SOC 2.
Hangolja össze a vizsgálat terjedelmét, a jelentéstípust és a bizonyítékokat, hogy ügyfelei a ténylegesen használt szolgáltatást értékelhessék.
- AICPA TSC 2017 · Points of Focus 2022
- Szerző: Derya Altinay
- Állapot: 2026. 10. 22.
- Olvasási idő: 7 perc
Rövid válasz.
A SOC 2 egy lehatárolt szolgáltatási rendszer kontrolljairól szóló vizsgálati jelentés az AICPA Trust Services Criteria alapján. Független CPA-cég értékeli a rendszerleírást és a kontrollok kialakítását. A Type 2 ezenfelül a kontrollok működési hatékonyságát is vizsgálja egy meghatározott időszakon át; a Type 1 egy fordulónapra vonatkozik.
SOC 2 és Trust Services Criteria.
A SOC 2 az AICPA System and Organization Controls sorozatához tartozik. A szolgáltatók ezzel független szolgáltatási auditorral vizsgáltatják meg rendszerük kontrolljait. Az AICPA az ilyen jelentéseket a kiszervezett teljesítések kockázataihoz szolgáló információs alapként írja le. Ezért az a döntő, mely szolgáltatást milyen vállalásokkal vizsgálták, és milyen állításokat fed le a konkrét megbízás.
A Trust Services Criteria a biztonság, rendelkezésre állás, feldolgozási integritás, bizalmasság és adatvédelem témáit rendezi. A nyilvánosan kínált alap neve 2017 Trust Services Criteria, a 2022-ben felülvizsgált Points of Focus kiegészítéssel. A közös kritériumokat és további kategóriákat a vizsgálati megbízásban együtt veszik figyelembe; a kategórianevek nem jelentenek öt azonos kötelező csomagot minden szolgáltatásnak. Egy kategória tartalma nem előírt szoftvertermék.
A rendszerleírásnak saját mércéje van: a 2018 SOC 2 Description Criteria, 2022-ben felülvizsgált alkalmazási útmutatóval. Ismerteti, mi tartozik a rendszerhez és hogyan működtetik. A kontrollértékelés ezután a hozzá tartozó intézkedéseket vizsgálja. A teljes jelentés összekapcsolja ezeket a nézőpontokat; egy logó önmagában sem a terjedelmet, sem a vizsgálati véleményt nem mutatja meg.
Kinek szól a SOC 2 jelentés?
A SOC 2 jelentés azoknak a szolgáltatóknak és ügyfeleknek szól, akik a szolgáltatásokat értékelni kívánják. Az AICPA vizsgálati útmutatójának nyilvános leírása szerint az ügyfeleknek funkciók kiszervezésekor információra van szükségük a kontrollok kialakításáról, működéséről és hatékonyságáról. Ez például az információk kezelését vagy egy rendelkezésre bocsátott rendszertől való függést érinti; meghatározott vállalatméret ebből nem vezethető le.
Az ügyféligény is meghatározza az észszerű vizsgálati terjedelmet. A megbízás előtt tisztázza, mely termék, működési környezet és vállalások lényegesek a címzetteknek. A szerződéses igazolási követelményt össze kell vetni a ténylegesen tervezett jelentéssel. A SOC 2 nem alapoz meg minden SaaS-szolgáltatóra általános jogszabályi vizsgálati kötelezettséget.
Felkészülés a SOC 2-re hat munkaterületen.
A felkészülés az egyeztetett vizsgálati megbízást követhető működési kontrollokkal kapcsolja össze. Az alábbi területek gyakorlati felosztást jelentenek; nem új hivatalos kritériumlista. Az alapot továbbra is az alkalmazandó Trust Services Criteria és Description Criteria adja.
A rendszerhatár és vállalások leírása.
Nevezze meg a kínált szolgáltatást, valamint a hozzá releváns embereket, folyamatokat, rendszereket és függőségeket. A leírásnak illeszkednie kell ahhoz a tényleges szolgáltatáshoz, amelyet az ügyfelek vásárolnak. Az AICPA vezetői segédlete szerint a rendszerleírás és a vezetői nyilatkozat a jelentés önálló részei; egy technikai leltár önmagában még nem magyarázza el ezeket az összefüggéseket.
A kategóriák és kockázatok egyeztetése.
A szolgáltatási vállalások és a tervezett felhasználók információigénye segít kiválasztani a releváns kategóriákat. Rögzítse, miért tartozik egy kérdés a terjedelembe, és milyen kockázatokat kell vizsgálni. Az AICPA felülvizsgálati ellenőrzőlistája megköveteli annak vizsgálatát, hogy a lefedett kategóriák és vállalások elegendők-e a saját használathoz.
Felelőshöz rendelt kontrollok működtetése.
Írjon le konkrét működési intézkedéseket és az azokat végrehajtó vagy felügyelő személyeket. Különböző szolgáltatásoknak különböző kontrollokra lehet szükségük. Egy általános szabályzat csak akkor járul hozzá az igazoláshoz, ha előírásai eljutnak a releváns folyamatokba, és a tényleges végrehajtás követhető.
Bizonyítékok gyűjtése a megfelelő időpontban.
A bizonyítékoknak időben alá kell támasztaniuk a vizsgált állítást. A Type 1-nél az egyeztetett fordulónap, a Type 2-nél a meghatározott vizsgálati időszak a döntő. Egy újonnan készített képernyőkép nem bizonyít minden további nélkül korábbi működést. Az AICPA az időbeli megítélésnél kifejezetten hivatkozik a vizsgáló szakmai mérlegelésére.
A kiszervezett szolgáltatások és ügyfélfeladatok tisztázása.
Magyarázza el, hogyan kezelik a jelentésben a lényeges alvállalkozó szolgáltató szervezeteket, és milyen feladatok maradnak az ügyfélnél. A felülvizsgálati ellenőrzőlista megkülönbözteti a kiegészítő ügyfélkontrollokat más felhasználói feladatoktól. A saját felkészüléshez egyértelmű hozzárendelés javasolt, ahelyett hogy minden tevékenységet általános beszállítói listában vonnának össze.
A változások és kivételek értékelése.
A vizsgálati eredményekhez szükséges az érintett szolgáltatás összefüggése. Úgy dokumentálja a helyesbítéseket és lényeges változásokat, hogy hatásuk megítélhető legyen. Egyetlen tesztkivétel és egy korlátozott vizsgálati vélemény különböző állítások. Az AICPA vezetői segédlete támogatja a vélemény, tesztek, eredmények és további információk külön vizsgálatát.
A SOC 2 jelentéshez vezető út.
A címzettek és az igény tisztázása.
Gyakorlati kezdésként rögzítse, mely ügyfél mely szolgáltatást szeretné megítélni, és milyen döntés alapjául kell szolgálnia a jelentésnek.
A vizsgálati megbízás lehatárolása.
Megfelelő független CPA-céggel egyeztesse a rendszerleírást, a releváns kategóriákat, a jelentéstípust és a tervezett fordulónapot vagy időszakot.
A kontrollok és felelősség összekapcsolása.
Az illetékes szakterületekkel vizsgálja meg, valóban működtetik-e a leírt folyamatokat, és milyen feljegyzések teszik követhetővé a működést.
A működési bizonyítékok elérhetően tartása.
Szervezze meg a megfelelő bizonyítékok gyűjtését az egyeztetett időszakban, és korán tisztázza a lényeges külső függőségek bizonyítékait.
A megállapítások feldolgozása.
Konkrét bizonyítékok alapján beszéljék meg a nyitott kérdéseket és kivételeket, és rögzítsék a helyesbítéseket, valamint a fennmaradó kockázatok felelősségét.
A jelentés értékelése a felhasználási környezetben.
Kiállítás után együtt olvassa el a terjedelmet, véleményt, időszakot és ügyfélfeladatokat, és tervezze be a későbbi lényeges változások értékelését.
A SOC 2 Type 2 és Type 1 helyes olvasása.
A Type 1 és Type 2 eltérő időbeli kérdésekre válaszol. A Type 1 a rendszerleírást és a kontrollok kialakítását érinti egy fordulónapon. A SOC 2 Type 2 ezenfelül a megadott időszak alatti működési hatékonyságukat is magában foglalja. Az AICPA felülvizsgálati ellenőrzőlistája már az általános jelentésadatoknál rögzíti ezt a különbséget.
A SOC 2 jelentést engedéllyel rendelkező CPA-cég állítja ki. Ellenőrizze a felelős céget és irányadó engedélyét, valamint a ténylegesen leírt megbízást. A tanácsadó vagy eszközszolgáltató által végzett felkészítést meg kell különböztetni a független vizsgálati szolgáltatástól. A szervezet felelőssége saját kontrolljaiért fennmarad.
A jelentésnek nincs a tanúsítványokhoz hasonló általános érvényességi ideje. Felhasználhatósága attól függ, hogy a rendszer, az időszak és az állítás illeszkedik-e az aktuális ügyféligényhez. Egy későbbi migráció vagy más lényeges változás további kérdéseket vethet fel. A dokumentum vizsgálata ezért a szolgáltatóról hozott saját döntés része marad.
Más keretrendszerek elhelyezése.
Az ISO 27001 egy információbiztonság-irányítási rendszerre és annak lehetséges tanúsítására vonatkozik. A BSI C5 a felhőszolgáltatások saját vizsgálati modelljét követi. A GDPR a személyes adatok kezelését szabályozza; a SOC 2 jelentés nem helyettesíti e jogszabályi kötelezettségek vizsgálatát.
A Secaniban.
A Secani saját szerkesztésű munkakatalógust kínál az AICPA Trust Services Criteria alapján, saját megvalósítási útmutatásokkal. A profiladatok megkülönböztetik az egyeztetett vizsgálati megbízást és a további kategóriákat. Az intézkedések és bizonyítékok a munka összefüggésében kezelhetők; a saját segédlet sem a védett kritériumszabványt, sem a független vizsgálatot nem helyettesíti.
Induljon az ügyféligényből.
Válasszon ténylegesen kínált szolgáltatást, és rögzítse a jelentés tervezett címzettjeit. Írja le, milyen állításra van szükségük a szolgáltatásról, és milyen működési határ releváns ehhez. Ezen az alapon megfelelő vizsgáló céggel megbeszélheti a jelentéstípust, a terjedelmet és a szükséges előkészítő munkát.
Források.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report és felülvizsgálati ellenőrzőlista
- AICPA – Maintaining high standards for SOC engagements
- AICPA – a SOC 2 vizsgálati útmutató nyilvános leírása
Gyakori kérdések.
Nem. A SOC 2 egy független szolgáltatási auditor vizsgálati jelentése egy leírt rendszerről és kontrolljairól, nem ISO-tanúsítvány vagy általános termékjelzés.
A Type 1 a kontrollok kialakítására vonatkozik egy fordulónapon. A Type 2 ezenfelül az egyeztetett vizsgálati időszak alatti működési hatékonyságukat is magában foglalja.
Ebből nem vezethető le általános rögzített kötelezettség vagy tesztgyakoriság. A kockázatok, a leírt kontrollok és az egyeztetett vizsgálati megbízás határozzák meg a megfelelő bizonyítékokat; az ügyfélszerződések további elvárásokat tartalmazhatnak.
A jelentés saját fordulónapját vagy vizsgálati időszakát írja le. Az, hogy elegendő-e egy aktuális döntéshez, a lefedett szolgáltatástól, az időközbeni változásoktól és a címzett követelményeitől is függ.
Tisztázza a vizsgálat terjedelmét.
Beszéljük meg, hogyan szervezheti meg szolgáltatása intézkedéseit és bizonyítékait a Secaniban.
Ez az oldal saját szavakkal ismerteti a SOC 2-t. Az alkalmazandó AICPA-standardok és a konkrét vizsgálati megbízás az irányadók; a bemutatás nem helyettesíti a szakmai vizsgálatot.