Pomáhá vedení zákazníka a auditorům finančních výkazů pochopit, jak outsourcované zpracování může ovlivnit kontroly finančního výkaznictví; není to obecné hodnocení kybernetické bezpečnosti.
Vedení popisuje službu a prohlašuje, že popis a kontroly splňují platná kritéria. Nezávislá licencovaná firma CPA zkoumá toto prohlášení podle platných profesních attestačních standardů. Zpráva Type 1 řeší návrh kontrol k specifikovanému datu; zpráva Type 2 také řeší provozní účinnost během specifikovaného období.
Klíčové body
Čtěte rozsahIdentifikujte službu, lokace, systémy, kontrolní cíle, reportovací období či datum, dílčí servisní organizace a metodu použitou k jejich zahrnutí či vyjmutí.
Použijte výrokPřezkoumejte výrok auditora, testy a výsledky u zprávy Type 2, výjimky, reakce vedení a zda důkazy odpovídají rizikům finančního výkaznictví zákazníka.
Dokončete řetězec kontrolImplementujte komplementární kontroly uživatelské entity a hodnoťte závislosti dílčích služeb; servisní organizace nemůže provozovat kontroly přiřazené svým zákazníkům.
Důležité omezeníČistý výrok SOC 1 není bezpečnostní certifikace a nepokrývá každý systém, hrozbu či zákaznickou odpovědnost. Poskytuje assurance pouze pro popsaný rozsah, kritéria, datum či období a kontroly relevantní pro finanční výkaznictví.