IT - Mid/Senior Technology Governance & Compliance (GRC - Chính sách tuân thủ công nghệ)

Thật lòng mà nói thì cơ hội được gọi phỏng vấn sẽ rất thấp vì JD yêu cầu 3-5 năm kinh nghiệm. Tuy nhiên, em vẫn có thể apply nếu có intern hoặc project thực tế về compliance. Cách tốt hơn là em hãy đi làm 2-3 năm ở vị trí IT Security Analyst hoặc IT Risk Analyst trước, lấy thêm chứng chỉ CISA hoặc ISO 27001, sau đó apply. Mảng này đường dài nhưng rất đáng để đầu tư.

Hợp lý và rất hợp lý luôn! Big4 chính là cái nôi đào tạo nhân sự IT Governance cho ngân hàng. Kinh nghiệm làm audit cho khách hàng ngân hàng ở Big4 là điểm cộng cực lớn. Em nhớ nhấn mạnh: đã audit cho bao nhiêu ngân hàng, làm việc với những framework nào (ISO/PCI), có kinh nghiệm viết finding report không. Tuy nhiên lưu ý: Big4 thường trả cao hơn ngân hàng ở level junior, nhưng từ Senior trở lên thì ngân hàng sẽ catch up và vượt. Đừng vì lương ngắn hạn mà bỏ lỡ cơ hội dài hạn.

Vẫn có cơ hội nhé! JD ghi "chứng chỉ (ưu tiên)" tức là không bắt buộc. Với 4 năm kinh nghiệm thực tế + đã xây dựng policy + đã qua audit, em hoàn toàn có thể apply. Tuy nhiên, nếu HR lọc hồ sơ dựa trên keyword "CISA" thì em có thể thua người khác. Mẹo: em hãy đưa chứng chỉ vào "đang học" hoặc đề cập kế hoạch lấy chứng chỉ trong vòng 6-12 tháng. Câu này cũng là 1 điểm cộng trong buổi phỏng vấn.

"Thỏa thuận" có nghĩa là không công khai một con số cụ thể — có thể là do họ muốn xem ứng viên nào tốt rồi offer cao, hoặc cũng có thể là range rộng. Với vị trí Mid/Senior 3-5 năm + HCMC + ngân hàng tầm trung, em nên đề xuất khoảng 35-50 triệu gross tùy năng lực. Nếu có CISA + 5 năm kinh nghiệm NHNN, đẩy lên 50-60 cũng được. Mẹo: nói "em mong được offer ở mức X, nhưng cũng sẵn sàng thảo luận dựa trên benefits tổng thể" — câu này chuyên nghiệp và không khép lại sớm.

Công việc không chỉ là giấy tờ đâu em. Một tuần điển hình sẽ có: 2-3 ngày làm việc với team IT để review control, 1-2 ngày viết/update policy, 1 ngày họp với Big4 audit hoặc NHNN inspection, 1 ngày chuẩn bị báo cáo cho Ban lãnh đạo. Sẽ có những lúc "deadline cháy" khi thanh tra NHNN đến — lúc đó sẽ rất áp lực. Nhưng công việc khá varied, không bị lặp lại như 1 số vị trí IT khác. Đặc biệt, em sẽ được "nhìn toàn cảnh" hệ thống ngân hàng — điều mà developer hay security engineer không có.

Nên apply! Kinh nghiệm ISO 27001 ở Fintech vẫn rất quý, đặc biệt nếu em đã từng implement ISMS từ đầu. Phần "kinh nghiệm NHNN" có thể bù đắp được bằng cách: em nghiên cứu kỹ Thông tư 13/2018, Thông tư 17/2024 trước khi phỏng vấn, và khi được hỏi thì thừa nhận "em chưa có kinh nghiệm trực tiếp với NHNN nhưng em đã quen với quy trình audit và các chuẩn tương đương, em sẽ học hỏi nhanh". Sự trung thực + willingness to learn thường được đánh giá cao.

AI sẽ ảnh hưởng một phần công việc — đặc biệt là các việc lặp lại như kiểm tra control, đọc log, soạn draft policy. NHƯNG phần core của vị trí này — tư duy phản biện, đánh giá rủi ro, giao tiếp với stakeholder, đàm phán với auditor — sẽ không bị AI thay thế trong 5-10 năm tới. Hơn nữa, AI Governance đang là xu hướng mới, sẽ tạo ra nhiều vị trí mới trong tương lai. Em nên bắt đầu học về AI risk và AI compliance từ bây giờ để không bị tụt hậu.

Đây là câu hỏi rất hay và nhiều người apply không chuẩn bị. Gợi ý cho em: (1) Tuần 1-2: Học hết chính sách, quy trình hiện tại của OCB, đặc biệt là framework tuân thủ. (2) Tuần 3-4: Gặp gỡ các bên liên quan (IT, Business, Audit, NHNN contact), lắng nghe pain points của họ. (3) Tuần 5-8: Đánh giá nhanh gap giữa hiện trạng và các chuẩn ISO/PCI/NHNN, đề xuất quick wins. (4) Tuần 9-12: Triển khai 1-2 cải tiến cụ thể, có số liệu đo lường. Mục tiêu: trong 90 ngày, em phải demonstrate được "tôi hiểu business, tôi có thể deliver value".

Khác biệt khá rõ: Big4 banks (Techcombank, MB) thường đã mature về IT Governance, bạn vào sẽ được "vận hành" hệ thống có sẵn. OCB thuộc nhóm mid-tier, đang trong giai đoạn xây dựng và hoàn thiện, nên bạn sẽ được tham gia "build từ đầu". Điều này có 2 mặt: (1) Thuận lợi — được học nhiều, được tạo impact lớn, CV sẽ rất đẹp sau 2-3 năm. (2) Khó khăn — có thể thiếu quy trình chuẩn, phải tự đề xuất nhiều, đôi khi phải "bán" ý tưởng cho leadership. Nếu em thích môi trường dynamic, muốn build things, OCB là lựa chọn tốt. Nếu em thích môi trường đã mature, cân nhắc TCB/MB.