SOC 2.
Obseg preverjanja, vrsto poročila in dokazila uskladite tako, da lahko stranke presodijo dejansko uporabljeno storitev.
- AICPA TSC 2017 · Points of Focus 2022
- Avtor: Derya Altinay
- Stanje: 22. 10. 2026
- Čas branja: 6 min.
Kratek odgovor.
SOC 2 je revizijsko poročilo o kontrolah opredeljenega sistema zagotavljanja storitev na podlagi AICPA Trust Services Criteria. Neodvisna revizijska družba CPA presoja opis sistema in zasnovo kontrol. Tip 2 dodatno vključuje njihovo operativno učinkovitost v določenem obdobju; tip 1 se nanaša na presečni datum.
SOC 2 in Trust Services Criteria.
SOC 2 sodi v družino AICPA System and Organization Controls. Ponudniki storitev z njim naročijo preverjanje kontrol svojega sistema pri neodvisnem storitvenem revizorju. AICPA takšna poročila opisuje kot informacijsko podlago za tveganja zunanje izvajanih storitev. Zato je odločilno, katera storitev s katerimi zavezami je bila preverjena in katere ugotovitve zajema konkretno naročilo.
Trust Services Criteria urejajo teme varnosti, razpoložljivosti, celovitosti obdelave, zaupnosti in zasebnosti. Javno ponujena podlaga se imenuje 2017 Trust Services Criteria s prenovljenimi Points of Focus 2022. Skupna merila in dodatne kategorije se v naročilu preverjanja obravnavajo skupaj; imena kategorij ne pomenijo petih enakih obveznih svežnjev za vsako storitev. Vsebina kategorije tudi ni predpisan programski izdelek.
Opis sistema ima lastno merilo: 2018 SOC 2 Description Criteria s prenovljenimi izvedbenimi smernicami iz leta 2022. Pojasnjuje, kaj sodi v sistem in kako deluje. Presoja kontrol nato preverja povezane ukrepe. Celotno poročilo povezuje ta pogleda; sam logotip ne kaže obsega ali revizijskega mnenja.
Komu je namenjeno poročilo SOC 2.
Poročilo SOC 2 je namenjeno ponudnikom storitev in strankam, ki želijo presojati njihove storitve. Po javnem opisu revizijskega vodnika AICPA stranke pri oddajanju funkcij zunanjim izvajalcem potrebujejo informacije o zasnovi, delovanju in učinkovitosti kontrol. To na primer zadeva ravnanje z informacijami ali odvisnost od zagotovljenega sistema; določene velikosti podjetja iz tega ni mogoče izpeljati.
Potrebe strank sooblikujejo smiseln obseg preverjanja. Pred naročilom razjasnite, kateri izdelek, katero operativno okolje in katere zaveze so za prejemnike bistveni. Pogodbeno zahtevo za dokazovanje primerjajte z dejansko načrtovanim poročilom. SOC 2 ne uvaja splošne zakonske obveznosti preverjanja za vsakega ponudnika SaaS.
Priprava SOC 2 v šestih delovnih področjih.
Priprava povezuje usklajeno naročilo preverjanja s sledljivimi operativnimi kontrolami. Naslednja področja so praktična razdelitev; ne predstavljajo novega uradnega seznama meril. Podlaga ostajajo veljavna Trust Services Criteria in Description Criteria.
Opišite meje sistema in zaveze.
Poimenujte ponujeno storitev ter zanjo relevantne ljudi, postopke, sisteme in odvisnosti. Opis naj ustreza dejanski storitvi, ki jo stranke kupujejo. Po gradivu AICPA za vodstva sta opis sistema in izjava vodstva samostojna dela poročila; sam tehnični popis teh povezav še ne pojasni.
Uskladite kategorije in tveganja.
Storitvene zaveze in informacijske potrebe predvidenih uporabnikov pomagajo pri izbiri relevantnih kategorij. Zabeležite, zakaj vprašanje sodi v obseg in katera tveganja naj se preverijo. Kontrolni seznam AICPA za pregled zahteva presojo, ali zajete kategorije in zaveze zadostujejo za lastno uporabo.
Odgovorno izvajajte kontrole.
Opišite konkretne operativne ukrepe in osebe, ki jih izvajajo ali nadzorujejo. Različne storitve lahko potrebujejo različne kontrole. Splošna politika prispeva k dokazovanju le, če njene zahteve dosežejo relevantne postopke in je dejanska izvedba sledljiva.
Dokazila zbirajte ob pravem času.
Dokazila morajo časovno podpirati preverjano trditev. Za tip 1 je odločilen dogovorjeni presečni datum, za tip 2 določeno obdobje preverjanja. Nov posnetek zaslona ne more preprosto dokazati prejšnjega delovanja. AICPA pri časovni presoji izrecno opozarja na strokovno presojo revizorja.
Razjasnite zunanje storitve in naloge strank.
Pojasnite, kako so v poročilu obravnavane bistvene podizvajalske organizacije in katere naloge ostajajo pri stranki. Kontrolni seznam za pregled razlikuje dopolnilne kontrole stranke od drugih uporabniških nalog. Za lastno pripravo je priporočljiva jasna dodelitev, namesto da vse dejavnosti združite v splošen seznam dobaviteljev.
Ocenite spremembe in izjeme.
Rezultati preverjanja potrebujejo povezavo z zadevno storitvijo. Popravke in bistvene spremembe dokumentirajte tako, da je mogoče oceniti njihov učinek. Posamezna izjema pri preizkusu in revizijsko mnenje s pridržkom sta različni ugotovitvi. Gradivo AICPA za vodstva podpira ločeno obravnavo mnenja, preizkusov, rezultatov in drugih informacij.
Pot do poročila SOC 2.
Razjasnite prejemnike in potrebe.
Za praktičen začetek zabeležite, katera stranka želi presojati katero storitev in za katero odločitev naj poročilo služi kot podlaga.
Opredelite naročilo preverjanja.
Z ustrezno neodvisno družbo CPA uskladite opis sistema, relevantne kategorije, vrsto poročila ter načrtovani presečni datum oziroma obdobje.
Povežite kontrole in odgovornost.
S pristojnimi strokovnimi področji preverite, ali se opisani postopki dejansko izvajajo in kateri zapisi zagotavljajo sledljivost njihovega delovanja.
Zagotovite operativna dokazila.
Organizirajte zbiranje ustreznih dokazil med dogovorjenim obdobjem in zgodaj razjasnite dokazila o bistvenih zunanjih odvisnostih.
Obravnavajte ugotovitve.
Na podlagi konkretnih dokazil obravnavajte odprta vprašanja in izjeme ter zabeležite popravke in odgovornost za preostala tveganja.
Ocenite poročilo v kontekstu uporabe.
Po izdaji skupaj preberite obseg, mnenje, obdobje in naloge stranke ter načrtujte oceno poznejših bistvenih sprememb.
Pravilno branje SOC 2 tipa 2 in tipa 1.
Tip 1 in tip 2 odgovarjata na različni časovni vprašanji. Tip 1 zadeva opis sistema in zasnovo kontrol na presečni datum. SOC 2 tipa 2 dodatno vključuje njihovo učinkovitost pri delovanju v navedenem obdobju. Kontrolni seznam AICPA za pregled to razlikovanje beleži že pri splošnih podatkih poročila.
Poročilo SOC 2 izda licencirana družba CPA. Preverite odgovorno družbo in njeno ustrezno dovoljenje ter dejansko opisano naročilo. Pripravo pri svetovalcu ali ponudniku orodja je treba razlikovati od neodvisnega revizijskega dela. Odgovornost organizacije za njene kontrole ostaja.
Poročilo nima splošnega obdobja veljavnosti kot certifikat. Njegova uporabnost je odvisna od tega, ali sistem, obdobje in ugotovitve ustrezajo trenutnim potrebam stranke. Poznejša migracija ali druga bistvena sprememba lahko sproži dodatna vprašanja. Preverjanje dokumenta zato ostaja del lastne odločitve o ponudniku storitev.
Umestitev drugih okvirov.
ISO 27001 zadeva sistem upravljanja informacijske varnosti in njegovo možno certificiranje. BSI C5 sledi lastnemu modelu preverjanja storitev v oblaku. GDPR ureja obdelavo osebnih podatkov; poročilo SOC 2 ne nadomešča preverjanja teh zakonskih obveznosti.
V Secani.
Secani ponuja uredniški delovni katalog za AICPA Trust Services Criteria z lastnimi izvedbenimi napotki. Podatki profila razlikujejo usklajeno naročilo preverjanja in dodatne kategorije. Ukrepe in dokazila lahko obravnavate v delovnem kontekstu; lasten pripomoček ne nadomešča zaščitenega standarda meril ali neodvisnega preverjanja.
Začnite s potrebami stranke.
Izberite dejansko ponujeno storitev in zabeležite predvidene prejemnike poročila. Opišite, katere ugotovitve o storitvi potrebujejo in katere operativne meje so za to relevantne. Na tej podlagi se lahko z ustrezno revizijsko družbo pogovorite o vrsti poročila, obsegu in potrebni pripravi.
Viri.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report in kontrolni seznam za pregled
- AICPA – Maintaining high standards for SOC engagements
- AICPA – javni opis revizijskega vodnika SOC 2
Pogosta vprašanja.
Ne. SOC 2 je revizijsko poročilo neodvisnega storitvenega revizorja o opisanem sistemu in njegovih kontrolah, ne certifikat ISO ali splošna oznaka izdelka.
Tip 1 se nanaša na zasnovo kontrol na presečni datum. Tip 2 dodatno zajema njihovo operativno učinkovitost v dogovorjenem obdobju preverjanja.
Splošne fiksne obveznosti ali pogostosti preizkusov iz tega ni mogoče izpeljati. Tveganja, opisane kontrole in dogovorjeno naročilo preverjanja določajo, katera dokazila so ustrezna; pogodbe s strankami lahko vsebujejo dodatna pričakovanja.
Poročilo opisuje svoj presečni datum oziroma obdobje preverjanja. Ali zadostuje za trenutno odločitev, je odvisno tudi od zajete storitve, vmesnih sprememb in zahtev prejemnika.
Razjasnite obseg preverjanja.
Pogovorite se o tem, kako v Secani organizirate ukrepe in dokazila za svojo storitev.
Ta stran z lastnimi besedami pojasnjuje SOC 2. Odločilni so veljavni standardi AICPA in konkretno naročilo preverjanja; predstavitev ne nadomešča strokovnega preverjanja.