SOC 2.
Sopikaa tarkastuksen laajuudesta, raporttityypistä ja näytöstä niin, että asiakkaat voivat arvioida todella käyttämänsä palvelun.
- AICPA TSC 2017 · Points of Focus 2022
- Kirjoittaja: Derya Altinay
- Tilanne: 22.10.2026
- Lukuaika: 5 min.
Lyhyt vastaus.
SOC 2 on rajatun palvelujärjestelmän hallintakeinoja koskeva tarkastusraportti, joka perustuu AICPA:n Trust Services Criteria -kriteereihin. Riippumaton CPA-tilintarkastusyhteisö arvioi järjestelmäkuvauksen ja hallintakeinojen suunnittelun. Tyyppi 2 sisältää lisäksi niiden toiminnallisen vaikuttavuuden määritellyllä ajanjaksolla. Tyyppi 1 koskee tiettyä ajankohtaa.
SOC 2 ja Trust Services Criteria.
SOC 2 kuuluu AICPA:n System and Organization Controls -sarjaan. Palveluntarjoajat teettävät sen avulla riippumattomalla palveluauditoijalla järjestelmänsä hallintakeinojen tarkastuksen. AICPA kuvaa raportit tietoperustaksi ulkoistettujen palvelujen riskeille. Ratkaisevaa on siksi tarkastettu palvelu ja sen sitoumukset sekä konkreettisen toimeksiannon kattamat lausumat.
Trust Services Criteria jäsentää turvallisuuden, saatavuuden, käsittelyn eheyden, luottamuksellisuuden ja yksityisyyden suojan. Julkisesti tarjottava perusta on 2017 Trust Services Criteria ja vuonna 2022 uudistetut Points of Focus -kohdat. Yhteiset kriteerit ja lisäluokat tarkastellaan yhdessä tarkastustoimeksiannossa. Luokkien nimet eivät tarkoita viittä samanlaista pakollista kokonaisuutta jokaiselle palvelulle. Luokan sisältö ei myöskään ole määrätty ohjelmistotuote.
Järjestelmäkuvauksella on oma arviointiperustansa: 2018 SOC 2 Description Criteria ja vuoden 2022 uudistettu soveltamisohje. Kuvaus selittää järjestelmän sisällön ja toiminnan. Hallintakeinojen arviointi tarkastelee sitten siihen liittyviä järjestelyjä. Täydellinen raportti yhdistää nämä näkökulmat. Pelkkä logo ei osoita laajuutta eikä tarkastuslausuntoa.
Kenelle SOC 2 -raportti on tarkoitettu.
SOC 2 -raportti on tarkoitettu palveluntarjoajille ja niiden palveluja arvioiville asiakkaille. AICPA:n tarkastusoppaan julkisen kuvauksen mukaan asiakkaat tarvitsevat toimintoja ulkoistaessaan tietoja hallintakeinojen suunnittelusta, toiminnasta ja vaikuttavuudesta. Tämä koskee esimerkiksi tietojen käsittelyä tai riippuvuutta tarjotusta järjestelmästä. Tästä ei voida johtaa tiettyä yrityskokoa.
Asiakastarve vaikuttaa mielekkääseen tarkastuslaajuuteen. Selvittäkää ennen toimeksiantoa, mikä tuote, toimintaympäristö ja mitkä sitoumukset ovat vastaanottajille olennaisia. Sopimuksen näyttövaatimusta on hyvä verrata todelliseen suunniteltuun raporttiin. SOC 2 ei luo yleistä lakisääteistä tarkastusvelvollisuutta jokaiselle SaaS-tarjoajalle.
SOC 2 -valmistelun kuusi työaluetta.
Valmistelu yhdistää sovitun tarkastustoimeksiannon jäljitettäviin toiminnallisiin hallintakeinoihin. Seuraavat alueet ovat käytännön jäsennys eivätkä uusi virallinen kriteeriluettelo. Perustana ovat edelleen sovellettavat Trust Services Criteria- ja Description Criteria -kriteerit.
Kuvatkaa järjestelmäraja ja sitoumukset.
Nimetkää tarjottava palvelu sekä sen kannalta olennaiset ihmiset, menettelyt, järjestelmät ja riippuvuudet. Kuvauksen on hyvä vastata asiakkaiden ostamaa todellista palvelua. AICPA:n johdon aineiston mukaan järjestelmäkuvaus ja johdon vahvistusilmoitus ovat erillisiä raportin osia. Pelkkä tekninen inventaario ei vielä selitä näitä yhteyksiä.
Sopikaa luokista ja riskeistä.
Palvelusitoumukset ja tarkoitettujen käyttäjien tietotarpeet auttavat olennaisten luokkien valinnassa. Kirjatkaa, miksi kysymys kuuluu laajuuteen ja mitä riskejä on tarkoitus tarkastella. AICPA:n arviointilista edellyttää sen tarkastelua, riittävätkö katetut luokat ja sitoumukset omaan käyttöön.
Ylläpitäkää vastuullisia hallintakeinoja.
Kuvatkaa konkreettiset toiminnalliset järjestelyt ja niitä toteuttavat tai valvovat henkilöt. Eri palvelut voivat tarvita erilaisia hallintakeinoja. Yleinen ohje tukee näyttöä vain, jos sen vaatimukset toteutuvat olennaisissa menettelyissä ja todellinen suorittaminen on jäljitettävissä.
Kerätkää näyttö oikeaan aikaan.
Todisteiden on tuettava tarkastettavaa väitettä ajallisesti. Tyypissä 1 ratkaiseva on sovittu ajankohta ja tyypissä 2 määritelty tarkastusjakso. Uusi kuvakaappaus ei sellaisenaan osoita aiempaa toimintaa. AICPA korostaa ajallisessa arvioinnissa nimenomaisesti tarkastajan ammatillista harkintaa.
Selvittäkää ulkoistetut palvelut ja asiakkaan tehtävät.
Selittäkää, miten olennaiset alipalveluorganisaatiot käsitellään raportissa ja mitkä tehtävät jäävät asiakkaalle. Arviointilista erottaa asiakkaan täydentävät hallintakeinot muista käyttäjän tehtävistä. Omaan valmisteluun suositellaan selkeää kohdistusta sen sijaan, että kaikki toiminnot koottaisiin yleiseen toimittajaluetteloon.
Arvioikaa muutokset ja poikkeukset.
Tarkastustulokset tarvitsevat yhteyden asianomaiseen palveluun. Dokumentoikaa korjaukset ja olennaiset muutokset niin, että niiden vaikutus voidaan arvioida. Yksittäinen testipoikkeama ja mukautettu tarkastuslausunto ovat eri asioita. AICPA:n johdon aineisto tukee lausunnon, testien, tulosten ja muiden tietojen erillistä tarkastelua.
Polku SOC 2 -raporttiin.
Selvittäkää vastaanottajat ja tarve.
Kirjatkaa käytännön aluksi, mikä asiakas haluaa arvioida mitäkin palvelua ja mihin päätökseen raporttia tarvitaan.
Rajatkaa tarkastustoimeksianto.
Sopikaa sopivan riippumattoman CPA-tilintarkastusyhteisön kanssa järjestelmäkuvauksesta, olennaisista luokista, raporttityypistä ja suunnitellusta ajankohdasta tai jaksosta.
Yhdistäkää hallintakeinot ja vastuu.
Arvioikaa vastuullisten toimintayksiköiden kanssa, toteutuvatko kuvatut menettelyt todella ja mitkä tallenteet tekevät toiminnan jäljitettäväksi.
Pitäkää toiminnan näyttö saatavilla.
Järjestäkää sopivien todisteiden kerääminen sovitun jakson aikana ja selvittäkää olennaisten ulkoisten riippuvuuksien näyttö ajoissa.
Käsitelkää havainnot.
Keskustelkaa avoimista kysymyksistä ja poikkeamista konkreettisten todisteiden pohjalta ja kirjatkaa korjaukset sekä vastuu jäljelle jäävistä riskeistä.
Arvioikaa raportti käyttöympäristössään.
Lukekaa myöntämisen jälkeen laajuus, lausunto, jakso ja asiakkaan tehtävät yhdessä sekä suunnitelkaa myöhempien olennaisten muutosten arviointi.
SOC 2 Type 2:n ja tyypin 1 oikea tulkinta.
Tyyppi 1 ja tyyppi 2 vastaavat eri ajallisiin kysymyksiin. Tyyppi 1 koskee järjestelmäkuvausta ja hallintakeinojen suunnittelua tiettynä ajankohtana. SOC 2 Type 2 sisältää lisäksi niiden vaikuttavuuden toiminnassa ilmoitetulla jaksolla. AICPA:n arviointilista huomioi eron jo raportin yleisissä tiedoissa.
Toimiluvan saanut CPA-tilintarkastusyhteisö antaa SOC 2 -raportin. Tarkistakaa vastuullinen yhteisö, sen asianmukainen toimilupa ja todella kuvattu toimeksianto. Konsultin tai työkaluntarjoajan valmistelutyö on erotettava riippumattomasta tarkastuksesta. Organisaation vastuu hallintakeinoistaan säilyy.
Raportilla ei ole sertifikaatin kaltaista yleistä voimassaoloaikaa. Sen käytettävyys riippuu järjestelmän, jakson ja lausunnon sopivuudesta asiakkaan nykyiseen tarpeeseen. Myöhempi siirto tai muu olennainen muutos voi synnyttää lisäkysymyksiä. Asiakirjan arviointi kuuluu siksi omaan palveluntarjoajapäätökseen.
Suhde muihin viitekehyksiin.
ISO 27001 koskee tietoturvan hallintajärjestelmää ja sen mahdollista sertifiointia. BSI C5 noudattaa omaa pilvipalvelujen tarkastusmalliaan. GDPR sääntelee henkilötietojen käsittelyä. SOC 2 -raportti ei korvaa näiden lakisääteisten velvollisuuksien arviointia.
Secanissa.
Secani tarjoaa toimituksellisen AICPA Trust Services Criteria -työluettelon omine toteutusohjeineen. Profiilitiedot erottelevat sovitun tarkastustoimeksiannon ja lisäluokat. Toimenpiteitä ja todisteita voidaan käsitellä työn yhteydessä. Oma apuväline ei korvaa suojattua kriteeristandardia eikä riippumatonta tarkastusta.
Aloittakaa asiakkaan tarpeesta.
Valitkaa todella tarjottava palvelu ja kirjatkaa raportin tarkoitetut vastaanottajat. Kuvatkaa, mitä he tarvitsevat tietää palvelusta ja mikä toiminnan rajaus on siihen olennainen. Tältä pohjalta voitte keskustella sopivan tarkastusyhteisön kanssa raporttityypistä, laajuudesta ja tarvittavasta valmistelusta.
Usein kysytyt kysymykset.
Ei. SOC 2 on riippumattoman palveluauditoijan tarkastusraportti kuvatusta järjestelmästä ja sen hallintakeinoista. Se ei ole ISO-sertifikaatti tai yleinen tuotemerkki.
Tyyppi 1 koskee hallintakeinojen suunnittelua tiettynä ajankohtana. Tyyppi 2 sisältää lisäksi niiden toiminnallisen vaikuttavuuden sovitulla tarkastusjaksolla.
Yleistä kiinteää velvollisuutta tai testausväliä ei voida johtaa siitä. Riskit, kuvatut hallintakeinot ja sovittu tarkastustoimeksianto määrittävät asianmukaisen näytön. Asiakassopimukset voivat sisältää lisäodotuksia.
Raportti kuvaa omaa ajankohtaansa tai tarkastusjaksoaan. Sen riittävyys nykyiseen päätökseen riippuu myös katetusta palvelusta, välissä tapahtuneista muutoksista ja vastaanottajan vaatimuksista.
Selvittäkää tarkastuksen laajuus.
Keskustelkaa siitä, miten järjestätte palvelunne toimenpiteet ja todisteet Secanissa.
Tämä sivu selittää SOC 2:ta omin sanoin. Ratkaisevia ovat sovellettavat AICPA-standardit ja konkreettinen tarkastustoimeksianto. Kuvaus ei korvaa asiantuntija-arviota.