Chuẩn bị cho audit và duy trì compliance nghe có vẻ là một, nhưng chúng vận hành theo logic hoàn toàn khác nhau. Và auditor được đào tạo để phân biệt hai điều đó.
Hai cách tiếp cận khác nhau về bản chất
Chuẩn bị cho audit nghĩa là thu thập evidence trước deadline, lấp các lỗ hổng tài liệu, gán owner cho những control còn trống, và nhanh chóng review những gì auditor có thể hỏi. Mọi thứ xảy ra vì audit đang đến.
Duy trì compliance nghĩa là evidence được ghi lại ngay khi hoạt động xảy ra, control được cập nhật ngay khi có thay đổi, và owner hành động liên tục, không phải vì có deadline sắp tới mà vì đó là cách quy trình được thiết kế.
Auditor nhìn thấy sự khác biệt
Evidence được tạo trong ba mươi ngày trước audit có phân phối timestamp khác với evidence được duy trì xuyên suốt. Mười hai tháng access log ổn định trông khác với log được export gấp. Periodic review có lịch sử thực sự trông khác với những gì được điền vào sau sự kiện.
Điều này không có nghĩa là những công ty đang chuẩn bị cho audit đang cố giấu gì. Hầu hết họ chỉ đang làm điều duy nhất khả thi với công cụ và quy trình hiện tại. Nhưng kết quả thực tế là các công ty duy trì compliance liên tục bước vào audit với ít bất ngờ hơn, ít câu hỏi khó giải thích hơn, và ít áp lực phải tái tạo lịch sử hơn.
Duy trì compliance trông như thế nào trong thực tế
Đây không phải là một thay đổi quy trình lớn. Phần cốt lõi chỉ là đảm bảo evidence được ghi lại ngay tại thời điểm hoạt động xảy ra.
Access review hoàn tất thì log ngay lập tức. Training kết thúc thì tạo record ngay. Vendor assessment xong thì lưu vào đúng nơi ngay. Không phải tuần sau, không phải khi nhớ ra, không phải khi audit đến gần.
Điểm mấu chốt là hành động thực hiện công việc và hành động ghi lại evidence xảy ra cùng một lúc, không cách nhau vài tuần. Khi hai việc này tách rời nhau, khoảng cách đó tích lũy thành rủi ro. Một số evidence bị quên. Một số được tái tạo từ trí nhớ. Một số được điền ngày ngược lại.
Một câu hỏi để tự đánh giá
Trong lần audit gần nhất, bao nhiêu phần trăm evidence được tạo ra trong ba mươi ngày trước khi auditor đến?
Câu hỏi này không có mục đích buộc tội. Nó chỉ là một cách đo cụ thể để nhìn thấy khoảng cách giữa cách compliance đang được vận hành và cách nó có thể được vận hành. Nếu con số cao, điều đó phản ánh một thực tế về cấu trúc hệ thống, không phải về thái độ của team.
Câu trả lời cho câu hỏi đó thường phản ánh rõ hơn bất kỳ spreadsheet nào về cách compliance đang thực sự vận hành, và đó là điểm khởi đầu tốt để thay đổi.