Tóm tắt
Quản lý compliance bằng Excel, email và Drive đủ cho giai đoạn đầu; bài chỉ cách vận hành bộ công cụ này cho chắc và dấu hiệu nên chuyển sang nền tảng.
Quản lý compliance bằng Excel, email và Google Drive là đủ khi số control còn ít, ít người tham gia và mỗi năm chỉ có một kỳ audit. Bộ công cụ này gãy khi nhiều người cùng sửa một file, evidence nằm rải rác nhiều thư mục và không ai biết ai đã nộp gì. Trước khi chuyển công cụ, hãy vận hành nó cho đúng; nếu vẫn không theo kịp thì mới là lúc chuyển.
Khi nào Excel, email và Drive vẫn đủ dùng?
Ở giai đoạn đầu, một file Excel liệt kê control, một thư mục Drive chứa evidence và email để phối hợp là cách làm đơn giản, quen thuộc và không tốn thêm chi phí. Nó hoạt động tốt khi một người nắm toàn bộ chương trình, chỉ có một framework (thường là ISO 27001 hoặc SOC 2 Type I), dưới vài chục control có evidence định kỳ và audit diễn ra một lần mỗi năm. Tiêu chuẩn không bắt buộc dùng công cụ nào: ISO/IEC 27001 chỉ yêu cầu documented information được kiểm soát về phiên bản, quyền truy cập, lưu trữ và sẵn có khi cần (điều khoản 7.5, ISO/IEC 27001:2022). Excel và Drive làm được điều đó nếu có quy ước rõ ràng.
Vận hành Excel, email và Drive thế nào cho chắc?
- Một file control register duy nhất, lưu trên Drive (không gửi file đính kèm qua email), có cột owner, tần suất, ngày thu evidence gần nhất, link đến evidence và trạng thái.
- Bật version history của Google Sheets và chỉ cho một nhóm nhỏ quyền sửa cột trạng thái; người khác chỉ comment.
- Cấu trúc thư mục Drive theo framework → control → kỳ (ví dụ
ISO27001/A5.18-access-review/2026-Q3/), không theo tên người hay dự án. - Quy ước đặt tên file có ngày thực hiện, không phải ngày upload:
2026-09-30_access-review_aws.pdf. - Mỗi yêu cầu evidence gửi qua email phải có hạn và được ghi vào register; cuối tuần, người phụ trách cập nhật trạng thái từ inbox một lần.
- Hàng tháng, lọc register theo "ngày thu gần nhất" để thấy mục nào đã quá kỳ.
Dấu hiệu nào cho thấy bộ công cụ này không còn đủ?
| Dấu hiệu | Vì sao nó là vấn đề |
|---|---|
| Nhiều người sửa register và không ai chắc bản nào đúng | Trạng thái compliance không xác định được khi quản lý hỏi |
| Evidence nằm ở nhiều thư mục với quy ước của nhiều người | Evidence có nhưng không tìm thấy, hoặc tưởng có nhưng chưa ai upload |
| Người phụ trách dành phần lớn tuần để lục inbox và nhắc người khác | Không còn thời gian đánh giá hiệu quả control |
| Thêm framework thứ hai và control bị nhân đôi giữa các sheet | Một evidence phải nộp nhiều lần cho nhiều framework |
| Chỉ một người biết evidence nằm ở đâu | Rủi ro khi người đó nghỉ hoặc chuyển việc |
Bài spreadsheet compliance: khi nào bắt đầu vỡ đi sâu vào từng dấu hiệu khi công ty scale; bài nếu GRC Manager nghỉ việc, ai biết evidence ở đâu bàn riêng về rủi ro phụ thuộc một người.
Email có thay được hệ thống theo dõi tiến độ không?
Không. Email nhận được evidence nhưng không có trạng thái: không biết ai đã trả lời, ai gửi sai kỳ, yêu cầu nào đã quá hạn. Không có nhắc tự động, không có lịch sử thay đổi gắn với từng control. Mỗi lần cần báo cáo, ai đó phải tổng hợp tay từ inbox. Với vài control thì chấp nhận được; với vài chục control trải qua nhiều phòng ban, việc tổng hợp này lặp lại ở mỗi chu kỳ và trở thành công việc chính của người phụ trách, như bài GRC Manager hay người đi nhắc upload evidence mô tả.
Chuyển sang nền tảng thì giữ lại gì?
Giữ lại quy ước đã chạy tốt: danh sách control, owner, tần suất và cấu trúc theo framework. Một nền tảng như pTrackly thay phần phối hợp thủ công: mỗi evidence task có assignee và tần suất, tự mở lại khi đến kỳ, gửi nhắc trước hạn, ghi lịch sử từng thay đổi trạng thái và phê duyệt, nhận evidence dạng file hoặc link (kể cả link đến file Drive hiện có), và với một số control có thể tự thu evidence từ integration đã kết nối. Phần không đổi: team vẫn quyết định control nào áp dụng và vẫn vận hành control đó. Xem thêm nền tảng hay tư vấn truyền thống khi cân nhắc chi phí.
Câu hỏi thường gặp
ISO 27001 có cho phép quản lý evidence bằng Excel không?
Có. Tiêu chuẩn không quy định công cụ, chỉ yêu cầu documented information được kiểm soát phiên bản, truy cập và sẵn có khi cần. Excel và Drive đáp ứng được nếu có quy ước và người chịu trách nhiệm rõ ràng.
Auditor có chấp nhận evidence lưu trên Google Drive không?
Thường có, miễn là evidence có ngày thực hiện, đúng kỳ và truy được đến control tương ứng. Vấn đề hay gặp không phải nơi lưu mà là thiếu bản ghi giữa kỳ hoặc không tìm thấy file khi auditor hỏi.
Bao nhiêu control thì nên chuyển khỏi Excel?
Không có ngưỡng cố định. Dấu hiệu thực tế là khi người phụ trách dành phần lớn thời gian để nhắc và tổng hợp, khi có framework thứ hai, hoặc khi không trả lời ngay được câu hỏi "chúng ta đang ở mức nào".
Dùng Google Sheets thay Excel có giải quyết vấn đề phiên bản không?
Giải quyết được phần xung đột file vì mọi người sửa cùng một bản và có version history. Nó không giải quyết được nhắc hạn, trạng thái theo từng evidence và lịch sử phê duyệt; những phần đó vẫn phải làm tay.
