Theo bài viết nguồn, hồ sơ đánh giá tác động cần được hoàn thành và nộp trong 60 ngày kể từ khi bắt đầu hoạt động xử lý tương ứng. Đây không chỉ là thời gian để hoàn thiện một mẫu tài liệu. Doanh nghiệp phải xác định dữ liệu nào đang được xử lý, phục vụ mục đích gì, lưu bao lâu, chia sẻ cho ai và rủi ro được giảm thiểu bằng biện pháp nào. Với luồng dùng cloud, SaaS quốc tế hoặc chia sẻ cho công ty mẹ, phạm vi chuẩn bị có thể còn bao gồm hồ sơ chuyển dữ liệu xuyên biên giới.
Vì sao 60 ngày dễ bị tiêu hao trước khi hồ sơ bắt đầu
Trở ngại lớn nhất được nguồn chỉ ra là thiếu bản đồ dữ liệu. Khi mỗi bộ phận chỉ biết một phần quy trình, đội lập hồ sơ phải dành thời gian hỏi lại nơi thu thập, hệ thống lưu trữ, bên nhận và mục đích sử dụng. Những câu trả lời không thống nhất khiến phần đánh giá rủi ro và biện pháp bảo vệ cũng khó hoàn thiện.
Dữ liệu thường đi qua nhiều đơn vị hơn tên của một hệ thống gợi ý. CRM có thể nhận dữ liệu từ biểu mẫu, chuyển thông tin sang công cụ chăm sóc hoặc báo cáo; một dịch vụ SaaS có thể vận hành ngoài hệ thống nội bộ nhưng vẫn nằm trong quy trình xử lý. Vì vậy, chỉ yêu cầu đội IT liệt kê ứng dụng sẽ không đủ để mô tả đầy đủ hoạt động.
Kế hoạch 8 tuần dưới đây là khung điều phối, không thay thế việc xác định chính xác ngày bắt đầu xử lý và yêu cầu hồ sơ cho từng trường hợp. Doanh nghiệp nên chốt phạm vi ngay từ đầu, dành thời gian cho xác minh và phê duyệt thay vì dồn toàn bộ công việc vào những ngày cuối.
Tuần 1–2: Chốt phạm vi và dựng bản đồ dữ liệu
Tuần đầu nên xác định hoạt động xử lý nào thuộc hồ sơ, ai là chủ sở hữu nghiệp vụ và bộ phận nào phối hợp. Đầu ra cần là danh sách quy trình, nguồn thu thập và hệ thống liên quan, không phải một bản mô tả chung cho toàn doanh nghiệp. Pháp chế, IT, an toàn thông tin, nhân sự, marketing và nghiệp vụ cần cử đầu mối có khả năng xác nhận dữ kiện.
Tuần thứ hai tập trung lần theo luồng dữ liệu: trường dữ liệu, mục đích, thời gian lưu, quyền truy cập, bên thứ ba và điểm chuyển tiếp. Khi còn thông tin chưa xác minh, nên đánh dấu chủ sở hữu và hạn trả lời. Cách làm này giúp tránh việc giả định một luồng đã hoàn chỉnh trong khi vẫn còn bản sao hoặc nhà cung cấp chưa được ghi nhận.
- Đầu ra tuần 1: phạm vi hồ sơ, danh sách quy trình và ma trận đầu mối.
- Đầu ra tuần 2: sơ đồ luồng dữ liệu cùng danh sách điểm chưa xác minh.
- Chủ trì: đầu mối bảo vệ dữ liệu hoặc nhóm điều phối được giao trách nhiệm.
- Bên xác nhận: chủ quy trình, quản trị hệ thống và bộ phận quản lý nhà cung cấp.
Tuần 3–5: Kiểm tra căn cứ, bên nhận và rủi ro
Ở tuần thứ ba, đội ngũ đối chiếu từng mục đích xử lý với hồ sơ và căn cứ đang được sử dụng. Nội dung thông báo, cơ chế đồng ý và thời gian lưu cần khớp với vận hành thực tế. Nếu hệ thống đang thu nhiều dữ liệu hơn mục đích đã mô tả, đây là điểm phải xử lý thay vì chỉ điều chỉnh câu chữ trong hồ sơ.
Tuần thứ tư dành cho bên thứ ba và luồng xuyên biên giới. Theo nguồn, doanh nghiệp cần mô tả bên nhận, quốc gia và biện pháp bảo vệ. Cloud, SaaS quốc tế hoặc chia sẻ với công ty mẹ là các tình huống cần được rà soát. Hợp đồng, cấu hình và luồng dữ liệu thực tế nên được kiểm tra cùng nhau để tránh chênh lệch.
Tuần thứ năm tập trung đánh giá rủi ro và biện pháp giảm thiểu. Mỗi rủi ro nên gắn với tài sản, tình huống, tác động và kiểm soát hiện có. Nếu biện pháp mới chỉ được dự kiến, hồ sơ cần phản ánh đúng trạng thái và có kế hoạch thực hiện, thay vì trình bày như một kiểm soát đã vận hành.
Tuần 6–8: Hoàn thiện bằng chứng, rà soát và nộp hồ sơ
Tuần thứ sáu dùng để thu bằng chứng cho các mô tả quan trọng: cấu hình phân quyền, quy định lưu trữ, hợp đồng nhà cung cấp, cơ chế ghi nhận đồng ý và quy trình xử lý sự cố. Bằng chứng không cần được nhồi vào một tài liệu duy nhất, nhưng phải có danh mục, người quản lý và đường dẫn truy xuất ổn định.
Tuần thứ bảy là vòng rà soát chéo. Chủ nghiệp vụ kiểm tra mục đích và luồng xử lý; công nghệ xác nhận hệ thống; an toàn thông tin xác nhận biện pháp; pháp chế kiểm tra tính đầy đủ của hồ sơ. Mọi điểm chưa thống nhất cần được ghi thành vấn đề có người xử lý, không để nằm trong trao đổi rời rạc.
Tuần thứ tám dành cho phê duyệt, hoàn tất hình thức và chuẩn bị nộp. Doanh nghiệp nên lưu lại phiên bản đã duyệt cùng danh mục tài liệu hỗ trợ, ngày xác nhận và người chịu trách nhiệm. Sau khi nộp, bản đồ dữ liệu và đánh giá rủi ro vẫn phải được duy trì khi quy trình, hệ thống hoặc bên nhận thay đổi.
- Đầu ra tuần 6: thư mục bằng chứng và danh mục kiểm soát.
- Đầu ra tuần 7: biên bản rà soát chéo và danh sách điểm cần đóng.
- Đầu ra tuần 8: hồ sơ được phê duyệt, phiên bản lưu và kế hoạch cập nhật.
- Kiểm tra cuối: phạm vi, ngày bắt đầu xử lý và luồng xuyên biên giới đã được xác nhận.