SOC 2.
Uskladite opseg provjere, vrstu izvješća i dokaze tako da klijenti mogu ocijeniti uslugu koju stvarno koriste.
- AICPA TSC 2017 · Points of Focus 2022
- Autor: Derya Altinay
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 6 min.
Kratak odgovor.
SOC 2 revizijsko je izvješće o kontrolama određenog sustava pružanja usluga na temelju AICPA Trust Services Criteria. Neovisno društvo ovlaštenih javnih računovođa (CPA) ocjenjuje opis sustava i oblikovanje kontrola. Tip 2 dodatno obuhvaća njihovu operativnu učinkovitost tijekom određenog razdoblja; tip 1 odnosi se na određeni datum.
SOC 2 i Trust Services Criteria.
SOC 2 pripada AICPA-inu skupu System and Organization Controls. Pružatelji usluga time povjeravaju provjeru kontrola sustava neovisnom revizoru usluga. AICPA opisuje takva izvješća kao informacijsku osnovu za rizike izdvojenih usluga. Zato je presudno koja je usluga provjerena s kojim jamstvima i koje zaključke konkretan angažman obuhvaća.
Trust Services Criteria uređuju teme sigurnosti, dostupnosti, cjelovitosti obrade, povjerljivosti i privatnosti. Javno ponuđena osnova naziva se 2017 Trust Services Criteria s revidiranim Points of Focus 2022. Zajednički kriteriji i dodatne kategorije zajedno se razmatraju u revizijskom angažmanu; nazivi kategorija ne znače pet jednakih obveznih paketa za svaku uslugu. Sadržaj kategorije također nije propisani softverski proizvod.
Opis sustava ima vlastito mjerilo: 2018 SOC 2 Description Criteria s revidiranim smjernicama primjene iz 2022. Objašnjava što pripada sustavu i kako on radi. Ocjena kontrola zatim ispituje pripadajuće mjere. Cjelovito izvješće povezuje te perspektive; sam logotip ne pokazuje ni opseg ni revizijsko mišljenje.
Kome je izvješće SOC 2 namijenjeno.
Izvješće SOC 2 namijenjeno je pružateljima usluga i klijentima koji žele ocijeniti njihove usluge. Prema javnom opisu AICPA-ina revizijskog vodiča, pri izdvajanju funkcija klijenti trebaju informacije o oblikovanju, radu i učinkovitosti kontrola. To se odnosi, primjerice, na postupanje s informacijama ili ovisnost o ponuđenom sustavu; iz toga ne proizlazi određena veličina poduzeća.
Potrebe klijenata suodređuju smisleni opseg provjere. Prije ugovaranja razjasnite koji su proizvod, radno okruženje i obećanja bitni za primatelje. Ugovorni zahtjev dokazivanja treba usporediti sa stvarno planiranim izvješćem. SOC 2 ne uspostavlja opću zakonsku obvezu provjere za svakog pružatelja SaaS-a.
Priprema za SOC 2 u šest radnih područja.
Priprema povezuje usklađen revizijski angažman sa sljedivim operativnim kontrolama. Sljedeća područja praktična su struktura; ne čine novi službeni popis kriterija. Osnova ostaju primjenjivi Trust Services Criteria i Description Criteria.
Opišite granicu sustava i obećanja.
Navedite ponuđenu uslugu i relevantne ljude, postupke, sustave i ovisnosti. Opis treba odgovarati stvarnoj usluzi koju klijenti kupuju. Prema AICPA-inu resursu za upravu, opis sustava i izjava uprave zasebni su dijelovi izvješća; sam tehnički inventar još ne objašnjava te veze.
Uskladite kategorije i rizike.
Obećanja usluge i informacijske potrebe predviđenih korisnika pomažu pri odabiru relevantnih kategorija. Zabilježite zašto je pitanje unutar opsega i koje rizike treba ispitati. AICPA-in kontrolni popis za pregled traži razmatranje jesu li obuhvaćene kategorije i obećanja dovoljni za vlastitu uporabu.
Odgovorno provodite kontrole.
Opišite konkretne operativne mjere i osobe koje ih izvršavaju ili nadziru. Različite usluge mogu trebati različite kontrole. Opća smjernica pridonosi dokazivanju samo ako se njezini zahtjevi odražavaju u relevantnim postupcima i stvarna je provedba sljediva.
Prikupljajte dokaze u pravo vrijeme.
Dokazi moraju vremenski poduprijeti ispitivanu tvrdnju. Za tip 1 presudan je dogovoreni datum, a za tip 2 utvrđeno razdoblje provjere. Novostvorena snimka zaslona ne može jednostavno dokazati raniji rad. Pri vremenskoj ocjeni AICPA izričito upućuje na stručnu prosudbu revizora.
Razjasnite izdvojene usluge i zadatke klijenta.
Objasnite kako se u izvješću tretiraju značajne poduslužne organizacije i koji zadaci ostaju klijentu. Kontrolni popis razlikuje dopunske kontrole klijenta od drugih korisničkih zadataka. Za vlastitu pripremu preporučuje se jasna raspodjela umjesto objedinjavanja svih aktivnosti u općem popisu dobavljača.
Ocijenite promjene i iznimke.
Rezultati provjere trebaju kontekst obuhvaćene usluge. Dokumentirajte ispravke i bitne promjene tako da se njihov učinak može ocijeniti. Pojedinačna iznimka u testu i mišljenje s rezervom različite su tvrdnje. AICPA-in resurs za upravu podupire odvojeno razmatranje mišljenja, testova, rezultata i dodatnih informacija.
Put do izvješća SOC 2.
Razjasnite primatelje i potrebe.
Kao praktičan početak zabilježite koji klijent želi ocijeniti koju uslugu i za koju odluku izvješće treba služiti kao osnova.
Odredite revizijski angažman.
Uskladite opis sustava, relevantne kategorije, vrstu izvješća i planirani datum ili razdoblje s odgovarajućim neovisnim CPA društvom.
Povežite kontrole i odgovornost.
S nadležnim odjelima provjerite provode li se opisani postupci zaista i koji zapisi čine njihov rad sljedivim.
Održavajte operativne dokaze dostupnima.
Organizirajte prikupljanje prikladnih dokaza tijekom dogovorenog razdoblja i rano razjasnite dokaze značajnih vanjskih ovisnosti.
Obradite nalaze.
Raspravite otvorena pitanja i iznimke na temelju konkretnih dokaza te zabilježite ispravke i odgovornost za preostale rizike.
Ocijenite izvješće u kontekstu uporabe.
Nakon izdavanja zajedno pročitajte opseg, mišljenje, razdoblje i zadatke klijenta te planirajte ocjenu kasnijih bitnih promjena.
Pravilno čitajte SOC 2 tip 2 i tip 1.
Tip 1 i tip 2 odgovaraju na različita vremenska pitanja. Tip 1 odnosi se na opis sustava i oblikovanje kontrola na određeni datum. SOC 2 tip 2 dodatno obuhvaća njihovu učinkovitost u radu tijekom navedenog razdoblja. AICPA-in kontrolni popis za pregled bilježi tu razliku već u općim podacima izvješća.
Licencirano CPA društvo izdaje izvješće SOC 2. Provjerite odgovorno društvo, njegovu relevantnu licenciju i stvarno opisani angažman. Pripremu savjetnika ili pružatelja alata treba razlikovati od neovisne revizijske usluge. Organizacija ostaje odgovorna za svoje kontrole.
Izvješće nema opće razdoblje valjanosti poput certifikata. Njegova uporabivost ovisi o tome odgovaraju li sustav, razdoblje i zaključak aktualnim potrebama klijenta. Kasnija migracija ili druga bitna promjena može otvoriti dodatna pitanja. Provjera dokumenta zato ostaje dio vlastite odluke o pružatelju usluga.
Razumijevanje drugih okvira.
ISO 27001 odnosi se na sustav upravljanja informacijskom sigurnošću i njegovu moguću certifikaciju. BSI C5 slijedi vlastiti model provjere za usluge u oblaku. GDPR uređuje obradu osobnih podataka; izvješće SOC 2 ne zamjenjuje provjeru tih zakonskih obveza.
U Secaniju.
Secani nudi urednički radni katalog AICPA Trust Services Criteria s vlastitim smjernicama za provedbu. Podaci profila razlikuju usklađeni revizijski angažman i dodatne kategorije. Mjere i dokazi mogu se obrađivati povezano; vlastito pomagalo ne zamjenjuje zaštićeni standard kriterija ni neovisnu provjeru.
Počnite s potrebama klijenta.
Odaberite stvarno ponuđenu uslugu i zabilježite predviđene primatelje izvješća. Opišite koji zaključak o usluzi trebaju i koja je operativna granica za to relevantna. Na toj osnovi s odgovarajućim revizijskim društvom možete razgovarati o vrsti izvješća, opsegu i potrebnoj pripremi.
Izvori.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report i kontrolni popis za pregled
- AICPA – Maintaining high standards for SOC engagements
- AICPA – javni opis revizijskog vodiča za SOC 2
Česta pitanja.
Ne. SOC 2 revizijsko je izvješće neovisnog revizora usluga o opisanom sustavu i njegovim kontrolama, a ne ISO certifikat ili opća oznaka proizvoda.
Tip 1 odnosi se na oblikovanje kontrola na određeni datum. Tip 2 dodatno obuhvaća njihovu operativnu učinkovitost tijekom dogovorenog razdoblja provjere.
Iz toga se ne može izvesti opća fiksna obveza ni učestalost testiranja. Rizici, opisane kontrole i dogovoreni revizijski angažman određuju prikladne dokaze; ugovori s klijentima mogu sadržavati dodatna očekivanja.
Izvješće opisuje svoj datum ili razdoblje provjere. Je li dovoljno za aktualnu odluku ovisi i o obuhvaćenoj usluzi, naknadnim promjenama i zahtjevima primatelja.
Razjasnite opseg provjere.
Razgovarajte o tome kako u Secaniju organizirati mjere i dokaze za svoju uslugu.
Ova stranica vlastitim riječima objašnjava SOC 2. Mjerodavni su primjenjivi standardi AICPA-e i konkretan revizijski angažman; prikaz ne zamjenjuje stručnu provjeru.