Tóm tắt
Thời gian thu thập evidence hiếm khi được đo; bài hướng dẫn team GRC đo trong hai tuần, phân loại giờ làm và đọc kết quả để biết phần nào là logistics.
Thời gian thu thập evidence là số giờ team dành để lấy bằng chứng control đã chạy từ nơi nó được tạo ra (cloud console, Jira, HR, email) về nơi auditor xem được. Hầu hết team không đo con số này, nên không biết bao nhiêu phần tuần làm việc đang đi vào logistics thay vì cải thiện control. Cách đo đơn giản nhất là ghi lại giờ làm theo loại hoạt động trong hai tuần.
Vì sao thời gian thu thập evidence hay bị đánh giá thấp?
Vì nó bị chia nhỏ. Không bước nào tốn nhiều thời gian: gửi email xin access log, chờ hai ngày, nhận file sai định dạng, gửi lại yêu cầu; vào Drive tìm tài liệu tháng trước; vào Jira xem ai approve change request; lấy bản scan hợp đồng vendor trên SharePoint; rồi gom tất cả vào một thư mục auditor đọc được. Mỗi bước vài phút đến vài chục phút, nhưng lặp lại cho hàng chục control, nhiều người, nhiều tuần. Không bước nào tạo ra thông tin mới; tất cả chỉ là chuyển thông tin đã có sang đúng chỗ.
Đo thời gian thu thập evidence trong hai tuần như thế nào?
- Chọn hai tuần làm việc bình thường, không phải tuần ngay trước audit (tuần đó sẽ làm số liệu lệch).
- Mỗi người tham gia compliance ghi giờ theo bốn loại trong bảng bên dưới, mỗi ngày một lần, làm tròn 15 phút.
- Ghi thêm số lần phải nhắc người khác và số lần evidence bị trả lại vì sai kỳ hoặc sai định dạng.
- Cộng tổng theo loại và theo người; nhân với số tuần trong chu kỳ để ước tính chi phí cả năm.
- Lặp lại sau mỗi thay đổi quy trình để so sánh.
| Loại hoạt động | Ví dụ | Có tạo giá trị bảo mật trực tiếp? |
|---|---|---|
| Thu thập evidence | Xin file, tìm tài liệu, đổi định dạng, upload, nhắc người khác | Không; là logistics |
| Vận hành control | Chạy access review, xử lý lỗ hổng, test restore backup | Có |
| Đánh giá và cải thiện | Phân tích rủi ro, review hiệu quả control, sửa quy trình | Có |
| Tài liệu và policy | Viết, cập nhật, phê duyệt policy và procedure | Có, khi nội dung thay đổi thật |
Đọc kết quả đo như thế nào?
Nếu phần "thu thập evidence" lớn hơn phần "đánh giá và cải thiện", evidence đang được tạo ở một nơi nhưng không có mặt đúng định dạng khi cần. Đó là vấn đề cấu trúc, không phải năng lực: quy trình không đặt việc lưu evidence vào lúc hoạt động diễn ra, mà dồn về một người vào một thời điểm. Số lần nhắc cao cho thấy thiếu owner và hạn rõ ràng; số lần bị trả lại cao cho thấy yêu cầu evidence chưa mô tả đủ. Không có con số "chuẩn" để so; giá trị của phép đo là so sánh team bạn với chính nó qua các kỳ.
Những giờ đó lẽ ra dành cho việc gì?
ISO/IEC 27001 yêu cầu tổ chức đánh giá hiệu quả của ISMS và cải tiến liên tục (điều khoản 9.1 và 10, ISO/IEC 27001:2022); SOC 2 Trust Services Criteria CC4.1 yêu cầu đánh giá liên tục và/hoặc riêng lẻ xem control có vận hành không (AICPA, 2017 Trust Services Criteria). Đó là phần việc bị cắt đầu tiên khi giờ làm đổ vào thu thập: review hiệu quả từng control, theo dõi xu hướng rủi ro, xử lý gap trước khi thành audit finding. Bài những công việc GRC tốn thời gian nhất liệt kê các yêu cầu cụ thể theo phòng ban, và bài thu thập bằng chứng compliance tự động giải thích phần nào có thể tự động hóa.
pTrackly giảm phần nào trong số giờ đó?
pTrackly giảm phần nhắc và tổng hợp: evidence task có assignee, tần suất và hạn, tự nhắc trước hạn và tự mở lại khi đến kỳ; owner xem trạng thái tất cả task ở một chỗ thay vì lục inbox. Với control có integration hỗ trợ, check có thể chạy theo lịch hàng ngày và lưu kết quả làm evidence. Phần vẫn cần người: vận hành control, review evidence trước khi phê duyệt, và các evidence không có nguồn tự động như hợp đồng hay biên bản họp. Xem cách áp dụng cho SOC 2 và hướng dẫn evidence collection SOC 2.
Câu hỏi thường gặp
Team GRC thường mất bao nhiêu giờ mỗi tuần để thu thập evidence?
Không có số liệu chuẩn đáng tin cho thị trường Việt Nam; con số phụ thuộc số control, số framework và mức tự động hóa. Cách chắc chắn nhất là đo team của bạn trong hai tuần như hướng dẫn ở trên.
Nên đo thời gian thu thập evidence vào lúc nào?
Đo trong tuần làm việc bình thường để có mức nền, và đo riêng trong các tuần chuẩn bị audit để thấy đỉnh. So sánh hai con số cho biết bao nhiêu việc đang bị dồn về cuối kỳ.
Thời gian thu thập evidence có tính vào chi phí compliance không?
Có. Đây là chi phí nội bộ thường không xuất hiện trong ngân sách nhưng lớn hơn nhiều người nghĩ; nhân giờ đo được với chi phí nhân sự để đưa vào so sánh khi cân nhắc công cụ hoặc dịch vụ.
Tự động hóa có loại bỏ hoàn toàn việc thu thập evidence không?
Không. Tự động hóa thay được phần evidence lấy từ hệ thống có API như cloud, identity provider hay code repository. Hợp đồng, biên bản, phê duyệt của con người vẫn cần người tạo và review.
