SOC 2.
Съгласувайте обхвата на проверката, вида на доклада и доказателствата така, че клиентите да могат да оценят действително използваната услуга.
- AICPA TSC 2017 · Points of Focus 2022
- От Derya Altinay
- Актуално към: 22.10.2026 г.
- Време за четене: 7 мин.
Кратък отговор.
SOC 2 е доклад от проверка на контролите на определена система за предоставяне на услуги въз основа на AICPA Trust Services Criteria. Независима CPA фирма оценява описанието на системата и проектирането на контролите. Тип 2 допълнително обхваща оперативната им ефективност през определен период; тип 1 се отнася до конкретна дата.
SOC 2 и Trust Services Criteria.
SOC 2 е част от поредицата System and Organization Controls на AICPA. Чрез него доставчиците на услуги възлагат проверка на контролите на системата си на независим одитор на услуги. AICPA описва такива доклади като информационна основа за рисковете от възложени навън услуги. Затова решаващо е коя услуга с какви ангажименти е проверена и какви твърдения обхваща конкретното възлагане.
Trust Services Criteria подреждат темите сигурност, наличност, цялост на обработването, поверителност и защита на личните данни. Публично предлаганата основа е 2017 Trust Services Criteria с преработени Points of Focus 2022. Общите критерии и допълнителните категории се разглеждат съвместно при възлагането на проверката; имената на категориите не означават пет идентични задължителни пакета за всяка услуга. Съдържанието на категория също не е предписан софтуерен продукт.
Описанието на системата има собствен критерий: 2018 SOC 2 Description Criteria с преработени насоки за приложение от 2022 г. То обяснява какво принадлежи към системата и как тя се експлоатира. Оценката на контролите след това проверява съответните мерки. Пълен доклад свързва тези перспективи; само лого не показва нито обхвата, нито одиторското мнение.
За кого е предназначен докладът SOC 2.
Докладът SOC 2 е предназначен за доставчици на услуги и клиентите, които искат да оценят услугите им. Според публичното описание на AICPA на одитното ръководство клиентите се нуждаят от информация за проектирането, функционирането и ефективността на контролите, когато възлагат функции навън. Това засяга например работата с информация или зависимостта от предоставена система; от него не следва определен размер на предприятието.
Клиентската потребност участва в определянето на разумния обхват на проверката. Преди възлагането изяснете кой продукт, коя оперативна среда и кои ангажименти са съществени за получателите. Договорно изискване за доказване трябва да се съпостави с действително планирания доклад. SOC 2 не създава общо законово задължение за проверка за всеки SaaS доставчик.
Подготовката за SOC 2 в шест работни области.
Подготовката свързва съгласувано възлагане на проверка с проследими оперативни контроли. Следните области са практическо структуриране; те не образуват нов официален списък с критерии. Основа остават приложимите Trust Services Criteria и Description Criteria.
Описание на системната граница и ангажиментите.
Посочете предлаганата услуга и относимите за нея хора, процедури, системи и зависимости. Описанието трябва да съответства на действителната услуга, която клиентите купуват. Според управленския ресурс на AICPA описанието на системата и декларацията на ръководството са самостоятелни части от доклада; само технически опис още не обяснява тези връзки.
Съгласуване на категориите и рисковете.
Ангажиментите за услугата и информационната потребност на предвидените потребители помагат при избора на относими категории. Документирайте защо въпрос попада в обхвата и кои рискове трябва да бъдат проверени. Контролният списък за преглед на AICPA изисква да се разгледа дали обхванатите категории и ангажименти са достатъчни за собствената употреба.
Поддържане на контроли с ясна отговорност.
Опишете конкретни оперативни мерки и лицата, които ги изпълняват или наблюдават. Различните услуги могат да се нуждаят от различни контроли. Обща политика допринася за доказването само когато правилата ѝ достигат до относимите процедури и действителното изпълнение е проследимо.
Събиране на доказателства в правилния момент.
Доказателствата трябва времево да подкрепят проверяваното твърдение. За тип 1 е решаваща договорената дата, а за тип 2 — определеният период на проверката. Новосъздадена екранна снимка не може без допълнителни основания да докаже по-ранна експлоатация. AICPA изрично посочва професионалната преценка на одитора при времевата оценка.
Изясняване на възложените услуги и клиентските задачи.
Обяснете как съществените поддоставчици се третират в доклада и кои задачи остават при клиента. Контролният списък за преглед разграничава допълващи клиентски контроли от други потребителски задачи. За собствената подготовка е препоръчително ясно разпределение, вместо всички дейности да се събират в общ списък с доставчици.
Оценяване на промени и изключения.
Резултатите от проверката се нуждаят от контекста на засегнатата услуга. Документирайте корекциите и съществените промени така, че ефектът им да може да се оцени. Единично изключение при тест и одиторско мнение с резерви са различни твърдения. Управленският ресурс на AICPA подпомага отделното разглеждане на мнението, тестовете, резултатите и допълнителната информация.
Пътят към доклад SOC 2.
Изяснете получателите и потребността.
Като практическо начало документирайте кой клиент коя услуга иска да оцени и за какво докладът трябва да служи като основа за решение.
Определете възлагането на проверката.
Съгласувайте описанието на системата, относимите категории, вида доклад и планираната дата или период с подходяща независима CPA фирма.
Свържете контролите и отговорността.
Проверете с компетентните звена дали описаните процедури действително се изпълняват и кои записи правят функционирането им проследимо.
Поддържайте налични оперативни доказателства.
Организирайте събирането на подходящи доказателства през договорения период и изяснете рано доказателствата за съществени външни зависимости.
Обработете констатациите.
Обсъдете отворените въпроси и изключения въз основа на конкретни доказателства и документирайте корекциите и отговорността за остатъчните рискове.
Оценете доклада в контекста на използването.
След издаването прочетете заедно обхвата, мнението, периода и клиентските задачи и предвидете оценка на по-късни съществени промени.
Правилно тълкуване на SOC 2 Type 2 и тип 1.
Тип 1 и тип 2 отговарят на различни времеви въпроси. Тип 1 се отнася до описанието на системата и проектирането на контролите към определена дата. SOC 2 Type 2 допълнително обхваща ефективността им в експлоатация през посочения период. Контролният списък за преглед на AICPA отбелязва това разграничение още в общите данни на доклада.
Лицензирана CPA фирма издава доклада SOC 2. Проверете отговорната фирма и съответния ѝ лиценз, както и действително описаното възлагане. Подготовка от консултант или доставчик на инструмент трябва да се разграничава от независимата одиторска услуга. Отговорността на организацията за нейните контроли остава.
Докладът няма общ срок на валидност като сертификат. Използваемостта му зависи от това дали системата, периодът и заключението съответстват на текущата клиентска потребност. Последваща миграция или друга съществена промяна може да породи допълнителни въпроси. Затова проверката на документа остава част от собственото решение за доставчик на услуги.
Мястото на другите рамки.
ISO 27001 се отнася до система за управление на информационната сигурност и възможното ѝ сертифициране. BSI C5 следва собствен модел за проверка на облачни услуги. ОРЗД урежда обработването на лични данни; доклад SOC 2 не замества проверката на тези законови задължения.
В Secani.
Secani предлага редакционен работен каталог по AICPA Trust Services Criteria със собствени насоки за прилагане. Данните в профила разграничават съгласуваното възлагане на проверката и допълнителните категории. Мерките и доказателствата могат да се обработват в работния контекст; собственото помощно средство не замества нито защитения стандарт с критерии, нито независимата проверка.
Започнете с клиентската потребност.
Изберете действително предлагана услуга и документирайте предвидените получатели на доклада. Опишете от какво заключение за услугата се нуждаят и коя оперативна граница е относима за него. На тази основа можете да обсъдите вида доклад, обхвата и необходимата предварителна работа с подходяща одиторска фирма.
Източници.
- AICPA — SOC Suite of Services
- AICPA — 2017 Trust Services Criteria, Points of Focus 2022
- AICPA — 2018 Description Criteria, Guidance 2022
- AICPA — Key Elements of a SOC 2 Report и контролен списък за преглед
- AICPA — Maintaining high standards for SOC engagements
- AICPA — публично описание на ръководството за проверки SOC 2
Често задавани въпроси.
Не. SOC 2 е доклад от проверка на независим одитор на услуги за описана система и нейните контроли, а не ISO сертификат или общ продуктов знак.
Тип 1 се отнася до проектирането на контролите към определена дата. Тип 2 допълнително обхваща оперативната им ефективност през договорения период на проверката.
От това не може да се изведе общо фиксирано задължение или честота на тестовете. Рисковете, описаните контроли и договореното възлагане на проверката определят кои доказателства са подходящи; клиентските договори могат да съдържат допълнителни очаквания.
Докладът описва своята дата или период на проверка. Дали е достатъчен за текущо решение зависи и от обхванатата услуга, настъпилите междувременно промени и изискванията на получателя.
Изяснете обхвата на проверката.
Обсъдете как да организирате мерки и доказателства за своята услуга в Secani.
Тази страница обяснява SOC 2 със собствени думи. Определящи са приложимите стандарти на AICPA и конкретното възлагане на проверката; изложението не замества експертна проверка.