Tóm tắt
Đơn vị tư vấn SOC 2 tại Việt Nam cho chứng nhận SOC 2 gồm tư vấn readiness, CPA firm kiểm toán và nền tảng GRC; vai trò từng bên và cách chọn.
Đơn vị tư vấn SOC 2 tại Việt Nam thường thuộc một trong ba loại: tư vấn readiness giúp chuẩn bị, CPA firm kiểm toán và phát hành báo cáo, và nền tảng GRC quản lý control và evidence. Chỉ CPA firm mới được phát hành báo cáo SOC 2, và bên đã thiết kế control cho bạn không nên đồng thời kiểm toán chính control đó. Chọn đúng từng bên giúp tránh làm một việc hai lần.
SOC 2 cần những loại đối tác nào?
Một chương trình SOC 2 thường cần ba vai trò khác nhau, vì SOC 2 là báo cáo kiểm toán độc lập do CPA firm thực hiện theo chuẩn của AICPA, không phải chứng chỉ do một cơ quan cấp. Bên chuẩn bị và bên kiểm toán phải tách biệt; công cụ quản lý có thể đi cùng cả hai.
| Vai trò | Làm gì | Không làm gì |
|---|---|---|
| Tư vấn readiness | Gap assessment, viết chính sách, thiết kế control, kiểm tra nội bộ trước audit | Không phát hành báo cáo SOC 2 |
| CPA firm (kiểm toán viên) | Lập kế hoạch audit, chọn mẫu, kiểm tra control, phát hành báo cáo Type I hoặc Type II | Không nên thiết kế hoặc vận hành control mà chính họ kiểm toán |
| Nền tảng GRC | Quản lý control, chính sách, evidence task, nhắc việc và không gian làm việc với kiểm toán viên | Không phát hành báo cáo, không thay quyết định scope của bạn |
Kiểm toán viên SOC 2 là ai và họ làm gì được giải thích chi tiết trong auditor SOC 2 là ai.
Tư vấn readiness SOC 2 làm gì và chọn thế nào?
Tư vấn readiness giúp tổ chức đi từ hiện trạng đến mức sẵn sàng để mời kiểm toán viên vào: so sánh hiện trạng với Trust Services Criteria, xây dựng chính sách và quy trình, thiết kế control phù hợp với quy mô, và kiểm tra nội bộ trước audit để tìm khoảng trống sớm. Họ không thực hiện kiểm toán chính thức. Tại Việt Nam, dịch vụ này thường đến từ các công ty tư vấn bảo mật và GRC, hoặc từ nhà cung cấp nền tảng có gói dịch vụ đi kèm. Khi chọn, hãy hỏi về các dự án SOC 2 Type II họ đã hỗ trợ gần đây, kinh nghiệm với ngành của bạn (SaaS, fintech, healthcare, outsourcing), và họ có đồng thời cung cấp kiểm toán SOC 2 cho chính khách hàng của mình không. Tư vấn không bắt buộc: nhiều team kỹ thuật tự làm readiness với công cụ phù hợp. So sánh cách làm có trong tự làm, thuê tư vấn hay dùng nền tảng.
CPA firm nào được phát hành báo cáo SOC 2?
Chỉ CPA firm mới được thực hiện SOC 2 examination và phát hành báo cáo theo chuẩn của AICPA. Công ty tư vấn bảo mật, tổ chức chứng nhận ISO 27001 hay nhà cung cấp phần mềm không thể phát hành báo cáo SOC 2. Giấy phép CPA do cơ quan quản lý nghề kế toán của từng bang tại Mỹ cấp; AICPA nêu rõ sẽ chuyển các trường hợp hành nghề không phép đến cơ quan cấp phép. Trước khi ký, hãy kiểm tra giấy phép của firm và của người ký báo cáo trên cơ sở dữ liệu của NASBA (CPAverify).
Thị trường có hai nhóm CPA firm làm SOC 2:
- Firm chuyên về compliance và attestation, ví dụ A-LIGN, Schellman, KirkpatrickPrice, Johanson Group hay Prescient Assurance. Các firm này công khai cung cấp dịch vụ SOC 2 và thường làm việc với công ty SaaS và công nghệ.
- Các mạng lưới kiểm toán lớn như Deloitte, PwC, EY và KPMG, cũng cung cấp dịch vụ SOC.
Danh sách trên chỉ là ví dụ, không phải xếp hạng hay khuyến nghị. Hãy gửi cùng một scope cho vài firm và so sánh trên cùng tiêu chí.
Nên hỏi đối tác những câu gì trước khi ký?
Câu hỏi đúng giúp phát hiện xung đột lợi ích và kỳ vọng sai lệch trước khi ký hợp đồng.
- Với tư vấn readiness: dự án SOC 2 Type II gần nhất bạn hỗ trợ có scope thế nào? Bạn có kiểm toán SOC 2 cho khách hàng của mình không? Bàn giao những gì để team tự vận hành sau dự án?
- Với CPA firm: firm và người ký báo cáo có giấy phép ở bang nào? Năm qua thực hiện bao nhiêu SOC 2 examination cho công ty cùng ngành? Lịch từ kickoff đến khi nhận báo cáo thế nào? Firm nhận evidence ở định dạng nào và qua kênh nào?
- Với nền tảng GRC: có tích hợp sẵn với hệ thống bạn dùng (AWS, GCP, Azure, GitHub, Jira, identity provider) không? Có quản lý được ISO 27001 và SOC 2 trên cùng bộ control không? Mô hình giá tính theo gì?
Ba bên phối hợp thế nào trong một chương trình SOC 2?
Thứ tự hợp lý là chọn CPA firm sớm, chọn công cụ phù hợp với stack kỹ thuật, rồi mới quyết định có cần tư vấn hay không. Một chương trình điển hình đi qua ba giai đoạn; thời gian phụ thuộc scope và control đã có, nên chỉ là ước tính:
- Readiness: gap assessment, xây dựng control và chính sách, bắt đầu thu evidence. Tư vấn (nếu có) và nền tảng làm việc cùng team nội bộ.
- Observation period (chỉ với Type II): thường 3 đến 12 tháng; AICPA không quy định tối thiểu. Control phải chạy đều và evidence được thu theo lịch.
- Kiểm toán: CPA firm chọn mẫu, kiểm tra và phát hành báo cáo. Team gửi evidence theo từng yêu cầu của kiểm toán viên.
Khung thời gian từng giai đoạn có trong SOC 2 mất bao lâu, và nội dung một gói dịch vụ SOC 2 đúng chuẩn có trong dịch vụ SOC 2 chuẩn AICPA.
Lập ngân sách SOC 2 với nhiều đối tác thế nào?
Gửi cùng một scope cho các nhà cung cấp và yêu cầu họ tách rõ deliverable, phần việc nội bộ và các khoản không nằm trong báo giá.
| Hạng mục | Cách ước tính |
|---|---|
| Kiểm toán CPA (Type I) | Báo giá riêng từ CPA firm theo scope |
| Kiểm toán CPA (Type II) | Báo giá riêng từ CPA firm; thường làm lại hằng năm |
| Tư vấn readiness (nếu thuê) | Báo giá theo phạm vi công việc và deliverable |
| Nền tảng GRC (nếu dùng) | Theo quy mô nhân sự, framework và nhà cung cấp |
| Thời gian nội bộ | Ước tính theo số control, số hệ thống và người phụ trách; thường bị đánh giá thấp |
Khoảng chi phí tham khảo có nguồn có trong chi phí SOC 2.
pTrackly đóng vai trò gì trong chương trình SOC 2?
pTrackly là nền tảng GRC, không phải CPA firm và không phải đơn vị tư vấn kiểm toán. Nền tảng quản lý control, chính sách và evidence task có người phụ trách, tần suất và ngày review, nhắc trước hạn 7, 3 và 1 ngày, và dùng chung control giữa SOC 2 với ISO 27001. Khi audit, bạn tạo một audit SOC 2 Type I hoặc Type II, mời kiểm toán viên vào Auditor portal để xem yêu cầu, đặt câu hỏi, chọn mẫu và chấp nhận evidence, rồi khóa bộ evidence kèm dấu SHA-256. Việc chọn CPA firm, quyết định scope và vận hành control vẫn thuộc về bạn. Xem thêm pTrackly cho SOC 2.
Câu hỏi thường gặp
Công ty kiểm toán Việt Nam có phát hành được báo cáo SOC 2 không?
Báo cáo SOC 2 phải do CPA firm có giấy phép tại Mỹ phát hành theo chuẩn AICPA. Một số mạng lưới kiểm toán quốc tế có văn phòng tại Việt Nam, nhưng hãy xác nhận pháp nhân nào ký báo cáo và giấy phép của pháp nhân đó trước khi ký hợp đồng.
Đơn vị tư vấn có thể vừa tư vấn vừa kiểm toán SOC 2 cho cùng một công ty không?
Không nên. Quy tắc độc lập của nghề kiểm toán không cho phép kiểm toán viên đánh giá control mà chính họ thiết kế hoặc vận hành cho khách hàng, nên hãy hỏi rõ điều này trước khi ký.
Có bắt buộc thuê tư vấn readiness để làm SOC 2 không?
Không. Nhiều team kỹ thuật tự làm phần chuẩn bị với nền tảng phù hợp rồi mời CPA firm vào trực tiếp; tư vấn hữu ích khi team chưa có người hiểu Trust Services Criteria.
Nên chọn CPA firm hay nền tảng trước?
Nên trao đổi với CPA firm sớm để biết họ cần evidence thế nào, rồi chọn nền tảng phù hợp với stack kỹ thuật và cách làm việc của kiểm toán viên. Thứ tự này tránh phải đổi công cụ giữa chừng.
