Testen van controls binnen een SOC 2 audit
Wat houdt het testen van controls in?
Het testen van controls is de fase waarin de auditor onderzoekt of jouw beheersingsmaatregelen, zoals beschreven in de systeembeschrijving en gekoppeld aan de controlecriteria, daadwerkelijk hebben gewerkt gedurende de beoordelingsperiode (bij Type 2) of correct zijn ingericht (bij Type 1).
Het vormt de kern van de audit: zonder toetsing kan geen oordeel worden gegeven.
Doel van het testen
Hoe test een auditor controls?
De auditor gebruikt verschillende testmethodes, afhankelijk van de aard van de maatregel:
Interviews
Gesprekken met medewerkers over de uitvoering van taken en processen
Inspectie
Beoordelen van documenten, logbestanden, procedures of configuraties
Observatie
Waarnemen van processen of handelingen op locatie
‘Reperformance’
Zelf uitvoeren van een proces om te controleren of het resultaat overeenkomt met de norm
De auditor bepaalt vooraf per beheersingsmaatregel welke testmethodes passend zijn.
Frequentie en periode
Bij een SOC 2 Type 2-verklaring worden maatregelen getoetst over een periode van meestal 6 tot 12 maanden. Het is dus van belang dat jouw maatregelen:
Bij een Type 1-verklaring volstaat toetsing op één moment in de tijd.
Wat wordt beoordeeld?
De auditor kijkt onder meer naar:
Relatie met andere onderdelen
