Báo Cáo SOC 2 Có Hiệu Lực Bao Lâu? Bridge Letter

Báo cáo SOC 2 không ghi ngày hết hạn, nhưng khách hàng Mỹ thường chỉ chấp nhận báo cáo có kỳ đánh giá kết thúc trong 12 tháng gần nhất. Vì báo cáo chỉ mô tả control trong một kỳ cụ thể, doanh nghiệp bán cho enterprise Mỹ thường lặp lại SOC 2 Type II hàng năm với các observation period nối tiếp nhau, và dùng bridge letter để phủ khoảng trống ngắn giữa hai báo cáo.

Vì sao báo cáo SOC 2 có "hiệu lực" dù không có ngày hết hạn?

SOC 2 là báo cáo chứng thực (attestation) do CPA firm độc lập phát hành theo chuẩn của AICPA; nó mô tả control tại một thời điểm (Type I) hoặc trong một observation period (Type II). AICPA không quy định thời hạn hiệu lực. Thời hạn 12 tháng đến từ phía người đọc: đội vendor risk và procurement của khách hàng cần biết control vẫn hoạt động ở thời điểm họ ký hợp đồng, nên họ đặt quy tắc nội bộ chỉ chấp nhận báo cáo "còn mới". Nguồn: AICPA, SOC suite of services.

Một báo cáo Type II có kỳ đánh giá từ 01/01 đến 30/06, phát hành giữa tháng 8, sẽ được hầu hết khách hàng chấp nhận đến khoảng 30/06 năm sau. Sau mốc đó, security questionnaire sẽ yêu cầu báo cáo mới.

Bridge letter là gì và phủ được bao lâu?

Bridge letter (còn gọi là gap letter) là thư do ban quản lý doanh nghiệp ký, xác nhận rằng từ ngày kết thúc kỳ đánh giá gần nhất đến ngày ký thư, hệ thống và control không có thay đổi trọng yếu và vẫn vận hành như mô tả trong báo cáo. Nó không phải ý kiến của auditor và CPA firm không ký thư này.

Nội dung	Bridge letter	Báo cáo SOC 2 mới
Ai phát hành	Ban quản lý doanh nghiệp	CPA firm độc lập
Có test control không	Không	Có
Khoảng thời gian phủ	Thường tối đa khoảng 3 tháng sau khi kỳ đánh giá kết thúc; một số khách hàng chấp nhận đến 6 tháng	Toàn bộ observation period mới
Khi nào dùng	Khách hàng hỏi trong lúc chờ báo cáo mới	Hàng năm, hoặc khi hệ thống thay đổi lớn

Bridge letter thường gồm: kỳ đánh giá và ngày phát hành của báo cáo gần nhất, khẳng định không có thay đổi trọng yếu về hệ thống và control, mô tả thay đổi hoặc sự cố nếu có, và chữ ký của người có thẩm quyền kèm ngày. Nếu khoảng trống dài hơn 3 đến 6 tháng, phần lớn khách hàng sẽ không chấp nhận thư mà yêu cầu báo cáo mới.

Lịch tái đánh giá SOC 2 hàng năm nên sắp xếp thế nào?

Mục tiêu là các observation period nối tiếp nhau để không bao giờ có khoảng trống dài. Một lịch thường gặp cho công ty SaaS Việt Nam:

Năm 1: readiness 3 đến 6 tháng, rồi Type I (tùy chọn), rồi observation period 6 tháng cho Type II đầu tiên.
Audit Type II: CPA firm làm việc 4 đến 8 tuần sau khi kỳ kết thúc; báo cáo được phát hành.
Năm 2 trở đi: observation period 12 tháng bắt đầu ngay ngày sau khi kỳ trước kết thúc; audit hàng năm vào cùng thời điểm.
Bridge letter: ký khi khách hàng hỏi trong khoảng từ ngày kết thúc kỳ đến ngày phát hành báo cáo mới.
Thay đổi lớn giữa kỳ (chuyển cloud, sáp nhập, thay đổi cách xử lý dữ liệu khách hàng): báo cho CPA firm và cập nhật mô tả hệ thống; có thể cần rút ngắn kỳ hoặc audit sớm.

Với Type I, không có khái niệm tái đánh giá hàng năm theo cùng nghĩa: Type I chỉ chứng minh thiết kế tại một thời điểm, và khách hàng enterprise thường yêu cầu chuyển sang Type II trong vòng 12 tháng. Xem SOC 2 Type II mất bao lâu để lập kế hoạch cho observation period đầu tiên.

Duy trì control giữa hai kỳ audit cần những gì?

Phần tốn công nhất của chu kỳ hàng năm không phải audit mà là giữ evidence liên tục trong 12 tháng. Những việc tối thiểu:

Access review theo quý, có danh sách ai review ai và kết quả.
Change management: mọi thay đổi production có ticket, review và phê duyệt.
Vulnerability scan và xử lý theo SLA đã cam kết trong policy.
Vendor review hàng năm cho các vendor trong scope.
Security awareness training hàng năm có record hoàn thành.
Incident log, kể cả khi không có sự cố (ghi nhận "không có").
Policy review hàng năm với người phê duyệt và ngày.

Danh sách đầy đủ theo từng nhóm control nằm trong SOC 2 readiness checklist và evidence cần thu thập. Khi evidence được ghi ngay lúc hoạt động xảy ra thay vì gom trước audit, kỳ audit năm sau ngắn hơn và ít exception hơn; xem chuẩn bị audit hay duy trì compliance.

pTrackly hỗ trợ phần nào?

pTrackly giữ control, owner và evidence của SOC 2 trong một audit period có ngày bắt đầu và kết thúc rõ ràng, nên khi kỳ cũ đóng lại, kỳ mới mở ngay và evidence tiếp tục được thu thập theo nhịp lặp của từng control. Vai trò auditor bên ngoài chỉ thấy những gì doanh nghiệp release cho kỳ đó. pTrackly không phát hành báo cáo SOC 2 và không ký bridge letter; CPA firm và ban quản lý doanh nghiệp làm việc đó. Xem pTrackly cho SOC 2 và SOC 2 là gì nếu bạn mới bắt đầu.

Câu hỏi thường gặp

Báo cáo SOC 2 có giá trị trong bao lâu?

Báo cáo SOC 2 không có ngày hết hạn chính thức theo AICPA. Theo thông lệ thị trường, khách hàng Mỹ chấp nhận báo cáo có kỳ đánh giá kết thúc trong 12 tháng gần nhất, nên doanh nghiệp thường làm Type II mỗi năm.

Bridge letter có thay được báo cáo SOC 2 mới không?

Không. Bridge letter chỉ là cam kết của ban quản lý về khoảng thời gian ngắn, thường tối đa 3 tháng sau khi kỳ đánh giá kết thúc, trong lúc chờ báo cáo mới. Nó không được auditor kiểm tra và không thay thế một kỳ Type II mới.

Hệ thống không thay đổi thì có cần tái đánh giá hàng năm không?

Có, nếu doanh nghiệp vẫn cần đưa báo cáo cho khách hàng. Type II chứng minh control vận hành trong một kỳ cụ thể; kỳ sau cần evidence của kỳ sau. Khi control đã ổn định, kỳ audit sau thường ngắn hơn và ít exception hơn lần đầu.

Observation period năm thứ hai nên dài bao nhiêu?

Thường 12 tháng, bắt đầu ngay sau ngày kết thúc kỳ trước để không có khoảng trống. Kỳ đầu tiên có thể ngắn hơn (3 đến 6 tháng) để sớm có báo cáo; AICPA không quy định thời gian tối thiểu.