Chuẩn bị audit bản quyền phần mềm: checklist & quy trình SAM cho doanh nghiệp Việt (2026)

Vì sao "mua thêm license" chưa đủ — bạn cần một quy trình

Phần lớn doanh nghiệp Việt khi nghe tin thanh tra bản quyền đều phản ứng giống nhau: gọi đại lý, mua vội vài license, rồi thở phào. Nhưng đó là vá lỗ hổng, không phải quản trị rủi ro. Khi đoàn kiểm tra liên ngành đến, thứ họ đối chiếu không phải "bạn có thiện chí không" mà là bằng chứng: bạn đang chạy bao nhiêu bản của mỗi phần mềm, bạn mua hợp lệ bao nhiêu, và chứng từ đâu. Nếu không có một quy trình kiểm kê chạy liên tục, con số đó thay đổi mỗi ngày nhân viên tự cài thêm phần mềm — và bạn không bao giờ ở trạng thái "sạch".

Về mặt pháp lý, gốc rễ của rủi ro rất rõ: theo khoản 1 Điều 22 Luật Sở hữu trí tuệ, "chương trình máy tính được bảo hộ như tác phẩm văn học, dù thể hiện dưới dạng mã nguồn hay mã máy". Nghĩa là mỗi bản phần mềm cài không phép chính là một hành vi sao chép tác phẩm mà không được phép của chủ sở hữu quyền tác giả — chế tài nằm ở Điều 16 Nghị định 341/2025/NĐ-CP (ban hành 26/12/2025, hiệu lực 15/02/2026, thay thế Nghị định 131/2013).

Cái mà thế giới gọi là Software Asset Management (SAM) — quản lý tài sản phần mềm — chính là lời giải có hệ thống. Chuẩn quốc tế ISO/IEC 19770-1:2017 định nghĩa một hệ thống quản lý tài sản CNTT với các nhóm quy trình: kiểm soát môi trường, lập kế hoạch, kiểm kê (inventory), xác minh & tuân thủ (verification & compliance), vận hành và vòng đời. Bài này rút gọn khung đó thành 6 bước thực dụng cho SME Việt.

• "Mua thêm license" xử lý một thời điểm; SAM giữ bạn ở trạng thái tuân thủ liên tục.
• Bằng chứng > thiện chí: đoàn kiểm tra đối chiếu số bản đang chạy với số license có hoá đơn.
• Cơ sở pháp lý: Điều 22 Luật SHTT (phần mềm = tác phẩm) → Điều 16 NĐ 341/2025 (sao chép không phép).

Bối cảnh 2026: vì sao năm nay khác các năm trước

Hai thay đổi khiến 2026 là năm bản lề. Thứ nhất, ngày 05/5/2026 Thủ tướng ban hành Công điện 38/CĐ-TTg phát động cao điểm đấu tranh vi phạm sở hữu trí tuệ trên toàn quốc, đợt ra quân đồng loạt 07–30/5/2026. Thứ hai, Nghị định 341/2025/NĐ-CP — văn bản thay thế Nghị định 131/2013 sau 8 năm — có hiệu lực 15/02/2026, gồm 4 chương 65 điều.

Điểm mới đáng chú ý nhất về mặt thực thi: NĐ 341/2025 mở rộng biện pháp khắc phục hậu quả từ 4 lên 29 biện pháp, và cách tính mức phạt được hiệu chỉnh theo 3 tiêu chí: số lợi bất hợp pháp thu được, mức độ thiệt hại gây ra cho chủ thể quyền, hoặc giá trị hàng hoá vi phạm. Trần phạt tiền giữ nguyên — cá nhân tối đa 250 triệu đồng, tổ chức tối đa 500 triệu đồng (Điều 5 khoản 1: cùng một hành vi, mức phạt với tổ chức gấp 02 lần cá nhân).

Bài này không nhắc lại chi tiết bảng khung phạt (đã có bài riêng của Dzo về NĐ 341). Điều đáng nói ở đây: khi chế tài mạnh hơn và biện pháp khắc phục nhiều hơn, thứ bảo vệ doanh nghiệp không phải là may mắn — mà là hồ sơ tuân thủ chuẩn bị trước.

• Công điện 38/CĐ-TTg (05/5/2026) — cao điểm SHTT toàn quốc 07–30/5/2026.
• NĐ 341/2025 hiệu lực 15/02/2026, thay NĐ 131/2013, 4 chương 65 điều.
• Biện pháp khắc phục: 4 → 29; phạt tính theo 3 tiêu chí (lợi bất hợp pháp / thiệt hại / giá trị hàng vi phạm).
• Trần phạt: cá nhân 250 triệu · tổ chức 500 triệu (tổ chức = gấp 2 lần, Điều 5 khoản 1).

Checklist 6 bước chuẩn bị audit (theo ISO/IEC 19770-1:2017)

Khung dưới đây ánh xạ các nhóm quy trình của ISO/IEC 19770-1:2017 thành 6 bước làm được ngay, không cần công cụ đắt tiền. Mục tiêu: từ "không biết mình đang chạy gì" → "có một bảng đối chiếu license cập nhật, có chủ sở hữu, rà lại định kỳ".

• Bước 1 — Kiểm kê (Inventory): Quét toàn bộ máy trạm/máy chủ, lập danh sách mọi phần mềm đang cài: tên, phiên bản, ngày cài, nguồn tải. Đây là "nhóm quy trình kiểm kê" của ISO 19770-1 — không có dữ liệu này thì mọi bước sau đều là phỏng đoán.
• Bước 2 — Thu thập chứng từ quyền sử dụng (Entitlement): Gom mọi bằng chứng license: hoá đơn VAT điện tử, email kích hoạt, hợp đồng/EA với nhà cung cấp, bản điều khoản (T&C) đi kèm. Một license không có hoá đơn hợp lệ ≈ không có license khi đối chiếu.
• Bước 3 — Đối chiếu & tìm gap (Reconciliation): Đặt cạnh nhau "số bản đang chạy" (Bước 1) và "số quyền sử dụng hợp lệ" (Bước 2). Ghi rõ từng phần mềm: đủ, thiếu (under-licensing), hay thừa (over-licensing — lãng phí tiền).
• Bước 4 — Ưu tiên & hợp thức hoá đúng đường: Xử lý trước phần mềm rủi ro cao (thiết kế, kỹ thuật, văn phòng). Mua bổ sung qua đại lý uỷ quyền, có hoá đơn đỏ; hoặc chuyển sang bản thuê bao/đám mây/nguồn mở nếu phù hợp. Tuyệt đối không "mua" qua kênh không xuất được hoá đơn VAT hợp lệ.
• Bước 5 — Chính sách & kiểm soát (Policy & Control): Ban hành policy cấm nhân viên tự cài phần mềm; giới hạn quyền admin máy trạm; lập quy trình duyệt khi cần phần mềm mới. ISO 19770-1 nhấn mạnh kiểm soát việc sao chép/phân phối và dấu vết (audit trail) — đây là chỗ ngăn tái phát.
• Bước 6 — Rà soát định kỳ (Verification): Đặt lịch kiểm kê lại 6 tháng/lần (hoặc quý với doanh nghiệp lớn). Tuân thủ không phải trạng thái đạt-một-lần; nhân sự vào/ra, máy mới, phần mềm mới liên tục tạo gap mới.

Khi đoàn thanh tra đến: nên và không nên làm gì

Nếu đã làm 6 bước trên, buổi làm việc với đoàn kiểm tra chủ yếu là trình hồ sơ thay vì hoảng loạn. Đoàn kiểm tra liên ngành thường gồm thanh tra chuyên ngành, cảnh sát kinh tế và đại diện được uỷ quyền của các hãng phần mềm; họ có quyền lập biên bản hiện trạng máy móc.

Nguyên tắc ứng xử: hợp tác, cung cấp đúng hồ sơ đã chuẩn bị, cử một đầu mối (thường là IT/pháp chế) làm việc. Không tự ý gỡ/cài phần mềm ngay trước mặt đoàn, không cung cấp thông tin sai sự thật. Nếu chưa rõ quyền và nghĩa vụ, đề nghị được tham vấn luật sư trước khi ký biên bản — đây là quyền hợp pháp.

• NÊN: cử một đầu mối, trình bộ hồ sơ inventory + chứng từ license đã chuẩn bị (Bước 1–2).
• NÊN: yêu cầu biên bản ghi đúng hiện trạng; đề nghị tham vấn luật sư trước khi ký nếu cần.
• KHÔNG: gỡ/cài phần mềm ngay trước mặt đoàn để "chữa cháy".
• KHÔNG: khai sai, giấu máy — có thể thành tình tiết tăng nặng.

Một lưu ý về so sánh nhà cung cấp phần mềm

Khi hợp thức hoá, doanh nghiệp thường cân nhắc chuyển đổi giữa các nhà cung cấp (ví dụ bộ ứng dụng văn phòng, phần mềm thiết kế, giải pháp đám mây). Việc so sánh là hợp pháp và nên làm — nhưng cần so sánh trên dữ kiện đúng: giá công bố, điều khoản license, tính năng có thật. Đưa thông tin sai lệch để hạ uy tín một nhà cung cấp có thể vi phạm quy định về cạnh tranh không lành mạnh theo Luật Cạnh tranh 2018. Bài viết của Dzo luôn nêu ưu/nhược trên dữ kiện kiểm chứng, không gièm pha.

• So sánh vendor = hợp pháp và nên làm — nhưng chỉ trên dữ kiện đúng (giá, điều khoản, tính năng thật).
• Bôi nhọ/đưa tin sai về đối thủ có thể vi phạm Luật Cạnh tranh 2018.

Kết luận: quy trình rẻ hơn rủi ro

Cao điểm thanh tra 2026 rồi sẽ có đợt kế tiếp; khung phạt của NĐ 341/2025 sẽ còn hiệu lực lâu dài. Doanh nghiệp không kiểm soát được lịch kiểm tra, nhưng kiểm soát được trạng thái sẵn sàng của chính mình. Một quy trình SAM 6 bước, chạy đều mỗi 6 tháng, biến "audit" từ một sự kiện đáng sợ thành một thủ tục hành chính. Chi phí duy trì quy trình luôn nhỏ hơn nhiều so với mức phạt tối đa 500 triệu đồng với tổ chức — chưa kể rủi ro uy tín và gián đoạn kinh doanh.

*Bài viết mang tính tham khảo, không thay thế tư vấn pháp lý. Vui lòng đối chiếu văn bản gốc (cov.gov.vn, chinhphu.vn) hoặc tham vấn luật sư trước khi ra quyết định.*