SOC 2-rapport delen met klanten: mag je het doorsturen?

Je mag een SOC 2-rapport delen met klanten en partners, maar meestal niet met iedereen. Een SOC 2-rapport is bedoeld voor partijen die er een afgebakend belang bij hebben, en het wordt vaak gedeeld onder een geheimhoudingsafspraak. Hoe streng dat is, hangt af van de opdracht en van de afspraken die je met je auditor maakt. Lees ook de hoofdpagina over SOC 2, het auditproces waar het rapport vandaan komt en de bridge letter voor als je rapport te oud is. Deze pagina volgt de gangbare praktijk. Vraag je auditor welke verspreiding voor jouw rapport geldt.

Waarom het rapport niet publiek is

Een SOC 2-rapport beschrijft je systeem, je controls en de tests die erop zijn gedaan. Dat is informatie die een aanvaller van pas kan komen. Daarom is het rapport meestal bedoeld voor een beperkte groep lezers. Adviesbureaus noemen dat “restricted use” (beperkt gebruik). De precieze formulering staat in de auditorsverklaring. Lees die altijd, want daar staat voor wie het rapport bedoeld is. Wil je iets publiek delen, vraag dan naar een SOC 3-rapport, zie het auditproces.

Dat is ook de reden dat veel bedrijven hun rapport niet op de website zetten. Ze geven een samenvatting, een overzicht of een verwijzing. Het volledige rapport krijgt alleen wie er recht op heeft.

Wie mag het rapport zien?

Dat hangt af van je opdracht en de afspraken met je auditor. Een praktische indeling:

De tabel is een richtlijn. Je auditor en je juridische adviseur bepalen de exacte grenzen. Een rapport dat je aan een klant geeft, staat daarom niet automatisch open voor iedere ontvanger die die klant doorstuurt.

Het voorbeeld: een prospect vraagt om het rapport

Een fictief voorbeeld. Een SaaS-bedrijf van veertig medewerkers krijgt een aanvraag van een grote zorgaanbieder. De inkoper wil het volledige SOC 2 Type II rapport zien. Het bedrijf doet dit zo:

1. Het stuurt eerst een samenvatting en een overzicht van de criteria en de periode.
2. Het vraagt de prospect om een NDA te tekenen.
3. Na de NDA deelt het het rapport via een beveiligd klantportaal, met een tijdelijke link en een logboek van wie het heeft geopend.
4. Het voegt aan de mail een korte toelichting toe over de scope en de periode.

Die stappen kosten een halve dag. Ze voorkomen dat het rapport onbeperkt rondgaat en dat er later discussie ontstaat over wie wat mocht zien.

Wat als een klant het rapport wil doorsturen?

Dat komt vaak voor. Een klant wil het rapport delen met hun eigen auditor, een moederbedrijf of een andere afdeling. Dat mag meestal alleen als de afspraken dat toestaan. Vraag je klant om de ontvanger te melden en om te bevestigen dat die onder dezelfde geheimhouding valt.

Het kan ook zijn dat de klant geen volledig rapport wil, maar een brief die de periode na het rapport afdekt. Dat is de rol van de bridge letter. Die brief is kort en geeft een verklaring over de periode tussen twee rapporten.

Hoe je het rapport goed bewaart

Het rapport is gevoelige informatie. Behandel het zoals je andere vertrouwelijke documenten:

• Bewaar het op een plek met beperkte toegang, niet in een algemene gedeelde map.
• Houd bij aan wie je het hebt gegeven en wanneer.
• Vervang het rapport door de nieuwste versie zodra die er is, en haal de oude uit de omloop.
• Verwijs in je communicatie naar de versie en de periode, zodat klanten weten waar ze naar kijken.

Veelgemaakte fouten

Het rapport publiek zetten. Een publieke download is in de meeste gevallen niet bedoeld. Gebruik een samenvatting of een beveiligd klantportaal.

Zonder NDA sturen. Een NDA is een eenvoudige stap die veel onduidelijkheid voorkomt. Vraag er altijd naar.

Niet bijhouden wie het rapport heeft. Als er later een vraag is, moet je kunnen zeggen wie het heeft gezien.

Een oud rapport blijven sturen. Een rapport van twee jaar geleden zegt weinig over je huidige systeem. Stuur de nieuwste versie en leg uit welke periode het dekt.

Een mail die je kunt gebruiken

Wanneer een klant om het rapport vraagt, is een korte, vaste mail handig. Die maakt duidelijk welke voorwaarden gelden, zonder dat je elke keer opnieuw moet nadenken.

Onderwerp: SOC 2-rapport, beveiligde toegang

Hallo [naam],

Hierbij de toegang tot ons SOC 2-rapport. Het rapport dekt de periode [begin] t/m [eind]
en de volgende Trust Services Criteria: [criteria].

Voor toegang vragen wij je eerst de geheimhoudingsafspraak te ondertekenen. Zodra die
binnen is, sturen we je de beveiligde link.

Als je het rapport wilt doorsturen naar een andere partij, laat het ons dan weten, zodat
we de voorwaarden afstemmen.

Met vriendelijke groet,
[naam]

Vul de periode en de criteria altijd in. Een rapport zonder periode is voor een klant moeilijk te beoordelen, en dat leidt tot extra vragen.

Wat te doen als het rapport niet meer actueel is

Een klant vraagt soms om een rapport dat al een jaar oud is, terwijl je al een nieuwe periode hebt. Dan is er een gat. Dat gat vul je met een bridge letter. Die schrijf je als management zelf. Je auditor geeft er geen assurance over. Stuur het oude rapport samen met de brief, zodat de klant beide ziet.

Wacht niet tot de klant erom vraagt. Plan de volgende audit zo dat het nieuwe rapport er op tijd is, en laat de klant weten wanneer het verwacht wordt.

Meer informatie

• Wat is SOC 2? – de hoofdpagina van deze sectie
• Bridge letter – wat je stuurt als het rapport te oud is
• SOC 2-rapport: zo ziet een Type II-rapport eruit – wat er in het rapport staat
• Veelgestelde vragen – antwoorden op de meest gestelde vragen
• Voor SaaS-bedrijven – hoe je klantvragen over SOC 2 afhandelt

Bronnen

• AICPA SOC-diensten  – het Amerikaanse kader waarin SOC-rapporten worden uitgebracht