DSCSA là gì, và vì sao một nhà máy dược ở Việt Nam lại phải quan tâm
Nếu công ty bạn đang đàm phán một hợp đồng xuất khẩu dược phẩm, thực phẩm chức năng gốc dược liệu, hoặc nguyên liệu bào chế sang Mỹ, sớm muộn gì đối tác nhập khẩu cũng sẽ hỏi một câu: "Dây chuyền của bên bạn có serial hóa theo DSCSA chưa?" Nếu câu trả lời là "DSCSA là cái gì?", cuộc đàm phán thường dừng lại ở đó.
DSCSA — Drug Supply Chain Security Act — là đạo luật liên bang Mỹ ban hành năm 2013, thuộc Title II của Drug Quality and Security Act, do FDA thực thi. Mục tiêu ban đầu của nó khá dễ hiểu: ngăn thuốc giả, thuốc bị đánh cắp, thuốc kém chất lượng lọt vào chuỗi cung ứng hợp pháp của Mỹ, bằng cách buộc mọi hộp thuốc phải có một "lý lịch điện tử" đi kèm, thay vì chỉ dựa vào hóa đơn giấy như trước.
Điều nhiều tài liệu tiếng Việt hiện có bỏ sót — kể cả các thông tư trong nước về xuất nhập khẩu thuốc — là DSCSA hoàn toàn không phải quy định của Việt Nam, không nằm trong danh mục hồ sơ của Cục Quản lý Dược, và cũng không được nhắc tới trong các thông tư kiểu 06/2006/TT-BYT. Nó là luật của Mỹ, áp dụng cho hàng hóa một khi đã bước vào chuỗi thương mại của Mỹ — nhưng trách nhiệm tuân thủ lại bắt đầu từ tận dây chuyền đóng gói ở nhà máy gốc, tức là ở Việt Nam. Đây chính là khoảng trống thông tin mà bài viết này muốn lấp đầy.
DSCSA áp dụng cho ai, và vị trí thật sự của một nhà xuất khẩu nước ngoài
Các bài viết tiếng Anh xếp DSCSA áp dụng cho bốn nhóm: nhà sản xuất (manufacturer), nhà phân phối bán buôn (wholesale distributor), bên logistics thứ ba (3PL), và các cơ sở phát thuốc/nhà thuốc (dispenser). Về mặt câu chữ, một nhà máy ở Bắc Ninh hay Long An không nằm trong bốn nhóm này — vì nó không "hoạt động trên đất Mỹ".
Nhưng thực tế vận hành thì khác. Theo định nghĩa "manufacturer" trong luật, bất kỳ ai đưa một dược phẩm vào lưu thông thương mại liên bang Mỹ — kể cả khi họ chỉ là bên gia công, đóng gói lại, hoặc dán nhãn cho một thương hiệu Mỹ — đều có thể bị coi là thuộc phạm vi điều chỉnh. Trong chuỗi cung ứng thực tế, trách nhiệm serial hóa gần như luôn được đẩy về phía nhà máy sản xuất gốc, đơn giản vì mã serial phải được in lên bao bì ngay tại dây chuyền đóng gói — không ai có thể "bổ sung" mã đó sau khi hàng đã rời xưởng.
Nói cách khác: nhà nhập khẩu Mỹ đứng tên NDC (National Drug Code) và chịu trách nhiệm pháp lý trước FDA, nhưng nghĩa vụ kỹ thuật — in mã, tạo dữ liệu EPCIS, đảm bảo mã đúng chuẩn — lại nằm ở nhà máy Việt Nam. Nếu hợp đồng gia công/OEM không ghi rõ ai chịu trách nhiệm phần này, phần lớn khả năng nhà máy sẽ phải tự đầu tư mà không được tính vào giá gia công — một sai lầm khá phổ biến khi các doanh nghiệp Việt Nam mới bắt đầu làm việc với thị trường Mỹ.
Ba yêu cầu cốt lõi cần hiểu đúng ngay từ đầu
Serial hóa ở cấp đơn vị bán hàng nhỏ nhất, không phải cấp lô
Đây là điểm mà rất nhiều tài liệu cũ, kể cả một số bài tiếng Anh xuất bản trước 2023, vẫn còn nhầm. Giai đoạn đầu của DSCSA chỉ yêu cầu theo dõi ở cấp lô (lot-level), dùng bộ ba dữ liệu gọi là "3T": Transaction Information, Transaction History, Transaction Statement — về cơ bản là hóa đơn điện tử kèm lịch sử lô hàng.
Từ khi các yêu cầu "Enhanced Drug Distribution Security" chính thức có hiệu lực đầy đủ (sau nhiều lần FDA hoãn thực thi, mốc cuối cùng rơi vào năm 2025), mô hình 3T bị thay hoàn toàn. Mỗi đơn vị đóng gói nhỏ nhất dự kiến bán cho người tiêu dùng — một hộp thuốc, một lọ — phải mang mã định danh duy nhất gồm GTIN (mã sản phẩm toàn cầu theo chuẩn GS1), số serial ngẫu nhiên, số lô và hạn dùng, in dưới dạng mã vạch 2D Data Matrix. Việc xác minh sản phẩm nghi ngờ giờ đây phải làm ở cấp đơn vị bán hàng, không còn được chấp nhận ở cấp lô nữa.
Trao đổi dữ liệu EPCIS thay vì giấy tờ rời rạc
Song song với mã in trên bao bì, mỗi lần lô hàng đổi chủ trong chuỗi cung ứng — nhà máy giao cho nhà nhập khẩu, nhà nhập khẩu giao cho nhà phân phối — hai bên phải trao đổi một gói dữ liệu điện tử chuẩn EPCIS (Electronic Product Code Information Services), thường truyền qua kênh AS2 hoặc SFTP có mã hóa. Gói dữ liệu này ghi lại sự kiện "ai đã chuyển gì, cho ai, khi nào, ở đâu" theo một cấu trúc máy tính có thể đọc và đối chiếu tự động — khác hẳn với việc chỉ gửi file Excel hay PDF như nhiều nhà máy Việt Nam vẫn quen làm với các đối tác châu Á.
Xác minh đối tác thương mại được ủy quyền và Verification Router Service
Một lớp yêu cầu ít được nhắc tới nhưng gây tắc nghẽn thực tế nhiều nhất: trước khi giao dịch, các bên phải xác minh nhau là "Authorized Trading Partner" (ATP) hợp lệ — nghĩa là có giấy phép hợp pháp và hệ thống dữ liệu tuân thủ. Việc xác minh sản phẩm nghi ngờ giờ được thực hiện gần thời gian thực thông qua Verification Router Service (VRS) — một lớp hạ tầng trung gian định tuyến yêu cầu xác minh serial number đến đúng nhà sản xuất sở hữu mã đó. Nếu nhà máy Việt Nam không kết nối được với VRS, đối tác Mỹ sẽ không có cách nào xác minh sản phẩm của bạn là thật khi có nghi vấn — và theo luật, họ buộc phải cách ly lô hàng cho đến khi xác minh xong.
Mốc thời gian mà nhiều doanh nghiệp vẫn tưởng còn xa
Các deadline đã qua từ lâu với phần lớn chuỗi cung ứng nội địa Mỹ: nhà sản xuất phải tuân thủ từ 27/5/2025, nhà phân phối bán buôn từ 27/8/2025, các cơ sở phát thuốc có từ 26 nhân viên toàn thời gian trở lên từ 27/11/2025. Chỉ còn nhóm dispenser nhỏ (dưới 26 nhân viên) được miễn tới 27/11/2026.
Điều này có nghĩa là tại thời điểm bạn đọc bài viết này, gần như toàn bộ hạ tầng phía Mỹ đã vận hành theo chuẩn mới. Một nhà máy Việt Nam ký hợp đồng xuất khẩu hôm nay không còn "thời gian chuẩn bị dần dần" như các doanh nghiệp Mỹ đã có suốt giai đoạn 2013-2023 — mà phải đáp ứng chuẩn đầy đủ ngay từ lô hàng đầu tiên, vì phía đối tác không còn được phép linh động.
Điều gì thực sự xảy ra khi lô hàng không đạt chuẩn — không chỉ là "bị phạt"
Hầu hết bài viết tiếng Anh dừng ở việc liệt kê hậu quả chung chung: mất tư cách ATP, bị FDA xử lý. Nhưng với một nhà xuất khẩu, hậu quả đầu tiên và đau nhất lại nằm ở khâu logistics: nhà nhập khẩu Mỹ, khi nhận lô hàng thiếu dữ liệu EPCIS hợp lệ hoặc mã serial không khớp, có nghĩa vụ pháp lý phải từ chối nhận hàng và thông báo cho FDA — họ không có lựa chọn "linh động cho qua" như trước.
Trong thực tế, điều này thường xảy ra dưới dạng: container cập cảng, hàng được đưa vào kho ngoại quan chờ thông quan, nhưng bên nhập khẩu phát hiện dữ liệu serial không đồng bộ với mã in trên hộp — thường do lỗi cấu hình máy in mã hoặc do nhà máy dùng phần mềm nội bộ không xuất đúng định dạng EPCIS chuẩn GS1. Lô hàng khi đó bị giữ lại chờ xử lý, chi phí lưu kho, lưu container phát sinh theo ngày, trong khi phía Việt Nam thường không có nhân sự hiểu đủ sâu về EPCIS để khắc phục từ xa. Nhiều trường hợp kết thúc bằng việc tái xuất hoặc tiêu hủy lô hàng — thiệt hại nặng hơn nhiều so với chi phí đầu tư serial hóa ngay từ đầu.
Lộ trình thực tế cho một nhà máy dược Việt Nam muốn xuất sang Mỹ
Bước 1: Xử lý song song hai lớp đăng ký — GS1 Việt Nam và FDA
Trước khi in được một mã Data Matrix hợp lệ, nhà máy cần có mã doanh nghiệp GCP (Global Company Prefix) do GS1 Việt Nam cấp, để từ đó tự sinh GTIN cho từng sản phẩm. Song song, nếu nhà máy đứng tên là bên sản xuất/gia công được FDA công nhận, cần hoàn tất đăng ký cơ sở (establishment registration) và drug listing với FDA để có labeler code — phần mã đứng trước trong cấu trúc NDC. Nhiều doanh nghiệp chỉ làm một trong hai việc này rồi mới phát hiện ra thiếu vế còn lại khi đã gần đến ngày xuất hàng.
Bước 2: Đầu tư dây chuyền in mã và tổng hợp (aggregation)
DSCSA về nguyên tắc không bắt buộc phải làm aggregation — tức là gắn kết dữ liệu serial của từng hộp nhỏ vào thùng carton, rồi vào pallet theo cấu trúc cha-con. Nhưng trên thực tế, gần như mọi nhà nhập khẩu Mỹ đều yêu cầu aggregation vì nếu không có, việc xác minh cả một pallet hàng khi thông quan sẽ phải mở từng hộp — điều không nhà kho nào chấp nhận làm. Vì vậy, dây chuyền đóng gói cần có camera vision hệ thống đọc mã ở ba cấp (đơn vị, thùng, pallet) và phần mềm quản lý dòng dữ liệu tương ứng.
Bước 3: Chọn kho dữ liệu EPCIS — tự xây hay đi thuê
Đây là quyết định tốn nhiều thời gian tranh luận nội bộ nhất. Tự xây một hệ thống EPCIS đạt chuẩn, có khả năng trao đổi AS2/SFTP với nhiều đối tác Mỹ khác nhau, đòi hỏi đội ngũ IT hiểu sâu chuẩn GS1 — điều mà phần lớn nhà máy dược vừa và nhỏ ở Việt Nam chưa có sẵn. Lựa chọn thực tế hơn với đa số doanh nghiệp là dùng nền tảng serialization-as-a-service của bên thứ ba, hoặc tích hợp qua một nền tảng truy xuất nguồn gốc đã hỗ trợ sẵn chuẩn EPCIS/GS1 — vừa rút ngắn thời gian triển khai, vừa tránh việc phải tự bảo trì một hệ thống tuân thủ liên tục thay đổi theo hướng dẫn mới của FDA.
Bước 4: Ghi rõ trách nhiệm serial hóa trong hợp đồng gia công
Một chi tiết pháp lý nhỏ nhưng quyết định: hợp đồng OEM/gia công với đối tác Mỹ cần ghi rõ ai chịu chi phí đầu tư dây chuyền serial hóa, ai sở hữu và vận hành dữ liệu EPCIS, và ai là bên đứng ra kết nối VRS khi có yêu cầu xác minh. Thiếu điều khoản này, nhà máy Việt Nam thường là bên gánh chi phí phát sinh mà không được đàm phán lại giá gia công.
Chi phí và thời gian — đừng đợi đến gần hạn giao hàng mới bắt đầu
Trong ngành, một dây chuyền serial hóa cơ bản cho một dòng đóng gói thường mất từ vài tháng đến hơn một năm để lắp đặt, hiệu chỉnh và kiểm thử tương thích với hệ thống của đối tác nhập khẩu — chưa kể thời gian đăng ký GCP, GTIN, và thiết lập kết nối EPCIS/VRS thực tế với từng đối tác cụ thể, vì mỗi đối tác Mỹ có thể dùng một nhà cung cấp hạ tầng khác nhau. Không ít doanh nghiệp Việt Nam khi ký được hợp đồng xuất khẩu đầu tiên mới bắt đầu tìm hiểu DSCSA, và nhận ra thời gian chuẩn bị thực tế dài hơn nhiều so với thời hạn giao lô hàng đầu tiên mà đối tác đưa ra.
Bài học chung: serial hóa không phải chi phí tuân thủ, mà là điều kiện vào cửa
Điều dễ bị hiểu lầm nhất khi tiếp cận DSCSA từ góc nhìn Việt Nam là coi đây như một loại giấy phép xuất khẩu — làm một lần rồi xong. Thực tế, DSCSA là một hạ tầng vận hành liên tục: mỗi lô hàng, mỗi lần đổi chủ, dữ liệu phải được tạo ra và trao đổi đúng chuẩn. Một nhà máy có hệ thống truy xuất nguồn gốc nội bộ tốt — đã quen quản lý mã QR, số lô, dữ liệu chuỗi cung ứng cho thị trường trong nước hoặc các thị trường khác như EU — sẽ rút ngắn đáng kể thời gian thích ứng, vì phần lớn tư duy quản lý dữ liệu là giống nhau, chỉ khác ở chuẩn kỹ thuật và định dạng trao đổi.
Ngược lại, một nhà máy vẫn quản lý lô hàng bằng sổ sách và mã vạch 1D truyền thống sẽ cần nhiều thời gian hơn để xây cả tư duy lẫn hạ tầng dữ liệu, trước khi nói đến chuyện đầu tư máy in mã 2D. Với các doanh nghiệp đang cân nhắc thị trường Mỹ trong 12-18 tháng tới, việc chuẩn hóa hệ thống truy xuất nguồn gốc nội bộ theo hướng tương thích GS1/EPCIS ngay từ bây giờ — dù chưa ký hợp đồng cụ thể — là khoản đầu tư ít rủi ro nhất, vì đó cũng chính là nền tảng dữ liệu mà thị trường EU (qua EU FMD) và nhiều thị trường khác đang dần yêu cầu theo hướng tương tự.
