Tóm tắt
Chuẩn bị audit là gom evidence trước deadline; duy trì compliance là ghi evidence ngay khi hoạt động xảy ra. Auditor phân biệt hai cách qua timestamp.
Chuẩn bị cho audit là thu thập evidence trước deadline; duy trì compliance là ghi lại evidence ngay tại thời điểm hoạt động xảy ra. Hai việc nghe giống nhau nhưng vận hành theo logic hoàn toàn khác, và auditor được đào tạo để phân biệt chúng qua phân phối timestamp của evidence. Tổ chức duy trì compliance liên tục bước vào audit với ít bất ngờ hơn và ít phải tái tạo lịch sử hơn.
Chuẩn bị audit và duy trì compliance khác nhau thế nào?
| Tiêu chí | Chuẩn bị cho audit | Duy trì compliance |
|---|---|---|
| Thời điểm tạo evidence | 30 đến 60 ngày trước audit | Ngay khi hoạt động xảy ra |
| Người kích hoạt | Deadline audit hoặc email của auditor | Nhịp lặp của control (tháng, quý, năm) |
| Owner hành động vì | Có người hỏi | Quy trình được thiết kế như vậy |
| Khi control thay đổi | Cập nhật tài liệu sau sự kiện | Cập nhật ngay khi thay đổi |
| Kết quả ở audit | Nhiều câu hỏi về khoảng trống và timestamp | Ít bất ngờ, evidence có lịch sử thật |
Chuẩn bị cho audit nghĩa là lấp lỗ hổng tài liệu, gán owner cho control còn trống và review nhanh những gì auditor có thể hỏi. Mọi thứ xảy ra vì audit đang đến. Duy trì compliance nghĩa là owner hành động liên tục, không phải vì có deadline mà vì đó là cách quy trình được thiết kế. Bài audit readiness là gì mô tả trạng thái đầu; bài này tập trung vào cách chuyển sang trạng thái thứ hai.
Auditor nhận ra sự khác biệt bằng cách nào?
Evidence được tạo trong ba mươi ngày trước audit có phân phối timestamp khác với evidence được duy trì xuyên suốt. Mười hai tháng access log ổn định trông khác với log được export gấp. Periodic review có lịch sử thực sự trông khác với những gì được điền vào sau sự kiện.
Điều này không có nghĩa là công ty chuẩn bị gấp đang cố giấu gì. Hầu hết chỉ đang làm điều duy nhất khả thi với công cụ và quy trình hiện tại. Nhưng với SOC 2 Type II, auditor kiểm tra control hoạt động trong suốt observation period, thường từ 3 đến 12 tháng, nên khoảng trống evidence trong kỳ đó là finding rõ ràng. Với ISO 27001, surveillance audit hàng năm kiểm tra việc duy trì sau chứng nhận, không chỉ trạng thái tại một thời điểm.
Tiêu chuẩn yêu cầu duy trì liên tục ở đâu?
- ISO/IEC 27001:2022 yêu cầu tổ chức giám sát, đo lường, phân tích và đánh giá (điều khoản 9.1), thực hiện internal audit theo kế hoạch (9.2), management review định kỳ (9.3) và cải tiến liên tục (10). Đây là yêu cầu vận hành liên tục, không phải yêu cầu một lần trước audit. Nguồn: ISO/IEC 27001:2022.
- SOC 2 Type II đánh giá thiết kế và hiệu quả vận hành của control trong một khoảng thời gian, nên evidence phải tồn tại xuyên suốt kỳ đó. Nguồn: AICPA SOC 2.
- HIPAA Security Rule yêu cầu đánh giá định kỳ về kỹ thuật và phi kỹ thuật khi có thay đổi môi trường hoặc vận hành (45 CFR 164.308(a)(8)). Nguồn: HHS, Security Rule.
Duy trì compliance trông như thế nào trong thực tế?
Đây không phải là thay đổi quy trình lớn. Phần cốt lõi là hành động thực hiện công việc và hành động ghi lại evidence xảy ra cùng một lúc, không cách nhau vài tuần.
- Access review hoàn tất thì log ngay, kèm danh sách ai review ai và kết quả.
- Training kết thúc thì tạo record ngay, không đợi cuối quý.
- Vendor assessment xong thì lưu vào đúng nơi gắn với control, không để trong email.
- Khi hệ thống, nhân sự hoặc vendor thay đổi, control và risk register được cập nhật ngay, thay vì để compliance drift tích lũy đến kỳ audit sau.
- Mỗi control có owner và nhịp lặp rõ ràng, nên không ai phải chờ GRC hỏi mới nhớ (evidence của từng phòng ban nên được giữ sẵn như thế nào).
Khi hai việc làm và ghi lại tách rời nhau, khoảng cách tích lũy thành rủi ro: một số evidence bị quên, một số được tái tạo từ trí nhớ, một số được điền ngày ngược lại.
Làm sao tự đánh giá team đang ở cách nào?
Trong lần audit gần nhất, bao nhiêu phần trăm evidence được tạo ra trong ba mươi ngày trước khi auditor đến?
Câu hỏi này không nhằm buộc tội. Nó là một cách đo cụ thể để nhìn thấy khoảng cách giữa cách compliance đang vận hành và cách nó có thể vận hành. Nếu con số cao, điều đó phản ánh cấu trúc hệ thống, không phải thái độ của team. Câu trả lời thường phản ánh rõ hơn bất kỳ spreadsheet nào về cách compliance đang thực sự vận hành. Để đọc kết quả mỗi lần review như một tín hiệu rủi ro, xem compliance tracking là hệ thống cảnh báo sớm.
pTrackly hỗ trợ phần nào?
pTrackly biến mỗi requirement thành evidence task có owner, nhịp lặp và nơi nộp proof, nên evidence được ghi tại thời điểm công việc xảy ra. Automation tạo task định kỳ như access review hàng quý và due diligence cho vendor mới; integration kiểm tra read-only cấu hình cloud, code và identity để phát hiện thay đổi. Phần quyết định phạm vi, phê duyệt và audit độc lập vẫn thuộc về team và đơn vị kiểm toán. Xem thêm tại duy trì compliance với pTrackly.
Câu hỏi thường gặp
Duy trì compliance là gì?
Duy trì compliance là vận hành control và ghi lại evidence liên tục trong năm, theo nhịp lặp của từng control, thay vì thu thập dồn trước kỳ audit. ISO/IEC 27001:2022 yêu cầu điều này qua các điều khoản 9.1, 9.2, 9.3 và 10; SOC 2 Type II kiểm tra control trong suốt observation period.
Chuẩn bị gấp trước audit có bị coi là gian lận không?
Không, nếu evidence là thật và có ngày tạo đúng. Vấn đề là evidence được tái tạo hoặc điền ngày ngược lại, và khoảng trống trong observation period. Auditor nhìn phân phối timestamp để đánh giá control có vận hành liên tục hay không.
SOC 2 Type II cần evidence trong bao lâu?
Observation period của SOC 2 Type II thường kéo dài từ 3 đến 12 tháng, tùy thỏa thuận với CPA firm và yêu cầu của khách hàng. Evidence phải chứng minh control hoạt động xuyên suốt kỳ đó, không chỉ tại thời điểm audit.
Bắt đầu chuyển sang duy trì compliance từ đâu?
Bắt đầu từ các control có nhịp lặp rõ ràng: access review, training, vendor assessment, vulnerability scan. Gán owner, đặt nhịp lặp và một nơi duy nhất để nộp evidence cho từng control, rồi mở rộng dần sang các control còn lại.
