SOC 2.
Suderinkite audito aprėptį, ataskaitos tipą ir įrodymus taip, kad klientai galėtų įvertinti iš tikrųjų naudojamą paslaugą.
- AICPA TSC 2017 · Points of Focus 2022
- Autorius: Derya Altinay
- Aktualu: 2026-10-22
- Skaitymo trukmė: 6 min.
Trumpas atsakymas.
SOC 2 yra apibrėžtos paslaugų sistemos kontrolės priemonių audito ataskaita, pagrįsta AICPA Trust Services Criteria. Nepriklausoma CPA įmonė vertina sistemos aprašymą ir kontrolės priemonių suprojektavimą. 2 tipas papildomai apima jų veiklos veiksmingumą per nustatytą laikotarpį; 1 tipas susijęs su konkrečia data.
SOC 2 ir Trust Services Criteria.
SOC 2 priklauso AICPA System and Organization Controls grupei. Paslaugų teikėjai paveda nepriklausomam paslaugų auditoriui įvertinti savo sistemos kontrolės priemones. AICPA tokias ataskaitas apibūdina kaip informacijos pagrindą perduotų paslaugų rizikai vertinti. Todėl svarbu, kokia paslauga su kokiais įsipareigojimais buvo tirta ir kokius teiginius apima konkreti užduotis.
Trust Services Criteria apima saugumą, prieinamumą, duomenų tvarkymo vientisumą, konfidencialumą ir privatumą. Viešai siūlomas pagrindas vadinamas 2017 Trust Services Criteria su 2022 m. atnaujintais Points of Focus. Bendrieji kriterijai ir papildomos kategorijos audito užduotyje nagrinėjami kartu; kategorijų pavadinimai nereiškia penkių vienodų privalomų paketų kiekvienai paslaugai. Kategorijos turinys taip pat nėra nustatytas programinės įrangos produktas.
Sistemos aprašymui taikomas atskiras pagrindas: 2018 SOC 2 Description Criteria su 2022 m. atnaujintomis taikymo gairėmis. Jis paaiškina, kas priklauso sistemai ir kaip ji veikia. Kontrolės vertinimas vėliau tiria atitinkamas priemones. Visa ataskaita sujungia šiuos požiūrius; vien logotipas neparodo nei aprėpties, nei audito nuomonės.
Kam skirta SOC 2 ataskaita.
SOC 2 ataskaita skirta paslaugų teikėjams ir klientams, norintiems vertinti jų paslaugas. Pagal viešą AICPA audito vadovo aprašymą, perduodant funkcijas klientams reikia informacijos apie kontrolės priemonių suprojektavimą, veikimą ir veiksmingumą. Tai apima, pavyzdžiui, informacijos tvarkymą ar priklausomybę nuo teikiamos sistemos; iš to negalima nustatyti konkretaus įmonės dydžio.
Klientų poreikis padeda nustatyti prasmingą audito aprėptį. Prieš užsakydami išsiaiškinkite, koks produktas, veikimo aplinka ir įsipareigojimai svarbūs gavėjams. Sutartinį įrodymo reikalavimą reikia palyginti su iš tikrųjų planuojama ataskaita. SOC 2 nesukuria bendros teisinės audito pareigos kiekvienam SaaS teikėjui.
Pasirengimas SOC 2 šešiose darbo srityse.
Pasirengimas susieja suderintą audito užduotį su atsekamomis veiklos kontrolės priemonėmis. Toliau pateiktos sritys yra praktinė struktūra; jos nėra naujas oficialus kriterijų sąrašas. Pagrindu lieka taikomi Trust Services Criteria ir Description Criteria.
Aprašykite sistemos ribas ir įsipareigojimus.
Įvardykite siūlomą paslaugą ir jai svarbius žmones, procesus, sistemas bei priklausomybes. Aprašymas turi atitikti tikrąją klientų perkamą paslaugą. Pagal AICPA vadovybei skirtą medžiagą sistemos aprašymas ir vadovybės pareiškimas yra atskiros ataskaitos dalys; vien techninis inventorius šių ryšių dar nepaaiškina.
Suderinkite kategorijas ir riziką.
Paslaugos įsipareigojimai ir numatytų naudotojų informacijos poreikis padeda pasirinkti aktualias kategorijas. Užfiksuokite, kodėl klausimas patenka į aprėptį ir kokią riziką reikia tirti. AICPA peržiūros kontrolinis sąrašas reikalauja įvertinti, ar apimtų kategorijų ir įsipareigojimų pakanka savo naudojimui.
Atsakingai taikykite kontrolės priemones.
Aprašykite konkrečias veiklos priemones ir žmones, kurie jas vykdo arba stebi. Skirtingoms paslaugoms gali reikėti skirtingų kontrolės priemonių. Bendra politika prisideda prie įrodymų tik tada, kai jos reikalavimai pasiekia atitinkamus procesus ir tikrasis vykdymas yra atsekamas.
Rinkite įrodymus tinkamu laiku.
Įrodymai turi laiko požiūriu pagrįsti tiriamą teiginį. 1 tipui svarbi sutarta data, o 2 tipui – nustatytas audito laikotarpis. Naujai padaryta ekrano nuotrauka negali savaime įrodyti ankstesnio veikimo. Vertinant laiko aspektą AICPA aiškiai pabrėžia profesinį auditoriaus sprendimą.
Išsiaiškinkite perduotas paslaugas ir kliento užduotis.
Paaiškinkite, kaip ataskaitoje vertinamos svarbios subpaslaugų organizacijos ir kokios užduotys lieka klientui. Peržiūros kontrolinis sąrašas atskiria papildomas klientų kontrolės priemones nuo kitų naudotojų užduočių. Rengiantis rekomenduojama aiškiai priskirti užduotis, o ne sujungti visas veiklas į bendrą tiekėjų sąrašą.
Įvertinkite pakeitimus ir išimtis.
Audito rezultatus reikia susieti su atitinkama paslauga. Dokumentuokite korekcijas ir esminius pakeitimus taip, kad būtų galima įvertinti jų poveikį. Pavienė bandymo išimtis ir sąlyginė audito nuomonė yra skirtingi teiginiai. AICPA vadovybės medžiaga padeda atskirai nagrinėti nuomonę, bandymus, rezultatus ir kitą informaciją.
Kelias į SOC 2 ataskaitą.
Išsiaiškinkite gavėjus ir poreikį.
Pradėkite užfiksuodami, kuris klientas kokią paslaugą nori vertinti ir kokiam sprendimui ataskaita turi tapti pagrindu.
Apibrėžkite audito užduotį.
Su tinkama nepriklausoma CPA įmone suderinkite sistemos aprašymą, aktualias kategorijas, ataskaitos tipą ir planuojamą datą arba laikotarpį.
Susiekite kontrolės priemones ir atsakomybę.
Su atsakingais padaliniais patikrinkite, ar aprašyti procesai iš tikrųjų vykdomi ir kokie įrašai leidžia atsekti jų veikimą.
Užtikrinkite veiklos įrodymų prieinamumą.
Organizuokite tinkamų įrodymų rinkimą per sutartą laikotarpį ir iš anksto išsiaiškinkite svarbių išorinių priklausomybių įrodymus.
Tvarkykite audito išvadas.
Aptarkite atvirus klausimus ir išimtis remdamiesi konkrečiais įrodymais bei užfiksuokite korekcijas ir atsakomybę už likutinę riziką.
Vertinkite ataskaitą naudojimo kontekste.
Po išdavimo kartu skaitykite aprėptį, nuomonę, laikotarpį ir kliento užduotis bei suplanuokite vėlesnių esminių pakeitimų vertinimą.
Kaip teisingai skaityti SOC 2 2 ir 1 tipo ataskaitas.
1 ir 2 tipai atsako į skirtingus laiko klausimus. 1 tipas skirtas sistemos aprašymui ir kontrolės priemonių suprojektavimui konkrečią datą. SOC 2 2 tipas papildomai apima jų veiksmingumą veikloje per nurodytą laikotarpį. AICPA peržiūros kontrolinis sąrašas šį skirtumą pažymi jau bendruose ataskaitos duomenyse.
SOC 2 ataskaitą išduoda licencijuota CPA įmonė. Patikrinkite atsakingą įmonę, jos atitinkamą leidimą ir iš tikrųjų aprašytą užduotį. Konsultanto ar įrankio teikėjo pagalbą rengiantis reikia atskirti nuo nepriklausomo audito paslaugos. Organizacijos atsakomybė už savo kontrolės priemones išlieka.
Ataskaita neturi bendros sertifikatui būdingos galiojimo trukmės. Jos tinkamumas priklauso nuo to, ar sistema, laikotarpis ir išvada atitinka dabartinį kliento poreikį. Vėlesnis perkėlimas ar kitas esminis pakeitimas gali sukelti papildomų klausimų. Todėl dokumento vertinimas lieka savo sprendimo dėl teikėjo dalimi.
Ryšys su kitomis sistemomis.
ISO 27001 skirtas informacijos saugumo vadybos sistemai ir galimam jos sertifikavimui. BSI C5 naudoja atskirą debesijos paslaugų vertinimo modelį. BDAR reguliuoja asmens duomenų tvarkymą; SOC 2 ataskaita nepakeičia šių teisinių pareigų vertinimo.
„Secani“ sistemoje.
„Secani“ siūlo redakcinį AICPA Trust Services Criteria darbo katalogą su savomis įgyvendinimo gairėmis. Profilio duomenys atskiria suderintą audito užduotį ir papildomas kategorijas. Priemones ir įrodymus galima tvarkyti bendrame darbo kontekste; sava pagalbinė priemonė nepakeičia nei saugomo kriterijų standarto, nei nepriklausomo audito.
Pradėkite nuo kliento poreikio.
Pasirinkite iš tikrųjų siūlomą paslaugą ir užfiksuokite numatytus ataskaitos gavėjus. Aprašykite, kokios išvados apie paslaugą jiems reikia ir kokia veikimo riba tam svarbi. Šiuo pagrindu su tinkama audito įmone galėsite aptarti ataskaitos tipą, aprėptį ir būtiną pasirengimą.
Šaltiniai.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – pagrindiniai SOC 2 ataskaitos elementai ir peržiūros kontrolinis sąrašas
- AICPA – aukštų SOC užduočių standartų palaikymas
- AICPA – viešas SOC 2 audito vadovo aprašymas
Dažniausi klausimai.
Ne. SOC 2 yra nepriklausomo paslaugų auditoriaus ataskaita apie aprašytą sistemą ir jos kontrolės priemones, o ne ISO sertifikatas ar bendras produkto ženklas.
1 tipas susijęs su kontrolės priemonių suprojektavimu konkrečią datą. 2 tipas papildomai apima jų veiklos veiksmingumą per sutartą audito laikotarpį.
Bendros fiksuotos pareigos ar bandymų dažnio iš to nustatyti negalima. Rizika, aprašytos kontrolės priemonės ir sutarta audito užduotis lemia, kokie įrodymai tinkami; klientų sutartyse gali būti papildomų lūkesčių.
Ataskaita aprašo konkrečią datą arba audito laikotarpį. Ar jos pakanka dabartiniam sprendimui, taip pat priklauso nuo apimtos paslaugos, nuo tada įvykusių pokyčių ir gavėjo reikalavimų.
Išsiaiškinkite audito aprėptį.
Aptarkite, kaip galite organizuoti savo paslaugos priemones ir įrodymus „Secani“ sistemoje.
Šiame puslapyje SOC 2 aiškinamas savais žodžiais. Lemiamą reikšmę turi taikomi AICPA standartai ir konkreti audito užduotis; aprašymas nepakeičia profesinio vertinimo.