Tiêu chí an ninh tối thiểu (MSC) của C-TPAT: 12 hạng mục và cách đáp ứng tại nhà máy

Tiêu chí an ninh tối thiểu (Minimum Security Criteria – MSC) là bộ yêu cầu an ninh mà Cục Hải quan và Biên phòng Hoa Kỳ (CBP) đặt ra cho chương trình C-TPAT. Bộ tiêu chí hiện hành được CBP cập nhật năm 2019, gồm 3 nhóm trọng tâm và 12 hạng mục.

Nhà máy tại Việt Nam không tự đăng ký C-TPAT được, nhưng khi khách hàng Mỹ yêu cầu đánh giá an ninh, nội dung đánh giá thường dựa trên chính bộ tiêu chí này. Bài viết giải thích từng hạng mục: yêu cầu chính là gì và nhà máy cần chuẩn bị bằng chứng gì.

Nếu doanh nghiệp cần nắm tổng quan về chương trình trước, xem bài C-TPAT là gì? Tiêu chí an ninh và đánh giá C-TPAT tại nhà máy Việt Nam.

1. Tiêu chí an ninh tối thiểu (MSC) của C-TPAT là gì?

MSC là danh sách các biện pháp an ninh mà doanh nghiệp trong chuỗi cung ứng hàng hóa vào Mỹ cần áp dụng. CBP ban hành bộ tiêu chí riêng cho từng loại thành viên (nhà nhập khẩu, nhà xuất khẩu, hãng vận chuyển, nhà sản xuất nước ngoài…), nhưng tất cả đều dùng chung cấu trúc 3 nhóm – 12 hạng mục.

Bộ tiêu chí năm 2019 bổ sung nhiều nội dung mới so với trước, nổi bật là an ninh mạng, an ninh nông nghiệp và yêu cầu đánh giá rủi ro được xem xét lại định kỳ. CBP áp dụng bộ tiêu chí này trong các đợt xác thực thành viên từ đầu năm 2020.

Với nhà máy Việt Nam, bộ tiêu chí dành cho nhà sản xuất nước ngoài là tài liệu tham chiếu sát nhất, vì phản ánh đúng các hoạt động tại nhà máy: đóng gói, lưu kho, đóng container, giao hàng.

2. Yêu cầu "bắt buộc" và "khuyến nghị" khác nhau thế nào?

Mỗi tiêu chí trong MSC được phân loại:

• Bắt buộc (Must): doanh nghiệp phải đáp ứng. Khi khách hàng đánh giá, tiêu chí bắt buộc chưa đạt thường bị ghi nhận là điểm không phù hợp và cần khắc phục.

• Khuyến nghị (Should): thực hành tốt nên áp dụng. Không đáp ứng thường không bị coi là lỗi, nhưng có thể ảnh hưởng đến đánh giá chung.

Lưu ý: khách hàng có thể dùng bộ câu hỏi riêng và nâng một số tiêu chí khuyến nghị thành yêu cầu bắt buộc. Doanh nghiệp nên hỏi rõ khách hàng dùng bộ tiêu chí nào.

3. Tổng quan 3 nhóm – 12 hạng mục

4. Nhóm 1 — An ninh doanh nghiệp

4.1. Tầm nhìn và trách nhiệm an ninh

Yêu cầu chính:

• Có người phụ trách an ninh chuỗi cung ứng, am hiểu yêu cầu và báo cáo trực tiếp cho lãnh đạo cấp cao.

• Có cơ chế kiểm tra định kỳ bằng văn bản để xác nhận các quy trình an ninh được thực hiện đúng.

• Khuyến nghị: lãnh đạo ký tuyên bố cam kết hỗ trợ an ninh chuỗi cung ứng và phổ biến trong nhà máy.

Bằng chứng: quyết định phân công người phụ trách; kế hoạch và biên bản kiểm tra nội bộ; tuyên bố cam kết của lãnh đạo.

4.2. Đánh giá rủi ro

Yêu cầu chính:

• Thực hiện và lập văn bản đánh giá rủi ro an ninh chuỗi cung ứng.

• Xem xét lại ít nhất mỗi năm một lần, hoặc sớm hơn khi rủi ro thay đổi (đổi nhà vận chuyển, mở kho mới, xảy ra sự cố…).

• Khuyến nghị: lập sơ đồ dòng di chuyển hàng hóa từ khâu đóng gói đến khi giao cho đơn vị vận chuyển; có kế hoạch ứng phó khủng hoảng và duy trì hoạt động.

Bằng chứng: hồ sơ đánh giá rủi ro có ngày lập và ngày xem xét lại; sơ đồ dòng hàng; kế hoạch ứng phó.

4.3. Đối tác kinh doanh

Yêu cầu chính:

• Có quy trình bằng văn bản, dựa trên mức độ rủi ro, để sàng lọc đối tác mới và đối tác hiện tại: nhà cung cấp, nhà thầu phụ, đơn vị vận chuyển, kho bãi, đơn vị bảo vệ.

• Nếu đối tác đã là thành viên C-TPAT hoặc có tư cách Doanh nghiệp ưu tiên (AEO) được công nhận lẫn nhau, phải lưu bằng chứng.

• Với đối tác chưa có các tư cách trên, phải thẩm định (bảng câu hỏi an ninh, đánh giá tại chỗ…) và yêu cầu khắc phục điểm yếu, có lưu hồ sơ.

• Khuyến nghị: có chương trình tuân thủ xã hội, trong đó có kiểm soát nguy cơ lao động cưỡng bức trong chuỗi cung ứng.

Bằng chứng: danh sách đối tác và mức rủi ro; bảng câu hỏi đã thu; kết quả đánh giá; hồ sơ theo dõi khắc phục.

4.4. An ninh mạng

Yêu cầu chính:

• Có chính sách an ninh mạng bằng văn bản, được xem xét định kỳ.

• Dùng phần mềm chống mã độc và tường lửa, cập nhật thường xuyên; có quy trình phòng chống lừa đảo qua email, mạng xã hội.

• Kiểm tra định kỳ an ninh hệ thống công nghệ thông tin và xử lý lỗ hổng phát hiện được.

• Mỗi người dùng một tài khoản riêng, mật khẩu mạnh; phân quyền theo công việc và thu hồi quyền ngay khi nhân viên nghỉ việc. CBP khuyến khích dùng xác thực đa yếu tố.

• Truy cập từ xa phải qua kết nối an toàn (ví dụ VPN).

• Khuyến nghị: sao lưu dữ liệu định kỳ, mã hóa dữ liệu nhạy cảm.

Bằng chứng: chính sách CNTT; danh sách tài khoản và quyền; biên bản thu hồi tài khoản khi nghỉ việc; nhật ký sao lưu; kết quả kiểm tra hệ thống.

5. Nhóm 2 — An ninh vận chuyển

5.1. An ninh phương tiện và công cụ vận chuyển quốc tế

"Công cụ vận chuyển quốc tế" (Instruments of International Traffic – IIT) gồm container, rơ-moóc, pallet hàng không…

Yêu cầu chính:

• Lưu giữ container, phương tiện ở khu vực an toàn, tránh bị tiếp cận trái phép.

• Có quy trình kiểm tra an ninh và kiểm tra sinh vật gây hại bằng văn bản.

• Kiểm tra container rỗng trước khi đóng hàng theo quy trình 7 điểm; container lạnh kiểm tra 8 điểm (thêm khoang máy lạnh). Đầu kéo và rơ-moóc có danh sách kiểm tra riêng.

• Kiểm tra khóa, bản lề, thanh cài cửa để phát hiện dấu hiệu can thiệp.

• Làm sạch sinh vật gây hại nhìn thấy được và lưu hồ sơ.

Bằng chứng: quy trình kiểm tra; phiếu kiểm tra đã điền cho từng lô; hồ sơ đào tạo người kiểm tra.

5.2. An ninh niêm phong

Yêu cầu chính:

• Có quy trình bằng văn bản về mua, cấp phát, sử dụng, ghi sổ và xử lý niêm phong bị hỏng, bị can thiệp.

• Dùng niêm phong an ninh cao đạt hoặc vượt tiêu chuẩn ISO 17712, gắn đúng vị trí trên cửa container; lưu bằng chứng niêm phong đạt chuẩn (ví dụ chứng nhận thử nghiệm của nhà sản xuất seal).

• Kiểm kê niêm phong định kỳ và lập biên bản.

• Kiểm tra niêm phong khi gắn theo quy trình VVTT: nhìn (View), đối chiếu số (Verify), kéo (Tug), xoay (Twist).

Bằng chứng: quy trình quản lý seal; sổ cấp phát seal; biên bản kiểm kê; chứng nhận ISO 17712 của seal; ảnh seal khi đóng hàng.

5.3. An ninh thủ tục

Yêu cầu chính:

• Bảo vệ hàng chờ xuất qua đêm hoặc lưu lâu ngày; kiểm tra khu vực tập kết để phòng sinh vật gây hại.

• Thông tin chứng từ (vận đơn, danh sách hàng, thông tin khai báo) phải chính xác, đầy đủ, kịp thời.

• Có quy trình báo cáo sự cố an ninh và quy trình xử lý người lạ, người không được phép trong nhà máy.

• Điều tra và xử lý chênh lệch hàng hóa (thừa, thiếu, sai) có lưu hồ sơ.

• Khuyến nghị: có người giám sát khi đóng hàng; chụp ảnh quá trình đóng hàng và niêm phong; ghi số seal lên chứng từ.

Bằng chứng: quy trình đóng hàng; ảnh đóng hàng; hồ sơ đối chiếu chứng từ; sổ sự cố và chênh lệch.

5.4. An ninh nông nghiệp

Yêu cầu chính:

• Có quy trình bằng văn bản để ngăn sinh vật gây hại nhìn thấy được trên hàng hóa, bao bì, phương tiện.

• Vật liệu đóng gói bằng gỗ (pallet, thùng gỗ) phải tuân thủ tiêu chuẩn ISPM 15: đã bóc vỏ, xử lý nhiệt hoặc xông hơi, có dấu IPPC.

Bằng chứng: quy trình kiểm tra sinh vật gây hại; hồ sơ kiểm tra; chứng từ xử lý pallet gỗ và dấu IPPC.

6. Nhóm 3 — An ninh con người và cơ sở vật chất

6.1. An ninh vật lý

Yêu cầu chính:

• Có rào chắn vật lý ngăn tiếp cận trái phép khu vực hàng hóa và kho.

• Cổng ra vào có người trực hoặc được giám sát; chiếu sáng đầy đủ khu vực trọng yếu.

• Nếu dùng camera: bố trí bao phủ khu vực đóng hàng, xuất nhập; ghi hình liên tục; xem lại ngẫu nhiên định kỳ và lập biên bản; bảo vệ đầu ghi, dữ liệu khỏi truy cập trái phép.

• Khuyến nghị: hàng rào bao quanh; tách khu đỗ xe cá nhân khỏi khu hàng hóa; lưu dữ liệu camera đủ lâu để điều tra khi cần (CBP khuyến nghị tối thiểu 14 ngày sau khi lô hàng đến điểm phân phối đầu tiên).

Bằng chứng: sơ đồ mặt bằng và vị trí camera; biên bản xem lại camera; lịch trực bảo vệ.

6.2. Kiểm soát ra vào

Yêu cầu chính:

• Có quy trình cấp, thay đổi, thu hồi thẻ nhân viên và phương tiện ra vào; hạn chế vào khu vực nhạy cảm theo công việc.

• Khách, nhà cung cấp dịch vụ phải xuất trình giấy tờ có ảnh, được ghi sổ, đeo thẻ tạm và có người đi kèm.

• Kiểm tra giấy tờ tùy thân của tài xế trước khi giao, nhận hàng; ghi sổ nhận hàng gồm thông tin tài xế, phương tiện, số seal.

• Nhân viên biết cách phát hiện và xử lý người không được phép.

• Nếu dùng bảo vệ: có hướng dẫn công việc bằng văn bản và được kiểm tra định kỳ.

Bằng chứng: quy trình cấp thẻ; danh sách thẻ; sổ khách; sổ giao nhận hàng; hướng dẫn công việc của bảo vệ.

6.3. An ninh nhân sự

Yêu cầu chính:

• Có quy trình tuyển dụng bằng văn bản; xác minh thông tin hồ sơ ứng viên (quá trình làm việc, người tham chiếu) trong phạm vi pháp luật cho phép.

• Có bộ quy tắc ứng xử; nhân viên và nhà thầu ký xác nhận, lưu hồ sơ.

• Khuyến nghị: kiểm tra lý lịch trong giới hạn pháp luật, kiểm tra lại định kỳ với vị trí nhạy cảm.

Bằng chứng: quy trình tuyển dụng; hồ sơ xác minh; bản ký cam kết quy tắc ứng xử.

Ở Việt Nam, việc thu thập và xử lý thông tin cá nhân của người lao động phải tuân thủ quy định về bảo vệ dữ liệu cá nhân. Doanh nghiệp chỉ thu thập thông tin cần thiết và có căn cứ pháp lý.

6.4. Giáo dục, đào tạo và nhận thức

Yêu cầu chính:

• Có chương trình đào tạo an ninh bao quát yêu cầu C-TPAT, đào tạo cho nhân viên mới và đào tạo định kỳ; lưu hồ sơ (ngày, người tham dự, nội dung).

• Đào tạo chuyên sâu cho người kiểm tra container, phương tiện; người phụ trách sinh vật gây hại và pallet gỗ; người dùng hệ thống CNTT; người vận hành camera, thiết bị an ninh.

• Đào tạo cách báo cáo sự cố và hoạt động đáng ngờ: báo gì, báo cho ai, báo thế nào.

• Khuyến nghị: kiểm tra hiệu quả đào tạo (bài kiểm tra, diễn tập).

Bằng chứng: kế hoạch đào tạo; danh sách ký tên; tài liệu đào tạo; kết quả kiểm tra.

7. Checklist tự đánh giá nhanh theo 12 hạng mục

Mỗi câu trả lời "chưa" là một hạng mục cần bổ sung trước khi khách hàng đến đánh giá.

8. TTS Cert hỗ trợ doanh nghiệp đáp ứng tiêu chí an ninh C-TPAT

TTS Cert tư vấn doanh nghiệp đáp ứng tiêu chí an ninh tối thiểu trước khi được khách hàng đánh giá: rà soát hiện trạng theo 12 hạng mục, xây dựng quy trình và biểu mẫu, đào tạo nhân sự và hỗ trợ khắc phục sau đánh giá. Quy trình hỗ trợ đầy đủ được trình bày tại bài C-TPAT là gì? Tiêu chí an ninh và đánh giá C-TPAT tại nhà máy Việt Nam.

9. Câu hỏi thường gặp về tiêu chí an ninh tối thiểu C-TPAT

Tiêu chí an ninh tối thiểu của C-TPAT gồm bao nhiêu mục? 12 hạng mục, chia thành 3 nhóm: an ninh doanh nghiệp, an ninh vận chuyển, an ninh con người và cơ sở vật chất. Mỗi hạng mục gồm nhiều tiêu chí cụ thể; số lượng tiêu chí khác nhau theo từng loại thành viên.

Bộ tiêu chí MSC được cập nhật lần gần nhất khi nào? CBP cập nhật bộ tiêu chí năm 2019 và áp dụng trong các đợt xác thực từ đầu năm 2020.

Niêm phong container phải đạt tiêu chuẩn nào? Niêm phong an ninh cao đạt hoặc vượt ISO 17712, kèm bằng chứng đạt chuẩn và quy trình quản lý, kiểm tra seal.

Kiểm tra container 7 điểm gồm những điểm nào? Vách trước, vách trái, vách phải, sàn, trần, cửa trong và ngoài, mặt ngoài và gầm. Container lạnh kiểm tra thêm khoang máy lạnh (8 điểm).

Nhà máy Việt Nam có phải đáp ứng toàn bộ tiêu chí không? Phạm vi do khách hàng quyết định. Thông thường khách hàng đánh giá theo bộ tiêu chí sát với hoạt động của nhà máy, tập trung vào các tiêu chí bắt buộc.

10. Kết luận

Tiêu chí an ninh tối thiểu là nội dung cốt lõi của mọi cuộc đánh giá C-TPAT tại nhà máy. Doanh nghiệp nên đối chiếu từng hạng mục, ưu tiên các tiêu chí bắt buộc và chuẩn bị bằng chứng đầy đủ, thay vì chỉ có quy trình trên giấy.

Nguồn tham khảo

• CBP — CTPAT Minimum Security Criteria (các bộ tiêu chí 2019)

• CBP — CTPAT Minimum Security Criteria Booklet for Foreign Manufacturers (4/2019)