Mổ xẻ quy trình phê duyệt chi tiêu: Chặn rủi ro an ninh tài chính

19/09/2026

"Hệ thống có chặn được nhân viên rút tiền gấp đôi hạn mức không?"

Đó là câu hỏi phổ biến nhất tôi nhận được từ các CFO khi nói về an ninh tài chính. Câu trả lời thẳng thắn: Không, nếu bạn chỉ dựa vào quy tắc cứng nhắc.

Thực tế, phần lớn các vụ gian lận nội bộ không vi phạm giới hạn số tiền, mà vi phạm giới hạn hành vi. Họ rút tiền vào lúc nửa đêm, tại một cửa hàng xa văn phòng, hoặc liên tiếp ba giao dịch nhỏ dưới ngưỡng báo cáo. Quy tắc cũ chỉ bắt được kẻ ngốc. Kẻ thông minh sẽ luồn lách qua từng khe hở. Đây chính là lúc phát hiện bất thường dựa trên hành vi người dùng (UEBA) trở thành yếu tố sống còn trong quản lý chi tiêu doanh nghiệp.

Điểm nghẽn trong quy trình phê duyệt thủ công hiện nay

Để hiểu tại sao cần thay đổi, hãy nhìn vào quy trình phê duyệt chi tiêu bằng thẻ nội bộ tại một tập đoàn phân phối thực phẩm ở Hà Nội mà tôi từng tư vấn. Quy trình này nghe thì đơn giản, nhưng thực tế vận hành lại rất rời rạc.

Chặng 1: Giao dịch phát sinh. Nhân viên mua nguyên liệu từ nhà cung cấp A. Hệ thống ngân hàng gửi thông báo SMS về số dư và số tiền. Đây là dữ liệu thô, chưa có ngữ cảnh.

Chặng 2: Thu thập chứng từ. Bộ phận kế toán chờ hóa đơn VAT từ nhà cung cấp. Thời gian chờ trung bình là 2-3 ngày làm việc. Trong khoảng thời gian này, không ai kiểm tra xem giao dịch đó có hợp lý hay không, trừ khi có khiếu nại từ phía nhà cung cấp.

Chặng 3: Đối chiếu và phê duyệt. Kế toán đối chiếu hóa đơn với phiếu chi. Nếu khớp, họ nhập vào phần mềm ERP. Nếu không khớp, họ gọi điện xác nhận. Bước này phụ thuộc nặng nề vào sự chăm chỉ và kinh nghiệm của từng nhân viên kế toán.

Chặng 4: Báo cáo cuối tháng. CFO xem báo cáo tổng hợp. Lúc này, nếu có một giao dịch bất thường trị giá 50 triệu đồng, nó sẽ bị chôn vùi trong hàng nghìn giao dịch khác. Muốn phát hiện, bạn phải lục lại từng file PDF, gọi điện lại từng nhà cung cấp. Quá trình này mất từ 2 tuần đến một tháng để làm rõ.

Vấn đề lớn nhất nằm ở Chặng 2 và 3. Khoảng trống thời gian giữa lúc tiền ra và lúc nó được kiểm tra là cửa ngõ cho gian lận. Hơn nữa, con người không thể nhớ hết lịch sử chi tiêu của 500 nhân viên. Kế toán viên A giỏi phát hiện gian lận ở chi nhánh Bắc, nhưng có thể bỏ sót một kiểu gian lận tinh vi ở chi nhánh Nam vì anh ấy chưa từng thấy mẫu hình đó.

AI chen vào ở đâu? Và ở đâu cần giữ nguyên cho con người?

Đây là phần quan trọng nhất. Nhiều sếp nghĩ rằng AI sẽ thay thế kế toán. Sai lầm lớn. AI không thay thế con người, AI thay thế phần "so khớp dữ liệu tĩnh" để con người tập trung vào "phán đoán ngữ cảnh động".

Điều ai cũng nói: "AI sẽ tự động hóa toàn bộ quy trình phê duyệt, con người chỉ cần bấm approve."

Điều thực tế cho thấy: Tự động hóa 100% là con đường dẫn đến tai nạn. Tôi từng thấy một hệ thống tự động chặn 30% giao dịch hợp lệ vì chúng lệch khỏi mô hình trung bình (ví dụ: một buổi tiệc tất niên lớn hơn bình thường). Hậu quả là nhân viên công tác bị kẹt tiền, tiến độ dự án chậm trễ, và CFO mất niềm tin vào hệ thống.

Cách tiếp cận đúng mà tôi triển khai cùng các đối tác như Masan hay các tập đoàn đa quốc gia tại Thái Lan là chia tầng:

• Tầng 1: Lọc kỹ thuật (AI làm 100%). Kiểm tra số dư, hạn mức, trùng lặp giao dịch, lỗi định dạng hóa đơn. Nếu lỗi, hệ thống tự động từ chối và gửi thông báo chi tiết. Con người không cần can thiệp. Điều này giúp giảm khoảng một phần ba khối lượng công việc cho bộ phận kế toán.
• Tầng 2: Cảnh báo hành vi (AI gợi ý, con người quyết định). Đây là nơi UEBA phát huy sức mạnh. AI phân tích lịch sử chi tiêu của từng nhân viên. Nếu một nhân viên thường mua văn phòng phẩm tại Hà Nội bỗng nhiên mua hàng 20 triệu đồng tại TP.HCM vào thứ Bảy, hệ thống sẽ đánh dấu "Nguy cơ cao". Nó không chặn giao dịch ngay, mà đẩy cảnh báo lên dashboard của Trưởng phòng Tài chính. Người quản lý sẽ xem ngữ cảnh: nhân viên đó có công tác không? Có đơn xin phép không? Nếu có, họ phê duyệt. Nếu không, họ gọi điện xác nhận.
• Tầng 3: Phê duyệt ngoại lệ (Con người làm 100%). Những giao dịch vượt quá một ngưỡng nhất định (ví dụ: trên 100 triệu đồng) hoặc liên quan đến các danh mục nhạy cảm (tiền mặt, quà tặng) luôn luôn cần sự phê duyệt thủ công của cấp cao hơn. AI chỉ cung cấp thêm thông tin hỗ trợ, không tự quyết.

Điểm mấu chốt là nhận diện hành vi thay vì phân tích con số. Một giao dịch 5 triệu đồng có vẻ nhỏ, nhưng nếu nó là giao dịch thứ 10 trong ngày của cùng một nhân viên, nó là một tín hiệu đỏ. Con người khó lòng phát hiện điều này bằng mắt thường khi lướt qua 500 dòng dữ liệu. Máy thì rất giỏi.

Giới hạn phần cứng và chất lượng dữ liệu: Những kẻ thù thầm lặng

Tôi muốn nói thẳng về một thực tế mà nhiều bài viết marketing hay bỏ qua: Mô hình AI tốt nhất cũng vô dụng nếu dữ liệu đầu vào là rác.

Trong các doanh nghiệp Việt Nam, dữ liệu chi tiêu thường rất "bẩn". Tên nhà cung cấp viết không thống nhất ("Công ty ABC" vs "CTy ABC" vs "ABC Trading"). Hóa đơn chụp mờ, thiếu mã vạch, hoặc bị gập. Khi bạn đưa những dữ liệu này vào mô hình UEBA, kết quả sẽ là nhiễu. Mô hình sẽ liên tục cảnh báo sai, khiến người dùng bỏ qua hệ thống (alert fatigue).

Tôi đã từng triển khai dự án cho một công ty ngành dầu nhớt. Bước đầu tiên không phải là xây dựng mô hình AI, mà là dành ba tháng để dọn dữ liệu. Chúng tôi thiết lập các quy tắc chuẩn hóa tên nhà cung cấp, tích hợp OCR để đọc hóa đơn tự động và đối chiếu chéo với danh mục hàng hóa. Chỉ khi dữ liệu sạch và nhất quán, UEBA mới bắt đầu có ý nghĩa.

Bên cạnh đó, giới hạn phần cứng cũng là một yếu tố cần tính toán. Việc xử lý hàng triệu giao dịch mỗi ngày và chạy mô hình phát hiện bất thường thời gian thực đòi hỏi hạ tầng tính toán đủ mạnh. Nếu công ty bạn đang dùng máy chủ cục bộ cũ kỹ, việc triển khai UEBA real-time sẽ gặp nhiều khó khăn về độ trễ. Trong nhiều trường hợp, chúng tôi tư vấn khách hàng di chuyển tầng xử lý dữ liệu lớn lên cloud, trong khi giữ dữ liệu tài chính nhạy cảm ở on-premise. Đây là một đánh đổi cần cân nhắc kỹ giữa chi phí và hiệu suất.

Một lưu ý nữa về bối cảnh khu vực. Nếu doanh nghiệp bạn có chuỗi cung ứng tại Philippines hoặc Mexico, dữ liệu chi tiêu sẽ có sự khác biệt lớn về múi giờ, tỷ giá và thói quen tiêu dùng. Mô hình UEBA cần được huấn luyện riêng cho từng khu vực địa lý, không thể dùng một mô hình chung cho toàn bộ hệ thống. Tôi đã thấy nhiều dự án thất bại vì cố áp đặt bộ quy tắc của thị trường Mỹ lên thị trường Đông Nam Á mà không điều chỉnh tham số.

Kết luận thực tế

Không có công nghệ nào thay thế được sự phán đoán của con người trong những tình huống mơ hồ. Nhưng cũng không có con người nào giỏi bằng máy trong việc nhận ra một mẫu hình lặp đi lặp lại trong hàng triệu dòng dữ liệu. Sự an ninh tài thực sự đến từ việc biết rõ ranh giới đó: để AI làm việc lặp lại, để con người làm việc sáng tạo và phán đoán.

Chúng tôi viết loạt bài này từ những dự án đã chạy thật. Xem thêm tại blog AIVISION, tìm hiểu nhận diện khuôn mặt và các giải pháp khác, hoặc liên hệ để được tư vấn.