SOC 2.
Afstem revisionsomfang, rapporttype og dokumentation, så kunder kan vurdere den tjeneste, de faktisk bruger.
- AICPA TSC 2017 · Points of Focus 2022
- Af Derya Altinay
- Status: 22.10.2026
- Læsetid: 6 min.
Kort svar.
SOC 2 er en revisionsrapport om kontroller i et afgrænset tjenestesystem baseret på AICPA Trust Services Criteria. En uafhængig CPA-revisionsvirksomhed vurderer systembeskrivelsen og kontrollernes udformning. Type 2 omfatter desuden kontrollernes faktiske driftseffektivitet over en fastlagt periode; type 1 vedrører en skæringsdato.
SOC 2 og Trust Services Criteria.
SOC 2 er en del af AICPA-serien System and Organization Controls. Tjenesteudbydere får dermed systemkontroller undersøgt af en uafhængig Service Auditor. AICPA beskriver rapporterne som informationsgrundlag for risici ved outsourcede ydelser. Det afgørende er derfor, hvilken tjeneste med hvilke tilsagn der blev undersøgt, og hvilke udsagn den konkrete opgave dækker.
Trust Services Criteria ordner emnerne sikkerhed, tilgængelighed, behandlingsintegritet, fortrolighed og databeskyttelse. Det offentligt tilgængelige grundlag hedder 2017 Trust Services Criteria med reviderede Points of Focus 2022. Fælles kriterier og supplerende kategorier betragtes samlet i revisionsopgaven; kategorinavnene betyder ikke fem identiske pligtpakker for alle tjenester. Indholdet i en kategori er heller ikke et foreskrevet softwareprodukt.
Systembeskrivelsen har sin egen målestok: 2018 SOC 2 Description Criteria med revideret anvendelsesvejledning 2022. Den forklarer, hvad systemet omfatter, og hvordan det drives. Kontrolvurderingen undersøger derefter de tilhørende tiltag. En fuldstændig rapport forbinder disse perspektiver; et logo alene viser hverken omfanget eller revisionskonklusionen.
Hvem en SOC 2-rapport er tiltænkt.
En SOC 2-rapport henvender sig til tjenesteudbydere og de kunder, der vil vurdere deres ydelser. Ifølge AICPA’s offentlige beskrivelse af revisionsvejledningen har kunder brug for oplysninger om kontrollernes udformning, drift og effektivitet, når de outsourcer funktioner. Det vedrører eksempelvis håndtering af informationer eller afhængighed af et leveret system; en bestemt virksomhedsstørrelse kan ikke udledes heraf.
Kundebehovet er med til at bestemme et meningsfuldt revisionsomfang. Afklar før bestilling, hvilket produkt, driftsmiljø og hvilke tilsagn der er væsentlige for modtagerne. Et kontraktligt dokumentationskrav bør sammenholdes med den faktisk planlagte rapport. SOC 2 indfører ikke en generel lovpligtig revision for alle SaaS-udbydere.
SOC 2-forberedelse i seks arbejdsområder.
Forberedelsen forbinder en aftalt revisionsopgave med sporbare driftskontroller. Følgende områder er en praktisk opdeling; de udgør ikke en ny officiel kriterieliste. Grundlaget er fortsat de gældende Trust Services Criteria og Description Criteria.
Beskriv systemgrænse og tilsagn.
Angiv den udbudte tjeneste og de relevante mennesker, procedurer, systemer og afhængigheder. Beskrivelsen bør passe til den faktiske ydelse, kunderne køber. Ifølge AICPA’s ledelsesressource er systembeskrivelsen og ledelsens erklæring selvstændige rapportbestanddele; en teknisk fortegnelse alene forklarer endnu ikke sammenhængene.
Afstem kategorier og risici.
Ydelsestilsagn og de tiltænkte brugeres informationsbehov hjælper med at vælge relevante kategorier. Dokumenter, hvorfor et spørgsmål ligger inden for omfanget, og hvilke risici der skal undersøges. AICPA’s gennemgangstjekliste kræver en vurdering af, om de omfattede kategorier og tilsagn er tilstrækkelige til egen anvendelse.
Driv kontroller med ansvar.
Beskriv konkrete driftstiltag og de personer, der udfører eller overvåger dem. Forskellige tjenester kan kræve forskellige kontroller. En generel politik bidrager kun til dokumentationen, når bestemmelserne når frem til de relevante procedurer, og den faktiske gennemførelse er sporbar.
Indsaml dokumentation på det rette tidspunkt.
Beviser skal tidsmæssigt underbygge det undersøgte udsagn. For type 1 er den aftalte skæringsdato afgørende, og for type 2 den fastlagte revisionsperiode. Et nyt skærmbillede kan ikke uden videre dokumentere tidligere drift. AICPA henviser udtrykkeligt til revisors faglige skøn ved den tidsmæssige vurdering.
Afklar outsourcede ydelser og kundeopgaver.
Forklar, hvordan væsentlige underleverandørorganisationer behandles i rapporten, og hvilke opgaver der forbliver hos kunden. Gennemgangstjeklisten skelner mellem supplerende kundekontroller og andre brugeropgaver. Til egen forberedelse anbefales klar tilknytning frem for at samle alle aktiviteter i en generel leverandørliste.
Vurder ændringer og undtagelser.
Revisionsresultater kræver sammenhæng med den berørte tjeneste. Dokumenter korrektioner og væsentlige ændringer, så virkningen kan vurderes. En enkelt testundtagelse og en revisionskonklusion med forbehold er forskellige udsagn. AICPA’s ledelsesressource understøtter en særskilt betragtning af konklusion, test, resultater og yderligere oplysninger.
Vejen til SOC 2-rapporten.
Afklar modtagere og behov.
Dokumenter som praktisk begyndelse, hvilken kunde der vil vurdere hvilken ydelse, og hvad rapporten skal bruges som beslutningsgrundlag til.
Afgræns revisionsopgaven.
Aftal systembeskrivelse, relevante kategorier, rapporttype og planlagt skæringsdato eller periode med en egnet, uafhængig CPA-revisionsvirksomhed.
Forbind kontroller og ansvar.
Undersøg med de ansvarlige fagområder, om de beskrevne procedurer faktisk anvendes, og hvilke registreringer der gør driften sporbar.
Hold driftsdokumentation tilgængelig.
Organiser indsamling af passende beviser i den aftalte periode, og afklar tidligt dokumentation for væsentlige eksterne afhængigheder.
Behandl fund.
Drøft åbne spørgsmål og undtagelser ud fra konkrete beviser, og dokumenter korrektioner og ansvar for resterende risici.
Vurder rapporten i anvendelseskonteksten.
Læs efter udstedelsen omfang, konklusion, periode og kundeopgaver samlet, og planlæg vurderingen af senere væsentlige ændringer.
Læs SOC 2 Type 2 og type 1 korrekt.
Type 1 og type 2 besvarer forskellige tidsmæssige spørgsmål. Type 1 vedrører systembeskrivelsen og kontrollernes udformning på en skæringsdato. SOC 2 Type 2 omfatter desuden deres effektivitet i drift over den angivne periode. AICPA’s gennemgangstjekliste fastholder denne forskel allerede i de generelle rapportoplysninger.
En autoriseret CPA-revisionsvirksomhed udsteder SOC 2-rapporten. Undersøg den ansvarlige virksomhed og dens relevante autorisation samt den faktisk beskrevne opgave. Forberedelse ved en rådgiver eller værktøjsudbyder skal skelnes fra den uafhængige revisionsydelse. Organisationens ansvar for kontrollerne består.
Rapporten har ikke en generel gyldighed som et certifikat. Anvendeligheden afhænger af, om system, periode og udsagn passer til det aktuelle kundebehov. En senere migrering eller anden væsentlig ændring kan udløse yderligere spørgsmål. Vurdering af dokumentet forbliver derfor en del af egen beslutning om en tjenesteudbyder.
Forstå andre rammeværker.
ISO 27001 vedrører et ledelsessystem for informationssikkerhed og dets mulige certificering. BSI C5 følger en særskilt revisionsmodel for cloud-tjenester. GDPR regulerer behandling af personoplysninger; en SOC 2-rapport erstatter ikke undersøgelsen af disse lovpligter.
I Secani.
Secani tilbyder et redaktionelt arbejdskatalog til AICPA Trust Services Criteria med egne implementeringsvejledninger. Profiloplysninger skelner mellem den aftalte revisionsopgave og supplerende kategorier. Foranstaltninger og dokumentation kan behandles i arbejdssammenhæng; eget hjælpemiddel erstatter hverken den beskyttede kriteriestandard eller den uafhængige revision.
Begynd med kundebehovet.
Vælg en tjeneste, der faktisk udbydes, og dokumenter de tiltænkte modtagere af rapporten. Beskriv, hvilket udsagn de har brug for om tjenesten, og hvilken driftsgrænse der er relevant. På dette grundlag kan De drøfte rapporttype, omfang og nødvendigt forarbejde med en egnet revisionsvirksomhed.
Kilder.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report og gennemgangstjekliste
- AICPA – Maintaining high standards for SOC engagements
- AICPA – offentlig beskrivelse af SOC 2-revisionsvejledningen
Ofte stillede spørgsmål.
Nej. SOC 2 er en revisionsrapport fra en uafhængig Service Auditor om et beskrevet system og dets kontroller og ikke et ISO-certifikat eller generelt produktmærke.
Type 1 vedrører kontrollernes udformning på en skæringsdato. Type 2 omfatter desuden deres driftseffektivitet over den aftalte revisionsperiode.
En generel fast pligt eller testhyppighed kan ikke udledes heraf. Risici, beskrevne kontroller og den aftalte revisionsopgave bestemmer passende dokumentation; kundekontrakter kan indeholde yderligere forventninger.
Rapporten beskriver sin skæringsdato eller revisionsperiode. Om den er tilstrækkelig til en aktuel beslutning, afhænger også af den omfattede tjeneste, efterfølgende ændringer og modtagerens krav.
Afklar revisionsomfanget.
Tal om, hvordan De kan organisere foranstaltninger og dokumentation for Deres tjeneste i Secani.
Denne side forklarer SOC 2 med egne ord. De gældende AICPA-standarder og den konkrete revisionsopgave er afgørende; fremstillingen erstatter ikke en faglig revision.