cầu khai báo xung đột lợi ích — đều là vài giờ làm việc mỗi nhà cung cấp.

Góc 4 — Tech stack 2026: KYB API, AI agent, reference architecture

Onboarding nhà cung cấp năm 2026 không còn là quy trình email + Excel + công chứng giấy. Một stack hiện đại kết hợp KYB API, AML screening real-time, AI agent trích xuất dữ liệu, và event-driven architecture đẩy supplier master data tự động vào ERP. Phần này phân tích các nhóm công cụ, kiến trúc tham chiếu, đặc thù tích hợp tại Việt Nam, và ma trận build-vs-buy theo quy mô vendor base.

4.1. Các nhóm công cụ chính

KYB Platform — Quốc tế

Lớp lõi xác minh pháp nhân, UBO, và tình trạng hoạt động. Danh sách dưới đây không xếp hạng, không khuyến nghị riêng cổng nào — doanh nghiệp tự đánh giá theo nhu cầu:

• Dun & Bradstreet — database D-U-N-S, scoring tín dụng B2B (dnb.com)
• LSEG Risk Intelligence (gồm Refinitiv World-Check) — sanctions + PEP + adverse media, được khối tài chính sử dụng
• ComplyAdvantage — screening + risk monitoring theo tài liệu vendor
• Moody's Orbis (Bureau van Dijk) — company records, ownership tree
• Sayari — network graph supply chain risk
• Kompany (by Moody's) — live government register access nhiều quốc gia

KYB Platform — Việt Nam

• doanhnghiep.vn — tra cứu doanh nghiệp Việt Nam, đối chiếu sẵn dữ liệu NBRP / Cục Thuế / HOSE / HNX / Toà án; miễn phí (ghi chú minh bạch: bài viết này thuộc kênh nội dung doanhnghiep.vn).
• CRIF D&B Vietnam — báo cáo tín dụng doanh nghiệp Việt Nam
• Vietnam Credit — credit report, ownership structure
• FiinGroup — financial intelligence doanh nghiệp niêm yết + private Việt Nam

AML / Sanctions Screening

Quan trọng cho compliance, đặc biệt khi vendor có yếu tố nước ngoài. Lưu ý: OpenSanctions là dataset open-source tổng hợp các danh sách công khai; phạm vi cập nhật và coverage có thể khác provider thương mại có hợp đồng SLA. Tổ chức nằm trong phạm vi báo cáo PCRT nên đối chiếu yêu cầu pháp lý với provider có hợp đồng.

• OpenSanctions — open dataset, có API, free tier
• OFAC SDN List — danh sách trừng phạt Mỹ
• EU Consolidated Financial Sanctions List
• UK HM Treasury Sanctions List
• UN Security Council Consolidated List

Supplier Portal / SRM (Source-to-Pay)

Theo Gartner Magic Quadrant for Source-to-Pay Suites và Market Guide for Supplier Management Applications (các edition gần nhất), các Leader gồm Coupa, SAP Ariba, GEP, Ivalua, Jaggaer:

• SAP Ariba — Ariba Network quy mô rất lớn, dominant ở enterprise
• Coupa — UX tốt, AI Spend Insights
• Jaggaer — vertical mạnh higher-ed, manufacturing
• Ivalua — configurable, phù hợp công ty quy trình phức tạp
• GEP SMART — unified S2P + supply chain
• Zycus — cognitive procurement, AI-first

ERP Master Data Management

• SAP Master Data Governance (MDG)
• Oracle Supplier Hub / Product Hub
• Informatica MDM
• Stibo Systems

Procurement Intake (làn sóng mới 2024-2026)

Lớp "front door" thay thế Jira/ServiceNow cho procurement request, Gartner gọi là Intake-to-Procure (I2P): Zip, Pivot, Levelpath, Oro Labs, Tonkean.

E-Invoice Verification (đặc thù Việt Nam)

• hoadondientu.gdt.gov.vn — tra cứu mã CQT, verify hoá đơn đầu vào
• tracuunnt.gdt.gov.vn — tra cứu trạng thái MST
• dangkykinhdoanh.gov.vn — Cổng thông tin quốc gia về ĐKDN (NBRP)

4.2. Automation với AI agent 2026

Document Extraction Layer

GPT-4o, Claude Sonnet 4.7, Gemini 2.5 Pro với vision/PDF capability đã đủ chính xác production-grade cho:

• GCN ĐKDN: extract MST, tên DN, địa chỉ trụ sở, vốn điều lệ, người đại diện pháp luật, ngành nghề.
• Báo cáo tài chính: parse bảng cân đối kế toán, KQKD, lưu chuyển tiền tệ thành JSON chuẩn.
• UBO declaration: trích xuất ownership chain, % sở hữu, country of residence.
• Hợp đồng & NDA: extract clause obligations cho contract management.

Pattern phổ biến: PDF → OCR (Mistral OCR, Azure Document Intelligence, AWS Textract) → LLM extract với structured output (JSON schema) → validation layer.

Auto-Match với Public Registers

Sau khi LLM trích xuất MST + tên DN, agent gọi song song: doanhnghiep.vn (verify tên + địa chỉ + tình trạng), tracuunnt.gdt .gov.vn (verify trạng thái thuế), hoadondientu.gdt.gov.vn (verify hoá đơn mẫu), OpenSanctions (screen tên DN + UBO + người đại diện), HOSE/HNX (nếu vendor niêm yết). Nếu mismatch (ví dụ địa chỉ trên GCN ≠ địa chỉ NBRP), agent raise flag và đẩy sang human review queue.

Risk-Scoring Agent

Risk score tổng hợp từ multi-signal:

• Pháp lý: tình trạng MST, sanctions hit, PEP exposure
• Tài chính: hệ số thanh toán hiện hành, ROE, debt/equity từ BCTC; Z''-score Altman cho non-manufacturing private firms
• Vận hành: số năm hoạt động, số lao động (cross-check BHXH), doanh thu khai báo
• Reputational: adverse media (Google News + GDELT API + provider feed)

Threshold quyết định tier:

• Low risk (0-30): straight-through processing
• Medium (31-70): Standard Due Diligence
• High (71-100): Enhanced Due Diligence + C-level sign-off

Agent Frameworks

Anthropic Agent SDK, OpenAI Agents SDK, LangGraph, Google Vertex AI Agent Builder. Pattern khuyến nghị: supervisor agent điều phối các specialist sub-agent (extraction agent, KYB agent, sanctions agent, finance agent, risk synthesis agent). Mỗi sub-agent có tool scope hẹp + audit log riêng.

4.3. Reference architecture

        SUPPLIER ONBOARDING REFERENCE ARCHITECTURE 2026

  +-----------------+     +-----------------+     +-------------------+
  | Supplier Portal | --> | Intake Layer    | --> | Document Ingest   |
  | (self-service)  |     | (Zip / Pivot)   |     | (S3 + OCR + LLM)  |
  +-----------------+     +-----------------+     +-------------------+
                                                            |
                                                            v
  +-----------------------------------------------------------------+
  |       EVENT BUS  (Kafka / EventBridge / Pub-Sub)                |
  +-----------------------------------------------------------------+
      |          |             |            |             |
      v          v             v            v             v
  +-------+ +-----------+ +------------+ +---------+ +----------+
  |  KYB  | | Sanctions | | Tax / NBRP | |Financial| | Adverse  |
  | (D&B, | | (OFAC, EU,| | (GDT,      | | (BCTC   | | Media    |
  |Moody's| | UN, Open- | | doanhng-   | | parser) | | (GDELT,  |
  |dnv)   | | Sanctions)| | hiep.vn)   | |         | | News)    |
  +-------+ +-----------+ +------------+ +---------+ +----------+
      |          |             |            |             |
      +----------+-------------+------------+-------------+
                              |
                              v
                +--------------------------------+
                |   AI Risk-Scoring Agent        |
                |   (Claude / GPT / Gemini)      |
                |   - Weighted score 0-100       |
                |   - Tier: Low / Med / High     |
                |   - Auto EDD trigger           |
                +--------------------------------+
                              |
              +---------------+---------------+
              v                               v
   +---------------------+        +-----------------------+
   | ERP Master Data Mgmt|        | Contract Lifecycle    |
   | (SAP MDG / Oracle)  |        | (Ironclad / Icertis)  |
   +---------------------+        +-----------------------+
              |                               |
              v                               v
   +---------------------+        +-----------------------+
   | P2P / Payment       |        | Audit Trail immutable |
   | (Coupa, Ariba)      |        | + SOC2 evidence store |
   +---------------------+        +-----------------------+

4 nguyên tắc thiết kế: (1) Event-driven — mọi state change (supplier.submitted, kyb.completed, risk.scored, approved) phát ra event bus → downstream subscribe; (2) Idempotent — webhook + retry không tạo duplicate supplier record; (3) Audit trail bất biến — lưu mọi LLM prompt + response + tool call vào append-only log (S3 Object Lock / Postgres WORM) phục vụ kiểm toán SOC 2 và NHNN; (4) Human-in-the-loop — agent không tự approve vendor rủi ro cao; queue gửi compliance officer kèm rationale + evidence.

4.4. Integration đặc thù Việt Nam

• Cổng ĐKDN quốc gia (NBRP) — dangkykinhdoanh.gov.vn: chưa có open API chính thức, dùng scrape theo MST hoặc partner qua doanhnghiep.vn.
• Tra cứu NNT (GDT) — tracuunnt.gdt.gov.vn: public lookup theo MST, có rate limit, cần caching.
• Hoá đơn điện tử — hoadondientu.gdt.gov.vn: verify mã CQT, cross-check vendor có thực sự phát hành hoá đơn.
• BHXH — baohiemxahoi.gov.vn: cross-check số lao động khai báo và số đóng BHXH.
• Cổng Sở KH&ĐT tỉnh: tuỳ tỉnh — một số tỉnh có open data, đa số scrape.
• Toà án nhân dân tối cao — congbobanan.toaan.gov.vn: tra cứu bản án doanh nghiệp có tranh chấp.

Cảnh báo pháp lý: theo Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân, khi xử lý dữ liệu UBO + người đại diện pháp luật phải có cơ sở pháp lý (sự đồng ý, thực hiện nghĩa vụ pháp luật…) + thông báo xử lý DLCN. Dữ liệu sinh trắc học (giọng nói, khuôn mặt) thuộc DLCN nhạy cảm — cân nhắc dùng xác minh qua văn bản công ty + chữ ký số nếu không có quy trình DLCN nhạy cảm đầy đủ.

4.5. Ma trận build-vs-buy

Các con số TCO/năm dưới đây là ước lượng tác giả dựa trên kinh nghiệm thị trường, không phải benchmark chính thức từ Gartner/Forrester. Doanh nghiệp cần báo giá thực tế từ vendor.

Tiêu chí quyết định build: vendor base > 5K hoặc tăng > 30%/năm; yêu cầu compliance đặc thù (NHNN, Basel III, EU CSRD, US DPP); vendor onboarding journey rất khác biệt theo segment; đội Engineering có capacity duy trì 5-10 năm. Tiêu chí quyết định buy: vendor base ổn định < 2K; không có team Engineering chuyên procurement; cần go-live < 6 tháng; process tương đối chuẩn, không cần customization sâu. Hybrid là mặc định cho mid-market.

Góc 5 — Khung pháp lý 2026, RACI và 5 template paste-ready

5.1. Khung pháp lý Việt Nam áp dụng cho onboarding nhà cung cấp

Onboarding nhà cung cấp không còn là quy trình thuần procurement. Từ 1/7/2025, khi Luật số 76/2025/QH15 sửa đổi Luật Doanh nghiệp 2020 có hiệu lực, mọi doanh nghiệp Việt Nam phải kê khai chủ sở hữu hưởng lợi (UBO) khi đăng ký thành lập, thay đổi nội dung đăng ký doanh nghiệp, hoặc cập nhật khi có biến động. Điều này có nghĩa: bên mua có cơ sở pháp lý để yêu cầu nhà cung cấp khai báo UBO trong hồ sơ onboarding.

Hệ quả thực tiễn: mọi form onboarding nên có (i) điều khoản đồng ý xử lý DLCN theo NĐ 13/2023, (ii) khai báo UBO theo NĐ 19/2023, (iii) bản tự khai thuế/MST có thể đối chiếu với cổng tra cứu công khai, và (iv) cam kết không thuộc các trường hợp tại Điều 200, 203, 174 BLHS.

5.2. ESG và Sustainable Procurement

Báo cáo ESG không còn là tuỳ chọn cho onboarding nếu doanh nghiệp xuất khẩu hoặc nằm trong chuỗi cung ứng đa quốc gia (khung GRI / ISSB + Thông tư 96/2020 bắt buộc từ 2027):

• ISO 20400:2017 — Sustainable Procurement Guidance: khung guidance quốc tế tích hợp tiêu chí bền vững vào toàn bộ chu trình mua sắm. Không phải tiêu chuẩn chứng nhận (certification standard), mà là guidance.
• CBAM (Carbon Border Adjustment Mechanism) — EU Regulation 2023/956: giai đoạn chuyển tiếp đã chạy từ 10/2023; từ 1/1/2026 áp dụng chính thức với 6 nhóm hàng: thép, nhôm, xi măng, phân bón, điện, hydro. Supplier Việt Nam xuất khẩu các mặt hàng này sang EU phải khai báo phát thải carbon nhúng (embedded emissions). Buyer trong chuỗi cần thu thập dữ liệu này từ supplier ngay tại bước onboarding.
• Thông tư 96/2020/TT-BTC (hướng dẫn công bố thông tin trên TTCK): công ty đại chúng phải báo cáo phát triển bền vững, kéo theo nhu cầu thu thập ESG data từ supplier trong Top spend.

Khuyến nghị: thêm 5-7 trường ESG vào PQQ (ISO 14001, ISO 45001, chính sách lao động trẻ em, phát thải scope 1-2, chứng nhận năng lượng, chính sách chống tham nhũng).

5.3. Ma trận RACI — 7 bước onboarding × 7 phòng ban

R = Responsible (làm), A = Accountable (chịu trách nhiệm cuối, mỗi hàng 1 chủ thể A), C = Consulted (tham vấn), I = Informed (thông báo).

Nguyên tắc đọc bảng: mỗi hàng chỉ có một chủ thể A. Bước 6 (vendor master setup) phải do Finance/AP làm Accountable — tách chức năng (segregation of duties), giảm rủi ro gian lận thanh toán. Bước 7 thuộc Internal Audit để bảo đảm độc lập rà soát hậu kiểm.

5.4. 5 template paste-ready

Disclaimer template: các form dưới đây là composite biên soạn dựa trên yêu cầu pháp lý tại NĐ 19/2023/NĐ-CP, Luật PCRT 14/2022/QH15, NĐ 13/2023/NĐ-CP và thông lệ chung; không sao chép từ tài liệu thuộc sở hữu trí tuệ của bên thứ ba. Doanh nghiệp cần điều chỉnh phù hợp với quy trình nội bộ và tham vấn luật sư có chứng chỉ hành nghề trước khi sử dụng chính thức.

# SUPPLIER PRE-QUALIFICATION QUESTIONNAIRE (PQQ)
Mã hồ sơ: PQQ-[YYYY]-[####]    Ngày phát hành: __/__/____

## A. THÔNG TIN PHÁP LÝ
1. Tên doanh nghiệp (theo ĐKKD): _______________________________
2. Mã số thuế / Mã số doanh nghiệp: ____________________________
3. Ngày cấp ĐKKD lần đầu: __/__/____   Lần cấp gần nhất: __/__/____
4. Địa chỉ trụ sở chính (theo ĐKKD): ___________________________
5. Người đại diện theo pháp luật (họ tên, chức danh, CCCD): _____

## B. CƠ CẤU SỞ HỮU
6. Vốn điều lệ (VND): __________________________________________
7. Danh sách cổ đông / thành viên góp vốn ≥ 10%: _______________
8. Khai báo UBO (theo NĐ 19/2023/NĐ-CP Điều 7): ________________

## C. NĂNG LỰC TÀI CHÍNH
9.  Doanh thu 3 năm gần nhất (VND): ____________________________
10. Lợi nhuận sau thuế 3 năm gần nhất: _________________________
11. Ngân hàng giao dịch chính (tên, chi nhánh, số TK): _________

## D. NĂNG LỰC VẬN HÀNH
12. Ngành nghề kinh doanh chính (mã ngành VSIC): _______________
13. Số lượng nhân sự: __________________________________________
14. Khách hàng tham chiếu (3 đơn vị): __________________________

## E. ESG & TUÂN THỦ
15. Chứng nhận ISO 9001 / 14001 / 45001 (số, ngày cấp): ________
16. Chính sách chống tham nhũng (có/không, đính kèm): __________
17. Phát thải CO2 scope 1+2 (tấn/năm, nếu thuộc CBAM): _________
18. Có tranh chấp pháp lý đang giải quyết? (có/không, mô tả): __

## F. CAM KẾT
19. Không thuộc các trường hợp tại Điều 200, 203, 174 BLHS 2015
20. Đồng ý xử lý DLCN theo NĐ 13/2023/NĐ-CP

Chữ ký người đại diện pháp luật: ______________  Đóng dấu: ____

# KYB VERIFICATION CHECKLIST
Supplier: _____________  MST: ___________  Verifier: __________

[ ]  1. MST tồn tại trên cổng GDT (tracuunnt.gdt.gov.vn) — không ở mã 06
[ ]  2. Tên DN trên NBRP (dangkykinhdoanh.gov.vn) khớp PQQ
[ ]  3. Ngày cấp ĐKKD ≥ 12 tháng (nếu < 6 tháng → EDD bắt buộc)
[ ]  4. Địa chỉ trụ sở: Google Maps + Street View không phải toà nhà ảo
[ ]  5. Người đại diện pháp luật không trùng > 5 DN khác (red flag)
[ ]  6. UBO không nằm trong danh sách PEP / sanction (OFAC, EU, UN)
[ ]  7. Vốn điều lệ ≥ ngưỡng yêu cầu của hợp đồng dự kiến
[ ]  8. Ngành nghề ĐKKD bao phủ hàng hoá/dịch vụ sẽ cung cấp
[ ]  9. BCTC đã nộp cho cơ quan thuế (xác nhận nộp tờ khai quyết
        toán; hoặc BCTC công bố trên HOSE/HNX/UPCOM nếu DN đại chúng)
[ ] 10. Không có thông báo "tạm ngừng kinh doanh" trong 12 tháng
[ ] 11. Tài khoản ngân hàng đứng tên DN (không phải cá nhân)
[ ] 12. Không có bản án/quyết định cưỡng chế thuế công khai
[ ] 13. Domain email công ty (không phải Gmail/Yahoo cá nhân)
[ ] 14. Số điện thoại doanh nghiệp xác minh được (call back)
[ ] 15. Đối chiếu tin tức tiêu cực (adverse media) 24 tháng

Kết luận: [ ] PASS   [ ] EDD bắt buộc   [ ] REJECT
Ký tên: ___________________   Ngày: __/__/____

# KÊ KHAI CHỦ SỞ HỮU HƯỞNG LỢI (UBO)
Căn cứ: Luật DN 2020 sửa đổi bởi Luật 76/2025/QH15, NĐ 19/2023/NĐ-CP Điều 7

Doanh nghiệp: _________________________  MST: _________________

Người được xác định là UBO khi đáp ứng MỘT trong các tiêu chí:
(a) Sở hữu trực tiếp/gián tiếp ≥ 25% vốn điều lệ
(b) Có quyền chi phối việc bổ nhiệm/miễn nhiệm đa số HĐQT/Giám đốc
(c) Có quyền chi phối thông qua thoả thuận khác

+-----+------------+----------------+-----------+----------+------------------+
| STT | Họ tên UBO | CCCD/Hộ chiếu  | Quốc tịch | % sở hữu | Tiêu chí (a/b/c) |
+-----+------------+----------------+-----------+----------+------------------+
|  1  |            |                |           |          |                  |
|  2  |            |                |           |          |                  |
+-----+------------+----------------+-----------+----------+------------------+

Cam kết: Thông tin trên đầy đủ, chính xác. Cam kết cập nhật trong
10 ngày làm việc kể từ khi có biến động.

Người đại diện pháp luật (ký, đóng dấu): __________________

# KHAI BÁO XUNG ĐỘT LỢI ÍCH
Supplier: _____________  Buyer: _____________  Ngày: __/__/____

1. UBO, cổ đông ≥ 10%, hoặc thành viên HĐQT/BGĐ của supplier
   CÓ phải là người thân (vợ/chồng, con, cha mẹ, anh chị em ruột)
   của nhân sự buyer không?   [ ] Có  [ ] Không
   Nếu Có, kê khai: _______________________________________

2. Supplier CÓ đang/đã thuê tư vấn, môi giới có quan hệ
   với nhân sự procurement/finance của buyer không?
   [ ] Có  [ ] Không   Chi tiết: _______________________

3. CÓ khoản chi quà tặng/hoa hồng > 500.000 VND cho cá nhân
   thuộc buyer trong 12 tháng qua không?   [ ] Có  [ ] Không

Cam kết khai báo trung thực. Vi phạm sẽ bị chấm dứt hợp đồng
và xử lý theo pháp luật (Điều 354 BLHS — Tội nhận hối lộ).

Ký tên người đại diện pháp luật: ___________________________

# VENDOR MASTER SETUP FORM (Finance/AP)
Vendor Code (do AP cấp): VEN-______    Yêu cầu bởi: ___________

A. THÔNG TIN THANH TOÁN
- Tên thụ hưởng (khớp ĐKKD): _________________________________
- Ngân hàng: __________________  Chi nhánh: _________________
- Số tài khoản: ____________________  SWIFT (nếu có): _______
- Đồng tiền: [ ] VND  [ ] USD  [ ] Khác: _____

B. ĐIỀU KHOẢN
- Payment terms: [ ] Net 30  [ ] Net 45  [ ] Net 60
- Phương thức: [ ] Chuyển khoản  [ ] L/C  [ ] Khác
- Hoá đơn: [ ] HĐĐT  [ ] Giấy   MST xuất HĐ: _______________

C. KIỂM TRA CHÉO (4-eyes)
[ ] Đã đối chiếu STK với xác nhận ngân hàng (sao kê / công văn)
[ ] Đã xác minh thay đổi STK qua kênh chính thức của DN
    (văn bản công ty đóng dấu + chữ ký số, hoặc kênh đã xác lập)
[ ] Đã đối chiếu MST với cổng GDT (tracuunnt.gdt.gov.vn)

Ghi chú: Nếu sử dụng phương thức call-back hoặc ghi âm xác minh
giọng nói, đây là DLCN nhạy cảm theo NĐ 13/2023/NĐ-CP — chỉ áp
dụng khi có sự đồng ý rõ ràng + thông báo xử lý DLCN + cơ sở
lưu trữ phù hợp. Cân nhắc dùng kênh văn bản + chữ ký số nếu
không có quy trình DLCN sinh trắc học đầy đủ.

Maker: ______________  Checker: ______________  Approver: ______

5.5. SLA và Escalation Matrix

Mục tiêu thời gian onboarding dưới đây là chỉ tiêu nội bộ tham khảo, không phải benchmark chính thức:

Escalation tierskhi vượt SLA hoặc có red flag: Tier 1 (SLA quá hạn 2 ngày hoặc 1 red flag KYB) — Procurement Manager + Compliance Lead xử lý trong 2 ngày; Tier 2 (quá hạn 5 ngày, 2+ red flag, UBO không khai báo được) — Procurement Director + Head of Compliance xử lý trong 3 ngày; Tier 3 (EDD phát hiện sanction hit, PEP, adverse media nghiêm trọng, hoặc giá trị hợp đồng > 50 tỷ) — Risk Committee (CFO + CLO + CCO) họp chuyên đề trong 5 ngày.

Nguyên tắc: mọi escalation phải được ghi log trong vendor master với timestamp, người duyệt, và lý do override. Đối với đối tượng báo cáo PCRT, Internal Audit rà soát mẫu hàng quý theo Luật PCRT 14/2022/QH15 Điều 38 — lưu hồ sơ tối thiểu 5 năm.

Kết luận

Năm 2026, onboarding nhà cung cấp B2B không còn là "nhận giấy, đóng dấu, vào ERP". Luật Doanh nghiệp sửa đổi 76/2025/QH15 (hiệu lực 1/7/2025) đã yêu cầu khai báo UBO; NBRP đã công khai dữ liệu chủ sở hữu hưởng lợi; CBAM EU áp dụng chính thức từ 1/1/2026; AI agent đã production-ready cho document extraction và risk scoring. Doanh nghiệp B2B Việt Nam có đủ khung pháp lý và công cụ để xây quy trình onboarding chuẩn quốc tế với chi phí thấp.

Bộ công cụ tối thiểu: quy trình 7 bước (PQQ → KYB → DD/EDD → risk scoring → master data → contract → ongoing monitoring) + RACI 7 phòng ban với Compliance là Accountable cho KYB/DD, Finance/AP cho master data, Internal Audit cho monitoring + 5 form paste-ready (PQQ, KYB Checklist 15 dấu hiệu, UBO Declaration, Conflict of Interest, Vendor Master Setup) + đối chiếu 4 cổng nhà nước Việt Nam (NBRP, Cục Thuế, hoá đơn điện tử, BHXH). Tổng chi phí vài chục triệu đồng/năm cho doanh nghiệp vừa — rẻ hơn rất nhiều lần so với chi phí một deal thất bại hoặc một vụ truy thu thuế GTGT do nhận hoá đơn không hợp lệ.

Tra cứu nhanh nhà cung cấp Việt Nam đã đối chiếu sẵn 4 cổng nhà nước tại doanhnghiep.vn/tim-kiem — 2,8 triệu doanh nghiệp, miễn phí. Đối với deal lớn hoặc nhà cung cấp tier high, kết hợp thêm OpenSanctions, OCCRP Aleph, OpenCorporates cho tầng quốc tế.