In het kort
- Een SOC 2-onderzoek toetst controls (beheersmaatregelen), en bewijs moet daarbij bron, datum en volledigheid tonen.
- Er bestaat geen vaste lijst met bewijsstukken: de auditor bepaalt per control wat nodig is.
- Per Common Criteria-reeks (CC1 t/m CC9) en per aanvullende categorie zijn er gangbare bewijsstukken, zoals goedkeuringen, tickets, toegangsoverzichten en exports.
- Bewijs dat je achteraf maakt, of onvolledig bewaart, laat niet zien dat een control destijds werkte.
Kort antwoord
Een SOC 2-onderzoek toetst controls, de beheersmaatregelen die een organisatie heeft ingericht. Welk bewijs nodig is, hangt af van de control die wordt getest, en die keuze ligt bij de auditor. Deze pagina geeft een bewijslijst per criterium, zodat je kunt nagaan wat je al hebt en wat je nog moet inrichten. Voor de fasen van het traject lees je het auditproces van SOC 2; hier gaat het alleen om bewijs.
Hoe de auditor bewijs gebruikt
Een SOC 2-onderzoek wordt uitgevoerd door een onafhankelijke auditor (in de VS een CPA, in Nederland meestal een IT-auditor onder ISAE 3000). De auditor begint bij de beschrijving van een control: wat er gebeurt, wie het uitvoert, hoe vaak, en wat het oplevert. Een control die elke maand een review vraagt, heeft bewijs nodig van elke maand.
Bij een Type 2-onderzoek toetst de auditor of de control gedurende de observatieperiode heeft gewerkt. Het verschil tussen Type 1 en Type 2 staat op SOC 2 Type 1 vs. Type 2. Daarvoor kijkt de auditor naar de populatie: de volledige set gebeurtenissen of uitvoeringen van die control in de periode, zoals alle wijzigingen of alle toegangsverzoeken.
Uit die populatie kiest de auditor een steekproef (sample). In de regel maakt de auditor die selectie zelf, en niet het management. Bij elk geselecteerd geval moet bewijs bestaan dat de control op dat moment is uitgevoerd.
Een populatie is alleen bruikbaar als hij compleet is. Een rapport uit een systeem, in het Engels information produced by the entity (IPE), moet de auditor daarom kunnen controleren op volledigheid en juistheid. Een handmatig bewerkte lijst of een export met een verkeerd filter maakt dat lastig.
Goed om te weten: dit is algemene informatie over hoe bewijs wordt beoordeeld. Wat voor jouw organisatie geldt, bespreek je met je auditor.
Elk bewijsstuk moet daarom drie dingen tonen: de bron (uit welk systeem of document het komt), de datum (wanneer het is gemaakt) en de volledigheid (wat er wel en niet in staat). Termen die je in het auditproces tegenkomt, staan in de begrippenlijst.
Bewijslijst per criterium
De tabel geeft per reeks Common Criteria (CC1 t/m CC9) en per aanvullende categorie voorbeelden van bewijs. Dit zijn algemene praktijkvoorbeelden, geen verplichte lijst: de auditor bepaalt wat nodig is. Wat de reeksen inhoudelijk betekenen, lees je in de Common Criteria in gewone taal.
| Criterium (naam) | Typisch bewijs | Tip |
|---|---|---|
| CC1 Control environment | Gedragsregels met datum van bevestiging, organisatieschema met verantwoordelijkheden, notulen van toezicht door het bestuur | Leg niet alleen de regels vast, maar ook wanneer medewerkers ze hebben bevestigd |
| CC2 Communication and information | Aankondigingen van beleid en wijzigingen, kanalen voor het melden van problemen, berichten aan klanten over storingen | Bewaar de versie die daadwerkelijk is verstuurd, met datum en ontvangers |
| CC3 Risk assessment | Risicoregister met versiedatum en eigenaar, verslag van de risicobeoordeling, behandelplan per risico | Een register dat in de periode niet is bijgewerkt, is zwak bewijs |
| CC4 Monitoring activities | Verslagen van interne reviews en interne audits, dashboards met datum, opvolging van bevindingen | Laat zien wie keek, welke gegevens er waren en wat er is besloten |
| CC5 Control activities | Goedgekeurd beleid met versienummer, voorbeelden van uitgevoerde procedures, overzicht van functiescheiding | Koppel elke control aan het beleid waaruit hij voortkomt |
| CC6 Logical and physical access controls | Periodieke toegangsbeoordelingen met datum en beoordelaar, tickets voor toekenning en intrekking, instellingen voor authenticatie, logs van fysieke toegang | Vergelijk de lijst met vertrokken medewerkers met de actieve accounts, want die populatie moet compleet zijn |
| CC7 System operations | Alerts met de opvolging ervan, incidentregistratie met tijdlijn, back-uplogs en verslagen van herstelproeven | Een herstelproef zegt meer dan een logbestand waaruit blijkt dat er een back-up is gemaakt |
| CC8 Change management | Wijzigingsverzoeken met goedkeuring, testbewijs vóór productie, exports uit het wijzigingssysteem | Zorg dat je alle wijzigingen uit de periode kunt exporteren, niet alleen de goedgekeurde |
| CC9 Risk mitigation | Beoordelingen van leveranciers met datum, contracten met beveiligingseisen, overzicht van risicobeperkende maatregelen | Houd de leverancierslijst bij, met de datum van de laatste beoordeling |
| Availability | Capaciteits- en beschikbaarheidsrapportages, meldingen van storingen, verslagen van hersteltests | Bewaar de meting zelf, niet alleen de samenvatting |
| Confidentiality | Classificatieregels, lijsten van wie toegang heeft tot vertrouwelijke gegevens, verslagen van vernietiging | Een vernietigingsverslag moet datum en methode tonen |
| Processing integrity | Controles op verwerking, reconciliaties tussen bron en resultaat, afwijkingenrapporten | Voeg datum en goedkeuring toe aan elke reconciliatie |
| Privacy | Privacyverklaring met versiedatum, registratie van verzoeken van betrokkenen en de afhandeling, bewaartermijnen | Een gepubliceerde privacyverklaring is niet genoeg: de auditor wil zien dat je je eraan houdt |
Je hoeft niet bij elk voorbeeld bewijs te hebben. Welk bewijs bij jouw controls hoort, volgt uit de controlebeschrijving en uit wat je systemen daadwerkelijk vastleggen.
Let op: Availability, Confidentiality, Processing integrity en Privacy horen alleen bij het rapport als ze in de scope zitten. Welke categorieën je kiest, lees je op de Trust Services Criteria.
Bewijs-hygiëne
Gebruik deze afvinklijst voor elk bewijsstuk, voordat het in de map terechtkomt:
- Tijdstempel: het stuk heeft een datum en tijd, of die is aantoonbaar uit het systeem waarin het staat.
- Bron: je kunt zeggen uit welk systeem of document het komt, en het is een onbewerkte export of het origineel.
- Volledigheid: de periode, het filter en de gebruikte query staan erbij, en het aantal is te controleren tegen een onafhankelijke bron.
- Schermafbeeldingen: het toont het volledige venster, het systeem, de ingelogde gebruiker en een zichtbare klok.
- Wie levert aan: per bewijsstuk staat wie het aanlevert en wie het heeft nagekeken.
- Bewaarlocatie: één vaste plek, met beperkte toegang en versiegeschiedenis.
- Bewaren over de hele observatieperiode: ook stukken uit het begin van de periode blijven beschikbaar voor de audit.
- Geen achteraf-bewijs: het stuk is gemaakt op het moment van de control, en niet later nagemaakt voor de audit.
- Afwijkingen vastgelegd: een exception (een geval waarin de control niet werkte) staat met datum, oorzaak en opvolging erbij.
Tip: kan iemand die je systemen niet kent, uit het stuk afleiden wat er is gebeurd, wanneer en door wie? Zo niet, voeg dan de ontbrekende gegevens toe.
Veelgemaakte fouten met bewijs
- Een samenvatting in plaats van een export. Een tabel die iemand handmatig heeft opgeschoond, is lastig te verdedigen, omdat niemand kan zien wat er is weggelaten.
- Een onvolledige populatie. Een rapport met een verkeerd filter of een te korte periode levert een steekproef op uit een deel van de werkelijkheid.
- Eén moment in plaats van de hele periode. Een control die wekelijks draait, heeft bewijs nodig van de weken in de periode, niet alleen van de week waarin de audit begon.
- Bewijs dat na de audit is opgesteld. Notulen of een toegangsreview die pas zijn geschreven toen de auditor om bewijs vroeg, laten niet zien dat de control destijds werkte.
- Beleid zonder uitvoering. Goedgekeurd beleid is het vertrekpunt, maar zonder bewijs dat het is uitgevoerd ziet de auditor alleen een intentie.
Zo organiseer je het bewijsregister
Veel teams houden één bewijsregister bij: een overzicht waarin elke control een regel heeft. Een gedeeld bestand met een vaste structuur is genoeg om mee te beginnen. Per regel leg je vast:
- de controlebeschrijving: wat de control is, wie hem uitvoert en hoe vaak;
- het criterium of de categorie waar hij bij hoort;
- de eigenaar, en wie het bewijs controleert;
- de populatiebron: het systeem en de query waarmee je de volledige set uit de periode haalt;
- het bewijsstuk en de locatie, bijvoorbeeld een ticketnummer of een bestandslocatie;
- de datum van uitvoering en de status: compleet of nog niet, en goedgekeurd of niet.
Werk het register per periode bij, niet pas aan het eind. Een register dat je in de laatste maand invult, heeft dezelfde zwakte als bewijs dat achteraf is gemaakt. Wat een afnemer van je rapport over afwijkingen leest, staat op hoe je een SOC 2-rapport leest.
Wie het volledige voorbereidingstraject wil zien, vindt een stappenplan op de blog van 2-Control. 2-Control is de initiatiefnemer van deze site, en het stappenplan staat daar, niet in dit artikel.
Veelgestelde vragen
Welke bewijsstukken vraagt de auditor precies?
Er bestaat geen vaste lijst. De auditor bepaalt per control welk bewijs nodig is, op basis van de beschrijving van die control en zijn testplan. De tabel hierboven is een startpunt om na te gaan wat je waarschijnlijk al hebt.
Hoe lang moet ik bewijs bewaren?
Bewijs moet in elk geval de hele observatieperiode beslaan, dus ook stukken uit het begin van die periode. Hoe lang je daarna moet bewaren, bespreek je met je auditor.
Is een screenshot genoeg als bewijs?
Soms wel, maar alleen als het volledige venster, het systeem, de gebruiker en de datum zichtbaar zijn. Een export of logboek uit het systeem is meestal sterker, omdat de volledigheid daarvan makkelijker te controleren is.
Kan een compliance-tool het bewijs voor mij verzamelen?
Een tool kan helpen bij het verzamelen en bewaren, maar de auditor test zelf, en een tool vervangt de audit niet. Let bij elke oplossing op of je de bron, de datum en de volledigheid van het verzamelde bewijs kunt nagaan.
Wat doe ik als een control niet heeft gewerkt?
Leg dat vast met datum, oorzaak en opvolging, zodat het in het bewijs zichtbaar is. Een afwijking die je zelf hebt gevonden en aangepakt, is beter te verantwoorden dan bewijs dat je later hebt aangevuld.
Bronnen
- NOREA, Handreiking voor SOC 2 en SOC 3 op basis van ISAE 3000 (december 2021): de namen van de negen groepen algemene criteria (CC1 t/m CC9) en de aanvullende categorieën.
- AICPA: pagina over SOC 2: de vijf categorieën en de rol van de AICPA.
- Compass ITC: SOC 2 Common Criteria, de CC-reeksen uitgelegd: praktijkuitleg over de CC-reeksen (secundaire bron).
- De uitleg over populatie, steekproef en bewijs is gebaseerd op algemene controle-praktijk. Welk bewijs jouw auditor wil zien, hangt af van zijn testplan.