SOC 2.
Concordare ambito di verifica, tipo di relazione ed evidenze affinché i clienti possano valutare il servizio effettivamente utilizzato.
- AICPA TSC 2017 · Points of Focus 2022
- Di Derya Altinay
- Aggiornato al: 22/10/2026
- Tempo di lettura: 8 min.
Risposta breve.
SOC 2 è una relazione di verifica sui controlli di un sistema di servizi delimitato, basata sugli AICPA Trust Services Criteria. Una società CPA indipendente valuta la descrizione del sistema e la progettazione dei controlli. Il tipo 2 comprende anche l'efficacia operativa su un periodo definito; il tipo 1 si riferisce a una data.
SOC 2 e i Trust Services Criteria.
SOC 2 appartiene alla serie AICPA System and Organization Controls. Consente ai fornitori di far esaminare i controlli del proprio sistema da un Service Auditor indipendente. AICPA descrive queste relazioni come base informativa sui rischi dei servizi esternalizzati. Conta quindi quale servizio sia stato esaminato, con quali impegni e quali conclusioni copra l'incarico concreto.
I Trust Services Criteria organizzano i temi sicurezza, disponibilità, integrità del trattamento, riservatezza e protezione dei dati personali. La base offerta pubblicamente si chiama 2017 Trust Services Criteria con Points of Focus rivisti nel 2022. Nell'incarico si considerano insieme criteri comuni e categorie aggiuntive; i nomi delle categorie non indicano cinque pacchetti obbligatori identici per ogni servizio. Il contenuto di una categoria non è neppure un prodotto software prescritto.
La descrizione del sistema ha un proprio riferimento: i 2018 SOC 2 Description Criteria con guida applicativa rivista nel 2022. Spiega cosa appartiene al sistema e come viene gestito. La valutazione dei controlli esamina poi le relative misure. Una relazione completa collega queste prospettive; un logo da solo non mostra né ambito né giudizio di verifica.
A chi è destinata una relazione SOC 2.
Una relazione SOC 2 si rivolge ai fornitori di servizi e ai clienti che vogliono valutarne le prestazioni. Secondo la descrizione pubblica AICPA della guida di verifica, i clienti necessitano di informazioni su progettazione, funzionamento ed efficacia dei controlli quando esternalizzano funzioni. Ciò riguarda, per esempio, la gestione delle informazioni o la dipendenza da un sistema fornito; non ne deriva una dimensione aziendale specifica.
Il fabbisogno del cliente contribuisce a determinare l'ambito utile della verifica. Prima dell'incarico, chiarite quali prodotto, ambiente operativo e impegni siano essenziali per i destinatari. Un requisito contrattuale di attestazione va confrontato con la relazione effettivamente pianificata. SOC 2 non istituisce un obbligo legale generale di verifica per ogni fornitore SaaS.
La preparazione SOC 2 in sei ambiti di lavoro.
La preparazione collega un incarico di verifica concordato a controlli operativi tracciabili. Gli ambiti seguenti sono una struttura pratica; non costituiscono una nuova lista ufficiale di criteri. Restano la base i Trust Services Criteria e i Description Criteria applicabili.
Descrivere confini del sistema e impegni.
Individuate il servizio offerto e le persone, procedure, sistemi e dipendenze rilevanti. La descrizione dovrebbe corrispondere alla prestazione effettiva acquistata dai clienti. Secondo la risorsa AICPA per la direzione, descrizione del sistema e dichiarazione della direzione sono componenti autonome della relazione; un inventario tecnico da solo non spiega questi rapporti.
Concordare categorie e rischi.
Impegni di servizio e fabbisogno informativo degli utenti previsti aiutano a scegliere le categorie rilevanti. Registrate perché una questione rientra nell'ambito e quali rischi si vogliono esaminare. La checklist AICPA di riesame richiede di valutare se categorie e impegni coperti siano sufficienti per il proprio utilizzo.
Gestire i controlli con responsabilità definite.
Descrivete misure operative concrete e le persone che le eseguono o sorvegliano. Servizi diversi possono richiedere controlli diversi. Una politica generale contribuisce all'attestazione solo se le sue disposizioni raggiungono le procedure rilevanti e l'esecuzione effettiva è tracciabile.
Raccogliere evidenze al momento giusto.
Le evidenze devono sostenere temporalmente la dichiarazione esaminata. Per il tipo 1 conta la data concordata, per il tipo 2 il periodo di verifica definito. Una schermata appena creata non può dimostrare senza ulteriori elementi un'operatività precedente. Per la valutazione temporale, AICPA richiama espressamente il giudizio professionale del revisore.
Chiarire servizi esternalizzati e compiti dei clienti.
Spiegate come vengono trattate nella relazione le organizzazioni di subservizio essenziali e quali compiti restano al cliente. La checklist di riesame distingue i controlli complementari del cliente dagli altri compiti degli utenti. Per la preparazione interna è consigliabile un'assegnazione chiara, anziché riunire tutte le attività in un elenco generale di fornitori.
Valutare modifiche ed eccezioni.
I risultati di verifica richiedono il contesto del servizio interessato. Documentate correzioni e modifiche sostanziali in modo che se ne possa valutare l'effetto. Una singola eccezione di test e un giudizio con rilievi sono dichiarazioni diverse. La risorsa AICPA per la direzione sostiene la considerazione separata di giudizio, test, risultati e ulteriori informazioni.
Il percorso verso la relazione SOC 2.
Chiarire destinatari e fabbisogno.
Come avvio pratico, registrate quale cliente vuole valutare quale prestazione e a quale decisione deve servire la relazione.
Delimitare l'incarico di verifica.
Concordate descrizione del sistema, categorie rilevanti, tipo di relazione e data o periodo previsti con una società CPA indipendente adeguata.
Collegare controlli e responsabilità.
Verificate con le funzioni competenti se le procedure descritte vengono effettivamente svolte e quali registrazioni rendono tracciabile il loro funzionamento.
Mantenere disponibili le evidenze operative.
Organizzate la raccolta di evidenze adatte durante il periodo concordato e chiarite presto le evidenze delle dipendenze esterne essenziali.
Gestire i rilievi.
Discutete questioni aperte ed eccezioni su evidenze concrete e registrate correzioni e responsabilità per i rischi residui.
Valutare la relazione nel contesto d'uso.
Dopo l'emissione, leggete insieme ambito, giudizio, periodo e compiti del cliente e pianificate la valutazione di successive modifiche sostanziali.
Leggere correttamente SOC 2 Type 2 e tipo 1.
Tipo 1 e tipo 2 rispondono a domande temporali diverse. Il tipo 1 riguarda la descrizione del sistema e la progettazione dei controlli a una data. SOC 2 Type 2 comprende anche la loro efficacia operativa durante il periodo indicato. La checklist AICPA di riesame registra questa distinzione già nei dati generali della relazione.
Una società CPA abilitata emette la relazione SOC 2. Verificate la società responsabile, la relativa abilitazione e l'incarico effettivamente descritto. La preparazione svolta da un consulente o fornitore di strumenti va distinta dalla verifica indipendente. La responsabilità dell'organizzazione per i propri controlli resta.
La relazione non ha una durata generale di validità come un certificato. La sua utilizzabilità dipende dalla corrispondenza di sistema, periodo e conclusioni al fabbisogno attuale del cliente. Una migrazione successiva o un'altra modifica sostanziale può sollevare domande aggiuntive. L'esame del documento resta quindi parte della propria decisione su un fornitore.
Inquadrare gli altri framework.
ISO 27001 riguarda un sistema di gestione della sicurezza delle informazioni e la sua possibile certificazione. BSI C5 segue un modello proprio di verifica dei servizi cloud. Il GDPR disciplina il trattamento dei dati personali; una relazione SOC 2 non sostituisce la verifica di tali obblighi legali.
In Secani.
Secani offre un catalogo redazionale di lavoro sugli AICPA Trust Services Criteria con proprie indicazioni di attuazione. I dati del profilo distinguono l'incarico di verifica concordato e le categorie aggiuntive. Misure ed evidenze possono essere gestite nel contesto del lavoro; lo strumento non sostituisce né lo standard di criteri protetto né la verifica indipendente.
Iniziare dal fabbisogno del cliente.
Scegliete un servizio effettivamente offerto e registrate i destinatari previsti della relazione. Descrivete quali conclusioni sul servizio servono loro e quale confine operativo sia rilevante. Su questa base potete discutere tipo di relazione, ambito e preparazione necessaria con una società di verifica adeguata.
Fonti.
- AICPA: SOC Suite of Services
- AICPA: 2017 Trust Services Criteria, Points of Focus 2022
- AICPA: 2018 Description Criteria, Guidance 2022
- AICPA: Key Elements of a SOC 2 Report e checklist di riesame
- AICPA: Maintaining high standards for SOC engagements
- AICPA: descrizione pubblica della guida di verifica SOC 2
Domande frequenti.
No. SOC 2 è una relazione di verifica di un Service Auditor indipendente su un sistema descritto e i relativi controlli, non un certificato ISO o un marchio generale di prodotto.
Il tipo 1 si riferisce alla progettazione dei controlli a una data. Il tipo 2 comprende anche la loro efficacia operativa durante il periodo di verifica concordato.
Non se ne può dedurre un obbligo o una frequenza generale fissa. Rischi, controlli descritti e incarico concordato determinano quali evidenze siano adeguate; i contratti dei clienti possono contenere aspettative aggiuntive.
La relazione descrive la propria data o il proprio periodo di verifica. La sufficienza per una decisione attuale dipende anche dal servizio coperto, dalle modifiche intercorse e dai requisiti del destinatario.
Chiarire l'ambito della verifica.
Parliamo di come organizzare in Secani misure ed evidenze per il vostro servizio.
Questa pagina illustra SOC 2 con parole proprie. Fanno fede gli standard AICPA applicabili e l'incarico concreto di verifica; la descrizione non sostituisce una verifica specialistica.