SOC 2-begrippenlijst

A

AICPA

American Institute of Certified Public Accountants, de Amerikaanse beroepsorganisatie van accountants en eigenaar van het SOC-framework en de Trust Services Criteria.

Assurance-rapport

Een rapport waarin een onafhankelijke auditor zekerheid (assurance) verschaft over een bewering van het management. Het eindproduct van elk SOC 2-traject. Er bestaat geen SOC 2-certificaat.

Attest-opdracht

Opdrachtvorm waarbij de auditor een oordeel geeft over een bewering (assertion) van het management, in plaats van zelf de informatie op te stellen. SOC 2 is een attest-opdracht.

B

Bridge letter (gap letter)

Korte verklaring van het management dat er sinds het einde van de laatste rapportperiode geen wezenlijke wijzigingen in de beheersmaatregelen zijn geweest. Overbrugt de maanden tussen twee SOC 2-rapporten. Komt van het management, niet van de auditor.

C

Carve-out-methode

Scopingmethode waarbij de beheersmaatregelen van subservice-organisaties (zoals een cloudprovider) buiten het onderzoek blijven; het rapport verwijst naar hun eigen SOC-rapporten. Het gangbare alternatief voor de inclusive-methode.

Common Criteria (CC)

De criteria van de categorie Security, genummerd CC1 t/m CC9. Verplicht in elk SOC 2-rapport en de basis waarop de andere categorieën voortbouwen. Zie de Trust Services Criteria.

Complementary User Entity Controls (CUEC's)

Beheersmaatregelen die de serviceorganisatie van haar klánten verwacht (bijvoorbeeld het zelf beheren van gebruikersaccounts). Het oordeel in het rapport geldt alleen als de klant deze maatregelen zelf uitvoert.

Control (beheersmaatregel)

Een proces, procedure of technische maatregel die een risico beheerst, van MFA-verplichting tot een wekelijkse back-upcontrole. De auditor toetst controls aan de Trust Services Criteria.

COSO

Committee of Sponsoring Organizations of the Treadway Commission, internationaal raamwerk voor interne beheersing. De Trust Services Criteria zijn op het COSO-raamwerk gebaseerd.

E

Evidence (bewijs)

Documentatie waarmee de werking van een control wordt aangetoond: tickets, logbestanden, goedkeuringen, notulen, screenshots. Zonder bewijs bestaat een control voor de auditor niet.

Exception

Testafwijking: een geval waarin een control niet (volledig) heeft gewerkt zoals beschreven. Exceptions komen in de meeste Type II-rapporten voor en leiden niet automatisch tot een negatief oordeel.

G

Gap-analyse

Analyse van het verschil tussen de huidige situatie en de eisen van de Trust Services Criteria. Onderdeel van het readiness assessment; resulteert in een remediatieplan.

I

Inclusive-methode

Scopingmethode waarbij de relevante controls van subservice-organisaties wél binnen het onderzoek vallen en worden meegetoetst. Komt minder vaak voor dan de carve-out-methode.

ISAE 3000

Internationale standaard voor assurance-opdrachten anders dan controles van financiële overzichten. Nederlandse en Europese auditors voeren SOC 2-achtige opdrachten doorgaans onder deze standaard uit.

ISAE 3402

Internationale standaard voor assurance over uitbestede processen die de financiële verslaggeving raken, de internationale evenknie van SOC 1.

ISO/IEC 27001

Internationale, certificeerbare norm voor een managementsysteem voor informatiebeveiliging (ISMS). Zie SOC 2 vs. ISO 27001 voor de vergelijking.

M

Management assertion

De formele bewering van het management dat de systeembeschrijving juist is en de controls effectief zijn. De auditor toetst deze bewering, vandaar “attest-opdracht”.

O

Observatieperiode (review period)

De periode waarover bij een Type II-rapport de werking van de controls wordt getoetst, doorgaans 3 tot 12 maanden.

Opinion (oordeel)

Het onafhankelijke oordeel van de auditor in sectie 1 van het rapport. Varianten: unqualified (goedkeurend), qualified (met beperking), adverse (afkeurend) en disclaimer (oordeelonthouding).

P

Points of focus

Aandachtspunten per criterium die illustreren waar een auditor naar kijkt. Richtinggevend, geen verplichte checklist. In 2022 heeft de AICPA ze herzien.

Q

Qualified opinion

Oordeel “met beperking”: de auditor keurt het geheel goed, behálve op specifiek benoemde onderdelen. Lezers moeten beoordelen of die onderdelen voor hun gebruik van de dienst relevant zijn.

R

Readiness assessment

Nulmeting voorafgaand aan de audit: waar voldoet de organisatie al en waar zitten gaten? Voorkomt verrassingen tijdens het echte onderzoek.

Remediatie

Het wegwerken van de bevindingen uit de gap-analyse: beleid vastleggen, processen formaliseren en technische maatregelen inrichten.

Restricted use

Distributiebeperking van SOC 1- en SOC 2-rapporten: bedoeld voor klanten, prospects en hun adviseurs, meestal gedeeld onder NDA. SOC 3 is daarentegen “general use”.

S

Scope

De afbakening van het onderzoek: welke dienst(en), systemen, locaties en Trust Services-categorieën worden getoetst. De belangrijkste ontwerpkeuze van het hele traject.

Serviceorganisatie

De organisatie die diensten levert en het SOC 2-rapport laat opstellen, bijvoorbeeld een SaaS-leverancier, hostingpartij of BPO-dienstverlener.

SOC 1 / SOC 2 / SOC 3

De drie rapportagevormen van de AICPA: financiële verslaggeving (SOC 1), operationele beheersing (SOC 2) en de publieke samenvatting daarvan (SOC 3). Zie de vergelijking.

SSAE 18 / AT-C

De Amerikaanse attestatiestandaarden van de AICPA waaronder SOC-opdrachten in de VS worden uitgevoerd. Buiten de VS wordt veelal ISAE 3000 gebruikt.

Subservice-organisatie

Een onderaannemer van de serviceorganisatie die relevante taken uitvoert, zoals een cloudprovider of datacenter. Wordt via de carve-out- of inclusive-methode in de scope verwerkt.

Systeembeschrijving (system description)

Sectie 3 van het rapport: de beschrijving door het management van de dienst, infrastructuur, processen, mensen en data binnen de scope.

T

Trust Services Criteria (TSC)

De vijf categorieën criteria waartegen elk SOC 2-onderzoek toetst: Security, Availability, Processing Integrity, Confidentiality en Privacy. Zie het volledige artikel.

Type I

Rapportvorm waarbij de opzet en het bestaan van de controls op één peildatum worden beoordeeld. Zie Type I vs. Type II.

Type II

Rapportvorm waarbij naast opzet en bestaan ook de werking van de controls over een observatieperiode wordt getoetst. De marktstandaard.

U

Unqualified opinion

Goedkeurend oordeel zonder beperkingen, het oordeel dat elke serviceorganisatie nastreeft. Let op: ook bij een unqualified opinion kunnen individuele exceptions in het rapport staan.

User entity

De klant/afnemer van de serviceorganisatie, degene voor wie het SOC 2-rapport uiteindelijk is bedoeld.