Hva en SOC 2 Type 2-rapport forteller kunden
SOC 2 Type 2 vurderer kontroller over en avgrenset periode. Les omfang, uttalelse, testresultater og kundens ansvar, ikke bare tittelen.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
En SOC 2 Type 2-rapport gir kunden en uavhengig undersøkelse av bestemte kontroller over en avgrenset periode. Den kan støtte leverandørvurderingen, men tittelen alene viser ikke om tjenesten dekker kundens behov.
Systembeskrivelsen, perioden, revisors uttalelse og testresultatene har alle betydning.
Type 1 og Type 2 besvarer ulike spørsmål
SOC 2 bruker AICPAs tillitstjenestekriterier for sikkerhet og eventuelle andre valgte kategorier som er relevante for tjenesteløftene. Type 1 vurderer systembeskrivelsen og om kontrollene er hensiktsmessig utformet på en bestemt dato. Type 2 vurderer også hvordan kontrollene har fungert over en periode.
Resultatet er en rapport fra et lisensiert CPA-firma, ikke et sertifikat som ved ISO 27001. AICPA har både en veileder for undersøkelsen og en sjekkliste for rapportgjennomgang.
Les avgrensningene og resultatene
Kontroller at rapporten dekker tjenesten dere kjøper. Identifiser relevante underleverandører og hvordan de er behandlet. Les uttalelsen og testresultatene, inkludert avvik og ledelsens svar.
Les også kontrollene kunden selv forutsettes å utføre, kalt complementary user entity controls. Leverandørens rapport fjerner ikke kundens ansvar for egne tilganger og prosesser.
Type 2 gjelder den oppgitte perioden. Spør om vesentlige endringer og tiden mellom periodens slutt og innkjøpsbeslutningen. En eldre rapport er ikke et sanntidsbilde.
Planlegg perioden før dere lover en rapport
Avtal omfang og periode med CPA-firmaet, og undersøk hva kunden godtar. Virksomheten trenger kontroller i drift og tilgjengelige bevis gjennom perioden.
Ta med tid til forberedelser og ferdigstilling. Hvis seks måneders drift skal undersøkes, kan ikke to uker med skriving skape disse månedene.
FM kan bistå med forberedelser og organisering av bevis. Det uavhengige firmaets uttalelse er fortsatt dets egen. Planleggingsguiden for SOC 2 knytter arbeidet til et konkret kundekrav.
