CPA Firm SOC 2: Ai Được Phát Hành SOC 2 Report?

CPA firm SOC 2 là công ty kế toán công chứng (Certified Public Accountant) có giấy phép hành nghề tại Mỹ, thực hiện SOC 2 examination theo chuẩn attestation của AICPA và ký ý kiến trên report. Giấy phép do hội đồng kế toán (board of accountancy) của từng bang cấp, không phải AICPA. Công ty tư vấn bảo mật chỉ hỗ trợ phần chuẩn bị, không ký report.

Ai được phát hành SOC 2 report?

SOC 2 là một attestation engagement: một bên độc lập đưa ra ý kiến về việc mô tả hệ thống và các kiểm soát của tổ chức có đáp ứng Trust Services Criteria hay không. Theo AICPA, các engagement SOC do CPA thực hiện theo chuẩn của AICPA. AICPA đặt chuẩn mực và hướng dẫn; quyền hành nghề public accounting do board of accountancy cấp bang cấp cho firm và cá nhân. Bạn có thể tra cứu giấy phép qua CPAverify của NASBA.

Hệ quả thực tế:

• Công ty tư vấn bảo mật, dù có CISSP hay ISO 27001 Lead Auditor, không phát hành được SOC 2 report.
• Tổ chức chứng nhận ISO và PCI QSA không có thẩm quyền với SOC 2, trừ khi cùng tập đoàn có một CPA firm được cấp phép thực hiện.
• Report do bạn tự soạn chỉ là tài liệu nội bộ, không có giá trị attestation.

AICPA, board of accountancy và CPA firm khác nhau thế nào?

CPA firm làm gì trong một SOC 2 engagement?

CPA firm đóng vai trò independent service auditor. Họ đánh giá chứ không xây dựng kiểm soát cho bạn. Một engagement thường đi qua các bước sau:

1. Thống nhất phạm vi: hệ thống, Trust Services Categories (Security luôn có; Availability, Confidentiality, Processing Integrity, Privacy tùy chọn), Type I hay Type II.
2. Readiness (tùy chọn): một số firm làm readiness assessment trước; để giữ tính độc lập, đội readiness thường tách khỏi đội audit.
3. Kỳ đánh giá: Type I đánh giá thiết kế tại một thời điểm. Type II đánh giá vận hành trong một observation period, thường 3 đến 12 tháng; AICPA không quy định thời gian tối thiểu.
4. Fieldwork: xem policy, phỏng vấn, lấy mẫu evidence, kiểm tra log và cấu hình.
5. Phát hành report: ý kiến của auditor, management assertion, mô tả hệ thống và (với Type II) kết quả test từng kiểm soát.

Thời gian từng bước phụ thuộc phạm vi; xem SOC 2 mất bao lâu.

Làm sao chọn CPA firm phù hợp?

Kiểm tra giấy phép trước, rồi mới so kinh nghiệm và cách làm việc:

• Giấy phép: pháp nhân ký report là ai, được cấp phép ở bang nào; tra trên CPAverify.
• Kinh nghiệm SaaS và cloud: auditor hiểu AWS, Kubernetes, CI/CD sẽ hỏi evidence đúng hơn.
• Phạm vi: xác nhận firm đánh giá được đủ các category khách hàng yêu cầu.
• Quy mô: Big 4 phát hành được SOC 2 report, nhưng nhiều startup làm việc với các firm chuyên về SOC 2 cho công ty công nghệ; hãy so theo scope và yêu cầu của khách hàng, không theo tên tuổi.
• Tính độc lập: firm không được vừa thiết kế kiểm soát vừa đánh giá chính kiểm soát đó.
• Quy trình: cách nhận evidence, công cụ dùng, lịch fieldwork, thời gian phát hành report.

Danh sách loại đối tác và cách phân biệt tư vấn với kiểm toán có trong đơn vị tư vấn và kiểm toán SOC 2 tại Việt Nam. Thứ tự chuẩn bị trước khi gặp auditor có trong SOC 2 readiness checklist.

pTrackly hỗ trợ gì khi làm việc với CPA firm?

pTrackly giúp đội của bạn quản lý control, evidence task có tần suất và người phụ trách, và mở cổng cho auditor xem evidence của kỳ đánh giá. pTrackly không phải CPA firm, không ký và không phát hành SOC 2 report; phạm vi, quyết định kiểm soát và ý kiến kiểm toán thuộc về đội của bạn và CPA firm. Xem thêm pTrackly cho SOC 2.

Câu hỏi thường gặp

Công ty tư vấn bảo mật có thể làm SOC 2 cho tôi không?

Họ có thể hỗ trợ readiness: gap assessment, thiết kế kiểm soát, chuẩn bị tài liệu. Report cuối cùng phải do một CPA firm có giấy phép, độc lập với phần tư vấn, ký và phát hành.

AICPA có cấp phép hay duyệt từng SOC 2 report không?

Không. AICPA ban hành chuẩn và hướng dẫn; giấy phép hành nghề do board of accountancy cấp bang ở Mỹ cấp, và trách nhiệm về report thuộc CPA firm đã ký.

Làm sao kiểm tra một CPA firm có giấy phép?

Hỏi pháp nhân nào ký report và bang cấp phép, rồi tra trên CPAverify của NASBA hoặc trang của board of accountancy bang đó.

Tôi có thể tự phát hành SOC 2 report không?

Không. Tài liệu tự soạn chỉ là documentation nội bộ; khách hàng chấp nhận SOC 2 report vì nó có ý kiến của một bên độc lập.

Đọc thêm về SOC 2

• SOC 2 là gì? Hướng dẫn từ A đến Z
• Quy trình chứng nhận SOC 2 từng bước
• Chi phí SOC 2 và khoảng tham khảo
• Báo cáo SOC 2 có hiệu lực bao lâu