Kan een interne auditor de SOC 2-audit uitvoeren?
Nee. De auditor die het SOC 2-rapport afgeeft moet onafhankelijk zijn van jouw organisatie. Een interne auditor kan wel veel werk doen vóór de audit: bewijs verzamelen, controls testen en gaten dichten. Het oordeel zelf moet van een externe partij komen. De AICPA noemt SOC-diensten werk dat CPA’s aanbieden, en in Nederland voert een externe IT-auditor de opdracht uit, zie SOC 2 in Nederland. Een interne auditor inhuren of uitbesteden voor de voorbereiding kan wel, bijvoorbeeld voor een readiness assessment of het verzamelen van evidence. Het verschil tussen voorbereiden en beoordelen is het hele punt van deze pagina. Twijfel je of een partij onafhankelijk genoeg is, vraag het dan na bij je auditor; de regels staan in de AICPA-code en de Nederlandse beroepsregels.
Veel bedrijven denken dat hun eigen auditor of compliance-medewerker het rapport kan tekenen. Dat kan niet, ook niet als die persoon de titel auditor draagt. Een partij die de controls zelf heeft ingericht of beheert, kan ze niet onafhankelijk beoordelen.
Waarom onafhankelijkheid zo zwaar weegt
Een SOC 2-rapport bestaat omdat een klant wil weten dat iemand die er niets bij te winnen heeft, heeft gekeken. Als je eigen team de controls beoordeelt die het zelf heeft gebouwd, verliest het rapport zijn waarde. Een klant of een auditor ziet dat direct.
Denk aan een simpel voorbeeld. Je CTO heeft de toegangscontrole ingericht. Vervolgens test je eigen interne auditor of de toegangscontrole werkt. De auditor kijkt naar een systeem dat zijn baas heeft gebouwd. Dat is geen onafhankelijke toets, ook al is de auditor eerlijk.
Wat je intern wel doet
Je hoeft de audit niet helemaal uit te besteden. Veel werk ligt bij jezelf. Een bruikbare verdeling:
| Taak | Intern mag | Extern moet |
|---|---|---|
| Policies en procedures schrijven | Ja | Nee, maar de auditor leest ze mee |
| Bewijs verzamelen (screenshots, logs, tickets) | Ja | Nee, de auditor controleert het bewijs |
| Interne controles testen vóór de audit | Ja, als voorbereiding | Nee, de auditor test zelf |
| Gaten dichten na een readiness assessment | Ja | Nee |
| Het oordeel over de werking van de controls | Nee | Ja, door een onafhankelijke auditor |
| Het SOC 2-rapport tekenen | Nee | Ja |
Het verzamelen van bewijs is het grootste deel van het werk. Hoe dat in de praktijk gaat, lees je op de pagina evidence verzamelen. Een interne medewerker die dat goed organiseert, bespaart de auditor tijd. Dat drukt de kosten, zie kosten en tijdlijn.
Het voorbeeld: een interne audit als voorbereiding
Een fictief voorbeeld. Een SaaS-bedrijf van dertig medewerkers heeft een interne compliance-medewerker. Die maakt een maand voor de externe audit een lijst van de tien belangrijkste controls. Per control zoekt hij het bewijs op: een export van de MFA-instellingen, een ticket voor de laatste toegangsreview en een logregel van een wijziging.
Bij drie controls ontbreekt het bewijs of is het niet datumgebonden. Die lost het team op voordat de auditor komt. Dat is precies het werk van een interne partij. Het oordeel over of die controls werken, laat het bedrijf over aan de externe auditor.
Dezelfde compliance-medewerker mag het rapport niet tekenen en mag de auditor ook niet vervangen. Hij is de voorbereider, niet de beoordelaar.
Hoe je de taken van elkaar scheidt
Een goede scheiding van taken voorkomt twijfel over onafhankelijkheid. Leg die vast in een korte notitie, zodat iedereen weet wie wat doet.
| Rol | Doet | Doet niet |
|---|---|---|
| Interne compliance-medewerker | Bewijs verzamelen, controls voorbereiden, intern testen | Controls beoordelen die zij zelf heeft ontworpen |
| Control-eigenaar (bijvoorbeeld de CTO) | Controls inrichten en onderhouden | Het bewijs van zijn eigen control beoordelen |
| Externe auditor | Onafhankelijk testen en een oordeel geven | Controls voor jou inrichten |
| Management | Verantwoordelijk voor de beschrijving van het systeem | De auditor onder druk zetten over de uitkomst |
Deze tabel is een vereenvoudiging. In een kleine organisatie vallen rollen vaak samen. Dan is het extra belangrijk om de grens expliciet te maken, en om aan de auditor te vragen of die grens voldoende is.
Een checklist voor je interne team
Als je de voorbereiding intern doet, helpt een vaste checklist. Die voorkomt dat je iets vergeet.
- Zijn de Trust Services Criteria die je koos vertaald naar concrete controls?
- Heeft elke control een eigenaar en een frequentie?
- Is het bewijs per control opgeslagen, met datum en bron?
- Is er een log van wijzigingen in je policies en procedures?
- Zijn de uitzonderingen uit de vorige periode besproken en opgelost?
- Heb je een lijst van subservice-partijen en hun rapporten?
Die lijst is ook nuttig voor de readiness assessment. Wat je intern hebt gecontroleerd, hoeft de readiness-partij niet opnieuw te doen.
Wanneer huur je een externe partij in voor de voorbereiding?
Een interne voorbereiding is niet altijd genoeg. Een readiness assessment is een test vóór de officiële audit. Die kan een externe consultant doen, een interne auditor of een ingehuurde IT-auditor. Zorg dat de uitvoerder niet ook de latere auditor is, of laat de auditor de onafhankelijkheid beoordelen.
Let op één ding. Laat je dezelfde partij de readiness assessment én de officiële audit doen, dan moet je de onafhankelijkheid zorgvuldig laten beoordelen. Sommige kantoren doen dat wel, zie de readiness-pagina. Vraag de auditor expliciet welke rol hij of zij bij de voorbereiding heeft gehad.
Veelgemaakte fouten
Het rapport door de eigen auditafdeling laten tekenen. Een interne auditafdeling is nuttig, maar kan het SOC 2-oordeel niet geven.
Denken dat “interne audit” en “externe audit” hetzelfde zijn. Een interne audit beoordeelt voor het management. Een SOC 2-audit beoordeelt voor de klant en is extern.
De voorbereiding niet vastleggen. Als je intern iets hebt gecontroleerd, bewaar dan de notities en het bewijs. Dat helpt de externe auditor en voorkomt dubbel werk.
Te laat uitbesteden. Als je merkt dat je interne mensen de tijd niet hebben, is dat het moment om externe hulp in te schakelen. Wacht niet tot vlak voor de audit. De stappen hebben elk hun eigen tijd nodig.
Samengevat
Intern voorbereiden is slim en goedkoper. Het oordeel moet van buiten komen. Houd die twee dingen gescheiden in je planning, je rollen en je communicatie met klanten, dan staat je rapport sterk.
Meer informatie
- Het auditproces – wat de externe auditor doet en wanneer
- Readiness assessment – klaar voor de audit of niet?
- Evidence verzamelen – wat auditors per criterium willen zien
- Het SOC 2 stappenplan – van nul naar rapport
- Wat is SOC 2? – de hoofdpagina van deze sectie
Bronnen
- AICPA SOC-diensten – het kader waarin SOC-diensten worden aangeboden
- Kiwa over ISAE- en SOC-rapportages – ISAE 3000 voor SOC 2 in Nederland