Một công nhân nộp đơn thôi việc vào thứ Sáu và nghỉ hẳn từ thứ Hai. Hồ sơ nhân sự được chốt, lương được tính, nhưng thẻ ra vào vẫn còn hiệu lực, vân tay vẫn nằm trên máy chấm công, tài khoản phần mềm nhà máy vẫn đăng nhập được. Ba tuần sau, có người dùng đúng thẻ đó qua cổng vào ca đêm. Tình huống trên là ví dụ minh họa giả định, nhưng lỗ hổng thì có thật ở nhiều nhà máy: quy trình nghỉ việc tập trung vào lương và bảo hiểm, còn quyền truy cập thì không ai chịu trách nhiệm thu hồi. Bài viết đưa ra một checklist thu hồi quyền truy cập khi nhân viên nghỉ việc, chia theo từng nhóm tài sản và người phụ trách.
Thu hồi quyền truy cập khi nghỉ việc là gì?
Đó là quy trình vô hiệu hóa toàn bộ những gì cho phép một người vào nhà máy, vào hệ thống hoặc giữ tài sản của công ty, kể từ thời điểm chấm dứt hợp đồng. Phạm vi rộng hơn việc “trả thẻ”: gồm thẻ ra vào, dữ liệu vân tay và khuôn mặt, tài khoản phần mềm, thiết bị và tài sản được giao, chỗ đậu xe, chìa khóa tủ và quyền vào khu vực hạn chế.
Vì sao cần làm ngay, không để cuối tháng?
Quyền truy cập còn tồn tại sau ngày nghỉ là điểm yếu kiểm soát ra vào: nó cho phép người không còn quan hệ lao động vào nhà máy, hoặc bị người khác mượn để vào. Đây là nhóm rủi ro truy cập trái phép mà bài kiểm soát truy cập dựa trên vai trò (RBAC) cũng nhấn mạnh: quyền phải đi theo vai trò và mất đi khi vai trò kết thúc. Ở góc độ nhân sự, nhóm việc này thuộc phạm vi an ninh nhân sự trong doanh nghiệp sản xuất.
Sau Tết thường có nhiều biến động nhân sự. Theo bài đăng ngày 02/03/2026 trên Doanh nghiệp và Hội nhập, nhiều địa phương ghi nhận 95 đến 99% công nhân quay lại làm việc sau Tết Bính Ngọ 2026 (Vĩnh Long 99,2%, Hà Nội và Hải Phòng 96%). Phần lớn quay lại, nhưng vẫn có một nhóm nhỏ nghỉ việc, và mỗi trường hợp đều cần thu hồi quyền truy cập đúng hạn.
Ba mốc thời gian của một quy trình offboarding
Trước ngày nghỉ cuối cùng
HR lập phiếu bàn giao ngay khi nhận thông báo nghỉ việc, gửi cho GA, IT, kho và quản lý trực tiếp.
Trong ngày nghỉ cuối cùng
Thu thẻ, chìa khóa, thiết bị; vô hiệu hóa tài khoản và quyền ra vào; đánh dấu trạng thái “đã nghỉ” trên hệ thống chấm công và kiểm soát ra vào; nhận ký xác nhận bàn giao từ người nghỉ và người tiếp nhận.
Sau ngày nghỉ
Xóa dữ liệu sinh trắc học trên thiết bị, rà nhật ký để chắc không còn lượt quẹt nào sau ngày nghỉ, rồi đóng phiếu bàn giao. Kết quả thu hồi nên được ghi vào một biên bản đủ nhóm công việc, tài sản, tài khoản và thẻ; khung nội dung có tại bài biên bản bàn giao khi nghỉ việc.
Checklist thu hồi quyền truy cập theo nhóm
| Nhóm | Việc cần làm | Người phụ trách |
|---|---|---|
| Thẻ ra vào, thẻ nhân viên | Thu hồi thẻ vật lý; hủy hiệu lực thẻ trên hệ thống kiểm soát ra vào dù đã thu hay chưa; ghi nhận thẻ mất | GA/An ninh |
| Vân tay, khuôn mặt | Xóa template khỏi tất cả máy chấm công và cổng; kiểm tra thiết bị có lưu cục bộ hay không | HR phối hợp IT |
| Tài khoản phần mềm | Khóa hoặc xóa tài khoản HRM, ERP, email, VPN, phần mềm kho; đổi mật khẩu tài khoản dùng chung mà người này biết | IT |
| Thiết bị, tài sản | Thu laptop, điện thoại, tài liệu, đồng phục, dụng cụ; đối chiếu với biên bản cấp phát ban đầu | Quản lý trực tiếp, GA |
| Chìa khóa, tủ, khu hạn chế | Thu chìa; đổi khóa hoặc mã nếu chìa không thu đủ; rút tên khỏi danh sách khu vực hạn chế | GA/An ninh |
| Phương tiện, chỗ đậu xe | Hủy thẻ xe hoặc đăng ký biển số trong danh sách xe nội bộ | Bảo vệ, GA |
| Lương và quyền lợi | Chốt lương, xác nhận đóng bảo hiểm, thanh toán các khoản liên quan đúng hạn | C&B/Kế toán |
| Dữ liệu cá nhân | Xóa, hủy dữ liệu không còn cần lưu; giữ hồ sơ mà pháp luật yêu cầu lưu | HR |
Quy định cần nhớ khi chấm dứt hợp đồng
Thanh toán và giấy tờ. Theo Điều 48 Bộ luật Lao động 2019, trong 14 ngày làm việc kể từ ngày chấm dứt hợp đồng, hai bên có trách nhiệm thanh toán đầy đủ các khoản liên quan đến quyền lợi của mỗi bên (có trường hợp đặc biệt được kéo dài nhưng không quá 30 ngày). Người sử dụng lao động cũng phải hoàn thành thủ tục xác nhận thời gian đóng bảo hiểm và trả lại giấy tờ bản chính đã giữ của người lao động. Nên gắn thời hạn thu hồi quyền truy cập vào cùng mốc để không quên.
Dữ liệu cá nhân. Theo Điều 25 Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 (hiệu lực 01/01/2026), khi chấm dứt hợp đồng, người sử dụng lao động phải xóa, hủy dữ liệu cá nhân của người lao động, trừ khi có thỏa thuận khác hoặc pháp luật có quy định khác. Với máy chấm công, template vân tay và khuôn mặt của người đã nghỉ là đối tượng cần xóa; chi tiết thực hiện xem bài xóa dữ liệu máy chấm công khi nhân viên nghỉ việc. Hồ sơ mà pháp luật yêu cầu lưu (ví dụ chứng từ lương) thuộc phần “pháp luật có quy định khác”, nên cần phân biệt với dữ liệu sinh trắc.
Nội dung mang tính tham khảo, không thay thế tư vấn pháp lý; doanh nghiệp cần đối chiếu văn bản đang có hiệu lực.
Tự động hóa để không phụ thuộc trí nhớ
Phiếu bàn giao giấy dễ bị sót khi nhà máy đông người. Theo trang giới thiệu của phần mềm quản lý an ninh nhà máy eFAC, hệ thống có chức năng tự động thu hồi quyền truy cập của nhân viên đã nghỉ việc và cảnh báo khi có truy cập trái phép. Trang giới thiệu ePAD, hệ thống quản lý dữ liệu AutoID tập trung nêu tính năng tự động xóa nhân viên nghỉ việc khỏi danh sách người có quyền và tự động cập nhật quyền ra vào theo danh sách điều chuyển. Nên hỏi rõ phạm vi áp dụng với thiết bị hiện có trước khi đầu tư.
Compliance: khung tiêu chuẩn liên quan
- CTPAT: tiêu chí an ninh tối thiểu yêu cầu có quy trình gỡ bỏ thẻ nhận dạng, quyền vào cơ sở và quyền truy cập hệ thống của nhân viên đã nghỉ việc, đồng thời ghi nhận việc cấp, thu hồi thẻ và thiết bị truy cập.
- ISO 27001: có các kiểm soát về việc thu hồi tài sản và điều chỉnh, thu hồi quyền truy cập khi kết thúc hoặc thay đổi công việc; phiếu bàn giao là bằng chứng hữu ích cho việc này.
Góc nhìn của Trưởng phòng Nhân sự
HR khởi đầu quy trình nhưng không sở hữu phần lớn tài sản cần thu hồi: thẻ thuộc GA, tài khoản thuộc IT, nên dễ bị đổ lỗi khi sót. HR cần phiếu bàn giao có đủ chữ ký các bộ phận và hạn hoàn thành rõ ràng.
Góc nhìn của Quản đốc/Trưởng chuyền sản xuất
Quản đốc lo mất người đột ngột và thiếu nhân lực ca kế tiếp, đồng thời là người biết công nhân đang giữ dụng cụ, tủ đồ hay chìa khóa nào. Khi có người nghỉ đột xuất, quản đốc cần kênh báo nhanh cho GA để không phải chờ hết tháng.
Góc nhìn của Chuyên viên C&B/Kế toán tiền lương
C&B quan tâm nhất là chốt lương, bảo hiểm và các khoản liên quan đúng hạn 14 ngày làm việc. Họ cần biết tình trạng bàn giao tài sản trước khi chốt bảng lương cuối cùng, và mọi xử lý liên quan đến tài sản chưa trả phải đối chiếu quy định pháp luật lao động và hợp đồng.
Góc nhìn của Trưởng bộ phận GA/An ninh
GA và An ninh là người chịu hậu quả trực tiếp khi có sự cố từ thẻ cũ. Áp lực là không nhận được thông tin nghỉ việc kịp thời từ HR. Kỳ vọng thực tế: danh sách nghỉ việc gửi hằng ngày, quyền tự động vô hiệu hóa trên hệ thống, và báo cáo lượt quẹt của thẻ đã hủy để phát hiện sớm.
Câu hỏi thường gặp
Nếu nhân viên không trả thẻ thì xử lý thế nào?
Vô hiệu hóa thẻ trên hệ thống ngay trong ngày nghỉ; việc trả thẻ chỉ là bước bổ sung. Ghi nhận thẻ mất theo quy định nội bộ.
Nghỉ việc đột xuất, không báo trước thì có kịp thu hồi không?
Có, nếu quy trình cho phép GA và IT vô hiệu hóa quyền ngay khi HR hoặc quản lý xác nhận nhân viên không còn làm việc, không cần chờ đủ chữ ký các bên.
Có cần xóa tài khoản hay chỉ khóa?
Nên khóa trước để giữ nhật ký phục vụ điều tra, sau đó xóa hoặc ẩn danh theo chính sách lưu trữ của công ty và quy định pháp luật.
Bao lâu thì phải thu hồi xong?
Quyền ra vào và tài khoản nên bị vô hiệu hóa ngay trong ngày nghỉ cuối cùng. Các khoản thanh toán thì theo mốc 14 ngày làm việc của Điều 48.
Kết luận
Thu hồi quyền truy cập khi nhân viên nghỉ việc chỉ đáng tin khi có phiếu bàn giao, người phụ trách theo từng nhóm và thời hạn rõ ràng. Nhà máy có thể bắt đầu bằng việc rà soát xem thẻ, vân tay và tài khoản của những người đã nghỉ trong 6 tháng qua đã được vô hiệu hóa hết chưa. Để đối chiếu quy trình của mình với một bộ tiêu chí đầy đủ, bạn có thể dùng Access Control Audit Checklist với 57 tiêu chí, trong đó có nhóm 13 tiêu chí về quản lý quyền truy cập nhân viên.
