Đánh giá kiểm soát trong quản lý nhà cung cấp và dịch vụ IT thuê ngoài.

Xác định dịch vụ, dữ liệu và mức phụ thuộc cần được đảm bảo

Đoàn kiểm toán bắt đầu từ hoạt động được hỗ trợ. Dịch vụ giữ dữ liệu khách hàng có rủi ro khác với dịch vụ không tiếp cận thông tin nhưng quyết định khả năng hoạt động của hệ thống. Phạm vi cần phản ánh dữ liệu, quyền, phụ thuộc và hậu quả liên quan, thay vì chỉ lấy danh sách hợp đồng có giá trị cao.

Cần hiểu các bên tham gia và những phần cung cấp tiếp. Nhà thầu chính có thể dựa vào nền tảng hoặc đối tác khác; doanh nghiệp cũng có thể dùng nhiều dịch vụ phụ thuộc cùng một nguồn. Kiểm toán phải biết quan hệ quan trọng tới mức kết luận, không nhất thiết thu toàn bộ sơ đồ kỹ thuật nhưng cũng không dừng ở tên bên ký hợp đồng.

Chủ quan hệ và chủ dịch vụ cần được xác định. Mua sắm giữ hợp đồng, IT quản lý vận hành, nghiệp vụ quyết định dữ liệu hoặc nhu cầu sử dụng. Nếu không ai chịu trách nhiệm tổng thể, thông tin có thể đầy ở từng bộ phận nhưng không tạo được việc theo dõi. Đây là một điều kiện thiết kế kiểm soát cần được đánh giá.

NIST SP 800-161 Rev. 1, bản cập nhật, hướng dẫn quản lý rủi ro an ninh mạng chuỗi cung ứng ở các cấp tổ chức. Kiểm toán có thể tham khảo để hiểu vòng đời quan hệ và nhu cầu đánh giá. Tiêu chí cuộc kiểm toán vẫn phải được xác định theo mục tiêu, yêu cầu nội bộ và nghĩa vụ áp dụng.

Nội dung kiểm toán IT giúp đoàn chuyển những phụ thuộc thành câu hỏi đảm bảo. Một kết luận về quản lý thuê ngoài cần nói rõ quan hệ nào và giai đoạn nào đã được xem, tránh diễn đạt như mọi nhà cung cấp đều được kiểm tra theo cùng độ sâu.

Kiểm tra thiết kế lựa chọn và phân định trách nhiệm

Quy trình lựa chọn cần cho thấy mức đánh giá phù hợp với rủi ro. Một bảng hỏi chung có thể hỗ trợ thu thông tin, nhưng đoàn phải xem các câu trả lời có được dùng để quyết định và xử lý khoảng trống hay không. Việc thu đủ tài liệu không tự chứng minh doanh nghiệp đã hiểu điều kiện cung cấp.

Các yêu cầu quan trọng cần đi vào cơ chế quan hệ. Phạm vi dịch vụ, dữ liệu, quyền truy cập, sự cố và kết thúc sử dụng phải có trách nhiệm phù hợp. Đầu mối pháp lý hoặc chuyên môn xác nhận yêu cầu áp dụng khi cần; kiểm toán không tự đưa kết luận pháp lý từ một điều khoản kỹ thuật chưa được hiểu đầy đủ.

Đoàn cần nhìn phần trách nhiệm doanh nghiệp giữ lại. Cấu hình quyền trên SaaS hoặc lựa chọn dữ liệu đưa vào không tự được chuyển sang đối tác vì dịch vụ thuê ngoài. Nếu kiểm soát của nhà cung cấp dựa vào hành động phía khách hàng, phải xác định ai làm và bằng chứng nào được giữ để có thể sử dụng kết quả đảm bảo.

Quyền yêu cầu thông tin và cách xác nhận cũng quan trọng. Khi không thể kiểm tra trực tiếp, tổ chức cần hiểu bằng chứng thay thế cùng giới hạn. Một cam kết không có cơ chế theo dõi có thể khó vận hành, nhất là lúc sự cố xảy ra hoặc nhà cung cấp đổi điều kiện.

Cách nhìn quản lý rủi ro IT hỗ trợ chọn các điểm cần ưu tiên. Kiểm toán xem căn cứ của quyết định, không chỉ kiểm tra hợp đồng có một mục bảo mật. Chất lượng nằm ở việc yêu cầu phù hợp với dữ liệu, quyền và mức phụ thuộc đang có.

Dùng báo cáo bên ngoài với phạm vi và điều kiện rõ

Báo cáo độc lập có thể cung cấp bằng chứng hữu ích, nhưng đoàn phải xem nội dung thực tế. Dịch vụ, hệ thống, địa điểm và thời kỳ nào được bao phủ? Báo cáo nói về thiết kế hay đã có kiểm tra vận hành trong một kỳ? Kết quả đó có liên quan đúng dịch vụ doanh nghiệp đang sử dụng không?

Cần đọc các ngoại lệ, giới hạn và phần trách nhiệm phía khách hàng, thay vì chỉ giữ trang kết luận. Một báo cáo không bao phủ nhà cung cấp phụ hoặc một chức năng đang dùng có thể chưa đủ cho câu hỏi. Kiểm toán viên phải xác định phần có thể dựa vào và thủ tục cần bổ sung, không nhận mọi tài liệu như bằng chứng thay toàn bộ công việc.

Thời gian cũng phải được xét. Báo cáo của một kỳ trước không tự chứng minh điều kiện hiện tại chưa đổi. Đoàn có thể cần thông tin về thay đổi, sự cố hoặc bằng chứng bổ sung phù hợp. Không chỉ xem ngày phát hành vì ngày đó có thể khác thời kỳ công việc đã được thực hiện.

Bảng là gợi ý đọc bằng chứng, không thay phương pháp nghề nghiệp. Đoàn cần đánh giá năng lực, khách quan và chất lượng của công việc được dùng theo mục tiêu. Thiếu một phần thông tin chưa tự chứng minh kiểm soát thất bại, nhưng có thể giới hạn căn cứ kết luận.

Kiểm tra vận hành theo vòng đời quan hệ

Với các quan hệ được chọn, đoàn theo từ đánh giá ban đầu tới phê duyệt, cam kết và theo dõi. Những khoảng trống được chấp nhận có người quyết định, điều kiện và thời điểm xem lại hay không? Nếu danh sách tồn tại nhưng không có hành động, cơ chế có thể chưa đạt mục tiêu dù hồ sơ lựa chọn đầy đủ.

Trong vận hành, cần xem bằng chứng theo dõi dịch vụ và xử lý sai lệch. Báo cáo SLA có thể cho biết một phần kết quả, nhưng không tự thể hiện quyền được quản lý hoặc dữ liệu được xử lý đúng mục đích. Đoàn phải chọn nguồn theo từng câu hỏi và kiểm tra chất lượng dữ liệu dùng làm bằng chứng.

Khi quan hệ thay đổi, đánh giá cũ có được xem lại không? Mở thêm dữ liệu, tăng quyền hỗ trợ hoặc bổ sung nhà thầu phụ có thể làm căn cứ phê duyệt trước không còn đủ. Chương trình kiểm toán nên nhìn các sự kiện này, không chỉ kiểm tra hồ sơ những hợp đồng mới ký.

Năng lực quản lý dịch vụ IT giúp các bên cung cấp thông tin có bối cảnh về sự cố, thay đổi và trách nhiệm. Kiểm toán sử dụng để xác minh cơ chế trong kỳ, giữ rõ giới hạn nếu một phần dữ liệu chỉ phản ánh dịch vụ mà chưa bao phủ yêu cầu bảo vệ.

Một tình huống: báo cáo nhà cung cấp đạt nhưng quyền doanh nghiệp chưa được rà

Trong tình huống giả định, doanh nghiệp dùng SaaS xử lý hồ sơ và có báo cáo độc lập của nhà cung cấp. Quản lý cho rằng không cần kiểm tra thêm quyền vì nền tảng đã được đánh giá. Đoàn kiểm toán đọc phạm vi và nhận ra doanh nghiệp vẫn phải quản lý người dùng cùng các quyền được cấu hình cho đơn vị mình.

Kiểm tra phần khách hàng cho thấy hoạt động rà chỉ dùng danh sách nhóm chuẩn, không bao phủ quyền chia sẻ trực tiếp. Một tài khoản đối tác đã hết nhu cầu còn quyền trên một số hồ sơ. Báo cáo bên ngoài không kết luận về phần cấu hình này, nên không thể dùng nó để khẳng định cơ chế truy cập của doanh nghiệp đã hiệu lực.

Đoàn xác định tiêu chí, phạm vi và tác động trước khi đưa phát hiện. Quản lý sửa cách thu dữ liệu rà và phân định đầu mối xác nhận quyền bên ngoài. Báo cáo nhà cung cấp vẫn được sử dụng cho phần phù hợp; công việc bổ sung tập trung vào khoảng trống phía doanh nghiệp thay vì làm lại toàn bộ đánh giá hạ tầng.

Tình huống giả định cho thấy thuê ngoài không làm trách nhiệm kiểm soát biến mất. Bằng chứng bên ngoài và bằng chứng của doanh nghiệp phải được nối theo mục tiêu. Một tài liệu đáng tin vẫn có thể bị dùng sai nếu người sử dụng hiểu rộng hơn phạm vi và điều kiện của nó.

Kết luận theo chuỗi trách nhiệm và theo dõi phần còn lại

Kết thúc quan hệ cần có cách chuyển dịch vụ, dữ liệu và quyền theo yêu cầu áp dụng. Đoàn có thể xem thiết kế hoặc các trường hợp thực hiện tùy phạm vi. Cần phân biệt ngừng hợp đồng với việc mọi quyền và bản sao đã được xử lý; một số nghĩa vụ có thể còn tiếp tục và phải có đầu mối theo dõi.

Phát hiện nên chỉ rõ điều kiện thiếu, tiêu chí và tác động, cùng nguyên nhân có căn cứ. Hành động phải sửa phần trách nhiệm hoặc khả năng xác nhận còn yếu, không chỉ yêu cầu thu thêm tài liệu. Nếu thiếu quyền tiếp cận hoặc bằng chứng quan trọng, báo đúng ảnh hưởng tới kết luận theo cơ chế phù hợp.

Năng lực quản lý IT giúp điều phối nghiệp vụ, mua sắm và đối tác để triển khai phương án. Kiểm toán có giá trị khi doanh nghiệp hiểu mình có thể dựa vào phần nào, phần nào phải tự làm và phần nào còn chưa đủ bằng chứng, từ đó quản lý thuê ngoài bằng trách nhiệm có thể kiểm tra.

Bài viết liên quan

• Sử dụng COBIT làm cơ sở tham chiếu khi xây dựng chương trình kiểm toán IT.
• Kiểm toán các biện pháp kiểm soát an toàn thông tin dựa trên ISO/IEC 27001 và ISO/IEC 27002.
• Kỹ thuật thu thập bằng chứng kiểm toán IT: Phỏng vấn, quan sát, kiểm tra và thực hiện lại.
• Theo dõi hành động khắc phục: Làm thế nào để xác nhận vấn đề đã được xử lý hiệu quả?

Nguồn tham khảo

1. NIST — SP 800-161 Rev. 1, updated: Cybersecurity Supply Chain Risk Management Practices
2. CIS — Critical Security Control 15: Service Provider Management
3. The IIA — Global Internal Audit Standards, 2024