Tóm tắt
GRC Manager nên quản lý rủi ro và control, không phải đi nhắc upload evidence; bài phân vai GRC và owner evidence, cách nhắc tự động và leo thang khi trễ.
GRC Manager là người chịu trách nhiệm chương trình governance, risk và compliance: phạm vi, rủi ro, control và quan hệ với auditor. Ở nhiều công ty, phần lớn tuần của GRC Manager lại đi vào tin nhắn follow-up nhắc IT, HR và Dev upload evidence. Nguyên nhân không nằm ở con người mà ở chỗ việc nhắc chưa từng được giao cho hệ thống.
Một tuần của GRC Manager trông như thế nào?
Mở lịch sử Slack của một GRC Manager trong tuần bình thường, phần lớn không phải thảo luận về rủi ro mà là những tin nhắn như: "anh ơi, access log tháng 8 đến tháng 10 anh upload vào folder Drive nào ạ?", "chị ơi, danh sách hoàn thành security awareness training tháng trước có chưa ạ?", "anh ơi, vulnerability scan report tháng 9 em tìm trong SharePoint không thấy". Mỗi tin nhắn đều lịch sự và cần thiết. Cộng lại qua nhiều tuần, chúng là một khối thời gian lớn dành cho việc theo dõi ai đã gửi gì, ai chưa, ai cần nhắc lại. Nếu muốn biết con số cụ thể của team mình, hãy đo thời gian thu thập evidence trong hai tuần.
Vì sao GRC Manager trở thành người nhắc duy nhất?
Upload evidence không nằm trong KPI chính của IT, HR hay Dev, không có hạn được hệ thống theo dõi và không có nhắc tự động. Khi gần audit, GRC là người duy nhất thấy toàn bộ bức tranh, nên GRC là người duy nhất đi nhắc. Không ai thiết kế quy trình theo cách này; nó hình thành dần khi compliance chạy trên spreadsheet, ticket Jira tạo tay, email và thiện chí của mọi người. Bài quản lý compliance bằng Excel, email và Drive chỉ ra lúc nào bộ công cụ đó bắt đầu không theo kịp.
GRC Manager và owner evidence nên chia việc thế nào?
| Việc | GRC Manager | Owner evidence (IT, HR, Dev, Legal) |
|---|---|---|
| Xác định control và evidence cần có | Chịu trách nhiệm | Góp ý về tính khả thi |
| Vận hành control (access review, training, scan) | Theo dõi | Chịu trách nhiệm |
| Lưu evidence đúng kỳ, đúng định dạng | Định nghĩa mẫu và nơi lưu | Chịu trách nhiệm |
| Nhắc hạn | Không làm tay; giao cho hệ thống | Nhận nhắc |
| Leo thang khi trễ | Chỉ khi nhắc tự động không đủ | Quản lý trực tiếp của owner được thông báo |
| Review chất lượng evidence | Chịu trách nhiệm | Sửa khi được yêu cầu |
| Đánh giá rủi ro, làm việc với auditor | Chịu trách nhiệm | Hỗ trợ khi cần |
Phân vai này khớp với yêu cầu của ISO/IEC 27001 rằng trách nhiệm và quyền hạn cho các vai trò liên quan đến an toàn thông tin phải được giao và truyền đạt (điều khoản 5.3, ISO/IEC 27001:2022): mỗi evidence có một owner, không phải "GRC lo hết".
GRC Manager nên dành thời gian cho việc gì?
Khi việc nhắc đã được hệ thống làm, thời gian của GRC Manager nên đi vào những việc không ai khác làm được: đánh giá control có thực sự giảm rủi ro không, tìm process gap trước khi thành audit finding, cập nhật risk register khi hệ thống thay đổi, chuẩn bị internal audit và management review, và làm việc với auditor về phạm vi. Bài công việc GRC tốn thời gian nhất liệt kê yêu cầu evidence theo từng phòng ban để chuyển việc lưu evidence về đúng người.
Tối ưu cách nhắc có đủ không?
Template nhắc chuẩn hơn hay một channel Slack riêng cho mỗi audit giảm ma sát bề mặt, nhưng không đổi được vấn đề gốc: việc nhắc vẫn phụ thuộc một người. Khi người đó nghỉ phép hoặc nghỉ việc, cả hệ thống dừng; bài nếu GRC Manager nghỉ việc, ai biết evidence ở đâu bàn riêng về rủi ro này. Cách bền hơn là đưa hạn, owner và nhắc vào hệ thống:
- Mỗi evidence là một task có owner, tần suất và hạn.
- Hệ thống nhắc owner trước hạn và mở lại task khi đến kỳ mới.
- Task trễ được báo cho quản lý của owner sau một số ngày nhất định, rồi đến ban lãnh đạo nếu vẫn trễ.
- GRC Manager xem danh sách task trễ hàng tuần và chỉ can thiệp khi cần.
pTrackly làm phần nhắc như thế nào?
pTrackly gửi email nhắc cho assignee 7, 3 và 1 ngày trước hạn review của evidence task định kỳ, tự mở lại task khi đến kỳ, báo task quá hạn 7 ngày cho quản lý của assignee và quá hạn 21 ngày cho owner tổ chức, và gửi owner, admin digest hàng tuần các task đang mở. Mỗi thay đổi trạng thái, phân công và quyết định review được ghi lại kèm người thực hiện. pTrackly không thay GRC Manager trong đánh giá rủi ro, quyết định phạm vi hay làm việc với auditor. Xem thêm cho SOC 2 và duy trì compliance liên tục.
Câu hỏi thường gặp
GRC Manager làm gì?
GRC Manager quản lý chương trình governance, risk và compliance: xác định phạm vi và control, đánh giá rủi ro, theo dõi việc vận hành control, làm việc với auditor và báo cáo cho ban lãnh đạo.
Ai chịu trách nhiệm upload evidence: GRC Manager hay phòng ban?
Phòng ban vận hành control nên upload evidence của mình. GRC Manager định nghĩa evidence cần gì, đặt lịch và review chất lượng, không nên là người đi lấy từng file.
Làm sao giảm thời gian GRC Manager dành cho follow-up?
Giao evidence thành task có owner và hạn, để hệ thống nhắc trước hạn và leo thang khi trễ, và xem danh sách task trễ theo tuần thay vì nhắc từng người hàng ngày.
Công ty nhỏ có cần một GRC Manager riêng không?
Không nhất thiết. Ở công ty nhỏ, vai trò này thường do CTO, IT lead hoặc người phụ trách vận hành kiêm nhiệm. Điều quan trọng là có một người chịu trách nhiệm chương trình và các owner evidence rõ ràng.
