Moet alles formeel vastgelegd zijn?

Ja. Zonder formeel beleid en aantoonbaar gevolgde procedures voldoe je niet aan de eisen van SOC 2.