SOC 2 rapport: zo ziet een Type II-rapport eruit
Een SOC 2 Type II-rapport is een document van tientallen pagina’s. Het bevat een oordeel van de auditor, een beschrijving van je systeem, de controls die je hebt ingericht, en het resultaat van de tests over de observatieperiode. Klanten lezen vooral de auditorsverklaring en de testresultaten, en daarna pas de rest. Hieronder zie je de opbouw, een fictief voorbeeld van één control, en de fouten die je wilt vermijden. Lees ook wat er in het auditproces gebeurt, de controls die in het rapport staan en het verschil met Type I. Zoek je een SOC 2 Type 2 report sample in het Engels? Echte rapporten zijn vertrouwelijk, zie rapport delen met klanten.
De opbouw hieronder is een praktische samenvatting uit de gangbare praktijk. De exacte structuur en wording bepalen de standaard en het sjabloon van je auditor. Vraag je auditor om een voorbeeldrapport of een concept, en gebruik deze pagina als leesgids.
De opbouw van het rapport
Een Type II-rapport heeft een vaste volgorde. Die helpt je bij het lezen, en het helpt je klanten bij het beoordelen.
| Onderdeel | Wat er staat | Waarom het ertoe doet |
|---|---|---|
| 1. Auditorsverklaring | Het oordeel van de auditor over de beschrijving en de werking van de controls | Dit is de regel waar klanten naar zoeken |
| 2. Verklaring van het management | Jouw eigen bevestiging dat de beschrijving klopt | Jij staat hiermee voor de inhoud |
| 3. Beschrijving van het systeem | Welke diensten, infrastructuur, mensen en processen in scope zijn, plus de criteria en controls | Bepaalt wat het rapport wel en niet dekt, zie controls |
| 4. Tests en resultaten | Per control: welke test, over welke periode, welk resultaat | Hier zie je of de controls ook werkten over tijd |
| 5. Uitzonderingen | Gevallen waarin een control niet werkte, met toelichting; staan meestal bij de testresultaten | Eén uitzondering is niet erg, een weggemoffelde uitzondering wel |
Het rapport is dus meer dan een handtekening. Het is een beschrijving van hoe je werkt, plus bewijs dat je dat ook doet.
Het voorbeeld: één control in het testdeel
Een fictief SaaS-bedrijf heeft de control “Multi-factor authenticatie is verplicht voor alle beheeraccounts”. De observatieperiode is twaalf maanden. In het rapport zou de rij er zo uit kunnen zien:
| Control | Test | Periode | Resultaat |
|---|---|---|---|
| MFA verplicht voor beheeraccounts | Steekproef van beheeraccounts, controle van de MFA-instelling en de inlogdata | 1 november 2024 t/m 31 oktober 2025 | Geen uitzonderingen |
Een tweede control, “Toegang tot productiedata wordt elk kwartaal beoordeeld”, heeft één uitzondering. Het derde kwartaal is twee weken te laat afgerond. De toelichting in het rapport zegt wat er is gebeurd, welke maatregel is genomen, en dat de volgende review op tijd was. Dat is de manier waarop een uitzondering hoort te worden beschreven.
De steekproefgrootte en de exacte testmethode verschillen per auditor en per control. Vraag je auditor welke methode hij gebruikt en waarom.
Wat klanten in het rapport zoeken
Een klant met een inkoopteam leest het rapport niet van voor naar achter. Ze zoeken een paar dingen:
- Het oordeel van de auditor: is het zonder voorbehoud, of is er een aanpassing?
- De periode: beslaat het rapport de periode die zij willen zien?
- De scope: zijn de diensten die zij gebruiken erin opgenomen?
- De uitzonderingen: zijn ze er, en hoe zijn ze toegelicht?
- Eventuele subservice-organisaties: welke externe partijen spelen een rol in jouw systeem?
Die laatste vraag komt steeds vaker terug. Gebruik je bijvoorbeeld AWS voor hosting, dan vermeldt het rapport die partij als subservice-organisatie. Er zijn twee manieren: de controls van AWS zitten in je rapport (inclusive), of ze blijven erbuiten en je rapport verwijst naar het eigen rapport van AWS (carve-out). Zie voor cloud providers voor de details.
Het verschil tussen een Type I en een Type II in het rapport
Een Type I-rapport beschrijft de controls op één moment en toetst of ze zijn ingericht. Het Type II-rapport toetst ook of de controls over de observatieperiode werkten. In het testdeel zie je dat direct. Een Type I heeft geen testresultaten over tijd, een Type II wel.
Dat is ook waarom een Type II-rapport vaak meer tijd kost. De observatieperiode is niet in te korten. Meer over de keuze lees je op type I vs type II.
Het rapport lezen in dertig minuten
Je hoeft het rapport niet van begin tot eind te lezen om te weten of het goed is. Met deze volgorde zie je in een half uur of het klopt.
- Lees de auditorsverklaring. Let op het type oordeel en op eventuele voorbehouden.
- Controleer de periode op de voorpagina en in de verklaring. Klopt die met wat je klant vraagt?
- Lees de beschrijving van het systeem. Staan de diensten en locaties erin die je werkelijk gebruikt?
- Bekijk de lijst van criteria en controls. Zit er een criterium bij dat je niet had verwacht?
- Ga naar het testdeel en zoek de rijen met een uitzondering. Lees de toelichting.
- Controleer de subservice-organisaties. Hebben die zelf een rapport, en wanneer is dat geldig?
Voor elke vraag die je niet kunt beantwoorden, stel je die aan je auditor. Dat is geen teken van zwakte. Het is de bedoeling van het rapport.
Veelgemaakte fouten
Een uitzondering bagatelliseren. De auditor beschrijft elke uitzondering in het testdeel. Probeer ze niet weg te praten. Een duidelijke toelichting met herstelmaatregel maakt het rapport juist geloofwaardig.
Een beschrijving van het systeem die niet klopt. Als je systeem in het rapport anders staat dan in de praktijk, is dat een probleem. Houd de beschrijving actueel bij elke grote wijziging.
Een control die in het rapport staat maar niet wordt uitgevoerd. Een control die alleen op papier bestaat, levert op de testdag een uitzondering op. Kies alleen controls die je echt kunt bewijzen.
Het rapport pas lezen als het klaar is. Lees het concept. Dat is het moment om fouten te herstellen. Zie ook de laatste fase in het auditproces.
Denken dat een goed rapport automatisch een goed verkooppraatje is. Het rapport bewijst je controls. Het verkoopt zichzelf niet. Klanten willen vaak ook een korte uitleg bij de scope.
Wat je zelf kunt doen om het rapport sterker te maken
Een rapport is zo sterk als het bewijs erachter. Een paar gewoontes maken het verschil.
- Houd per control bij wie hem uitvoert, hoe vaak, en waar het bewijs staat.
- Documenteer uitzonderingen meteen, met oorzaak en herstelmaatregel. Dan hoef je niet te reconstrueren wat er is gebeurd.
- Test je eigen controls één keer per kwartaal, nog voordat de auditor komt.
Meer informatie
- Het auditproces – wat de auditor doet voordat het rapport er is
- Veelgebruikte controls – wat je in de controlelijst kunt opnemen
- Evidence verzamelen – het bewijs achter de testresultaten
- Trust Services Criteria – de criteria waarop je wordt getoetst
- Type I vs Type II – welk rapport past bij jouw situatie
Bronnen
- AICPA SOC-diensten – het Amerikaanse kader voor SOC-rapporten