SOC 2.
Onderzoeksscope, rapporttype en bewijsmateriaal zo afstemmen dat klanten de daadwerkelijk gebruikte dienst kunnen beoordelen.
- AICPA TSC 2017 · Points of Focus 2022
- Door Derya Altinay
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
SOC 2 is een onderzoeksrapport over beheersmaatregelen van een afgebakend dienstverleningssysteem op basis van de AICPA Trust Services Criteria. Een onafhankelijk CPA-kantoor beoordeelt de systeembeschrijving en de opzet van de beheersmaatregelen. Type 2 omvat aanvullend de operationele werking gedurende een vastgestelde periode; type 1 betreft een peildatum.
SOC 2 en de Trust Services Criteria.
SOC 2 behoort tot de AICPA-reeks System and Organization Controls. Dienstverleners laten hiermee de beheersmaatregelen van hun systeem door een onafhankelijke serviceauditor onderzoeken. AICPA beschrijft zulke rapporten als informatiebasis voor risico’s van uitbestede prestaties. Bepalend is daarom welke dienst met welke toezeggingen is onderzocht en welke uitspraken de concrete opdracht dekt.
De Trust Services Criteria ordenen de onderwerpen beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. De openbaar aangeboden grondslag heet 2017 Trust Services Criteria met herziene Points of Focus 2022. Gemeenschappelijke criteria en aanvullende categorieën worden in de onderzoeksopdracht samen bekeken; de categorienamen betekenen geen vijf identieke verplichte pakketten voor elke dienst. De inhoud van een categorie is ook geen voorgeschreven softwareproduct.
De systeembeschrijving heeft een eigen maatstaf: de 2018 SOC 2 Description Criteria met herziene toepassingsleidraad 2022. Deze licht toe wat tot het systeem behoort en hoe het wordt beheerd. De beoordeling van beheersmaatregelen onderzoekt vervolgens de bijbehorende voorzieningen. Een volledig rapport verbindt deze perspectieven; alleen een logo toont noch de scope, noch het onderzoeksoordeel.
Voor wie een SOC 2-rapport is bedoeld.
Een SOC 2-rapport richt zich op dienstverleners en de klanten die hun diensten willen beoordelen. Volgens de openbare AICPA-beschrijving van de onderzoeksleidraad hebben klanten informatie nodig over opzet, uitvoering en werking van beheersmaatregelen wanneer zij functies uitbesteden. Dat betreft bijvoorbeeld de omgang met informatie of de afhankelijkheid van een beschikbaar gesteld systeem; daaruit volgt geen bepaalde ondernemingsgrootte.
De klantbehoefte bepaalt mede een zinvolle onderzoeksscope. Bepaal vóór de opdracht welk product, welke operationele omgeving en welke toezeggingen wezenlijk zijn voor de ontvangers. Een contractuele bewijsvereiste moet worden vergeleken met het daadwerkelijk geplande rapport. SOC 2 schept geen algemene wettelijke onderzoeksplicht voor elke SaaS-aanbieder.
De SOC 2-voorbereiding in zes werkgebieden.
De voorbereiding verbindt een afgestemde onderzoeksopdracht met navolgbare operationele beheersmaatregelen. De volgende gebieden vormen een praktische indeling; ze vormen geen nieuwe officiële criterialijst. De toepasselijke Trust Services Criteria en Description Criteria blijven de basis.
Systeemgrens en toezeggingen beschrijven.
Benoem de aangeboden dienst en de daarvoor relevante mensen, procedures, systemen en afhankelijkheden. De beschrijving moet passen bij de werkelijke dienst die klanten inkopen. Volgens de AICPA-managementbron zijn systeembeschrijving en managementverklaring zelfstandige onderdelen van het rapport; alleen een technische inventaris verklaart die samenhang nog niet.
Categorieën en risico’s afstemmen.
Prestatietoezeggingen en informatiebehoeften van de beoogde gebruikers helpen bij de selectie van relevante categorieën. Leg vast waarom een vraagstuk binnen de scope valt en welke risico’s moeten worden onderzocht. De AICPA-reviewchecklist vraagt te beoordelen of de gedekte categorieën en toezeggingen voldoende zijn voor het eigen gebruik.
Beheersmaatregelen onder verantwoordelijkheid uitvoeren.
Beschrijf concrete operationele voorzieningen en de personen die deze uitvoeren of bewaken. Verschillende diensten kunnen verschillende beheersmaatregelen nodig hebben. Een algemene richtlijn draagt alleen bij aan bewijsvoering wanneer de voorschriften in de relevante processen worden toegepast en de feitelijke uitvoering navolgbaar is.
Bewijsmateriaal op het juiste moment verzamelen.
Bewijsstukken moeten de onderzochte uitspraak in de tijd onderbouwen. Voor type 1 is de afgesproken peildatum bepalend, voor type 2 de vastgestelde onderzoeksperiode. Een nieuw gemaakte schermafbeelding kan eerdere uitvoering niet zonder meer aantonen. AICPA wijst bij de tijdsbeoordeling expliciet op het professionele oordeel van de auditor.
Uitbestede diensten en klanttaken bepalen.
Leg uit hoe wezenlijke subserviceorganisaties in het rapport worden behandeld en welke taken bij de klant blijven. De reviewchecklist onderscheidt aanvullende klantmaatregelen van andere gebruikerstaken. Voor de eigen voorbereiding is een duidelijke toewijzing aan te raden, in plaats van alle activiteiten in een algemene leverancierslijst samen te vatten.
Wijzigingen en uitzonderingen beoordelen.
Onderzoeksresultaten vereisen samenhang met de betrokken dienst. Documenteer correcties en wezenlijke wijzigingen zo dat hun effect kan worden beoordeeld. Eén testuitzondering en een onderzoeksoordeel met beperking zijn verschillende uitspraken. De AICPA-managementbron ondersteunt het afzonderlijk bekijken van oordeel, tests, resultaten en verdere informatie.
Het traject naar een SOC 2-rapport.
Ontvangers en behoefte bepalen.
Leg als praktische eerste stap vast welke klant welke dienst wil beoordelen en waarvoor het rapport als beslissingsbasis moet dienen.
Onderzoeksopdracht afbakenen.
Stem systeembeschrijving, relevante categorieën, rapporttype en geplande peildatum of periode af met een geschikt onafhankelijk CPA-kantoor.
Beheersmaatregelen en verantwoordelijkheid verbinden.
Toets met de bevoegde vakafdelingen of de beschreven procedures daadwerkelijk worden uitgevoerd en welke registraties die uitvoering navolgbaar maken.
Operationeel bewijs beschikbaar houden.
Organiseer het verzamelen van passende bewijsstukken tijdens de afgesproken periode en bepaal vroeg de bewijsvoering van wezenlijke externe afhankelijkheden.
Bevindingen behandelen.
Bespreek openstaande vragen en uitzonderingen aan de hand van concrete bewijsstukken en leg correcties en verantwoordelijkheid voor resterende risico’s vast.
Rapport in de gebruikscontext beoordelen.
Lees na afgifte scope, oordeel, periode en klanttaken in samenhang en plan de beoordeling van latere wezenlijke veranderingen.
SOC 2 Type 2 en type 1 correct lezen.
Type 1 en type 2 beantwoorden verschillende vragen over tijd. Type 1 betreft de systeembeschrijving en de opzet van de beheersmaatregelen op een peildatum. SOC 2 Type 2 omvat daarnaast de operationele werking gedurende de vermelde periode. De AICPA-reviewchecklist legt dit onderscheid al bij de algemene rapportgegevens vast.
Een erkend CPA-kantoor geeft het SOC 2-rapport af. Toets het verantwoordelijke kantoor, de toepasselijke vergunning en de daadwerkelijk beschreven opdracht. Voorbereiding door een adviseur of toolaanbieder moet worden onderscheiden van het onafhankelijke onderzoek. De verantwoordelijkheid van de organisatie voor haar beheersmaatregelen blijft bestaan.
Het rapport heeft geen algemene geldigheidsduur zoals een certificaat. De bruikbaarheid hangt ervan af of systeem, periode en uitspraak aansluiten bij de actuele klantbehoefte. Een latere migratie of andere wezenlijke verandering kan aanvullende vragen oproepen. Toetsing van het document blijft daarom onderdeel van de eigen beslissing over een dienstverlener.
Andere frameworks duiden.
ISO 27001 betreft een managementsysteem voor informatiebeveiliging en de mogelijke certificering daarvan. BSI C5 volgt een eigen toetsingsmodel voor clouddiensten. De AVG regelt de verwerking van persoonsgegevens; een SOC 2-rapport vervangt de toetsing van deze wettelijke verplichtingen niet.
In Secani.
Secani biedt een redactionele werkcatalogus voor de AICPA Trust Services Criteria met eigen implementatieaanwijzingen. Profielgegevens onderscheiden de afgestemde onderzoeksopdracht en aanvullende categorieën. Maatregelen en bewijsstukken kunnen in hun werksamenhang worden behandeld; het eigen hulpmiddel vervangt noch de beschermde criteriastandaard, noch het onafhankelijke onderzoek.
Begin met de klantbehoefte.
Kies een daadwerkelijk aangeboden dienst en leg de beoogde ontvangers van het rapport vast. Beschrijf welke uitspraak zij over de dienst nodig hebben en welke operationele grens daarvoor relevant is. Met deze basis kunt u rapporttype, scope en noodzakelijke voorbereiding bespreken met een geschikt accountantskantoor.
Bronnen.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report en reviewchecklist
- AICPA – Maintaining high standards for SOC engagements
- AICPA – openbare beschrijving van de SOC 2-onderzoeksleidraad
Veelgestelde vragen.
Nee. SOC 2 is een onderzoeksrapport van een onafhankelijke serviceauditor over een beschreven systeem en de beheersmaatregelen daarvan, geen ISO-certificaat of algemeen productkeurmerk.
Type 1 betreft de opzet van de beheersmaatregelen op een peildatum. Type 2 omvat daarnaast de operationele werking gedurende de afgesproken onderzoeksperiode.
Daaruit volgt geen algemene vaste verplichting of testfrequentie. Risico’s, beschreven beheersmaatregelen en de afgesproken onderzoeksopdracht bepalen welk bewijsmateriaal passend is; klantcontracten kunnen aanvullende verwachtingen bevatten.
Het rapport beschrijft zijn peildatum of onderzoeksperiode. Of het voor een actuele beslissing volstaat, hangt ook af van de gedekte dienst, tussentijdse wijzigingen en de eisen van de ontvanger.
De onderzoeksscope bepalen.
Bespreek hoe u maatregelen en bewijsmateriaal voor uw dienst in Secani kunt organiseren.
Deze pagina licht SOC 2 in eigen woorden toe. De toepasselijke AICPA-standaarden en de concrete onderzoeksopdracht zijn bepalend; de beschrijving vervangt geen deskundig onderzoek.