Systeembeschrijving in een SOC 2 rapport
Wat is een systeembeschrijving?
De systeembeschrijving is een verplicht onderdeel van het SOC 2-rapport. Hierin geef jij als organisatie een gedetailleerd overzicht van het systeem dat onderwerp is van de controle. Dit omvat onder meer je IT-omgeving, processen, diensten, relevante risico’s en beheersingsmaatregelen.
De auditor gebruikt deze beschrijving als basis voor het toetsen van de Trust Services Criteria.
Wat staat er in de systeembeschrijving?
De exacte inhoud kan verschillen per organisatie, maar een volledige systeembeschrijving bevat ten minste:
Doel van de systeembeschrijving
De systeembeschrijving heeft meerdere doelen:
Inzicht geven
Klanten en andere belanghebbenden krijgen duidelijkheid over hoe je systeem is ingericht en welke processen plaatsvinden
Basis voor controle
De auditor gebruikt de beschrijving als uitgangspunt voor het toetsen van je beheersmaatregelen
Verantwoording
Je laat zien dat je je processen en risico’s beheerst
Eisen aan de beschrijving
De systeembeschrijving moet voldoen aan de richtlijnen van de AICPA. Dat betekent:
Volledig en representatief
Het moet een juist en volledig beeld geven van je systeem gedurende de hele periode waarop het rapport betrekking heeft (bij Type 2)
Consistent met de werkelijkheid:
Je beschrijving moet overeenkomen met hoe het systeem in de praktijk functioneert
Actueel
Recente wijzigingen moeten zijn opgenomen
Relatie met andere onderdelen
De systeembeschrijving vormt het fundament van het SOC 2rapport en staat in directe relatie met:
Managementverklaring
Waarin het management verklaart dat de beschrijving correct is opgesteld.
Controlecriteria en doelstellingen
Die worden getoetst op basis van de inrichting zoals beschreven.
Testen van controls
Waarbij de auditor beoordeelt of de beschreven controls daadwerkelijk effectief zijn toegepast
Praktische tips bij het opstellen
