IT - Mid/Senior Technology Governance & Compliance (GRC - Chính sách tuân thủ công nghệ)

Vị trí này yêu cầu 3-5 năm kinh nghiệm nên với sinh viên mới ra trường, cơ hội được nhận trực tiếp là khá thấp. Tuy nhiên, em có thể:

1. Bắt đầu ở vị trí Junior IT Auditor hoặc IT Security Analyst tại ngân hàng để tích lũy 2-3 năm kinh nghiệm
2. Tham gia chương trình Fresher/Graduate của OCB nếu có (thường vào Q3-Q4 hàng năm)
3. Học thêm chứng chỉ CompTIA Security+ để tạo lợi thế
4. Làm freelance hoặc thực tập tại các công ty tư vấn Big4 để có kinh nghiệm audit

Sau 2-3 năm ở vị trí junior, em hoàn toàn có thể ứng tuyển Mid-level GRC. Đừng nản!

Phù hợp rất cao! Kinh nghiệm Big4 IT Audit là một trong những yêu cầu chính của vị trí này. Bạn có lợi thế:

• ✅ Quen thuộc với audit methodology và evidence collection
• ✅ Có kinh nghiệm đọc/viết báo cáo tuân thủ
• ✅ Hiểu cách làm việc với khách hàng ngân hàng (nếu bạn audit ngân hàng)
• ✅ Network tốt với các auditor ngân hàng

Tuy nhiên, cần bổ sung:

• Hiểu sâu hơn về policy development (Big4 thường chỉ audit, ít xây dựng chính sách)
• Tìm hiểu vận hành ngân hàng từ bên trong (Big4 là bên ngoài)
• Nếu có chứng chỉ CISA thì cơ hội rất cao

Mức lương từ Big4 sang ngân hàng thường tăng 30-50%.

Mức lương có thể thay đổi tùy ngân hàng và thời điểm. Theo tham khảo thị trường hiện tại:

• Senior GRC (5-7 năm KN, có chứng chỉ): 45-70 triệu/tháng
• Senior GRC + 1 chứng chỉ CISA/CISM: 55-80 triệu
• Senior GRC + CISSP + tiếng Anh tốt: 70-100 triệu

OCB thuộc nhóm ngân hàng tầm trung nên thường nằm ở mức 50-80 triệu cho Senior. Nếu bạn đến từ Big4 với kinh nghiệm audit ngân hàng, có thể đàm phán cao hơn.

Ngoài lương, các ngân hàng thường có:

• Thưởng Tết (1-3 tháng lương)
• Thưởng KPI quý/năm
• Bảo hiểm sức khỏe cao cấp
• Hỗ trợ thi chứng chỉ (đặc biệt với vị trí GRC)
• 13th month salary

Hoàn toàn khả thi và đây là hướng đi rất phổ biến! Network Security là nền tảng tốt cho GRC vì:

Lợi thế của bạn:

• Hiểu sâu về technical security controls
• Biết cách đánh giá và cấu hình thiết bị bảo mật
• Có kinh nghiệm incident response

Cần học thêm:

• ISO 27001, PCI DSS, COBIT (1-2 tháng tự học)
• Risk assessment methodology (NIST 800-30)
• Cách viết policy/procedure (soft skill quan trọng)
• Quy định pháp luật Việt Nam về CNTT ngân hàng

Lộ trình gợi ý:
1. Năm 1: Học chứng chỉ CompTIA Security+ hoặc ISO 27001 Foundation
2. Năm 1-2: Thi CISA hoặc CISM
3. Năm 2-3: Xin vị trí Junior GRC tại ngân hàng

Lương GRC thường cao hơn Network Security 10-20% ở cùng cấp bậc, và lộ trình lên CISO dễ hơn.

Top 3 câu hỏi "khó nhất" theo kinh nghiệm:

1. "Anh/chị đã từng xử lý mâu thuẫn giữa yêu cầu tuân thủ và yêu cầu kinh doanh như thế nào?"

• Đây là câu tình huống thực tế, không có đáp án đúng
• Gợi ý: Dùng mô hình Risk-based approach - chấp nhận rủi ro có kiểm soát, tìm giải pháp thay thế, đề xuất compensating controls

2. "Làm sao đánh giá hiệu quả của chương trình tuân thủ CNTT?"

• Cần chuẩn bị các KPI: số finding giảm qua các năm, % nhân viên training hoàn thành, thời gian đóng finding, MTTR (mean time to remediate)

3. "Khi NHNN ra quy định mới, anh/chị triển khai áp dụng như thế nào trong tổ chức?"

• Trả lời theo quy trình: Gap Analysis → Risk Assessment → Action Plan → Communication → Training → Monitoring → Reporting

Chuẩn bị kỹ: Câu số 1 và 2, vì đây là câu phân biệt Senior và Mid. Dùng phương pháp STAR (Situation-Task-Action-Result) và chuẩn bị ít nhất 2-3 ví dụ thực tế.

Theo thông tin công khai, OCB đã đạt chứng nhận ISO 27001 cho một số hệ thống core banking và đang mở rộng. Cơ hội đặc biệt khi làm GRC tại OCB:

1. Giai đoạn chuyển đổi số: OCB đang đẩy mạnh ngân hàng số, nhiều dự án mới cần đánh giá rủi ro

2. Mở rộng phạm vi ISO 27001: Từ core banking sang toàn bộ hệ thống, bao gồm cloud, mobile app

3. Áp dụng AI/ML: Các dự án AI trong chấm điểm tín dụng, chatbot... cần AI Governance framework

4. Open Banking: OCB có thể triển khai Open Banking trong tương lai, cần PSD2-like compliance

5. Đào tạo nhân sự: Là ngân hàng tầm trung, bạn có thể được tham gia nhiều mảng, không bị "đóng khung" như ở big4 bank

6. Làm việc với Big4: OCB dùng Big4 audit, bạn sẽ có cơ hội tương tác trực tiếp

Nên ứng tuyển! Vì:

Lý do nên apply:

• CISSP được OCB liệt kê là chứng chỉ ưu tiên
• CISSP chứng minh bạn có kiến thức nền tảng vững
• Kinh nghiệm ngân hàng có thể học nhanh nếu bạn đến từ lĩnh vực tài chính/audit

Điểm yếu cần bù:

• Bạn cần chứng minh hiểu đặc thù ngân hàng: giao dịch tài chính, quy định NHNN, hoạt động thanh toán
• Cần hiểu về core banking, thẻ, mobile banking
• Nên đọc Thông tư 17/2021/TT-NHNN trước khi phỏng vấn

Mẹo trong CV: Đề cao các dự án có liên quan đến tài chính, fintech, hoặc data protection. Nếu từng làm cho công ty tài chính, dù ở vị trí technical, cũng nên highlight.

Mức lương kỳ vọng: Với CISSP + 5+ năm kinh nghiệm dù không phải NH, bạn có thể deal 50-70 triệu ngay từ đầu.

Trung thực mà nói: Có áp lực nhưng không quá khủng khiếp. Cụ thể:

Áp lực theo mùa:

• Cuối năm (Q4): Mùa audit chính, có thể làm thêm giờ, làm việc cuối tuần
• Khi có sự cố ATTT: Có thể được gọi đêm/ngày lễ để hỗ trợ điều tra, viết incident report
• Khi NHNN thanh tra: 2-4 tuần căng thẳng, giờ giấc bất ổn
• Dự án chứng nhận ISO/PCI: 3-6 tháng deadline tight

Bình thường:

• Giờ làm: 8h-17h30 hoặc 8h30-18h00 (tùy ngân hàng)
• Làm thêm: 1-2 giờ/ngày là bình thường trong mùa audit
• OT hiếm khi được trả nhưng có thể bù bằng nghỉ phép

So với vị trí khác:

• Ít áp lực hơn: Network Security, SOC Analyst (phải trực 24/7)
• Tương đương: IT Audit, Risk Management
• Áp lực hơn: Sales, Trading, Treasury

Work-life balance: Khá ổn so với mặt bằng chung ngân hàng. Đặc biệt sau khi đã xây dựng policy xong, công việc hàng ngày chủ yếu là review và monitoring.