Risk & Compliance Awareness

Strategy

Identify rủi ro legal, regulatory, security sớm để không bị block ở launch — đặc biệt fintech/healthtech VN.

Bạn đang ở đâu với kỹ năng này?

Làm bài Đánh giá Kỹ năng Chiến lược Sản phẩm — Một lần làm chấm điểm cho tất cả kỹ năng trong nhóm Strategy, không chỉ kỹ năng này.

Làm bài đánh giá

Roadmap — Cách học và đạt kỹ năng

Đã đọc 0/11 mục · còn khoảng 5 phút

Cách chúng tôi ghi nhận

Một mục được tính là đã đọc khi nó nằm giữa màn hình đủ lâu so với độ dài của nó (bảng và sơ đồ tính một nửa), bạn vẫn đang cuộn hoặc bấm phím, và bạn đã thấy tới cuối mục. Lướt nhanh hoặc để tab mở không được tính. Chúng tôi chỉ lưu thời gian đọc từng mục — không lưu gì khác.

3 layer của risk PM cần aware

Legal / regulatory — luật cụ thể (NHNN, Bộ TT&TT, Bộ Y Tế).
Data privacy — PDP Decree 13/2023 VN, GDPR cho EU customer.
Security — OWASP top 10, ISO 27001, SOC 2.

Vietnam regulatory landscape

NHNN — fintech, e-wallet, lending. Sandbox program 2022+.
Bộ TT&TT — telecom, OTT, content moderation.
Bộ Y Tế — healthtech, telemedicine, drug e-commerce.
PDP Decree 13/2023 — Vietnam's first comprehensive data protection law.
Cybersecurity Law 2019 — data localization yêu cầu cho social media, fintech.

PM workflow

Roadmap review — flag feature có compliance impact.
Legal review sớm (kick-off phase, không phải pre-launch).
Threat model — what could go wrong?
DPIA (Data Protection Impact Assessment) cho feature xử lý PII.
Pen test trước launch cho fintech feature.

Common risk flag

Lưu PII của trẻ em <15 tuổi → cần consent phụ huynh.
Feature involve KYC → cần partner eKYC certified.
Cross-border data transfer → cần PDP compliance.
AI feature affecting employment/credit → bias audit.
Feature exposing financial data → SOC 2, PCI-DSS.

Common pitfalls

"Legal block our launch" → đáng lẽ engage từ kick-off, không phải tuần trước launch.
Confuse data protection (PDP, GDPR) với security (ISO).
Skip privacy policy update khi add feature mới collect data.
Trust vendor compliance claim — ask for audit report.

Dấu hiệu thành thạo

Legal team thấy bạn là partner thay vì obstacle. Đặt compliance question đúng từ design phase.

Roadmap keyword coverage - các wording trên roadmap nghĩa là gì?

Roadmap uses risk and risk management for the same skill at different depth.

Roadmap wording	Ý nghĩa khi học skill này	Artifact / evidence	Bài tập thực hành
Risk management	Identify, assess, mitigate and monitor product, delivery, legal, security and business risks.	Risk register	Create risk register with owner and mitigation.
Risk	Foundation label: know what can go wrong and why it matters.	Risk checklist	List top 5 risks for one release.

Bốn loại rủi ro người làm sản phẩm phải nhận ra

Loại	Câu hỏi	Ai thường phát hiện đầu tiên
Dữ liệu cá nhân	Chúng ta đang thu thập gì, vì sao, giữ bao lâu, ai đọc được?	Thường không ai — cho tới khi có sự cố
Tiền và kế toán	Ai được duyệt chi, có vết truy được không, số liệu có đối soát được không?	Kế toán, nhưng thường sau khi đã sai
Ngành nghề đặc thù	Ngành này có quy định riêng nào không?	Người làm nghề lâu năm trong công ty
Hợp đồng đã ký	Chúng ta đã hứa gì với khách bằng văn bản?	Kinh doanh — nhưng họ không biết sản phẩm sắp đổi gì

Dòng đầu tiên là dòng nguy hiểm nhất, vì nó không có người canh gác tự nhiên. Kế toán sẽ nói khi tiền sai; pháp chế sẽ nói khi hợp đồng bị vi phạm. Nhưng việc thu thập thừa dữ liệu cá nhân thì không ai phản đối — cho tới khi rò rỉ.

Nguyên tắc rẻ nhất và hiệu quả nhất: thu thập ít nhất có thể. Mỗi trường dữ liệu cá nhân bạn không lưu là một rủi ro bạn không phải quản.

Năm câu hỏi nên hỏi ở mỗi tính năng mới

Tính năng này chạm vào dữ liệu cá nhân nào? Nếu có, ai đọc được, giữ bao lâu, và có cách xoá khi khách yêu cầu không?
Có ai bị ảnh hưởng mà không phải người dùng của chúng ta không? Người được nhắc tên trong một phiếu, người nhận email tự động, người bị hệ thống đánh giá — họ có quyền nhưng thường không có mặt trong bất kỳ cuộc thảo luận nào.
Nếu việc này lên báo thì sao? Phép thử thô nhưng bắt được phần lớn vấn đề mà "luật chưa cấm" bỏ sót.
Có để lại vết truy được không? Ai làm gì lúc nào — cần cho cả điều tra sự cố lẫn tuân thủ.
Chúng ta có hứa gì trái với việc này trong hợp đồng không? Hỏi kinh doanh trước, không phải sau.

Thời điểm hỏi quan trọng hơn nội dung câu hỏi. Hỏi lúc chốt phạm vi thì mỗi câu tốn năm phút; hỏi sau khi đã xây xong thì mỗi câu có thể tốn vài tuần làm lại — hoặc một quyết định không phát hành được.

Làm việc với pháp chế cho hiệu quả

Cách làm	Kết quả
Gửi tài liệu 30 trang rồi hỏi "có được không?"	Nhận về "cần xem xét thêm" sau hai tuần
Nêu tình huống cụ thể và đề xuất một phương án	Nhận về đồng ý, hoặc một điều chỉnh cụ thể — thường trong vài ngày
Hỏi khi đã xây xong	Bị chặn, và không ai vui
Hỏi khi đang chốt phạm vi	Có thời gian tìm phương án khác

Pháp chế thường bị coi là bộ phận nói "không". Thực tế phần lớn câu trả lời "không" đến từ việc được hỏi quá muộn và quá mơ hồ — lúc đó "không" là câu trả lời an toàn duy nhất họ có thể đưa ra.

Vì sao vai trò của bạn cần cái này

Vai trò	Bạn dùng nó để
Product Owner / PM	Bạn là người duy nhất ở vị trí đặt câu hỏi này lúc còn rẻ để đổi
Business Analyst	Bạn phát hiện nhóm người bị ảnh hưởng mà không có mặt trong phòng
Engineer	Bạn thường thấy đầu tiên khi hệ thống đang lưu nhiều hơn mức cần
Kinh doanh	Bạn biết đã hứa gì trong hợp đồng — thông tin đội sản phẩm không có
Founder	Rủi ro tuân thủ hiếm khi giết công ty từ từ; nó giết một lần

Tình huống thực tế — tính năng "gợi ý ứng viên phù hợp"

Đề xuất: hệ thống tuyển dụng tự động chấm điểm và xếp hạng ứng viên để nhà tuyển dụng xem người phù hợp nhất trước. Nghe rõ ràng có ích.

Năm câu hỏi đã phát hiện điều gì:

Dữ liệu cá nhân: hệ thống đang dùng cả năm sinh và địa chỉ để chấm điểm. Không ai cố ý — chúng nằm sẵn trong hồ sơ nên mô hình lấy luôn. Đây là căn cứ phân biệt đối xử theo tuổi và theo nơi cư trú.
Người bị ảnh hưởng không phải người dùng: ứng viên chịu hậu quả của điểm số nhưng không bao giờ thấy nó và không có ai đại diện trong cuộc họp thiết kế.
Nếu lên báo: "Phần mềm xếp hạng ứng viên theo tuổi" là một tiêu đề đủ để mất khách hàng doanh nghiệp.
Vết truy: không lưu lý do chấm điểm, nên khi ứng viên khiếu nại thì không ai giải thích được.
Hợp đồng: hai khách hàng lớn có điều khoản yêu cầu giải thích được mọi quyết định tự động — kinh doanh biết, đội sản phẩm không biết.

Kết quả: tính năng vẫn được làm, nhưng bỏ năm sinh và địa chỉ khỏi mô hình, lưu lý do chấm điểm, và hiển thị điểm như một gợi ý xem trước chứ không phải thứ tự cố định. Tốn thêm một tuần ở khâu thiết kế. Nếu phát hiện sau khi phát hành, nó sẽ là một cuộc thu hồi.