Hổ phù, chữ ký số và câu hỏi doanh nghiệp hay bỏ quên: quyết định đã được hình thành thế nào?

2026-10-24

Mỗi tuần, một giám đốc doanh nghiệp sản xuất có thể ký hàng chục chứng từ: đơn mua hàng, phiếu chấp nhận nguyên liệu, thay đổi quy trình, hợp đồng. Phần lớn đã chuyển sang chữ ký số. Hồ sơ đầy đủ, hợp lệ, không ai sửa được.

Rồi một năm sau, một chuyên gia đánh giá hỏi: “Tại sao lô nguyên liệu này được chấp nhận dù vượt chỉ tiêu?” Người ký đã nghỉ việc. Trưởng phòng QC cũ đã chuyển công tác. File PDF có chữ ký hợp lệ, nhưng không trả lời được câu hỏi.

Đây là khoảng trống mà chữ ký, dù là chữ ký tay hay chữ ký số, không được thiết kế để lấp. Và một tín vật hơn 2.000 năm tuổi, hổ phù, giúp nhìn khoảng trống đó rõ hơn bất kỳ định nghĩa kỹ thuật nào.

Tóm tắt cho CEO

• Hổ phù và chữ ký số cùng một nguyên lý: xác thực bằng hai phần khớp nhau. Nhưng chúng không phải cùng một công nghệ.
• Chữ ký số trả lời “ai đã ký” và “văn bản có bị sửa không”. Nó không trả lời “vì sao ký” và “dựa trên bằng chứng nào”.
• Câu chuyện trộm hổ phù thời Chiến Quốc cho thấy: tín vật khớp hoàn toàn vẫn có thể đi cùng một quyết định không chính danh.
• Doanh nghiệp cần một lớp thứ ba: lịch sử hình thành quyết định có thể truy vết. Đây là một phần của bộ nhớ tổ chức, không chỉ là log hệ thống.
• Phần cuối bài có 7 câu hỏi để tự kiểm tra doanh nghiệp đang nhớ được bao nhiêu về quyết định của chính mình.

Hình 1. Mỗi lớp xác thực trả lời một câu hỏi khác nhau.

“Phù hợp”: một từ bắt nguồn từ hai nửa con hổ

Người Việt dùng chữ “phù hợp” hằng ngày mà ít khi nghĩ đến gốc của nó. Theo cách giải thích từ nguyên phổ biến, “phù hợp” (符合) vốn chỉ việc hai nửa của một tín vật gọi là “phù” ghép lại khớp nhau, chứng tỏ không có giả mạo trong việc điều binh. Tín vật đó thường được đúc hình con hổ, nên gọi là hổ phù (虎符).

Cần phân biệt một chút: trong tiếng Việt hiện nay, “hổ phù” thường được dùng để gọi mô-típ mặt thú trang trí trên đình, chùa, trang phục võ quan. Một số nhà nghiên cứu cho rằng cách gọi này dễ gây nhầm với tín vật quân sự. Bài viết này nói về nghĩa gốc: binh phù hình hổ.

Cơ chế của hổ phù khá đơn giản. Một con hổ bằng đồng được chia dọc thành hai nửa, mặt trong có mộng và ngàm khớp với nhau. Nửa phải do nhà vua giữ. Nửa trái giao cho quan địa phương hoặc tướng cầm quân. Khi cần điều binh, sứ giả mang nửa của vua đến; vị tướng ghép thử với nửa mình đang giữ. Khớp thì thi hành mệnh lệnh.

Một hiện vật cụ thể giúp hiểu rõ hơn. Đỗ hổ phù (杜虎符) thời Chiến Quốc, nước Tần, được phát hiện năm 1975 ở ngoại ô Tây An, là một trong những binh phù sớm nhất còn lại. Trên thân hổ có 40 chữ khảm vàng. Tạm dịch:

Phù của binh giáp: nửa phải ở chỗ vua, nửa trái ở đất Đỗ. Phàm dấy quân mặc giáp, dùng binh từ năm mươi người trở lên, ắt phải hợp với phù của vua mới dám làm. Việc đốt lửa báo động thì dù không hợp phù vẫn được làm.

Đọc kỹ, đây gần như một ma trận phân quyền. Dưới 50 người, tướng địa phương tự quyết. Từ 50 người trở lên, cần xác thực từ trung ương. Khi có báo động khẩn cấp, được hành động trước, không chờ xác thực. Ngưỡng, cấp phê duyệt và ngoại lệ: những thứ mà doanh nghiệp ngày nay vẫn đang viết vào quy chế phân quyền.

Từ hai nửa con hổ đến cặp khóa của chữ ký số

Hình 2. Hổ phù và chữ ký số: giống ở logic, khác ở mức gắn với nội dung.

Chữ ký số hiện đại cũng dựa trên một cặp. Luật Giao dịch điện tử 2023 (số 20/2023/QH15, hiệu lực từ 1/7/2024) định nghĩa chữ ký số là chữ ký điện tử dùng thuật toán khóa không đối xứng, gồm khóa bí mật để ký và khóa công khai để kiểm tra chữ ký. Tiêu chuẩn chữ ký số của Mỹ (NIST FIPS 186-5) mô tả cùng nguyên lý: chỉ người nắm khóa bí mật mới tạo được chữ ký, còn bất kỳ ai có khóa công khai tương ứng đều kiểm tra được.

Nghe rất giống hổ phù: một phần để “phát lệnh”, một phần để “kiểm tra”, và hai phần chỉ khớp với nhau. Nhưng nếu dừng ở đó, phép so sánh sẽ sai ở ba chỗ quan trọng:

Vì vậy, nói chính xác: hổ phù và chữ ký số chia sẻ một nguyên lý xác thực bằng hai phần tương ứng, không chia sẻ thuật toán. Hổ phù không phải “chữ ký số thời xưa”. Chữ ký số đã giải quyết được những điểm yếu mà hổ phù có. Điểm yếu đầu tiên trong bảng trên, nửa tín vật phải di chuyển, chính là nơi lịch sử để lại một câu chuyện rất đáng suy ngẫm.

Khi tín vật khớp, nhưng quyết định vẫn sai

Hình 3. Khớp về hình thức chưa trả lời câu hỏi về ý định.

Năm 257 trước Công nguyên, quân Tần vây Hàm Đan, kinh đô nước Triệu. Theo Sử ký của Tư Mã Thiên, vua Ngụy là An Ly vương sai tướng Tấn Bỉ đem mười vạn quân đi cứu. Nhưng khi Tần đe dọa, vua Ngụy sợ, ra lệnh cho Tấn Bỉ đóng quân ở đất Nghiệp, danh nghĩa là cứu Triệu, thực tế là chờ xem.

Tín Lăng Quân, em vua, muốn cứu Triệu. Theo kế của môn khách Hầu Doanh, ông nhờ Như Cơ, người thiếp được vua yêu, lấy trộm nửa hổ phù trong cung. Hầu Doanh còn dặn mang theo Chu Hợi, một người hàng thịt có sức mạnh: nếu Tấn Bỉ không giao quân thì giết.

Tại Nghiệp, Tấn Bỉ ghép hổ phù. Hai nửa khớp hoàn toàn. Nhưng ông vẫn nghi: vì sao nhà vua lại cử một người với đoàn tùy tùng nhỏ đến thay tướng cầm một đạo quân lớn đang đóng ở biên giới? Chu Hợi lập tức dùng chùy sắt giết Tấn Bỉ. Tín Lăng Quân nắm quân, giải vây Hàm Đan.

(Cần lưu ý về nguồn: câu chuyện này đến từ Sử ký; một số nhà nghiên cứu ghi nhận nó không xuất hiện trong Chiến quốc sách vốn có trước đó, nên nên đọc như một ghi chép lịch sử có màu sắc tự sự hơn là biên bản sự kiện.)

Bỏ qua phần đạo lý, câu chuyện cho thấy một điều rất rõ về cơ chế:

• Hổ phù xác thực tín vật, không xác thực ý định của người có quyền. Vua Ngụy chưa bao giờ ra lệnh đó.
• Sự nghi ngờ của Tấn Bỉ đến từ bối cảnh, không đến từ tín vật. Ông thấy mệnh lệnh không hợp lý với tình huống. Nhưng ông không có cách nào kiểm tra: ai đề xuất lệnh này, dựa trên tin tức gì, vua đã cân nhắc những gì.
• Khi chỉ có cơ chế xác thực mà không có bối cảnh, người thực thi buộc phải chọn giữa tin tín vật hoặc tin trực giác. Tấn Bỉ chọn trực giác và mất mạng.

Bây giờ thay “hổ phù” bằng “USB token chữ ký số”. Chữ ký số chứng minh rằng khóa bí mật của một người đã được dùng để ký một văn bản cụ thể, và văn bản không bị sửa sau đó. Nó không chứng minh người đó đã đọc văn bản, đã hiểu, đã dựa trên dữ liệu đúng, hay đã cân nhắc rủi ro. Nếu token được giao cho người khác giữ để “ký hộ”, chữ ký vẫn hợp lệ về kỹ thuật.

Một câu hỏi đáng để CEO tự trả lời: trong doanh nghiệp của mình, USB token đang nằm ở ngăn kéo của ai?

Câu hỏi thứ ba mà doanh nghiệp phải tự trả lời

Có thể xếp ba lớp xác thực theo câu hỏi mà mỗi lớp trả lời được:

Lớp thứ ba không thay thế chữ ký số. Doanh nghiệp vẫn cần chữ ký số để xác thực người ký và bảo đảm tính toàn vẹn của chứng từ. Lớp thứ ba đặt chữ ký vào bối cảnh.

Trong các ngành bị quản lý chặt, một phần của lớp này đã là yêu cầu. Quy định 21 CFR Part 11 của Cục Quản lý Thực phẩm và Dược phẩm Mỹ (FDA), mục 11.10(e), yêu cầu hệ thống hồ sơ điện tử có audit trail an toàn, do máy tạo ra, gắn dấu thời gian, ghi lại độc lập ngày giờ của các thao tác tạo, sửa hoặc xóa hồ sơ. Nhưng đọc kỹ, yêu cầu đó tập trung vào hồ sơ đã thay đổi thế nào. Lý do và bối cảnh của một quyết định thường nằm ở các quy trình khác như kiểm soát thay đổi hay xử lý sai lệch, và rất dễ nằm rải rác trong email, tin nhắn hay cuộc họp không có biên bản.

Một tình huống minh họa

Hình 4. Chuỗi hình thành quyết định (tình huống minh họa).

Tình huống dưới đây là ví dụ giả định, không phải case khách hàng.

Một nhà máy chế biến thủy sản nhận lô nguyên liệu có một chỉ tiêu vượt ngưỡng nhẹ so với tiêu chuẩn nội bộ. Đơn hàng xuất khẩu đang gấp. Giám đốc ký phê duyệt chấp nhận có điều kiện.

Nếu doanh nghiệp chỉ lưu phiếu chấp nhận có chữ ký số, hai năm sau người ta biết: ai ký, ký lúc nào, phiếu không bị sửa.

Nếu doanh nghiệp lưu được chuỗi hình thành quyết định, người ta còn biết:

1. Yêu cầu: QC phát hiện chỉ tiêu vượt, ai lập phiếu đề xuất, lúc nào.
2. Bằng chứng: kết quả kiểm nghiệm lần đầu, kết quả kiểm lại, chứng nhận phân tích của nhà cung cấp.
3. Đánh giá: QA đánh giá rủi ro với sản phẩm cuối, đề xuất điều kiện kèm theo.
4. Quyết định: giám đốc chấp nhận ngoại lệ, với điều kiện tăng tần suất kiểm thành phẩm.
5. Hành động: kế hoạch kiểm tra được điều chỉnh, nhà cung cấp được ghi nhận.
6. Kết quả: lô thành phẩm đạt hay không đạt, có khiếu nại hay không.

Khi nhà cung cấp đó lặp lại vấn đề, trưởng QA mới không phải đi hỏi từng người. Khi đoàn đánh giá hỏi, câu trả lời không phụ thuộc vào trí nhớ của người còn ở lại.

Đỗ hổ phù cho phép hành động trước khi xác thực khi có lửa báo động. Doanh nghiệp hiện đại cũng cần ngoại lệ, vì vận hành thật không bao giờ chạy đúng quy trình 100%. Điều khác biệt là: ngoại lệ phải để lại dấu vết về lý do, nếu không nó sẽ dần trở thành quy trình ngầm mà không ai nhớ đã bắt đầu từ đâu.

Từ log hệ thống đến bộ nhớ tổ chức

Hình 5. Ba loại ghi vết, mỗi loại phục vụ một người đọc.

Ba khái niệm hay bị dùng lẫn với nhau:

Lớp thứ ba là thứ biến dữ liệu vận hành thành bộ nhớ tổ chức. Nó quan trọng vì ba lý do mà CEO nào cũng sẽ gặp:

Khi nhân sự chủ chốt rời đi. Doanh nghiệp giữ lại được chữ ký của họ, nhưng thường không giữ được lý do đằng sau các quyết định. Người kế nhiệm thừa hưởng kết quả mà không thừa hưởng cách suy nghĩ.

Khi chuyển giao thế hệ lãnh đạo. Với doanh nghiệp gia đình hoặc doanh nghiệp do người sáng lập dẫn dắt, phần lớn logic vận hành nằm trong đầu một vài người. Chữ ký là phần nhìn thấy được của logic đó, phần nhỏ nhất.

Khi AI bắt đầu tham gia vào quy trình. Nếu một trợ lý AI tóm tắt hồ sơ, gợi ý phê duyệt hay soạn báo cáo sai lệch, câu hỏi “AI đã dựa trên gì để đề xuất” sẽ quan trọng không kém câu hỏi “ai đã ký”. AI không làm giảm nhu cầu truy vết; nó làm nhu cầu đó lớn hơn.

OKELAS tiếp cận vấn đề này như thế nào

OKELAS được xây dựng như một hệ thống tri thức vận hành của tổ chức. Cách tiếp cận xuất phát từ chuỗi Process → Workflow → Event → Evidence → Knowledge → Decision → Action.

Trong cách nhìn đó, một phê duyệt không chỉ là một chữ ký trên file. Nó là một sự kiện của tổ chức, gắn với quy trình nó thuộc về, bằng chứng nó dựa vào, những người đã tham gia, và những hành động xảy ra sau đó. Chữ ký số vẫn giữ vai trò xác thực người ký; OKELAS hướng tới việc giữ lại phần bối cảnh mà chữ ký không mang theo được.

Tóm lại theo cách của bài này:

Hổ phù xác thực mệnh lệnh. Chữ ký số xác thực người ký. Một tổ chức trưởng thành cần nhớ được cả cách quyết định đã hình thành.

Tự kiểm tra: doanh nghiệp của bạn nhớ được bao nhiêu về quyết định của chính mình?

Chọn một quyết định quan trọng trong 12 tháng qua (một ngoại lệ chất lượng, một lần đổi nhà cung cấp, một thay đổi quy trình) và trả lời:

1. Có thể tìm lại ai đã đề xuất quyết định đó, không cần hỏi miệng ai không?
2. Có thể tìm lại bằng chứng (dữ liệu, kết quả kiểm, báo giá) mà người phê duyệt đã xem không?
3. Có biết những phương án khác đã được cân nhắc và vì sao bị loại không?
4. Nếu có ngoại lệ so với quy trình, lý do ngoại lệ có được ghi lại không?
5. Có thể truy ra những hành động đã xảy ra sau quyết định và kết quả của chúng không?
6. Nếu người phê duyệt nghỉ việc ngày mai, người kế nhiệm có hiểu được logic của quyết định không?
7. Chữ ký số trong doanh nghiệp có đang được chính người có thẩm quyền sử dụng không?

Nếu nhiều câu trả lời là “không” hoặc “phải hỏi một người cụ thể”, vấn đề có thể không nằm ở việc thiếu chữ ký hay thiếu phần mềm, mà ở chỗ tri thức về quyết định đang nằm trong đầu người thay vì trong hệ thống của tổ chức.

Kết luận

Vấn đề của nhiều doanh nghiệp không phải là thiếu chữ ký. Hồ sơ thường rất đầy đủ chữ ký. Vấn đề là tổ chức không nhớ vì sao mình đã ký.

Tướng Tấn Bỉ có trong tay một hổ phù khớp hoàn toàn và vẫn không biết mệnh lệnh có thật hay không. Hai nghìn năm sau, cơ chế xác thực đã tốt hơn rất nhiều. Câu hỏi về bối cảnh của quyết định thì vẫn còn nguyên.