„SOC 2 Type 1 ar Type 2?“ – pirmas klausimas, kurį užduoda kiekviena įmonė, kai klientas paprašo SOC 2. Abi ataskaitas išduoda nepriklausoma CPA įmonė ir abi remiasi tais pačiais kriterijais, tačiau jos atsako į skirtingus klausimus. Šiame straipsnyje paaiškiname Type 1 ir Type 2 skirtumą, palyginame terminus bei kainas ir pateikiame praktinę rekomendaciją, nuo ko pradėti.
Trumpas atsakymas
SOC 2 Type 1 atsako į klausimą: „Ar įmonės kontrolės priemonės tinkamai suprojektuotos konkrečią datą?“ Auditorius patikrina, kad politikos egzistuoja, kontrolės priemonės įdiegtos ir jos geba atitikti atitinkamus kriterijus.
SOC 2 Type 2 atsako į sudėtingesnį klausimą: „Ar šios kontrolės priemonės veiksmingai veikė per visą laikotarpį?“ Auditorius atrenka įrodymų pavyzdžius iš viso stebėjimo laikotarpio (paprastai 3, 6 arba 12 mėnesių) ir tikrina, ar procedūrų iš tikrųjų buvo laikomasi: ar buvo pašalintos išėjusių darbuotojų paskyros, ar buvo testuojamos atsarginės kopijos, ar pakeitimai praėjo peržiūrą?
Paprastai tariant: Type 1 – tai nuotrauka, Type 2 – vaizdo įrašas.
Palyginimas greta
| Aspektas | SOC 2 Type 1 | SOC 2 Type 2 |
|---|---|---|
| Audito objektas | Kontrolės priemonių projektavimas | Projektavimas + veikimo veiksmingumas |
| Laiko aprėptis | Viena data („as of“) | 3–12 mėnesių laikotarpis |
| Auditoriaus testavimas | Dokumentų peržiūra, pokalbiai, konfigūracijos patikros | Tas pats, plius įrodymų atranka per visą laikotarpį |
| Laikas iki ataskaitos nuo nulio | 2–4 mėnesiai | 6–12 mėnesių |
| Tipinis audito mokestis (SVV) | 8–20 tūkst. USD | 15–40 tūkst. USD |
| Kaip tai skaito klientai | „Jie pradėjo kelionę“ | „Jie įrodė, kad procesai veikia“ |
| Dažnumas | Paprastai vieną kartą | Kasmet |
Ką auditorius iš tikrųjų tikrina
Type 1
Ataskaitos datai auditorius vertina kiekvieną kontrolės priemonę principu „ar ji egzistuoja ir ar ji tinkama“. Tokiai kontrolės priemonei kaip „prieiga prie gamybinės aplinkos suteikiama tik gavus patvirtinimą“ pakanka parodyti politiką, patvirtinimo eigą užduočių sistemoje ir dabartinį naudotojų sąrašą su įrodymais, kad kiekvienas naudotojas turi patvirtintą užklausą.
Type 2
Tos pačios kontrolės priemonės atveju auditorius paprašys visų per laikotarpį, tarkime, šešis mėnesius, suteiktų prieigų sąrašo, atsitiktinai atrinks pavyzdžius ir kiekvienam patikrins, ar buvo užklausa, ar ją patvirtino įgaliotas asmuo ir ar prieiga buvo suteikta po patvirtinimo, o ne prieš jį. Jei vienu iš 25 atrinktų atvejų patvirtinimo trūksta, tai yra išimtis ir ji patenka į ataskaitą.
Štai kodėl Type 2 reikalauja disciplinos: kontrolės priemonės turi veikti kasdien, o įrodymai turi būti renkami nuolat, o ne savaitę prieš auditą.
Kada pakanka Type 1
- Klientas reikalauja „bet kokios SOC 2“ per trumpą terminą, pavyzdžiui, iki sutarties pasirašymo per tris mėnesius.
- Kontrolės priemones įdiegėte tik ką ir neturite veikimo istorijos; Type 2 fiziškai neįmanoma be stebėjimo laikotarpio.
- Ankstyvos stadijos startuoliui reikia parodyti investuotojams ir pirmiesiems klientams, kad į saugumą žiūrima rimtai.
- Netrukus laukia dideli infrastruktūros pokyčiai, todėl dabar fiksuoti stebėjimo laikotarpį nepraktiška.
Kada reikia Type 2
- Stambūs verslo klientai, bankai, draudikai, sveikatos priežiūros įmonės. Jų tiekėjų rizikos procedūros paprastai reikalauja Type 2 su bent šešių mėnesių laikotarpiu.
- Jau turite Type 1; klientai tikėsis Type 2 per ateinančius metus.
- SOC 2 yra Jūsų pardavimo strategijos dalis, o ne vienkartinis reikalavimas. Type 2 atnaujinama kasmet, o nenutrūkstama ataskaitų grandinė be aprėpties spragų yra stiprus derybinis argumentas.
- Tvarkote didelius kiekius jautrių duomenų ir norite tikro savo procesų brandos patikrinimo.
Tipinė strategija: pirma Type 1, paskui Type 2
Dažniausias ir mažiausiai rizikingas kelias atrodo taip:
- Spragų analizė ir kontrolės priemonių diegimas (1–3 mėnesiai). Apibrėžiate apimtį ir TSC kriterijus, užpildote spragas.
- Type 1 auditas. Gaunate pirmąją ataskaitą, kuria jau galite dalytis su klientais.
- Stebėjimo laikotarpis (paprastai šeši mėnesiai pirmajai Type 2, vėliau – dvylika). Kontrolės priemonės veikia, įrodymai kaupiasi.
- Type 2 auditas. Gaunate ataskaitą, apimančią visą laikotarpį.
- Kasmetinis Type 2 atnaujinimas be aprėpties spragų.
Type 1 galima praleisti ir eiti tiesiai prie Type 2. Bendrai tai pigiau, tačiau pirmąją ataskaitą gausite tik po 8–12 mėnesių. Jei laukia sandoriai, tarpinė Type 1 atsiperka.
Kas yra bridge letter ir kodėl jis svarbus
Type 2 ataskaita apima praėjusį laikotarpį. Jei klientas paprašo ataskaitos vasarį, o Jūsų paskutinis laikotarpis baigėsi rugsėjį, susidaro spraga. Tokiais atvejais įmonė išduoda bridge letter (dar vadinamą gap letter): vadovybės pareiškimą, kad nuo laikotarpio pabaigos esminių kontrolės priemonių pokyčių neįvyko. Jis nepakeičia ataskaitos, tačiau padengia intervalą iki kito audito.
Dažniausios klaidos renkantis
- Pažadėti klientui Type 2 „per tris mėnesius“. Be stebėjimo laikotarpio tai neįmanoma, ir patikimas auditorius su tuo nesutiks.
- Pasirinkti trumpiausią laikotarpį (tris mėnesius) pirmajai Type 2, kai klientas aiškiai tikisi šešių ar dvylikos.
- Keisti apimtį ar kriterijus laikotarpio viduryje nesuderinus su auditoriumi.
- Neplanuoti kito laikotarpio iš karto gavus ataskaitą ir galiausiai susidurti su aprėpties spraga.
Kaip padeda BALTUM
Mūsų konsultacijų komanda atlieka spragų analizę, parengia politikas ir padeda įdiegti kontrolės priemones taip, kad jos nuo pirmos dienos būtų parengtos Type 2, o ne vien Type 1. Sukonfigūruojame įrodymų rinkimą, kad stebėjimo laikotarpis neatneštų staigmenų, ir suderiname grafiką su BALTUM grupės JAV CPA įmone, kurios nepriklausoma audito komanda išduoda ataskaitą. Jei Jūsų Europos klientai taip pat prašo ISO 27001, pažvelkite į SOC 2 + ISO 27001 paketą; dauguma kontrolės priemonių yra bendros, o sertifikatą išduoda grupės akredituota sertifikavimo įstaiga. Biudžeto detales rasite straipsnyje kiek kainuoja SOC 2, o pagrindus – straipsnyje kas yra SOC 2.
Nesate tikri, kuris ataskaitos tipas tinka Jūsų situacijai? Atsiųskite mums trumpą savo produkto ir kliento reikalavimo aprašymą – rekomenduosime optimalią seką ir terminus. Gaukite konsultaciją.