Tóm tắt
Chuẩn bị audit phút chót trong 30 ngày không tạo lại được evidence cả năm; bài giải thích auditor kiểm tra gì theo thời gian và lịch control quanh năm.
Chuẩn bị audit phút chót, kiểu bắt đầu 30 ngày trước khi auditor đến, không bù được cho 11 tháng control không được vận hành hay không có evidence. ISO 27001 và SOC 2 đều đánh giá việc control chạy qua thời gian, nên thứ cần thay đổi là lịch vận hành quanh năm, không phải tốc độ chạy nước rút.
Chuẩn bị audit phút chót trông như thế nào?
Ba mươi ngày trước audit, ai đó tạo một spreadsheet mới, liệt kê evidence cần có, gán tên vào từng dòng và gọi họp kick-off. Với nhiều người có tên trong file, đó là lần đầu trong năm họ nghĩ đến compliance. Bốn tuần sau đó là thu thập, upload, đổi định dạng và giải thích cho các phòng ban vì sao file họ gửi chưa đúng. Team làm việc chăm chỉ, nhưng vấn đề không nằm ở mức nỗ lực mà ở chỗ phần lớn evidence đáng lẽ phải được tạo ra trong năm, không phải trong tháng cuối.
Auditor kiểm tra điều gì theo thời gian?
Auditor không chỉ hỏi tài liệu có tồn tại không, mà hỏi control có chạy đúng kỳ không. Với SOC 2 Type II, báo cáo đánh giá control vận hành trong cả observation period, thường 3 đến 12 tháng (so sánh Type I và Type II). Với ISO 27001, tổ chức phải theo dõi, đo lường và thực hiện internal audit, management review theo kế hoạch (điều khoản 9.1 đến 9.3, ISO/IEC 27001:2022). Vì thế auditor xem ngày của access review từng quý, ngày nhân viên hoàn thành training, lịch chạy vulnerability scan. Sáu tháng policy cùng được upload trong một tuần là một pattern auditor có kinh nghiệm sẽ đặt câu hỏi, dù từng tài liệu đều đúng nội dung.
Những control nào không thể làm bù trong 30 ngày?
| Control | Tần suất thường gặp | Vì sao không làm bù được |
|---|---|---|
| Access review (ISO 27001 Annex A 5.18; SOC 2 CC6) | Hàng quý | Review của quý đã qua phải có ngày thực hiện trong quý đó |
| Security awareness training (Annex A 6.3) | Khi onboard và định kỳ hàng năm | Ngày hoàn thành gắn với từng nhân viên, không sửa lùi được |
| Vulnerability scan và xử lý lỗ hổng | Hàng tháng hoặc hàng quý | Lịch sử scan và thời gian xử lý là chính evidence |
| Backup và test restore | Theo policy, thường hàng quý | Log test restore phải tồn tại tại thời điểm test |
| Internal audit và management review (ISO 27001 điều khoản 9.2, 9.3) | Ít nhất mỗi chu kỳ | Biên bản phải ghi ngày họp và quyết định thật |
Tần suất cụ thể do policy của bạn quy định; bảng trên là mức thường gặp, không phải yêu cầu cố định của tiêu chuẩn.
Vì sao cách làm 30 ngày vẫn lặp lại mỗi năm?
Vì nó thường thành công trong ngắn hạn: audit đạt, chứng chỉ được duy trì, không ai bị phạt vì cách thu thập evidence. Nhưng chi phí chuẩn bị không giảm: spreadsheet được tạo lại, người mới không có bối cảnh từ kỳ trước, evidence năm ngoái không được lưu theo cách tái sử dụng được. Quan trọng hơn, control chỉ được kiểm tra một lần mỗi năm thì lỗ hổng phát sinh trong 11 tháng còn lại không được phát hiện cho đến khi auditor hỏi. Bài thời gian chuẩn bị audit đưa ra một chỉ số để đo chi phí này.
Lịch compliance quanh năm nên trông thế nào?
- Tháng đầu chu kỳ: chốt phạm vi, danh sách control và owner, đặt tần suất cho từng evidence.
- Hàng tháng: vulnerability scan, rà soát trạng thái evidence, xử lý mục quá hạn.
- Hàng quý: access review, test backup/restore, review vendor quan trọng.
- Giữa chu kỳ: internal audit để tìm gap khi còn thời gian sửa.
- Trước audit một đến hai tuần: management review, kiểm tra đủ và đúng kỳ, chuẩn bị request list.
Bài chuẩn bị cho audit hay duy trì compliance bàn sâu hơn về chuyển từ chế độ dự án sang vận hành liên tục.
pTrackly hỗ trợ lịch này như thế nào?
pTrackly gán mỗi evidence task một tần suất (hàng ngày đến hàng năm) và review date; khi đến kỳ, task tự mở lại và assignee nhận email nhắc trước hạn, còn owner nhận digest hàng tuần các task đang mở. Policy cũng có lịch review riêng. Phần pTrackly không làm thay: vận hành control thật, quyết định chấp nhận rủi ro và làm việc với auditor. Xem cách duy trì sau chứng nhận trong duy trì compliance liên tục.
Câu hỏi thường gặp
Có thể chuẩn bị audit ISO 27001 trong 30 ngày không?
Có thể nếu ISMS đã vận hành và evidence đã được lưu trong năm; 30 ngày khi đó là để rà soát. Nếu control chưa chạy đủ kỳ, 30 ngày chỉ tạo được tài liệu, không tạo được lịch sử vận hành mà auditor cần thấy.
Auditor có nhận ra evidence được tạo dồn không?
Thường có. Auditor xem ngày tạo, ngày thực hiện và tính liên tục của bản ghi; nhiều tài liệu cùng ngày tạo hoặc thiếu bản ghi giữa kỳ sẽ dẫn đến câu hỏi bổ sung hoặc finding.
SOC 2 Type II có chuẩn bị gấp được không?
Không. Báo cáo Type II đánh giá control trong suốt observation period đã thỏa thuận với CPA firm, nên evidence phải được tạo ra trong kỳ đó. Chuẩn bị gấp chỉ có thể rút ngắn phần readiness trước khi kỳ bắt đầu.
Bắt đầu vận hành liên tục từ đâu nếu đang làm theo kiểu phút chót?
Bắt đầu bằng danh sách evidence có owner và tần suất, rồi đưa các control định kỳ (access review, training, scan) vào lịch. Kỳ audit sau dùng internal audit giữa chu kỳ để kiểm tra trước.
