Tóm tắt
ISO 27001 Clause 9.2 yêu cầu chương trình internal audit có kế hoạch. Bài này giải thích yêu cầu, ai được thực hiện audit và hồ sơ doanh nghiệp cần lưu.
Internal audit ISO 27001 là đợt tự đánh giá ISMS có kế hoạch và khách quan, bắt buộc theo clause 9.2 của ISO/IEC 27001:2022. Cuộc audit phải trả lời ISMS có đáp ứng yêu cầu của chính doanh nghiệp và của tiêu chuẩn không, và có được triển khai, duy trì hiệu quả không. Doanh nghiệp cần ít nhất một vòng internal audit hoàn chỉnh, đã báo cáo lên management review, trước audit Stage 2.
Clause 9.2 của ISO 27001 yêu cầu gì?
Clause 9.2 yêu cầu internal audit theo chu kỳ có kế hoạch và một chương trình audit được quản lý. Bản 2022 chia thành hai phần: 9.2.1 quy định mỗi cuộc audit phải trả lời câu hỏi gì, 9.2.2 quy định cách lập, vận hành và lưu hồ sơ chương trình audit.
Theo 9.2.1, mỗi cuộc audit phải cho biết ISMS có:
- đáp ứng yêu cầu ISMS của chính tổ chức, như chính sách và quy trình;
- đáp ứng yêu cầu của ISO/IEC 27001; và
- được triển khai và duy trì hiệu quả.
Điểm thứ ba hay bị xem nhẹ. Chính sách có trên giấy nhưng không được làm theo là một nonconformity (điểm không phù hợp), nên audit phải kiểm tra thực tế, không chỉ đọc tài liệu.
Theo 9.2.2, doanh nghiệp phải lập chương trình audit (tần suất, phương pháp, trách nhiệm, yêu cầu lập kế hoạch và báo cáo), cân nhắc mức độ quan trọng của từng quy trình và kết quả các lần audit trước, xác định tiêu chí và phạm vi cho từng cuộc audit, chọn auditor đảm bảo khách quan và công bằng, báo cáo kết quả cho cấp quản lý liên quan, và lưu thông tin dạng văn bản làm bằng chứng cho chương trình và kết quả audit.
Bao lâu phải làm internal audit một lần?
ISO/IEC 27001 không quy định chu kỳ cố định; doanh nghiệp tự quyết trong chương trình audit dựa trên mức quan trọng của từng quy trình và kết quả audit trước. Trên thực tế, tổ chức chứng nhận kỳ vọng chương trình phủ toàn bộ ISMS trong chu kỳ chứng chỉ ba năm, và có ít nhất một cuộc audit trước mỗi kỳ surveillance hoặc tái chứng nhận.
Cách làm phổ biến là một cuộc audit đầy đủ mỗi năm, cộng thêm audit lại các vùng rủi ro cao hoặc vừa thay đổi như kiểm soát truy cập, quản lý nhà cung cấp hay một dòng sản phẩm mới. Dù chọn cách nào, hãy ghi lý do vào chương trình để auditor bên ngoài thấy đó là quyết định có cân nhắc. Lịch duy trì sau chứng nhận xem tại duy trì ISO 27001 sau chứng nhận.
Ai được thực hiện internal audit ISO 27001?
Bất kỳ ai đủ năng lực và có thể khách quan, công bằng với phần được audit. Bản 2022 không yêu cầu chứng chỉ cụ thể; tiêu chuẩn yêu cầu tính khách quan và công bằng (9.2.2 b) và năng lực của người thực hiện (clause 7.2).
Trên thực tế, điều đó loại trừ việc tự audit công việc của mình. Các phương án auditor thường chấp nhận:
- nhân viên phòng ban khác, ví dụ trưởng HR audit control của IT;
- chuyên gia bên ngoài được thuê riêng cho internal audit, không phải người đã xây ISMS;
- nhân sự từ công ty thành viên hoặc văn phòng khác.
Khóa đào tạo lead auditor hoặc internal auditor ISO/IEC 27001 và hướng dẫn audit trong ISO 19011 là cách đáng tin để chứng minh năng lực, dù tiêu chuẩn không bắt buộc chứng chỉ.
Internal audit phải tạo ra hồ sơ gì?
Clause 9.2.2 yêu cầu thông tin dạng văn bản làm bằng chứng cho chương trình và kết quả audit. Auditor của tổ chức chứng nhận thường hỏi bốn loại hồ sơ.
| Hồ sơ | Nội dung | Vì sao auditor hỏi |
|---|---|---|
| Chương trình audit | Phạm vi, tần suất, phương pháp, người phụ trách và thời điểm trong cả chu kỳ | Chứng minh audit có kế hoạch, không làm tùy hứng |
| Kế hoạch từng cuộc audit | Phạm vi và tiêu chí của cuộc audit đó | Chứng minh mỗi cuộc audit có mục tiêu rõ |
| Báo cáo audit | Điểm phù hợp, nonconformity, observation và cơ hội cải tiến, kèm bằng chứng đã lấy mẫu | Là đầu vào cho management review |
| Hồ sơ corrective action | Nguyên nhân gốc, hành động, owner, hạn chót và kiểm tra hiệu quả cho từng nonconformity | Chứng minh clause 10.2 đang vận hành |
Phát hiện từ internal audit chuyển thành corrective action thế nào?
Mọi nonconformity phát hiện trong internal audit đi vào quy trình xử lý điểm không phù hợp và hành động khắc phục của clause 10.2. Vòng lặp mà tổ chức chứng nhận tìm kiếm là:
- ghi nhận nonconformity kèm bằng chứng phát hiện;
- tìm nguyên nhân gốc, không chỉ triệu chứng;
- xác định corrective action với owner và hạn chót;
- kiểm tra hành động có hiệu quả rồi mới đóng finding.
Kết quả sau đó được đưa vào management review theo clause 9.3, nơi ban lãnh đạo xem xét kết quả audit và tình trạng các hành động. Một cuộc audit không có hành động tiếp theo và không có biên bản management review là finding hay gặp ở Stage 2.
Thực hiện internal audit lần đầu theo các bước nào?
Với vòng audit đầu tiên, giữ quy trình đơn giản nhưng có hồ sơ đầy đủ.
- Lập chương trình. Liệt kê clause 4–10 và các control Annex A trong Statement of Applicability, gán mỗi mục vào một đợt audit.
- Lập kế hoạch audit. Xác định phạm vi (đội nhóm, hệ thống, địa điểm), tiêu chí (clause và control cần kiểm tra) và auditor.
- Xây checklist. Biến mỗi yêu cầu thành một phép kiểm tra: lấy mẫu hồ sơ nào, phỏng vấn ai, quan sát gì.
- Thu thập bằng chứng. Lấy mẫu hồ sơ trong cả kỳ, ví dụ access review, ticket thay đổi, hồ sơ đào tạo, log sự cố, thay vì chỉ hỏi "có làm không?".
- Viết báo cáo. Phân loại finding thành phù hợp, nonconformity hoặc observation và đính kèm bằng chứng.
- Mở corrective action cho từng nonconformity theo clause 10.2.
- Trình management review (clause 9.3) và ghi biên bản quyết định.
Hãy lên lịch đủ sớm để kịp đóng nonconformity, hoặc ít nhất có kế hoạch hành động thuyết phục, trước khi tổ chức chứng nhận đến. Tổng thời gian chứng nhận xem tại ISO 27001 mất bao lâu.
Internal audit khác certification audit thế nào?
Internal audit là đợt tự kiểm tra; certification audit là đánh giá độc lập dẫn đến cấp chứng chỉ.
| Internal audit | Certification audit | |
|---|---|---|
| Ai thực hiện | Nhân sự nội bộ đủ năng lực và khách quan, hoặc auditor thuê ngoài | Tổ chức chứng nhận được công nhận |
| Mục đích | Tìm và sửa lỗ hổng, cung cấp đảm bảo cho ban lãnh đạo | Quyết định cấp hoặc duy trì chứng chỉ |
| Căn cứ | Clause 9.2 và chương trình audit của doanh nghiệp | Toàn bộ ISO/IEC 27001, theo quy tắc ISO/IEC 17021-1 dành cho tổ chức chứng nhận |
| Kết quả | Báo cáo internal audit và corrective action | Báo cáo audit, nonconformity và quyết định chứng nhận |
| Thời điểm | Theo chương trình, thường ít nhất mỗi năm | Stage 1 và Stage 2, sau đó surveillance audit năm thứ 2 và 3 |
Cách chọn đơn vị cấp chứng chỉ xem tại chọn certification body ISO 27001.
Những lỗi thường gặp khi làm internal audit ISO 27001?
- Năm nào cũng không có finding. Chương trình không bao giờ phát hiện gì cho thấy audit hời hợt; auditor bên ngoài sẽ soi kỹ hơn.
- Chỉ rà soát tài liệu. Clause 9.2.1 hỏi control có được triển khai hiệu quả không, nghĩa là cần bằng chứng lấy mẫu.
- Làm quá sát ngày audit. Internal audit một tuần trước Stage 2 không còn thời gian cho corrective action và management review.
- Tự audit việc mình làm. Người viết quy trình kiểm soát truy cập không nên audit chính quy trình đó.
- Báo cáo miệng. Không có báo cáo bằng văn bản và hồ sơ hành động thì không có bằng chứng cuộc audit đã diễn ra.
pTrackly hỗ trợ internal audit thế nào?
Trong pTrackly, doanh nghiệp có thể tạo audit loại Internal audit với kỳ đánh giá, lập request list, liên kết từng request với control và evidence, rồi giao owner. Các evidence task đội ngũ hoàn thành cho ISO 27001 trong năm chính là những gì internal auditor lấy mẫu, và cuối kỳ audit có thể được khóa, đóng băng evidence kèm fingerprint SHA-256. Lập chương trình, chọn auditor khách quan, đánh giá mức phù hợp và tổ chức management review vẫn là việc của đội ngũ bạn. Xem giải pháp ISO 27001 của pTrackly và hướng dẫn ISO 27001 risk assessment, vì internal audit sẽ kiểm tra chính kết quả đánh giá rủi ro.
Câu hỏi thường gặp
Internal audit có bắt buộc để đạt chứng nhận ISO 27001 không?
Có. Clause 9.2 là yêu cầu bắt buộc, và tổ chức chứng nhận kỳ vọng ít nhất một cuộc internal audit đã hoàn tất, có kết quả được xem xét trong management review, trước audit Stage 2.
Có thể thuê ngoài internal audit ISO 27001 không?
Có, miễn là auditor thuê ngoài đủ năng lực và khách quan. Đơn vị tư vấn đã thiết kế ISMS cho bạn không phải lựa chọn tốt, vì họ sẽ audit chính công việc của mình.
Internal audit có phải phủ hết control Annex A mỗi năm không?
Không. Chương trình phải phủ toàn bộ ISMS trong chu kỳ audit, và doanh nghiệp tự quyết tần suất cho từng phần dựa trên mức quan trọng và kết quả trước đó. Nhiều đội audit control rủi ro cao hằng năm và luân phiên phần còn lại.
Nonconformity và observation khác nhau thế nào?
Nonconformity là việc không đáp ứng một yêu cầu của tiêu chuẩn hoặc của ISMS nội bộ và cần corrective action. Observation là điểm yếu hoặc rủi ro chưa thành vi phạm; hãy ghi nhận và quyết định có xử lý hay không.
Tài liệu tham khảo:
- ISO/IEC 27001:2022, Information security management systems (iso.org/standard/82875.html)
- ISO 19011:2018, Guidelines for auditing management systems (iso.org/standard/70017.html)
- ISO/IEC 17021-1:2015, Requirements for bodies providing audit and certification of management systems (iso.org/standard/61651.html)
