Governance – Risk – Compliance (GRC) - Level Middle, Senior (Quản lý Rủi Ro & Tuân Thủ) - An ninh Thông tin)

Đáng tiếc là chưa phù hợp em nhé. JD yêu cầu tối thiểu 3 năm kinh nghiệm ở vị trí liên quan (IT compliance, IT risk, IT audit, hoặc IT operations trong ngân hàng/tổ chức lớn). Vị trí này đòi hỏi bạn đã từng xử lý báo cáo NHNN, làm việc với auditor, xây dựng policy — những thứ cần trải nghiệm thực tế.

Lộ trình cho em:

• Bắt đầu ở vị trí IT Operations, IT Security Engineer, hoặc IT Auditor (junior) tại ngân hàng/tổ chức tài chính
• Trong 2-3 năm đầu, học thêm ISO 27001, ITIL, Thông tư NHNN
• Lấy chứng chỉ CISA hoặc ISO 27001 Lead Auditor sau 2 năm
• Sau đó apply lại vị trí Middle GRC

Hoặc em có thể thử apply tại các công ty Fintech, Big 4 (PwC, EY, KPMG) ở vị trí IT Audit Associate — đây là bước đệm tốt để vào GRC sau này.

Hoàn toàn khả thi nhưng cần chuẩn bị thêm. Helpdesk cho em nền tảng tốt về IT operations, hiểu hệ thống, biết cách xử lý sự cố — đây là lợi thế. Tuy nhiên em cần bổ sung:

1. Kiến thức compliance: Đọc Thông tư 31/2020, 17/2024 của NHNN
2. Framework: Tự học ISO 27001, ITIL 4 (có nhiều khóa free trên Coursera, Udemy)
3. Chứng chỉ: Lấy CISA hoặc ISO 27001 trong 6-12 tháng tới
4. Kinh nghiệm "phụ": Tham gia dự án audit nội bộ, viết 1-2 procedure, hỗ trợ team compliance
5. CV phải "reframe": Đừng ghi là "IT Helpdesk", hãy ghi là "IT Operations & Service Delivery" và nhấn mạnh các task liên quan đến tuân thủ, quy trình

Với 3 năm kinh nghiệm + chứng chỉ, em có thể nhắm vị trí Middle tại GPBank hoặc các NHTM cỡ trung. Đừng ngại apply thử, biết đâu HR thấy em phù hợp văn hóa thì vẫn cho cơ hội.

Đây là mức trung bình khá so với thị trường NHTM Việt Nam. Cụ thể:

• So với NHTM cỡ trung (GPBank, PGBank, SeABank, ACB cũ, MSB): tương đương hoặc hơi cao hơn một chút
• So với NHTM lớn (VCB, TCB, MB, ACB): thấp hơn 15-25%, vì big4 bank thường trả 55-85M cho Senior GRC
• So với Big 4 / Công ty tư vấn (PwC, EY): thấp hơn 30-40%, nhưng đổi lại NHTM có nhiều phúc lợi hơn

Điểm cộng của GPBank:

• Nhân hệ số 14-15 tháng = thu nhập năm 560-720M
• Phúc lợi GPBankCare cho cả gia đình (khá hiếm ở NHTM)
• Hỗ trợ thi chứng chỉ quốc tế
• 6M du lịch/năm + 3M thưởng lễ/lần
• Môi trường ít "chính trị" hơn big4 bank

Lưu ý: GPBank đang trong giai đoạn tái cơ cấu, lộ trình thăng tiến có thể chậm hơn big4 bank. Nếu bạn ưu tiên work-life balance + ổn định, đây là lựa chọn tốt. Nếu ưu tiên kiếm nhiều + thăng tiến nhanh, hãy cân nhắc MB, TCB, ACB.

Mình hiểu lo lắng của em, nhưng thực tế GRC không nhàm chán như em tưởng đâu. Đây là những việc bạn sẽ làm hàng ngày:

• 20% viết/đọc policy, báo cáo (cần thiết, không thể bỏ)
• 30% họp với các phòng ban (Legal, IT, Business, Audit, NHNN) - rất nhiều giao tiếp
• 25% điều phối audit, kiểm tra, training
• 15% nghiên cứu chuẩn mới, đề xuất cải tiến
• 10% xử lý sự cố compliance (rất "adrenaline")

Những phần thú vị:

• Được tiếp xúc với cơ quan quản lý (NHNN) - ít vị trí được như vậy
• Hiểu bức tranh toàn cảnh ngân hàng - biết hết quy trình từ A-Z
• Được đề xuất cải tiến thực sự, không chỉ làm theo
• Được đào tạo liên tục - không sợ "lạc hậu"
• Là cầu nối giữa business và IT - được cả hai bên "cần"

Phần không thú vị lắm:

• Báo cáo định kỳ có thể lặp lại
• Đôi khi bị business "ghét" vì cản trở tốc độ
• Deadline NHNN thường cứng, không thể xin gia hạn

Tóm lại: Nếu em thích tư duy hệ thống, phân tích, giao tiếp, GRC rất hợp. Nếu em thích code, hacking, hands-on technical, có thể cân nhắc Security Engineer hoặc Pentester thay thế.

Profile em khá tốt cho vị trí Senior tại GPBank. Phân tích cụ thể:

Điểm mạnh:

• 2 chứng chỉ quốc tế quan trọng (ISO 27001 LA + CISA) - vượt yêu cầu JD
• 4 năm kinh nghiệm - hơi ít so với Senior nhưng có thể bù bằng chứng chỉ
• Đã làm trong NHTM - hiểu môi trường

Điểm cần cân nhắc:

• 4 năm thường được xếp Middle, Senior thường từ 6-8 năm
• NHTM cỡ nhỏ có thể ít cơ hội làm việc với NHNN trực tiếp

Chiến lược apply:
1. Đừng tự giới hạn - apply Senior, để HR đánh giá
2. Trong CV nhấn mạnh: dự án audit lớn, báo cáo NHNN, xây dựng policy từ đầu, mentoring junior
3. Trong phỏng vấn: thể hiện tư duy Senior - đưa ra giải pháp, không chỉ mô tả công việc
4. Nếu HR chỉ offer Middle: đàm phán để được mức lương đầu Senior (40M) thay vì cuối Middle (38M) - chênh nhau 2M nhưng position tốt hơn trong CV

Kỳ vọng: 70% cơ hội được Senior nếu em chuẩn bị tốt và CV ấn tượng. 30% HR có thể deal Middle + cam kết review sau 6-12 tháng.

Áp lực có nhưng không quá lớn so với mảng IT Operations hay Sales. Đây là các nguồn áp lực chính:

Áp lực thường trực:

• Deadline báo cáo NHNN (thường quý, có khi đột xuất) - không thể trễ
• Phải theo kịp thông tư mới ban hành - NHNN ra khá nhiều
• Bị audit đánh giá (internal + NHNN + đoàn kiểm tra độc lập)
• Khi có sự cố lớn, phải báo cáo trong 24-48h

Áp lực không thường xuyên:

• Đoàn kiểm tra NHNN đến đột xuất - lúc đó phải chuẩn bị tài liệu gấp
• Dự án chuyển đổi số lớn - nhiều risk mới phát sinh
• Sự cố bảo mật nghiêm trọng - phải phối hợp xử lý

KPI thường gặp:
1. Số lượng policy/procedure được ban hành/cập nhật đúng hạn
2. Compliance rate - tỷ lệ tuân thủ các control của phòng ban
3. Số lượng audit findings - càng ít càng tốt
4. Thời gian đóng finding từ audit (mục tiêu < 30 ngày)
5. Đào tạo compliance - số buổi training đã tổ chức
6. Báo cáo NHNN - gửi đúng hạn, không phải điều chỉnh

Work-life balance: 7/10 - Tốt hơn IT operations hay sales. Thỉnh thoảng có OT khi audit, nhưng không phải hàng ngày. T2-T6 + 2 sáng T7/tháng = vẫn có cuộc sống cá nhân.

Đây là câu hỏi hay, mình so sánh cụ thể:

Lời khuyên:

• Nếu bạn mới ra trường hoặc cần kinh nghiệm nền tảng → bắt đầu ở NHTM nội địa 2-3 năm, sau đó nhảy sang nước ngoài
• Nếu bạn đã có 3-5 năm + tiếng Anh tốt + chứng chỉ quốc tế → apply thẳng NHTM nước ngoài, lương cao gấp 2-3 lần
• NHTM nội địa như GPBank phù hợp với người ưu tiên stability, gần gia đình, muốn cống hiến lâu dài

Mục tiêu CISO rất rõ ràng, đây là lộ trình cụ thể:

Giai đoạn 1 (năm 1-2): Nền tảng vững

• Lấy CISM (Certified Information Security Manager) - chứng chỉ "chuẩn" cho CISO
• Đọc sách "Becoming a CISO" và "CISO Compass"
• Học sâu về NIST Cybersecurity Framework, ISO 27001, COBIT
• Tham gia ít nhất 2-3 dự án audit lớn

Giai đoạn 2 (năm 3-5): Mở rộng kỹ năng

• Trải nghiệm đa lĩnh vực: governance, risk, compliance, technical security
• Học thêm cloud security (AWS/Azure security certs)
• Phát triển kỹ năng leadership, strategic thinking
• Thử sức ở vị trí team lead, deputy manager
• Học thêm về business acumen - CISO phải hiểu kinh doanh

Giai đoạn 3 (năm 6-10): Hướng đến CISO

• Lấy thêm CISSP nếu chưa có
• Xây dựng personal brand - viết bài, nói chuyện tại hội thảo
• Network với các CISO hiện tại qua LinkedIn, VNISA
• Apply vị trí Phó phòng/Trưởng phòng An ninh Thông tin trước
• Cân nhắc MBA nếu muốn tăng tốc (không bắt buộc nhưng có lợi)

Timeline thực tế: Từ Middle GRC → CISO thường mất 8-12 năm, tùy năng lực và cơ hội. Ở NHTM cỡ trung như GPBank, đường lên CISO khá khó vì cơ cấu nhỏ. Thường phải chuyển sang NHTM lớn hơn ở giữa chừng.

Mức lương CISO tại VN hiện nay: 150-400M Gross/năm × 14-16 tháng + stock option ở một số NHTM. Đây là top 1% trong ngành IT banking.