SOC 2.
Stäm av granskningens omfattning, rapporttyp och underlag så att kunder kan bedöma den tjänst de faktiskt använder.
- AICPA TSC 2017 · Points of Focus 2022
- Av Derya Altinay
- Aktuellt per: 2026-10-22
- Lästid: 6 min.
Kort svar.
SOC 2 är en granskningsrapport om kontroller i ett avgränsat tjänstesystem utifrån AICPA Trust Services Criteria. En oberoende CPA-byrå bedömer systembeskrivningen och kontrollernas utformning. Typ 2 omfattar dessutom kontrollernas operativa effektivitet under en fastställd period. Typ 1 avser en viss tidpunkt.
SOC 2 och Trust Services Criteria.
SOC 2 ingår i AICPA:s serie System and Organization Controls. Tjänsteleverantörer låter en oberoende Service Auditor granska systemets kontroller. AICPA beskriver rapporterna som informationsunderlag för risker med utlagda tjänster. Avgörande är därför vilken tjänst som granskats med vilka åtaganden och vilka uttalanden det konkreta uppdraget omfattar.
Trust Services Criteria ordnar områdena säkerhet, tillgänglighet, behandlingsintegritet, konfidentialitet och integritetsskydd. Den offentligt erbjudna grunden heter 2017 Trust Services Criteria med reviderade Points of Focus 2022. Gemensamma kriterier och ytterligare kategorier bedöms tillsammans i granskningsuppdraget. Kategorinamnen innebär inte fem identiska kravpaket för varje tjänst. En kategoris innehåll är heller ingen föreskriven programvaruprodukt.
Systembeskrivningen har en egen måttstock: 2018 SOC 2 Description Criteria med reviderad tillämpningsvägledning 2022. Den förklarar vad som ingår i systemet och hur det drivs. Kontrollbedömningen undersöker sedan tillhörande åtgärder. En fullständig rapport förenar perspektiven. En logotyp visar varken omfattning eller granskningsuttalande.
Vem en SOC 2-rapport är avsedd för.
En SOC 2-rapport riktar sig till tjänsteleverantörer och kunder som vill bedöma deras tjänster. Enligt AICPA:s offentliga beskrivning av granskningsvägledningen behöver kunder information om kontrollernas utformning, drift och effektivitet när de lägger ut funktioner. Det gäller exempelvis hantering av information eller beroende av ett tillhandahållet system. Någon bestämd företagsstorlek kan inte härledas ur detta.
Kundbehovet medbestämmer lämplig granskningsomfattning. Klargör före beställning vilken produkt, driftsmiljö och vilka åtaganden som är väsentliga för mottagarna. Ett avtalskrav på underlag bör jämföras med den faktiskt planerade rapporten. SOC 2 medför ingen generell lagstadgad granskningsskyldighet för alla SaaS-leverantörer.
SOC 2-förberedelser inom sex arbetsområden.
Förberedelserna förenar ett avstämt granskningsuppdrag med spårbara operativa kontroller. Följande områden är en praktisk indelning. De utgör ingen ny officiell kriterielista. Tillämpliga Trust Services Criteria och Description Criteria förblir grunden.
Beskriv systemgräns och åtaganden.
Ange den erbjudna tjänsten och relevanta människor, rutiner, system och beroenden. Beskrivningen bör motsvara den faktiska tjänst som kunder köper. Enligt AICPA:s ledningsresurs är systembeskrivning och ledningens uttalande egna rapportdelar. Enbart en teknisk inventering förklarar inte dessa samband.
Stäm av kategorier och risker.
Leveransåtaganden och avsedda användares informationsbehov hjälper vid valet av relevanta kategorier. Dokumentera varför en fråga ingår i omfattningen och vilka risker som ska undersökas. AICPA:s granskningschecklista kräver bedömning av om omfattade kategorier och åtaganden räcker för den egna användningen.
Driv kontroller med tydligt ansvar.
Beskriv konkreta operativa åtgärder och de personer som utför eller övervakar dem. Olika tjänster kan behöva olika kontroller. En allmän riktlinje bidrar till underlaget först när reglerna når fram till relevanta rutiner och det faktiska utförandet är spårbart.
Samla underlag vid rätt tidpunkt.
Underlag måste tidsmässigt styrka det granskade påståendet. För typ 1 är överenskommen tidpunkt avgörande, för typ 2 fastställd granskningsperiod. En ny skärmbild kan inte utan vidare styrka tidigare drift. AICPA hänvisar vid tidsbedömningen uttryckligen till revisorns professionella omdöme.
Klargör utlagda tjänster och kunduppgifter.
Förklara hur väsentliga underleverantörsorganisationer behandlas i rapporten och vilka uppgifter som kvarstår hos kunden. Granskningschecklistan skiljer kompletterande kundkontroller från andra användaruppgifter. För egna förberedelser rekommenderas tydlig fördelning i stället för att samla alla aktiviteter i en allmän leverantörslista.
Bedöm förändringar och undantag.
Granskningsresultat behöver sitt sammanhang i den berörda tjänsten. Dokumentera korrigeringar och väsentliga förändringar så att effekten kan bedömas. Ett enskilt testundantag och ett granskningsuttalande med reservation är olika uppgifter. AICPA:s ledningsresurs stöder separat bedömning av uttalande, tester, resultat och ytterligare information.
Vägen till SOC 2-rapporten.
Klargör mottagare och behov.
Börja praktiskt med att dokumentera vilken kund som vill bedöma vilken tjänst och vilket beslutsunderlag rapporten ska ge.
Avgränsa granskningsuppdraget.
Stäm av systembeskrivning, relevanta kategorier, rapporttyp och planerad tidpunkt eller period med en lämplig oberoende CPA-byrå.
Koppla samman kontroller och ansvar.
Pröva med ansvariga verksamhetsområden om beskrivna rutiner faktiskt drivs och vilken dokumentation som gör driften spårbar.
Håll driftsunderlag tillgängliga.
Organisera insamling av lämpliga underlag under överenskommen period och klargör tidigt underlagen för väsentliga externa beroenden.
Hantera iakttagelser.
Diskutera öppna frågor och undantag utifrån konkreta underlag och dokumentera korrigeringar och ansvar för kvarvarande risker.
Utvärdera rapporten i användningssammanhanget.
Läs efter utfärdandet omfattning, uttalande, period och kunduppgifter tillsammans och planera för bedömning av senare väsentliga förändringar.
Läs SOC 2 Type 2 och typ 1 rätt.
Typ 1 och typ 2 besvarar olika tidsfrågor. Typ 1 gäller systembeskrivningen och kontrollernas utformning vid en viss tidpunkt. SOC 2 Type 2 omfattar dessutom effektiviteten i drift under angiven period. AICPA:s granskningschecklista dokumenterar denna skillnad redan bland de allmänna rapportuppgifterna.
En licensierad CPA-byrå utfärdar SOC 2-rapporten. Kontrollera ansvarig byrå, relevant auktorisation och det faktiskt beskrivna uppdraget. Förberedelser av en konsult eller verktygsleverantör ska skiljas från den oberoende granskningstjänsten. Organisationens ansvar för sina kontroller består.
Rapporten har ingen generell giltighetstid som ett certifikat. Användbarheten beror på om system, period och uttalande passar det aktuella kundbehovet. En senare migrering eller annan väsentlig förändring kan väcka ytterligare frågor. Dokumentgranskningen förblir därför en del av det egna beslutet om en leverantör.
Förhållandet till andra ramverk.
ISO 27001 gäller ett ledningssystem för informationssäkerhet och dess möjliga certifiering. BSI C5 följer en egen granskningsmodell för molntjänster. GDPR reglerar personuppgiftsbehandling. En SOC 2-rapport ersätter inte prövningen av dessa lagstadgade skyldigheter.
I Secani.
Secani erbjuder en redaktionell arbetskatalog för AICPA Trust Services Criteria med egna genomförandeanvisningar. Profiluppgifter skiljer mellan avstämt granskningsuppdrag och ytterligare kategorier. Åtgärder och underlag kan hanteras i arbetets sammanhang. Det egna hjälpmedlet ersätter varken den skyddade kriteriestandarden eller den oberoende granskningen.
Börja med kundbehovet.
Välj en tjänst som faktiskt erbjuds och dokumentera rapportens avsedda mottagare. Beskriv vilket uttalande om tjänsten de behöver och vilken driftsgräns som är relevant. Med denna grund kan ni diskutera rapporttyp, omfattning och nödvändigt förarbete med en lämplig granskningsbyrå.
Källor.
- AICPA – SOC Suite of Services
- AICPA – 2017 Trust Services Criteria, Points of Focus 2022
- AICPA – 2018 Description Criteria, Guidance 2022
- AICPA – Key Elements of a SOC 2 Report och granskningschecklista
- AICPA – Maintaining high standards for SOC engagements
- AICPA – offentlig beskrivning av SOC 2-granskningsvägledningen
Vanliga frågor.
Nej. SOC 2 är en granskningsrapport från en oberoende Service Auditor om ett beskrivet system och dess kontroller, inget ISO-certifikat eller allmänt produktmärke.
Typ 1 avser kontrollernas utformning vid en viss tidpunkt. Typ 2 omfattar dessutom deras operativa effektivitet under överenskommen granskningsperiod.
Någon allmän fast skyldighet eller testfrekvens kan inte härledas. Risker, beskrivna kontroller och överenskommet granskningsuppdrag avgör vilka underlag som är lämpliga. Kundavtal kan innehålla ytterligare förväntningar.
Rapporten beskriver sin tidpunkt eller granskningsperiod. Om den räcker för ett aktuellt beslut beror även på den omfattade tjänsten, förändringar därefter och mottagarens krav.
Klargör granskningens omfattning.
Diskutera hur ni kan organisera åtgärder och underlag för er tjänst i Secani.
Denna sida förklarar SOC 2 med egna ord. Tillämpliga AICPA-standarder och det konkreta granskningsuppdraget är avgörande. Beskrivningen ersätter ingen sakkunnig granskning.