SOC 2.
Kooskõlastage hindamisulatus, aruandetüüp ja tõendid nii, et kliendid saaksid hinnata tegelikult kasutatavat teenust.
- AICPA TSC 2017 · Points of Focus 2022
- Autor: Derya Altinay
- Seisuga: 22.10.2026
- Lugemisaeg: 5 min
Lühivastus.
SOC 2 on hindamisaruanne piiritletud teenusesüsteemi kontrollide kohta AICPA Trust Services Criteria alusel. Sõltumatu CPA audiitorfirma hindab süsteemikirjeldust ja kontrollide kujundust. Tüüp 2 hõlmab lisaks nende tegevuslikku tõhusust määratletud ajavahemiku jooksul; tüüp 1 puudutab kindlat kuupäeva.
SOC 2 ja Trust Services Criteria.
SOC 2 kuulub AICPA System and Organization Controls sarja. Sellega lasevad teenuseosutajad oma süsteemi kontrolle uurida sõltumatul teenuseaudiitoril. AICPA kirjeldab selliseid aruandeid teabealusena sisseostetud teenuste riskide kohta. Seetõttu on määrav, millist teenust milliste lubadustega uuriti ja milliseid väiteid konkreetne tellimus hõlmab.
Trust Services Criteria korrastab turvalisuse, käideldavuse, töötlemise tervikluse, konfidentsiaalsuse ja andmekaitse teemad. Avalikult pakutav alus on 2017 Trust Services Criteria koos 2022. aastal uuendatud Points of Focus juhistega. Ühiseid kriteeriume ja lisakategooriaid vaadeldakse hindamistellimuses koos; kategoorianimed ei tähenda viit ühesugust kohustuspaketti igale teenusele. Samuti ei ole kategooria sisu ette kirjutatud tarkvaratoode.
Süsteemikirjeldusel on oma mõõdupuu: 2018 SOC 2 Description Criteria koos 2022. aastal uuendatud rakendusjuhisega. See selgitab, mis süsteemi kuulub ja kuidas seda käitatakse. Kontrollihinnang uurib seejärel vastavaid abinõusid. Täielik aruanne ühendab need vaated; üksnes logo ei näita ulatust ega audiitori arvamust.
Kellele SOC 2 aruanne on mõeldud.
SOC 2 aruanne on suunatud teenuseosutajatele ja klientidele, kes soovivad nende teenuseid hinnata. AICPA hindamisjuhendi avaliku kirjelduse järgi vajavad kliendid funktsioonide välja tellimisel teavet kontrollide kujunduse, toimimise ja tõhususe kohta. See puudutab näiteks teabe käsitlemist või sõltuvust pakutavast süsteemist; konkreetset ettevõtte suurust sellest ei tulene.
Kliendivajadus aitab määrata mõistliku hindamisulatuse. Enne tellimist selgitage, milline toode, käitamiskeskkond ja lubadused on vastuvõtjatele olulised. Lepingulist tõendamisnõuet tuleks võrrelda tegelikult kavandatud aruandega. SOC 2 ei tekita igale SaaS-teenuse osutajale üldist seadusjärgset hindamiskohustust.
SOC 2 ettevalmistus kuues töövaldkonnas.
Ettevalmistus ühendab kooskõlastatud hindamistellimuse jälgitavate tegevuskontrollidega. Järgmised valdkonnad on praktiline jaotus; need ei moodusta uut ametlikku kriteeriumiloendit. Aluseks jäävad kohaldatavad Trust Services Criteria ja Description Criteria.
Kirjeldage süsteemipiiri ja lubadusi.
Nimetage pakutav teenus ning selle jaoks asjakohased inimesed, protsessid, süsteemid ja sõltuvused. Kirjeldus peaks sobima tegeliku teenusega, mida kliendid ostavad. AICPA juhtkonnamaterjali järgi on süsteemikirjeldus ja juhtkonna kinnitus aruande eraldi osad; tehniline inventar üksi ei selgita neid seoseid veel.
Kooskõlastage kategooriad ja riskid.
Teenuselubadused ja kavandatud kasutajate teabevajadus aitavad valida asjakohaseid kategooriaid. Talletage, miks küsimus jääb ulatusse ja milliseid riske tuleb uurida. AICPA ülevaatuse kontrollnimekiri nõuab kaalumist, kas hõlmatud kategooriad ja lubadused on enda kasutuse jaoks piisavad.
Käitage kontrolle vastutustundlikult.
Kirjeldage konkreetseid tegevuslikke abinõusid ja inimesi, kes neid täidavad või jälgivad. Eri teenused võivad vajada erinevaid kontrolle. Üldine poliitika toetab tõendamist ainult siis, kui selle nõuded jõuavad asjakohastesse protsessidesse ning tegelik teostus on jälgitav.
Koguge tõendeid õigel ajal.
Tõendid peavad uuritavat väidet ajaliselt toetama. Tüübi 1 jaoks on määrav kokkulepitud kuupäev, tüübi 2 jaoks määratletud hindamisperiood. Äsja loodud ekraanipilt ei saa varasemat toimimist ilma lisaluseta tõendada. AICPA rõhutab ajalise hindamise puhul sõnaselgelt audiitori erialast otsustust.
Selgitage sisseostetud teenused ja kliendiülesanded.
Selgitage, kuidas aruandes käsitletakse olulisi alamteenuseorganisatsioone ja millised ülesanded jäävad kliendile. Ülevaatuse kontrollnimekiri eristab täiendavaid kliendikontrolle muudest kasutajaülesannetest. Enda ettevalmistuseks on soovitatav selge jaotus, mitte kõigi tegevuste koondamine üldisesse tarnijaloendisse.
Hinnake muudatusi ja erandeid.
Hindamistulemused vajavad seost asjaomase teenusega. Dokumenteerige parandused ja olulised muudatused nii, et nende mõju saaks hinnata. Üksik testierand ja märkusega audiitori arvamus on erinevad väited. AICPA juhtkonnamaterjal toetab arvamuse, testide, tulemuste ning lisateabe eraldi käsitlemist.
Tee SOC 2 aruandeni.
Selgitage vastuvõtjad ja vajadus.
Praktilise alustussammuna talletage, milline klient millist teenust hinnata soovib ja millise otsuse alusena aruanne peab toimima.
Piiritlege hindamistellimus.
Kooskõlastage sobiva sõltumatu CPA audiitorfirmaga süsteemikirjeldus, asjakohased kategooriad, aruandetüüp ja kavandatud kuupäev või periood.
Ühendage kontrollid ja vastutus.
Kontrollige vastutavate valdkondadega, kas kirjeldatud protsessid tegelikult toimivad ja millised kirjed teevad nende toimimise jälgitavaks.
Hoidke tegevustõendid kättesaadavad.
Korraldage sobivate tõendite kogumine kokkulepitud perioodi jooksul ning selgitage varakult oluliste väliste sõltuvuste tõendid.
Käsitlege leide.
Arutage lahtisi küsimusi ja erandeid konkreetsete tõendite põhjal ning talletage parandused ja vastutus allesjäävate riskide eest.
Hinnake aruannet kasutuskontekstis.
Pärast väljastamist lugege koos ulatust, arvamust, perioodi ja kliendiülesandeid ning kavandage hilisemate oluliste muudatuste hindamine.
SOC 2 Type 2 ja tüübi 1 õige lugemine.
Tüüp 1 ja tüüp 2 vastavad eri ajalistele küsimustele. Tüüp 1 puudutab süsteemikirjeldust ja kontrollide kujundust kindla kuupäeva seisuga. SOC 2 Type 2 hõlmab lisaks nende tõhusust igapäevategevuses märgitud perioodi jooksul. AICPA ülevaatuse kontrollnimekiri talletab selle eristuse juba aruande üldandmetes.
SOC 2 aruande väljastab litsentsitud CPA audiitorfirma. Kontrollige vastutavat firmat, selle asjakohast tegevusluba ning tegelikult kirjeldatud tellimust. Nõustaja või tööriistapakkuja ettevalmistust tuleb eristada sõltumatust hindamisteenusest. Organisatsiooni vastutus oma kontrollide eest säilib.
Aruandel ei ole sertifikaadi eeskujul üldist kehtivusaega. Selle kasutatavus sõltub süsteemi, perioodi ja väite sobivusest kliendi praeguse vajadusega. Hilisem migreerimine või muu oluline muudatus võib tekitada lisaküsimusi. Seetõttu jääb dokumendi kontroll osaks enda otsusest teenuseosutaja kohta.
Teiste raamistike seosed.
ISO 27001 puudutab infoturbe juhtimissüsteemi ja selle võimalikku sertifitseerimist. BSI C5 järgib pilvteenuste jaoks oma hindamismudelit. IKÜM reguleerib isikuandmete töötlemist; SOC 2 aruanne ei asenda nende seadusjärgsete kohustuste kontrolli.
Secanis.
Secani pakub enda koostatud AICPA Trust Services Criteria töökataloogi oma rakendusjuhistega. Profiiliandmed eristavad kooskõlastatud hindamistellimust ja lisakategooriaid. Meetmeid ning tõendeid saab käsitleda tööseoses; enda tööabivahend ei asenda kaitstud kriteeriumistandardit ega sõltumatut hindamist.
Alustage kliendivajadusest.
Valige tegelikult pakutav teenus ja talletage aruande kavandatud vastuvõtjad. Kirjeldage, millist väidet nad teenuse kohta vajavad ning milline käitamispiir on selleks asjakohane. Selle alusel saate sobiva audiitorfirmaga arutada aruandetüüpi, ulatust ja vajalikku eeltööd.
Allikad.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – SOC 2 aruande põhielemendid ja ülevaatuse kontrollnimekiri
- AICPA – kõrgete standardite säilitamine SOC-töövõttudes
- AICPA – SOC 2 hindamisjuhendi avalik kirjeldus
Korduma kippuvad küsimused.
Ei. SOC 2 on sõltumatu teenuseaudiitori hindamisaruanne kirjeldatud süsteemi ja selle kontrollide kohta, mitte ISO sertifikaat või üldine tootemärk.
Tüüp 1 puudutab kontrollide kujundust kindla kuupäeva seisuga. Tüüp 2 hõlmab lisaks nende tegevuslikku tõhusust kokkulepitud hindamisperioodi jooksul.
Sellest ei saa tuletada üldist kindlat kohustust või testisagedust. Riskid, kirjeldatud kontrollid ja kokkulepitud hindamistellimus määravad sobivad tõendid; kliendilepingud võivad sisaldada lisaootusi.
Aruanne kirjeldab oma kuupäeva või hindamisperioodi. Selle piisavus praeguse otsuse jaoks sõltub ka hõlmatud teenusest, vahepealsetest muudatustest ning vastuvõtja nõuetest.
Selgitage hindamisulatus.
Arutage, kuidas korraldada oma teenuse meetmeid ja tõendeid Secanis.
See leht selgitab SOC 2 oma sõnadega. Määravad on kohaldatavad AICPA standardid ja konkreetne hindamistellimus; käsitlus ei asenda erialast hindamist.