Nếu GRC Manager nghỉ việc hôm nay, ai sẽ biết evidence đang ở đâu?

Bàn giao compliance chỉ thành công khi evidence, trạng thái control và lịch sử policy nằm trong một hệ thống chung, không phải trong đầu người phụ trách. Khi GRC Manager rời đi, câu hỏi "folder, email hay ổ cứng nào đang chứa evidence của control nào" phải có câu trả lời trong vài phút, nếu không, mỗi lần thay đổi nhân sự là một điểm chết của chương trình compliance.

Điều gì xảy ra khi người phụ trách compliance rời đi?

Một chuỗi câu hỏi xuất hiện mà không ai trả lời ngay được:

• Evidence của từng control đang nằm ở đâu?
• Control nào đã hoàn chỉnh, control nào còn thiếu?
• Auditor yêu cầu điều chỉnh gì trong lần kiểm toán trước?
• Ai phê duyệt từng phiên bản của từng policy?

Khi tất cả câu trả lời chỉ tồn tại trong đầu một người, hệ thống compliance phụ thuộc vào con người đó, không phải vào quy trình. Người mới mất vài tuần chỉ để dựng lại bức tranh tổng thể, trước khi có thể xác minh những gì ghi trong bảng tính có khớp thực tế hay không.

Đây là kết quả tự nhiên của việc vận hành compliance trên email cá nhân và Google Sheets. Evidence rải rác trong các folder Drive không có cấu trúc nhất quán. Chuỗi email với IT hoặc Legal không được lưu tập trung. Phiên bản policy mới nhất đã phê duyệt có thể nằm trong một email reply từ tám tháng trước. Không ai cố tình tạo ra sự phụ thuộc này; khi không có hệ thống chung, nó hình thành theo mặc định.

Kiến thức compliance khác hệ thống compliance như thế nào?

Kiến thức compliance không thể chuyển giao qua một buổi handover một tiếng. Trong hệ thống compliance được xây đúng, bất kỳ thành viên nào cũng tìm thấy trạng thái evidence của bất kỳ control nào, lịch sử thay đổi và người chịu trách nhiệm trong vài phút, không cần hỏi ai. Khoảng cách giữa hai cột là thước đo độ bền thực sự của chương trình compliance.

Tiêu chuẩn yêu cầu gì về tài liệu và hồ sơ?

Các framework không chỉ yêu cầu control tồn tại; chúng yêu cầu tài liệu và hồ sơ được kiểm soát và có thể truy xuất độc lập với cá nhân.

• ISO/IEC 27001:2022, điều khoản 7.5 (documented information): tài liệu phải được nhận diện, kiểm soát phiên bản, phân phối, bảo vệ và lưu giữ sao cho sẵn có và phù hợp để sử dụng khi cần. Nguồn: ISO/IEC 27001:2022.
• HIPAA Security Rule, 45 CFR 164.316(b): policy, procedure và hồ sơ hành động, hoạt động hoặc đánh giá phải được lưu giữ 6 năm kể từ ngày tạo hoặc ngày có hiệu lực cuối cùng, và phải sẵn có cho những người chịu trách nhiệm thực hiện. Nguồn: HHS, Security Rule.
• SOC 2: tiêu chí CC2.2 yêu cầu thông tin nội bộ, gồm mục tiêu và trách nhiệm về control, được truyền đạt để nhân sự thực hiện được vai trò của mình. Nguồn: AICPA Trust Services Criteria.

Một chương trình chỉ "ổn" khi người phụ trách còn ở đó thì chưa đáp ứng các yêu cầu này.

Rủi ro trở thành vấn đề vận hành khi nào?

Khi hai sự kiện xảy ra gần nhau: người phụ trách vừa rời đi tuần trước và chu kỳ audit ISO 27001 hoặc SOC 2 sắp bắt đầu. Lúc này rủi ro tổ chức không còn trừu tượng. Team phải tìm evidence ở những nơi không ai biết chính xác, phỏng đoán control nào đã hoàn chỉnh, và liên hệ IT, HR, các bộ phận khác để hỏi những thứ đáng lẽ đã được tài liệu hóa. Thay vì chuẩn bị cho audit, họ đang dựng lại hệ thống từ các mảnh vỡ. Với team nhỏ nơi CTO kiêm nhiệm compliance, rủi ro này còn lớn hơn vì không có người thứ hai.

Checklist hệ thống compliance có thể bàn giao

1. Mỗi control có owner rõ ràng, là người đang vận hành công việc, không phải người biết framework. Xem compliance không phải việc riêng của team GRC và cách phân vai GRC Manager và owner evidence.
2. Evidence gắn với control, không chỉ tồn tại trong folder.
3. Policy có phiên bản, người phê duyệt và ngày hiệu lực có thể tra cứu.
4. Finding và hành động khắc phục của audit trước được lưu cùng audit period.
5. Trạng thái sẵn sàng audit hiển thị cho toàn bộ team, không chỉ người phụ trách.
6. Người mới hiểu được trạng thái chương trình trong buổi làm việc đầu tiên mà không cần ai giải thích ngữ cảnh.

Khi những điều này được đặt vào đúng chỗ, hệ thống làm việc thay cho trí nhớ cá nhân. Đây cũng là nền tảng để duy trì compliance sau chứng nhận thay vì chuẩn bị lại từ đầu mỗi năm.

pTrackly hỗ trợ phần nào?

pTrackly lưu evidence theo từng evidence task có owner, proof và trạng thái; policy và register (risk, vendor, asset, nhân sự, thiết bị, training) có lịch sử thay đổi; audit period lưu finding và những gì đã cung cấp cho auditor. Người mới được cấp quyền có thể xem toàn bộ trạng thái ngay, và vai trò auditor bên ngoài chỉ thấy phần được release. Phán đoán chuyên môn, phê duyệt policy và audit độc lập vẫn do con người thực hiện. Xem cách pTrackly vận hành.

Câu hỏi thường gặp

Bàn giao compliance cần những gì?

Bàn giao compliance cần danh sách control kèm owner, evidence gắn với từng control, policy có phiên bản và người phê duyệt, finding của audit trước và trạng thái sẵn sàng hiện tại, tất cả ở một nơi người mới truy cập được. Một buổi handover bằng lời không thay thế được những thứ này.

Người mới cần bao lâu để tiếp quản chương trình compliance?

Nếu evidence và trạng thái control nằm trong hệ thống chung, người mới có thể hiểu trạng thái chương trình trong buổi làm việc đầu tiên. Nếu mọi thứ nằm trong email và Google Sheets của người cũ, thường mất vài tuần chỉ để dựng lại bức tranh tổng thể trước khi xác minh được gì.

Tiêu chuẩn có yêu cầu lưu hồ sơ compliance bao lâu không?

HIPAA Security Rule (45 CFR 164.316(b)) yêu cầu lưu policy, procedure và hồ sơ liên quan 6 năm kể từ ngày tạo hoặc ngày có hiệu lực cuối cùng. ISO/IEC 27001:2022 (điều khoản 7.5) không đặt số năm cụ thể nhưng yêu cầu tài liệu được kiểm soát, lưu giữ và sẵn có khi cần; thời gian lưu do tổ chức xác định theo yêu cầu pháp lý và hợp đồng.

Google Drive và spreadsheet có đủ để bàn giao không?

Có thể đủ cho một framework và một người phụ trách, nếu cấu trúc folder nhất quán và trạng thái control được cập nhật đều. Khi có nhiều framework, nhiều owner và lịch sử audit, spreadsheet không giữ được liên kết giữa control, evidence, policy và finding, và đó là lúc việc bàn giao bắt đầu thất bại.