Es stimmt, dass AICPA SOC 2-Berichte über 100 Seiten detaillierter Kriterien und technischer Fachbegriffe enthalten können. Auch wenn es keine leichte Lektüre ist, hat ein SOC 2-Bericht eine klare und lineare Struktur, die es leicht macht, ihn zu navigieren.

Ein SOC 2-Bericht führt den Leser durch die Ergebnisse einer Prüfung. Er beschreibt ein bestimmtes System und diskutiert, ob dieses System die Prüfungsanforderungen erfüllt.

Dies ist der Grund, warum ein SOC 2-Bericht so lang ist. Er deckt typischerweise Folgendes ab:

• Detaillierte Informationen über den Zweck und den Umfang der Prüfung
• Informationen über das System und interne Kontrollen
• Die Perspektiven des Unternehmensmanagements und des Prüfers

Was ist in einem SOC 2-Bericht enthalten?

SOC 2-Berichte haben fünf Hauptabschnitte:

1. Bericht des Prüfers

Dieser erste Abschnitt eines SOC 2-Berichts ist eine Zusammenfassung der Prüfung. Kurz, knapp und auf den Punkt gebracht, wird dieser Abschnitt vom Prüfer verfasst. Er bietet eine kurze Zusammenfassung der gesamten SOC-Prüfung, einschließlich des Umfangs und Zeitraums der Prüfung sowie der abschließenden Meinung des Prüfers.

Für viele ist dies der wichtigste Teil des Berichts, da er normalerweise angibt, ob die Dienstleistungsorganisation die Prüfung bestanden hat. Hier sind die Begriffe, die Prüfer verwenden, um die Ergebnisse zu beschreiben:

• Unqualifiziert: Das Unternehmen hat seine Prüfung bestanden.
• Qualifiziert: Das Unternehmen hat bestanden, aber einige Bereiche erfordern Aufmerksamkeit.
• Negativ: Das Unternehmen hat seine Prüfung nicht bestanden.
• Einschränkung der Meinung: Der Prüfer hat nicht genügend Informationen, um eine faire Schlussfolgerung zu ziehen.

2. Management-Aussage

Dies ist normalerweise der kürzeste Abschnitt des Berichts. Die Management-Aussage ermöglicht es dem Unternehmen, Behauptungen (oder „Aussagen“) über seine Systeme und Organisationskontrollen aufzustellen.

Die meisten Management-Aussagen sind die Art und Weise des Unternehmens zu sagen: „Dies sind unsere Systeme, dies sind ihre Sicherheitskontrollen und dies denken wir derzeit darüber.“ Dieser Abschnitt kann auch die Aussagen des Unternehmens über die Prüfung selbst enthalten, wie beispielsweise den Zeitrahmen und den Umfang.

Dieser Abschnitt mag redundant erscheinen, ist aber oft notwendig, um eine rechtliche Basis zwischen dem Unternehmen und dem Prüfer zu schaffen.

3. Systembeschreibung

Dieser Abschnitt bietet einen detaillierten Überblick über das System, das geprüft wird. Er beschreibt Systemkomponenten, Verfahren und Systemvorfälle.

Häufige Bestandteile einer Systembeschreibung sind:

• Systemumfang und Anforderungen
• Systemkomponenten (z.B. Infrastruktur, Personen usw.)
• Kontrollrahmen
• Systemvorfälle
• Ergänzende Informationen (z.B. Benutzerverantwortlichkeiten usw.)

Natürlich ist dieser Abschnitt nur so detailliert und komplex wie das System, das beschrieben wird. Normalerweise können Sie etwa 20-30 Seiten detaillierter Informationen erwarten.

4. Kontrollen testen

Dies ist der längste Abschnitt eines SOC 2-Berichts und beschreibt jeden Test, der während der Prüfung durchgeführt wurde.

Da SOC 2-Berichte informationssicherheitsorientiert sind, beziehen sich die meisten der in diesem Abschnitt enthaltenen Tests auf die „Sicherheits“-Kriterien des Trust Services. Hier wird Sicherheit in neun Allgemeine Kriterien (CC) unterteilt.

Die meisten SOC 2-Berichte zeigen Tests in Tabellenform mit folgenden Informationen:

• Allgemeine Kriterien (CC)
• Trust Services Kriterien oder Kontrollziele
• Kontrollnummer
• Kontrollbeschreibung vom Unternehmen
• Testbeschreibung des Prüfers
• Testergebnisse zur operativen Effektivität

5. Andere Informationen

Einige SOC-2-Auditberichte enthalten einen zusätzlichen Abschnitt für weitere Informationen. Zum Beispiel die Antwort des Managements auf spezifische Testergebnisse. Unternehmen können erklären, warum eine Ausnahme aufgetreten ist oder was sie seitdem unternommen haben, um sie zu beheben.