SOC 2 rapportage
Een SOC 2-rapport is het resultaat van een onafhankelijke audit waarbij wordt beoordeeld in hoeverre een IT-serviceorganisatie haar dienstverlening beheerst op het gebied van beveiliging, beschikbaarheid, integriteit, vertrouwelijkheid en/of privacy. Het rapport biedt bestaande en potentiële klanten inzicht in de kwaliteit en betrouwbaarheid van de geleverde IT-services.
SOC 2 Type 1
Een SOC 2 Type 1 audit beoordeelt de situatie op één specifiek moment. De auditor toetst of de beschreven procedures en maatregelen bestaan en of de opzet daarvan afdoende is. Concreet geeft het Type 1 rapport een oordeel over:
- Of de beschrijving van het systeem van de IT-serviceorganisatie, inclusief de interne controlemaatregelen, een getrouw beeld geeft van de werkelijkheid.
- Of de opzet van de interne controlemaatregelen afdoende is.
SOC 2 Type 2
Een SOC 2 Type 2 audit gaat een stap verder. Hier wordt niet alleen gekeken of de maatregelen bestaan en goed zijn opgezet, maar ook of de organisatie er in de praktijk daadwerkelijk naar heeft gehandeld. Het Type 2 rapport voegt daarom een derde oordeel toe:
- Of de interne controlemaatregelen gedurende een bepaalde periode ook effectief hebben gewerkt.
Om een SOC 2 Type 2 verklaring te behouden, vindt jaarlijks een herhalingsaudit plaats. Hierbij wordt beoordeeld of de organisatie het afgelopen jaar heeft gewerkt volgens de beschreven procedures en of de maatregelen aantoonbaar effectief zijn geweest.
Een SOC 2 Type 2 rapport is daarmee het meest volledige bewijs van betrouwbare dienstverlening en geeft bestaande en potentiële klanten het grootste inzicht in de kwaliteit van de geleverde IT-services.
