Pomaga kierownictwu klientów i audytorom sprawozdań finansowych zrozumieć, jak przetwarzanie outsourcowane może wpływać na kontrole sprawozdawczości finansowej; nie jest ogólną oceną cyberbezpieczeństwa.
Kierownictwo opisuje usługę i twierdzi, że opis i kontrole spełniają mające zastosowanie kryteria. Niezależna licencjonowana firma CPA bada to twierdzenie według mających zastosowanie profesjonalnych standardów attestacji. Raport typu 1 adresuje projekt kontroli na określoną datę; raport typu 2 adresuje też skuteczność operacyjną w określonym okresie.
Najważniejsze punkty
Czytaj zakresZidentyfikuj usługę, lokalizacje, systemy, cele kontroli, okres lub datę raportowania, organizacje podusługowe i metodę ich włączenia lub wyłączenia.
Użyj opiniiPrzejrzyj opinię audytora, testy i wyniki dla raportu typu 2, wyjątki, odpowiedzi kierownictwa oraz czy dowody pasują do ryzyk sprawozdawczości finansowej klienta.
Uzupełnij łańcuch kontroliWdroż komplementarne kontrole podmiotu użytkownika i oceń zależności podusługowe; organizacja usługowa nie może operować kontrolami przypisanymi jej klientom.
Istotne ograniczenieCzysta opinia SOC 1 nie jest certyfikacją bezpieczeństwa i nie obejmuje każdego systemu, zagrożenia ani odpowiedzialności klienta. Zapewnia zapewnienie tylko dla opisanego zakresu, kryteriów, daty lub okresu oraz kontroli istotnych dla sprawozdawczości finansowej.