Trong một chu kỳ chuẩn bị audit ISO 27001 hoặc SOC 2 thông thường, auditor xuất hiện và làm việc trong 2-4 ngày làm việc. Team nội bộ bắt đầu chuẩn bị từ 4-8 tuần trước đó, đôi khi hơn. Khoảng cách đó không phải ngẫu nhiên, và nó nói lên nhiều thứ hơn là chỉ sự chênh lệch về thời gian.
Những tuần đó đi về đâu
Phần lớn thời gian chuẩn bị không đi vào việc cải thiện controls. Nó đi vào điều phối và tổng hợp: nhắn tin cho IT để xin access review logs, hỏi HR về hồ sơ training awareness, hỏi Dev khi nào vulnerability scan cuối cùng chạy, gom file từ nhiều người về một chỗ, kiểm tra định dạng auditor yêu cầu, cập nhật bảng tính tổng hợp, và xử lý các gap phát hiện vào những ngày cuối.
Khoảng 80% thời gian đó là logistics thuần túy: di chuyển thông tin đang tồn tại sẵn đến đúng vị trí cho kỳ audit. Thông tin đó không mới. Nó đã ở đâu đó trong hệ thống từ nhiều tháng trước. Vấn đề là không ai biết nó đang ở đâu, ở định dạng nào, và có đầy đủ không, cho đến khi audit đến gần.
Team nội bộ làm phần việc thực sự của audit
Auditor đánh giá kết quả trong vài ngày. Team nội bộ làm công việc thực sự của audit, trong nhiều tuần, mà không xuất hiện trong báo cáo cuối cùng.
Đây không phải phàn nàn về sự không công bằng. Đây là quan sát về cấu trúc: khi phần lớn thời gian chuẩn bị đi vào việc thu thập chứ không phải cải thiện controls, nó phản ánh evidence chưa bao giờ được duy trì liên tục trong suốt năm. Evidence được tập hợp đủ để qua một kỳ audit, sau đó phân tán trở lại. Kỳ audit sau, quá trình thu thập bắt đầu từ đầu.
Sự khác biệt khi evidence được duy trì liên tục
Team duy trì evidence liên tục có cách tiếp cận chuẩn bị audit khác hoàn toàn. Vài tuần trước audit không phải lúc đi tìm evidence. Đó là lúc xác minh tính đầy đủ và sửa phần nhỏ thực sự cần cập nhật.
Trên thực tế, điều này có nghĩa là: access review logs đã được export và lưu trữ theo chu kỳ thay vì đợi đến lúc audit mới xin. Training records được cập nhật ngay sau khi training hoàn thành thay vì tổng hợp lại vào phút cuối. Kết quả vulnerability scan được lưu trữ cùng với ngày chạy và người xem xét, không chỉ nằm trong email.
Khi những thứ này đã ở đúng chỗ, tuần cuối trước audit là tuần rà soát, không phải tuần tìm kiếm.
Vấn đề cơ bản
Khoảng cách giữa thời gian chuẩn bị và thời gian audit thực tế là chỉ số đáng theo dõi. Nó không đo lường mức độ nghiêm túc của chương trình compliance. Nó đo lường cách evidence đang được vận hành trong 50 tuần còn lại của năm, khi không có áp lực audit trực tiếp.
Một tổ chức chuẩn bị 6 tuần cho audit 3 ngày đang dành 6 tuần để tái tạo một bức tranh đáng lẽ phải tồn tại sẵn. Một tổ chức chuẩn bị 1 tuần cho cùng kỳ audit đó không phải vì họ làm việc nhanh hơn mà vì họ không phải tái tạo bất cứ thứ gì.
Sự chênh lệch giữa thời gian chuẩn bị và thời gian audit thực tế là chỉ số đáng đo, vì nó phản ánh cách evidence đang được vận hành trong 50 tuần còn lại của năm.
Nếu bạn đang xem xét cách rút ngắn khoảng cách này trong tổ chức, pTrackly được thiết kế để duy trì trạng thái evidence liên tục giữa các kỳ audit.