Accepteren Amerikaanse klanten een SOC 2 van een Nederlandse auditor?

Dat hangt af van wat je klant precies vraagt. Een SOC 2 die een Nederlandse IT-auditor onder ISAE 3000 afgeeft, is een ander rapport dan een SOC 2 onder AICPA-kader van een Amerikaans CPA-kantoor. NOREA noemt het Nederlandse rapport zelf een SOC 2-equivalent. De AICPA  bepaalt het Amerikaanse kader, en in Nederland wordt de opdracht vaak uitgevoerd onder ISAE 3000 . Vraag je klant vooraf schriftelijk welke standaard zij accepteren. Lees ook de Nederlandse context en de pagina over de RE-auditor.

Waarom het verschil ertoe doet

Een SOC 2 is in de kern een rapport van een onafhankelijke auditor over je beveiligingscontroles. De inhoud is vergelijkbaar, maar het kader waarbinnen de auditor werkt verschilt. Een Amerikaanse klant vraagt in de praktijk vaak om een AICPA-rapport, omdat die standaard daar gangbaar is. Of een Amerikaanse klant een ISAE 3000-rapport accepteert, verschilt per klant. Vraag het na voordat je een auditor kiest.

Dat betekent niet dat een Nederlands rapport waardeloos is. Het betekent dat je moet weten welke vraag je klant stelt. “Wij hebben SOC 2” is niet genoeg. De vraag is: welke SOC 2, uitgevoerd door wie, onder welke standaard?

De drie vragen die je klant kan stellen

De tabel is een praktijkindicatie, geen vastgelegde regel. Welke vorm een klant accepteert, staat in hun leveranciersbeoordeling of hun inkoopvoorwaarden. Vraag daar naar.

Het voorbeeld: een Nederlands SaaS-bedrijf met een Amerikaanse klant

Een fictief voorbeeld. Een Nederlands SaaS-bedrijf van vijftig medewerkers wil een Amerikaanse klant binnenhalen. De klant vraagt om een SOC 2 Type II rapport. Het bedrijf laat een Nederlandse RE-auditor een ISAE 3000-rapport opstellen. Zes maanden later blijkt de inkoopafdeling van de klant een AICPA-rapport te willen, omdat het beleid zo is opgesteld.

Het bedrijf heeft nu twee opties: een tweede traject starten met een CPA-kantoor dat AICPA-rapporten afgeeft, of onderhandelen over de vorm. Een tweede traject kost tijd en geld. Die kosten staan niet in het oorspronkelijke budget, zie kosten en tijdlijn.

Had het bedrijf de vraag in de eerste week gesteld, dan had het één traject gekozen dat past. Dat is het hele punt van deze pagina.

Wat je vooraf schriftelijk vraagt

Een korte e-mail voorkomt veel gedoe. Een bruikbare opzet, in begrijpelijke taal:

Onderwerp: Welke SOC 2-vorm accepteren jullie?

Hallo [naam],

Wij willen onze beveiligingscontroles laten beoordelen met een SOC 2 Type II rapport.
Kunnen jullie aangeven of jullie een SOC 2 onder het AICPA-kader vereisen, of dat een
ISAE 3000-rapport van een Nederlandse IT-auditor (RE) voldoet?

Als het ISAE 3000-rapport voldoet, graag een bevestiging per e-mail van welke
Trust Services Criteria jullie verwachten.

Met vriendelijke groet,
[naam]

Stuur die mail naar de contactpersoon die over leveranciers gaat, niet alleen naar de salesmanager. Het antwoord bewaar je in je dossier. Het is het bewijs dat je de standaard hebt afgestemd.

Wat de AICPA-route inhoudt

Een AICPA-rapport wordt afgegeven door een CPA-kantoor (CPA staat voor Certified Public Accountant, de Amerikaanse accountantstitel). Volgens de AICPA  kunnen CPA’s SOC-diensten aanbieden. Adviesbureaus stellen dat alleen een gelicentieerd CPA-kantoor zo’n rapport mag tekenen. Dat is niet in de AICPA-tekst gecontroleerd. Voor jou betekent het meestal: een ander type auditor, een andere offerte en een ander tijdschema. Het kan ook een CPA-kantoor zijn met een Nederlands team. Vraag dat na. Omdat het om dezelfde Trust Services Criteria gaat, is het bewijs dat je al hebt verzameld grotendeels bruikbaar. Lees meer over die bewijsvoering op de pagina evidence verzamelen.

Of een specifiek CPA-kantoor past bij jouw scope en omvang, moet je zelf navragen. Vergelijk ze op ervaring met SaaS-bedrijven en op de manier waarop ze hun opdracht afbakenen.

Veelgemaakte fouten

Aannemen dat “SOC 2” overal hetzelfde is. De naam is hetzelfde, het kader niet altijd. Vraag naar de standaard.

Alleen het woord SOC 2 in de offerte zoeken. Kijk naar de tekst van de auditorsverklaring en naar de bevoegdheid van de auditor.

Te laat vragen. Veel klanten beslissen pas aan het eind van het inkoopproces welke vorm ze accepteren. Vraag vroeg, en leg het antwoord vast.

Denken dat een bridge letter het probleem oplost. Een bridge letter dicht een gat in de periode tussen twee rapporten. Hij maakt een rapport in een andere standaard niet geschikt voor de klant.

Wat als je klant al een ISAE 3000-rapport accepteert?

Dan heb je geluk, en hoef je niet opnieuw te beginnen. Leg wel vast wat je klant heeft geaccepteerd. Een mail is genoeg, maar het moet de periode, de scope en de standaard noemen.

Let daarbij op de scope. Als je klant alleen de dienst gebruikt die in het rapport staat, is het verhaal eenvoudig. Gebruikt de klant ook onderdelen die buiten de scope vallen, dan is een aparte bevestiging nodig. Die kan een bridge letter zijn, of een korte toelichting van je auditor.

Vragen die je klant waarschijnlijk stelt

“Is je auditor onafhankelijk van jullie?” Ja, en dat leg je uit met een korte verklaring van de auditor. Een auditor die je ook heeft geholpen met de inrichting, roept vragen op.

“Welke Trust Services Criteria dekken jullie?” Noem ze expliciet. Security alleen is een ander verhaal dan security plus availability en confidentiality.

“Wat is de observatieperiode?” Geef de exacte data. Een periode van zes maanden is anders dan een periode van twaalf maanden, ook als beide “SOC 2” heten.

Meer informatie

• Wat is SOC 2? – de hoofdpagina van deze sectie
• SOC 2 in Nederland – ISAE 3000, NOREA en de Nederlandse vraag
• SOC 2 vs ISO 27001 – als de klant ook naar ISO 27001 vraagt
• Type I vs Type II – welk type past bij de vraag van je klant
• Veelgestelde vragen – alle antwoorden op één plek

Bronnen

• AICPA SOC-diensten  – het Amerikaanse kader en wie de diensten aanbiedt
• Kiwa over ISAE- en SOC-rapportages  – ISAE 3000 als standaard voor SOC 2 in Nederland
• NOREA  – de Nederlandse beroepsorganisatie voor IT-auditors