SOC 2.
Slaďte rozsah ověřování, typ zprávy a důkazy tak, aby zákazníci mohli posoudit skutečně používanou službu.
- AICPA TSC 2017 · Points of Focus 2022
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Doba čtení: 6 min
Stručná odpověď.
SOC 2 je ověřovací zpráva o kontrolních opatřeních vymezeného systému poskytování služeb podle AICPA Trust Services Criteria. Nezávislá společnost CPA posuzuje popis systému a návrh kontrolních opatření. Typ 2 navíc zahrnuje jejich provozní účinnost za stanovené období; typ 1 se vztahuje k rozhodnému datu.
SOC 2 a Trust Services Criteria.
SOC 2 patří do řady AICPA System and Organization Controls. Poskytovatelé služeb si tak nechávají nezávislým auditorem služeb posoudit kontrolní opatření svého systému. AICPA popisuje tyto zprávy jako informační základ pro rizika externě zajišťovaných služeb. Rozhodující proto je, která služba byla s jakými závazky posouzena a jaká tvrzení konkrétní zakázka pokrývá.
Trust Services Criteria uspořádávají témata bezpečnosti, dostupnosti, integrity zpracování, důvěrnosti a ochrany soukromí. Veřejně nabízený základ se nazývá 2017 Trust Services Criteria s revidovanými Points of Focus 2022. Společná kritéria a dodatečné kategorie se posuzují v rámci zakázky společně; názvy kategorií neznamenají pět shodných povinných balíků pro každou službu. Obsah kategorie také nepředstavuje předepsaný softwarový produkt.
Popis systému má vlastní měřítko: 2018 SOC 2 Description Criteria s revidovanými pokyny k použití z roku 2022. Vysvětluje, co do systému patří a jak se provozuje. Hodnocení kontrolních opatření poté zkoumá související opatření. Úplná zpráva propojuje tyto perspektivy; samotné logo neukazuje rozsah ani auditorský výrok.
Pro koho je zpráva SOC 2 určena.
Zpráva SOC 2 je určena poskytovatelům služeb a zákazníkům, kteří chtějí jejich služby posoudit. Podle veřejného popisu auditorské příručky AICPA potřebují zákazníci při externím zajišťování funkcí informace o návrhu, provozu a účinnosti kontrolních opatření. Týká se to například nakládání s informacemi nebo závislosti na poskytovaném systému; určitou velikost podniku z toho nelze odvodit.
Potřeby zákazníků spoluurčují smysluplný rozsah ověřování. Před zadáním vyjasněte, který produkt, provozní prostředí a závazky jsou pro příjemce podstatné. Smluvní požadavek na doklad by se měl porovnat se skutečně plánovanou zprávou. SOC 2 nezakládá plošnou zákonnou povinnost ověřování pro každého poskytovatele SaaS.
Příprava SOC 2 v šesti pracovních oblastech.
Příprava spojuje dohodnutou zakázku ověřování s průkaznými provozními kontrolními opatřeními. Následující oblasti představují praktické členění; netvoří nový oficiální seznam kritérií. Základem zůstávají použitelná Trust Services Criteria a Description Criteria.
Popsat hranice systému a závazky.
Pojmenujte nabízenou službu a relevantní lidi, postupy, systémy a závislosti. Popis by měl odpovídat skutečné službě, kterou zákazníci nakupují. Podle materiálu AICPA pro vedení jsou popis systému a prohlášení vedení samostatnými součástmi zprávy; samotný technický inventář tyto souvislosti ještě nevysvětluje.
Dohodnout kategorie a rizika.
Závazky poskytování a informační potřeby zamýšlených uživatelů pomáhají vybrat relevantní kategorie. Zaznamenejte, proč otázka patří do rozsahu a která rizika mají být zkoumána. Kontrolní seznam AICPA pro přezkum požaduje posouzení, zda zahrnuté kategorie a závazky dostačují pro vlastní použití.
Provozovat opatření s jasnou odpovědností.
Popište konkrétní provozní opatření a osoby, které je provádějí nebo sledují. Různé služby mohou potřebovat různá kontrolní opatření. Obecná směrnice přispívá k prokazování pouze tehdy, pokud se její požadavky promítají do relevantních postupů a skutečné provádění je průkazné.
Shromažďovat důkazy ve správný čas.
Důkazy musí časově podporovat posuzované tvrzení. Pro typ 1 rozhoduje dohodnuté datum, pro typ 2 stanovené ověřované období. Nově vytvořený snímek obrazovky nemůže bez dalšího doložit dřívější provoz. AICPA při časovém posouzení výslovně odkazuje na odborný úsudek auditora.
Vyjasnit externí služby a úkoly zákazníků.
Vysvětlete, jak zpráva zohledňuje významné subdodavatelské organizace a které úkoly zůstávají zákazníkovi. Kontrolní seznam přezkumu rozlišuje doplňující kontrolní opatření zákazníka od ostatních uživatelských úkolů. Pro vlastní přípravu je vhodné jasné přiřazení místo shrnutí všech činností v obecném seznamu dodavatelů.
Posoudit změny a výjimky.
Výsledky ověřování potřebují souvislost s dotčenou službou. Dokumentujte nápravy a podstatné změny tak, aby bylo možné posoudit jejich účinek. Jednotlivá výjimka v testu a výrok s výhradou jsou různá tvrzení. Materiál AICPA pro vedení podporuje oddělené posouzení výroku, testů, výsledků a dalších informací.
Cesta ke zprávě SOC 2.
Vyjasnit příjemce a potřebu.
Jako praktický první krok zaznamenejte, který zákazník chce posoudit kterou službu a k jakému rozhodnutí má zpráva sloužit jako podklad.
Vymezit zakázku ověřování.
S vhodnou nezávislou společností CPA dohodněte popis systému, relevantní kategorie, typ zprávy a plánované rozhodné datum nebo období.
Propojit kontrolní opatření a odpovědnost.
S odpovědnými odbornými útvary ověřte, zda se popsané postupy skutečně provozují a které záznamy jejich provoz průkazně dokládají.
Udržovat provozní důkazy dostupné.
Zorganizujte sběr vhodných důkazů během dohodnutého období a včas vyjasněte doklady významných externích závislostí.
Zpracovat zjištění.
Proberte otevřené otázky a výjimky podle konkrétních důkazů a zaznamenejte nápravy i odpovědnost za zbývající rizika.
Vyhodnotit zprávu v kontextu používání.
Po vydání čtěte společně rozsah, výrok, období a úkoly zákazníka a naplánujte posuzování pozdějších podstatných změn.
Správné čtení SOC 2 Type 2 a typu 1.
Typ 1 a typ 2 odpovídají na různé časové otázky. Typ 1 se týká popisu systému a návrhu kontrolních opatření k rozhodnému datu. SOC 2 Type 2 navíc zahrnuje jejich provozní účinnost za uvedené období. Kontrolní seznam AICPA pro přezkum zachycuje toto rozlišení již u obecných údajů zprávy.
Zprávu SOC 2 vydává licencovaná společnost CPA. Ověřte odpovědnou společnost, její příslušné oprávnění a skutečně popsanou zakázku. Přípravu poradcem nebo poskytovatelem nástroje je třeba odlišovat od nezávislé ověřovací služby. Odpovědnost organizace za její kontrolní opatření zůstává zachována.
Zpráva nemá paušální dobu platnosti jako certifikát. Její použitelnost závisí na tom, zda systém, období a výrok odpovídají aktuálním potřebám zákazníka. Pozdější migrace nebo jiná podstatná změna může vyvolat další otázky. Přezkum dokumentu proto zůstává součástí vlastního rozhodnutí o poskytovateli služeb.
Zařazení dalších rámců.
ISO 27001 se týká systému řízení bezpečnosti informací a jeho možné certifikace. BSI C5 se řídí vlastním modelem ověřování cloudových služeb. GDPR upravuje zpracování osobních údajů; zpráva SOC 2 nenahrazuje posouzení těchto zákonných povinností.
V Secani.
Secani nabízí redakční pracovní katalog AICPA Trust Services Criteria s vlastními pokyny pro zavedení. Profilové údaje rozlišují dohodnutou zakázku ověřování a dodatečné kategorie. Opatření a důkazy lze zpracovávat v pracovních souvislostech; vlastní pomůcka nenahrazuje chráněný standard kritérií ani nezávislé ověření.
Začněte potřebou zákazníka.
Vyberte skutečně nabízenou službu a zaznamenejte zamýšlené příjemce zprávy. Popište, jaké tvrzení o službě potřebují a jaká provozní hranice je pro ně relevantní. Na tomto základě můžete s vhodnou auditorskou společností projednat typ zprávy, rozsah a potřebnou přípravu.
Zdroje.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report a kontrolní seznam přezkumu
- AICPA – Maintaining high standards for SOC engagements
- AICPA – veřejný popis příručky pro ověřování SOC 2
Časté dotazy.
Ne. SOC 2 je ověřovací zpráva nezávislého auditora služeb o popsaném systému a jeho kontrolních opatřeních, nikoli certifikát ISO nebo obecná značka produktu.
Typ 1 se vztahuje k návrhu kontrolních opatření k rozhodnému datu. Typ 2 navíc zahrnuje jejich provozní účinnost za dohodnuté ověřované období.
Obecnou pevnou povinnost ani četnost testování z toho nelze odvodit. Přiměřené důkazy určují rizika, popsaná kontrolní opatření a dohodnutá zakázka; zákaznické smlouvy mohou obsahovat další očekávání.
Zpráva popisuje své rozhodné datum nebo ověřované období. Zda dostačuje pro aktuální rozhodnutí, závisí také na zahrnuté službě, mezitím provedených změnách a požadavcích příjemce.
Vyjasněte rozsah ověřování.
Proberte, jak můžete v Secani organizovat opatření a důkazy pro svou službu.
Tato stránka vysvětluje SOC 2 vlastními slovy. Rozhodující jsou použitelné standardy AICPA a konkrétní zakázka ověřování; popis nenahrazuje odborné posouzení.