SOC 2 cho fintech Việt Nam
Fintech Việt Nam đang chịu hai áp lực compliance khác nhau cùng lúc. Phía ngoài: US customers và investor yêu cầu SOC 2 report. Phía trong: luật Việt Nam, đặc biệt Luật Bảo vệ dữ liệu cá nhân (Luật 91/2025) và Thông tư 09/2020/TT-NHNN cho digital banking, đặt ra nghĩa vụ bắt buộc. Trang này phân tích framework nào áp dụng cho trường hợp nào.
Khi nào việc mở rộng sang Mỹ kéo theo SOC 2?
SOC 2 không phải luật, nhưng các tình huống dưới đây khiến nó gần như bắt buộc.
Hợp đồng vendor với enterprise Mỹ
Fintech hoặc bank Mỹ muốn tích hợp API của bạn và hỏi SOC 2 Type II. Không có, onboarding dừng lại hoặc kéo dài nhiều tháng.
Due diligence Series A/B với quỹ Mỹ
Quỹ Mỹ kỳ vọng SOC 2 Type II hoặc lộ trình đạt được trong 12 tháng. Thiếu thì phải giải thích và cam kết timeline.
Partnership với payment processor hoặc BaaS provider Mỹ
Stripe, Marqeta, Synapse và các BaaS provider tương tự thường đòi bằng chứng bảo mật trước khi cấp quyền production. SOC 2 là cách phổ biến nhất.
SWIFT membership hoặc quan hệ ngân hàng đại lý
Một số ngân hàng đại lý và thành viên SWIFT đòi bằng chứng kiểm soát độc lập với đối tác từ thị trường rủi ro cao. SOC 2 Type II đáp ứng đúng yêu cầu đó.
So sánh framework cho fintech
| Framework | Ai yêu cầu | Bao gồm | Khi nào cần |
|---|---|---|---|
| SOC 2 | US customers, US investors | Bảo mật dữ liệu cho service org | Bán cho enterprise Mỹ, huy động vốn Mỹ |
| ISO 27001 | Khách hàng Nhật, EU, Singapore | ISMS toàn diện | Mở rộng quốc tế ngoài Mỹ |
| PCI DSS | Mạng lưới thẻ thanh toán | Dữ liệu chủ thẻ | Xử lý thanh toán thẻ bất kỳ đâu |
| PDPD / Luật 91/2025 | Luật Việt Nam | Dữ liệu cá nhân của người Việt | Hoạt động tại Việt Nam (bắt buộc) |
Control overlap giữa SOC 2 và PCI DSS
Đã có PCI DSS thì nhiều controls SOC 2 đã sẵn (xem bên dưới), nhưng SOC 2 không miễn phí. Audit hoàn toàn tách biệt: SOC 2 cần CPA firm được AICPA công nhận, PCI DSS cần QSA. Evidence, observation period (tối thiểu 6 tháng với Type II) và cách auditor hỏi cũng khác.
Compliance stack cho fintech Việt Nam
Câu hỏi thường gặp
Fintech Việt Nam có cần SOC 2 không?
Phụ thuộc vào chiến lược mở rộng. Nếu nhắm thị trường Mỹ hoặc huy động vốn từ investor Mỹ, SOC 2 thường được yêu cầu trong due diligence. Nếu chỉ hoạt động tại Việt Nam hoặc Đông Nam Á, ISO 27001 và PDPD thường đủ.
Fintech đã có PCI DSS có cần thêm SOC 2 không?
PCI DSS và SOC 2 phục vụ mục đích khác nhau. PCI DSS yêu cầu cho xử lý thẻ thanh toán, SOC 2 là về tin cậy dữ liệu B2B cho enterprise customers. Hai framework có một số control overlap nhưng không thay thế nhau. Nhiều fintech Mỹ yêu cầu cả hai.
Investor Mỹ có yêu cầu SOC 2 không khi đầu tư vào fintech Việt Nam?
Thường được hỏi trong due diligence Series A trở lên, đặc biệt khi investor là quỹ Mỹ. SOC 2 Type II hoặc ít nhất là roadmap rõ ràng để đạt SOC 2 thường được kỳ vọng. Startup ở giai đoạn seed ít bị yêu cầu hơn.
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.