Het verschil in één oogopslag
| Type I | Type II | |
|---|---|---|
| Wat wordt getoetst | Opzet en bestaan van de beheersmaatregelen | Opzet, bestaan én effectieve werking |
| Periode | Eén peildatum (momentopname) | Observatieperiode van doorgaans 3–12 maanden |
| Testwerk auditor | Beperkt: beoordeling van ontwerp en implementatie | Uitgebreid: steekproeven en tests over de hele periode |
| Inhoud rapport | Systeembeschrijving + oordeel over de opzet | Idem, plus testprocedures en -resultaten per maatregel |
| Doorlooptijd | Relatief kort | Langer: observatieperiode + auditwerk |
| Kosten | Lager | Hoger |
| Zekerheid voor klanten | Beperkt, zegt niets over de werking in de praktijk | Hoog, de marktstandaard voor leveranciersbeoordelingen |
Wat is een Type I-rapport?
Bij een Type I-onderzoek beoordeelt de auditor of de beheersmaatregelen van de organisatie op één specifieke datum passend zijn ontworpen (suitably designed) en daadwerkelijk geïmplementeerd. De auditor stelt dus vast: als deze maatregelen werken zoals beschreven, dekken ze de Trust Services Criteria af, en ze bestaan op de peildatum.
Wat een Type I niet zegt: of die maatregelen in de maanden ervoor of erna ook consequent zijn uitgevoerd. Een organisatie kan een week voor de peildatum haar processen op orde brengen en toch een keurig Type I-rapport behalen.
Sterke punten: snel te realiseren, lagere kosten, en een goede manier om aan klanten te laten zien dat het traject serieus loopt.
Wat is een Type II-rapport?
Een Type II-onderzoek omvat alles van Type I, plus een toets op de effectieve werking (operating effectiveness) van de maatregelen gedurende een observatieperiode. De auditor voert dan daadwerkelijk tests uit: steekproeven op toegangsverzoeken, beoordelingen van wijzigingen, controles op back-ups, periodieke autorisatiereviews, enzovoort.
In het rapport staat per beheersmaatregel welke test is uitgevoerd en wat het resultaat was, inclusief eventuele afwijkingen (exceptions). Dat maakt een Type II-rapport veel informatiever én overtuigender voor klanten.
De observatieperiode
De observatieperiode (ook wel review period of audit window) is de periode waarover de werking wordt getoetst. Gangbare keuzes:
- 3 maanden, het gebruikelijke minimum; vaak gekozen voor het allereerste Type II-rapport om snel iets te kunnen laten zien.
- 6 maanden, een veelvoorkomende tussenstap in het eerste of tweede jaar.
- 12 maanden, de standaard in een volwassen cyclus: elk jaar een rapport dat naadloos aansluit op het vorige.
Klanten letten op gaten tussen rapportperiodes. Sluit een nieuwe periode niet aan op de vorige, dan roept dat vragen op. Voor de maanden tussen het einde van de rapportperiode en het moment waarop een klant het rapport beoordeelt, is er de bridge letter: een korte verklaring van het management dat er sindsdien geen wezenlijke wijzigingen in de beheersmaatregelen zijn geweest. Zie ook de begrippenlijst.
Welke kies je?
De keuze hangt af van je situatie en van wat je klanten accepteren:
| Situatie | Logische keuze |
|---|---|
| Klant vraagt nú om bewijs, traject net gestart | Type I als startpunt, met Type II als vervolg |
| Deal hangt af van een volwaardig rapport | Type II met een observatieperiode van 3 maanden |
| Structurele behoefte, internationale enterprise-klanten | Type I in het eerste jaar, daarna jaarlijks Type II over 12 maanden |
| Budget en tijd zeer beperkt, klantdruk laag | Type I, en pas doorgroeien naar Type II zodra klanten erom vragen |
Tip: in de praktijk is Type I het gebruikelijke startpunt. Binnen enkele maanden toon je daarmee aan dat de opzet klopt, en in het jaar erna bouw je dat uit naar een Type II over een aaneengesloten periode. Direct beginnen met Type II kan ook, maar vraagt dat de inrichting al grotendeels staat. Overleg met je auditor wat in jouw situatie verstandig is.
Veelvoorkomende misverstanden
- “Type II is een beter soort certificaat.” Geen van beide is een certificaat; het zijn assurance-rapporten met een verschillende reikwijdte. Zie Wat is SOC 2?.
- “Type I is waardeloos.” Niet waar, het toont aan dat de opzet op orde is en wordt vaak geaccepteerd als eerste stap. Maar het vervangt geen Type II.
- “Een afwijking in een Type II betekent een onvoldoende.” Niet per se. Exceptions komen vaak voor; het gaat erom of ze het totaaloordeel raken en hoe het management erop heeft gereageerd. Lees meer in een SOC 2-rapport lezen.