Tóm tắt
Control owner là người vận hành control và cung cấp evidence, không phải team GRC. Phòng ban nào sở hữu evidence nào và cách phân công rõ ràng.
Control owner là người đang vận hành công việc mà một control mô tả, và là người cung cấp evidence cho control đó. Trong ISO 27001, SOC 2 hay PCI DSS, không framework nào chỉ đụng đến một phòng ban: control trải rộng qua HR, IT, Engineering, Legal và Finance. Vì vậy compliance thường thất bại ở khâu phối hợp, không phải ở khâu kiến thức, và team GRC không thể là owner của mọi control.
Phòng ban nào sở hữu evidence nào?
Mỗi phòng ban đã tạo ra evidence trong công việc hàng ngày của họ. Vấn đề là họ không tự biết compliance cần gì, cần vào lúc nào và ở định dạng nào.
| Phòng ban | Evidence thường sở hữu | Control ví dụ |
|---|---|---|
| HR | Hồ sơ onboarding và offboarding, record đào tạo security awareness, kết quả kiểm tra lý lịch | ISO 27001 Annex A 6.1, 6.3, 6.5; SOC 2 CC1.4 |
| IT | Access control log, báo cáo patch management, baseline cấu hình, hồ sơ incident response | ISO 27001 Annex A 5.15, 8.8, 8.9; SOC 2 CC6.1, CC7.3 |
| Engineering | Log code review, ticket change management, kết quả vulnerability scan, tài liệu SDLC | ISO 27001 Annex A 8.25, 8.32; SOC 2 CC8.1 |
| Legal | Hợp đồng, data processing agreement, NDA, trao đổi với cơ quan quản lý | ISO 27001 Annex A 5.19, 5.20, 5.31 |
| Finance / Procurement | Đánh giá vendor, third-party risk review, hồ sơ phê duyệt chi tiêu | ISO 27001 Annex A 5.19, 5.21; SOC 2 CC9.2 |
Team GRC không thể tự cung cấp những evidence đó. Họ hiểu framework, nhưng người tạo ra log, ticket và hồ sơ là các phòng ban khác.
Vì sao compliance thất bại ở phối hợp, không phải kiến thức?
Team GRC có thể hiểu framework từng dòng một: control nào cần evidence gì và tại sao. Nhưng nếu không có cơ chế để mỗi phòng ban biết họ sở hữu control nào, deadline là khi nào và nộp evidence ở đâu, GRC sẽ tiếp tục đóng vai trò trung gian thủ công trong mọi chu kỳ audit.
Không phải vì ai thiếu thiện chí. Khi không có hệ thống phân công, trách nhiệm compliance mặc định đổ về nơi duy nhất đang theo dõi toàn bộ: team GRC. Đây cũng là lý do team GRC mất nhiều thời gian nhất không phải vì audit mà vì công việc điều phối.
Một chu kỳ audit thiếu phân công trông như thế nào?
GRC gửi email cho IT xin log của tháng trước. IT phản hồi sau ba ngày với file bao gồm khoảng thời gian sai. GRC gửi follow-up. IT gửi lại. Nhân tình huống đó với ba mươi đến bốn mươi control trải qua nhiều phòng ban, số giờ tích lũy trong mỗi chu kỳ audit trở nên đáng kể. Năm sau, chu kỳ đó lặp lại gần như y hệt.
Không ai cố tình làm chậm quy trình. IT không có cách nào biết GRC cần gì cho đến khi email đến. GRC không có cách nhắc nhở tự động, theo dõi ai đã phản hồi, hay biết file nhận được có đúng yêu cầu không cho đến khi mở ra kiểm tra tay. Khi người phụ trách rời đi, tình huống còn khó hơn: ai sẽ biết evidence đang ở đâu?
Tiêu chuẩn yêu cầu gì về phân công trách nhiệm?
Phân công control owner không phải là thực hành tùy chọn; các framework đều yêu cầu trách nhiệm được xác định và truyền đạt.
- ISO/IEC 27001:2022: điều khoản 5.3 yêu cầu lãnh đạo cao nhất đảm bảo trách nhiệm và quyền hạn cho các vai trò liên quan đến an toàn thông tin được phân công và truyền đạt; control A.5.2 (Information security roles and responsibilities) yêu cầu xác định và phân bổ các vai trò này. Nguồn: ISO/IEC 27001:2022.
- SOC 2: tiêu chí CC1.3 trong Trust Services Criteria yêu cầu ban quản lý thiết lập cơ cấu, tuyến báo cáo, quyền hạn và trách nhiệm phù hợp để đạt mục tiêu. Nguồn: AICPA Trust Services Criteria.
- HIPAA Security Rule: 45 CFR 164.308(a)(2) yêu cầu chỉ định một người chịu trách nhiệm xây dựng và triển khai các chính sách bảo mật. Nguồn: HHS, Security Rule.
Auditor sẽ hỏi "ai chịu trách nhiệm control này" trước khi hỏi evidence. Một danh sách owner rõ ràng là evidence đầu tiên của chính control phân công trách nhiệm.
Phân công control owner như thế nào cho đúng?
- Gán owner theo người làm việc, không theo người biết framework. Access review thuộc IT, change management thuộc Engineering, onboarding thuộc HR. Nếu mọi control đều mang tên compliance lead, hệ thống chưa có ownership. Mô hình chi tiết cho team nhỏ nằm trong bài CTO kiêm nhiệm compliance.
- Diễn giải control thành việc cụ thể trong công cụ của owner. "Thực hiện access review hàng quý và export danh sách từ Google Workspace" thay vì "A.5.18 Access rights".
- Đặt deadline và nhịp lặp cho từng evidence. Hàng tháng cho log, hàng quý cho access review, hàng năm cho training.
- Một nơi duy nhất để nộp và xem trạng thái. Owner nộp evidence tại nơi gắn với control, không gửi email cho GRC.
- GRC giữ vai trò điều phối và kiểm tra chất lượng, không phải thu thập. Họ review evidence, xử lý ngoại lệ và báo cáo lên management.
pTrackly hỗ trợ phần nào?
pTrackly chuyển từng requirement của ISO 27001, SOC 2, HIPAA, GDPR, PCI DSS và ISO 42001 thành evidence task có owner, hành động cụ thể và nơi nộp proof. Mỗi owner chỉ thấy phần việc của mình, automation tạo task lặp lại như access review hàng quý, và trạng thái control hiển thị cho cả team thay vì chỉ cho GRC. Quyết định phạm vi, phê duyệt policy và audit độc lập vẫn do con người và đơn vị kiểm toán thực hiện. Xem cách vận hành trên trang giải pháp ISO 27001 hoặc cách pTrackly vận hành.
Câu hỏi thường gặp
Control owner là ai?
Control owner là người đang vận hành công việc mà control mô tả và chịu trách nhiệm cung cấp evidence cho control đó. Ví dụ, control về access review có owner là IT hoặc Platform, không phải team GRC. ISO/IEC 27001:2022 (điều khoản 5.3 và control A.5.2) và SOC 2 (CC1.3) đều yêu cầu trách nhiệm này được phân công và truyền đạt.
Team GRC có nên là owner của tất cả control không?
Không. GRC là người điều phối, review chất lượng evidence và báo cáo trạng thái. Khi GRC làm owner của mọi control, họ trở thành trung gian thủ công giữa auditor và các phòng ban, và mỗi chu kỳ audit lặp lại cùng chuỗi email xin evidence.
Một control có thể có nhiều owner không?
Nên có một owner chịu trách nhiệm chính cho mỗi control hoặc mỗi evidence task, kể cả khi nhiều người tham gia. Khi control trải qua hai phòng ban, tách thành hai evidence task với hai owner thay vì một control có hai owner, để trách nhiệm không bị bỏ trống.
Làm sao để các phòng ban biết compliance cần gì từ họ?
Diễn giải control thành việc cụ thể trong công cụ họ đang dùng, kèm deadline và định dạng evidence mong đợi, và đặt tất cả ở một nơi mà owner có thể xem trạng thái. Nhắc việc tự động theo nhịp lặp giúp owner không cần chờ GRC hỏi mới nhớ.
