Tóm tắt
Thời gian chuẩn bị audit ISO 27001 hay SOC 2 thường gấp nhiều lần thời gian auditor làm việc; tỷ lệ đó cho biết evidence đang được vận hành ra sao.
Thời gian chuẩn bị audit ISO 27001 hoặc SOC 2 ở nhiều công ty kéo dài vài tuần, trong khi auditor chỉ làm việc trực tiếp vài ngày. Tỷ lệ giữa hai con số đó là một chỉ số vận hành: nó cho biết evidence có được duy trì giữa các kỳ audit hay phải dựng lại mỗi năm.
Thời gian chuẩn bị audit bao lâu là bình thường?
Không có chuẩn nào quy định thời gian chuẩn bị audit. Số ngày auditor làm việc do tổ chức chứng nhận (ISO 27001) hoặc CPA firm (SOC 2) tính theo quy mô và phạm vi; với công ty vài chục đến vài trăm người, phần làm việc trực tiếp thường chỉ vài ngày. Phần chuẩn bị thì phụ thuộc hoàn toàn vào cách team vận hành. Nếu evidence được thu thập theo chu kỳ trong năm, tuần trước audit chỉ còn là rà soát. Nếu không, team thường mất từ 4 đến 8 tuần (ước tính thường gặp, phụ thuộc phạm vi và mức sẵn sàng; không phải số liệu khảo sát) để dựng lại bức tranh của cả năm.
Tỷ lệ chuẩn bị / audit nói lên điều gì?
Hãy tính một con số đơn giản: số ngày-người team dành cho chuẩn bị chia cho số ngày auditor làm việc. Tỷ lệ cao không có nghĩa team làm chưa tốt; nó có nghĩa evidence đang được tạo ra trong năm nhưng không được lưu đúng chỗ, đúng định dạng và có người chịu trách nhiệm.
| Tỷ lệ chuẩn bị / audit | Điều thường xảy ra | Việc nên làm trước |
|---|---|---|
| Rất cao (nhiều tuần cho vài ngày audit) | Evidence được tìm lại từ email, Drive, Jira; nhiều file tạo trong cùng một tuần | Lập danh sách evidence theo control, gán owner và tần suất cho từng mục |
| Trung bình | Phần lớn evidence đã có, còn thiếu một số mục định kỳ (access review, training) | Đặt lịch nhắc theo chu kỳ, rà soát hàng quý thay vì hàng năm |
| Thấp (khoảng một tuần) | Tuần cuối chỉ để kiểm tra đủ và đúng kỳ | Duy trì; dùng thời gian còn lại cho đánh giá hiệu quả control |
Những tuần chuẩn bị đi vào việc gì?
Phần lớn thời gian chuẩn bị không đi vào cải thiện control mà vào điều phối: nhắn IT xin access review log, hỏi HR hồ sơ security awareness training, hỏi Dev lần vulnerability scan gần nhất, gom file từ nhiều người về một chỗ, đổi sang định dạng auditor yêu cầu, rồi xử lý gap phát hiện vào những ngày cuối. Thông tin đó không mới; nó đã nằm đâu đó trong hệ thống từ nhiều tháng trước. Bài thời gian thu thập evidence hướng dẫn cách đo số giờ đó.
Trước audit, mỗi phòng ban nhận những yêu cầu gì?
Phần tốn thời gian nhất thường là gom evidence từ các phòng ban không làm compliance hằng ngày. Mỗi phòng ban đã làm việc của mình trong năm, nhưng bản ghi nằm rải rác và không ở định dạng auditor cần. Cách giảm thời gian là để phòng ban tạo ra evidence giữ nó sẵn sàng, còn GRC định nghĩa evidence cần gì, đặt lịch và review chất lượng.
| Phòng ban | Yêu cầu điển hình | Vì sao tốn thời gian | Cách giữ sẵn trong năm |
|---|---|---|---|
| HR | Onboarding/offboarding checklist, training awareness, cam kết bảo mật | Hồ sơ của nhân viên mới trong năm nằm ở nhiều thư mục, định dạng checklist đổi giữa chừng | Lưu checklist ngay khi onboard/offboard xong, một thư mục theo kỳ |
| IT / Infra | Access review, patch management report, backup và test restore | Báo cáo có chạy nhưng file thô không khớp cột auditor muốn | Chốt mẫu báo cáo một lần, export đúng mẫu mỗi kỳ |
| Dev | Change management, code review, vulnerability scan, SDLC | Phải truy ngược ticket và pull request theo mẫu auditor chọn | Gắn link ticket vào PR, lưu kết quả scan kèm ngày chạy |
| Legal / Procurement | Hợp đồng vendor, DPA, NDA, đánh giá vendor | Bản gốc nằm trong email hoặc ổ đĩa của người đã nghỉ | Một danh sách vendor có link hợp đồng và ngày hết hạn |
| Ban lãnh đạo | Management review, phê duyệt policy, chấp nhận rủi ro | Biên bản họp không ghi đủ quyết định hoặc không có | Biên bản theo mẫu, lưu ngay sau họp |
Những công ty mất nhiều thời gian nhất thường không thiếu kiểm soát: control đã được thực hiện thật. Thứ còn thiếu là người sở hữu việc lưu evidence của từng control, nên vài tuần trước audit trở thành toàn bộ chương trình compliance và GRC Manager trở thành người đi nhắc.
Vì sao chuẩn bị dài là dấu hiệu của cấu trúc, không phải của nỗ lực?
ISO/IEC 27001 yêu cầu documented information phải được kiểm soát để sẵn có và phù hợp khi cần (điều khoản 7.5), và yêu cầu theo dõi, đo lường và internal audit theo kế hoạch (điều khoản 9.1, 9.2) (ISO/IEC 27001:2022). Với SOC 2, Trust Services Criteria CC4.1 yêu cầu tổ chức thực hiện đánh giá liên tục và/hoặc riêng lẻ để biết các thành phần của kiểm soát nội bộ có hiện diện và vận hành hay không (AICPA, 2017 Trust Services Criteria). Cả hai đều giả định evidence được tạo ra và giữ lại trong suốt kỳ, không phải gom lại trước ngày audit. Khi chuẩn bị mất nhiều tuần, đó là dấu hiệu quy trình đang vận hành ngược với giả định này.
Rút ngắn thời gian chuẩn bị audit bằng cách nào?
- Lập danh sách evidence theo từng control, mỗi mục có một owner, một tần suất (tháng, quý, năm) và nơi lưu cố định.
- Thu evidence ngay khi hoạt động diễn ra: export access review sau mỗi quý, lưu training record ngay khi khóa học kết thúc, lưu kết quả vulnerability scan kèm ngày chạy và người review.
- Rà soát trạng thái hàng tháng thay vì hàng năm, để gap được sửa khi còn nhỏ.
- Chạy internal audit ISO 27001 trước kỳ audit bên ngoài để kiểm tra tính đầy đủ.
- Đo lại tỷ lệ chuẩn bị / audit sau mỗi kỳ để biết thay đổi có tác dụng hay không.
Nếu bạn cần danh sách đầy đủ những gì auditor sẽ hỏi, xem audit readiness là gì và checklist chuẩn bị.
pTrackly giúp gì và không thay được gì?
Trong pTrackly, mỗi evidence task có assignee, tần suất và review date; task định kỳ tự mở lại khi đến kỳ, assignee nhận nhắc 7, 3 và 1 ngày trước hạn, và owner nhận digest hàng tuần các task còn mở; task quá hạn 7 ngày được báo cho quản lý của người được giao, nên từng phòng ban giữ evidence của mình thay vì để GRC đi tìm. Một số task có thể tự thu evidence từ integration đã kết nối. Khi audit bắt đầu, team và auditor làm việc trên cùng một request list. Những gì vẫn thuộc về team: quyết định phạm vi, vận hành control thực tế và trả lời câu hỏi của auditor. Xem cách tiếp cận này cho ISO 27001 và SOC 2.
Câu hỏi thường gặp
Auditor ISO 27001 thường làm việc bao nhiêu ngày?
Số ngày audit do tổ chức chứng nhận tính theo số nhân sự trong phạm vi, số địa điểm và độ phức tạp của ISMS. Với công ty vừa và nhỏ, phần làm việc trực tiếp thường chỉ vài ngày cho mỗi giai đoạn audit.
Ai nên chịu trách nhiệm lưu evidence: GRC hay phòng ban?
Phòng ban tạo ra evidence nên sở hữu việc lưu nó, vì họ biết bản ghi nằm ở đâu và khi nào được tạo. GRC định nghĩa evidence cần gì, đặt lịch và review chất lượng.
Bắt đầu chuẩn bị audit trước bao lâu là đủ?
Nếu evidence chưa được duy trì trong năm, nhiều team cần vài tuần chỉ để thu thập lại. Nếu đã duy trì theo chu kỳ, một đến hai tuần rà soát thường là đủ. Với SOC 2 Type II, evidence phải phủ toàn bộ observation period, nên không thể bù lại bằng chuẩn bị muộn.
Làm sao đo thời gian chuẩn bị audit của team mình?
Ghi lại số giờ mỗi người dành cho việc chuẩn bị trong các tuần trước audit, tách riêng thu thập evidence, sửa gap và làm việc với auditor. Chia tổng số ngày-người cho số ngày auditor làm việc để có tỷ lệ so sánh giữa các kỳ.
Chuẩn bị audit lâu có làm audit bị trượt không?
Không trực tiếp. Nhiều team chuẩn bị gấp vẫn đạt. Rủi ro nằm ở chỗ evidence tạo dồn trong vài tuần khó chứng minh control vận hành suốt kỳ, và chi phí chuẩn bị lặp lại mỗi năm. Xem thêm vì sao chuẩn bị audit phút chót là quá muộn.
