Overzicht van audits bij SOC 2 en vergelijkbare verklaringen

Wat is een SOC 2 audit?

Een audit is een onafhankelijke beoordeling door een gecertificeerde IT-auditor van de inrichting en werking van jouw beheersmaatregelen. Bij SOC 2 richt de audit zich op de Trust Service Criteria, zoals beveiliging, beschikbaarheid en privacy.
Het doel is om een objectieve verklaring af te geven over de mate waarin je voldoet aan deze criteria.

Soorten SOC 2 audits

SOC 2 Type 1 audit

  • Momentopname

  • Toont aan dat de beheersingsmaatregelen bestaan en correct zijn ingericht op een specifieke datum.

  • Minder diepgaand dan type 2, maar nuttig voor organisaties die net starten.

SOC 2 Type 2 audit

  • Periodecontrole (meestal 6 tot 12 maanden)
  • Beoordeelt of de maatregelen gedurende de hele periode effectief hebben gewerkt.
  • Vereist aantoonbare uitvoering, bewijs en consistente werking.

Andere relevante audits

SOC 1 audit (ISAE 3402)

  • Gericht op financiële processen en interne beheersing daarover

  • Meestal relevant voor organisaties die uitbestede administratieve of financiële diensten leveren

  • Onderdeel van het ISAE 3402 raamwerk

  • Niet bedoeld voor algemene ITbeveiliging

SOC 3 rapport

  • Openbare versie van een SOC 2 type 2 verklaring

  • Bevat geen gedetailleerde technische informatie of testresultaten
  • Geschikt voor marketing- en communicatiedoeleinden
  • Minder gebruikelijk in Nederland, maar in sommige sectoren wenselijk

Wie voert de audit uit?

Alleen een gecertificeerde IT-auditor (RE – Register EDP Auditor) mag een SOC 2-audit uitvoeren. Deze auditor:

  • Werkt volgens de AICPA-standaarden en NOREA-richtlijnen.
  • Is onafhankelijk van jouw organisatie.
  • Verstrekt uiteindelijk de SOC 2-verklaring.
Tips en Trucs

Wat is het resultaat van een audit?

Het resultaat van een audit is een formeel rapport waarin de auditor:

  • Je systeembeschrijving en criteria beoordeelt.
  • De testresultaten beschrijft.
  • Zijn oordeel geeft (bijv. onvoorwaardelijk, met beperking, afkeurend).
  • Bevindingen en mogelijke verbeterpunten opneemt.
  • Zie ook: Rapportage en opvolging.

Direct aan de slag?