Tóm tắt
SOC 1, SOC 2 và SOC 3 khác nhau ở mục đích, người được đọc và mức chi tiết. So sánh ba báo cáo AICPA để SaaS và IT outsourcing Việt Nam chọn đúng.
SOC 1 SOC 2 SOC 3 khác nhau ở mục đích: SOC 1 đánh giá control ảnh hưởng đến báo cáo tài chính của khách hàng, SOC 2 đánh giá control về bảo mật và các tiêu chí Trust Services Criteria, còn SOC 3 là bản tóm tắt của SOC 2 dành cho công chúng. Cả ba đều là báo cáo do công ty kiểm toán CPA độc lập phát hành theo chuẩn của AICPA, không phải chứng chỉ.
Bài này giúp CTO và người phụ trách compliance ở công ty SaaS, IT outsourcing Việt Nam xác định khách hàng đang cần báo cáo nào. Nếu bạn mới bắt đầu với SOC 2, đọc trước SOC 2 là gì.
SOC 1, SOC 2 và SOC 3 là gì?
SOC (System and Organization Controls) là bộ dịch vụ báo cáo của AICPA mà các CPA thực hiện để cung cấp thông tin giúp khách hàng đánh giá rủi ro khi thuê ngoài dịch vụ.
- SOC 1: kiểm tra control tại tổ chức cung cấp dịch vụ có thể ảnh hưởng đến kiểm soát nội bộ về báo cáo tài chính (ICFR) của khách hàng. Người đọc là khách hàng (user entities) và kiểm toán viên báo cáo tài chính của họ (user auditors). SOC 1 được thực hiện theo chuẩn chứng thực SSAE 18.
- SOC 2: kiểm tra control liên quan đến bảo mật, tính sẵn sàng, tính toàn vẹn xử lý, tính bảo mật thông tin và quyền riêng tư theo Trust Services Criteria. Đây là báo cáo hạn chế sử dụng (restricted use), dành cho ban quản lý, khách hàng và kiểm toán viên của khách hàng (Linford & Co).
- SOC 3: báo cáo sử dụng chung (general use) về cùng các nhóm tiêu chí như SOC 2, có thể phát hành tự do, nhưng không có mức chi tiết như SOC 2.
So sánh SOC 1, SOC 2 và SOC 3
| Tiêu chí | SOC 1 | SOC 2 | SOC 3 |
|---|---|---|---|
| Trả lời câu hỏi | Control của nhà cung cấp có ảnh hưởng đúng cách đến báo cáo tài chính của khách hàng không? | Control về bảo mật và các tiêu chí đã chọn có được thiết kế và vận hành hiệu quả không? | Bản tóm tắt công khai: nhà cung cấp có đạt các tiêu chí đã chọn không? |
| Tiêu chí đánh giá | Mục tiêu kiểm soát do tổ chức tự xác định, liên quan ICFR | Trust Services Criteria (Security bắt buộc) | Trust Services Criteria |
| Người được đọc | Khách hàng và kiểm toán viên tài chính của họ | Ban quản lý, khách hàng, kiểm toán viên của khách hàng (hạn chế) | Bất kỳ ai (sử dụng chung) |
| Type I / Type II | Có cả hai | Có cả hai | Không chia Type; thường gắn với kỳ đánh giá như Type II |
| Mức chi tiết | Mô tả hệ thống, control, kiểm thử và kết quả | Mô tả hệ thống, control, kiểm thử và kết quả | Ý kiến kiểm toán và mô tả ngắn, không có chi tiết kiểm thử |
| Ai thường yêu cầu | Khách hàng có dữ liệu tài chính đi qua dịch vụ của bạn (payroll, thanh toán, billing) | Đội security và vendor risk của khách hàng | Dùng để công khai trên website, trang trust |
Type I và Type II áp dụng cho báo cáo nào?
Type I đánh giá thiết kế control tại một thời điểm; Type II đánh giá cả thiết kế và hiệu quả vận hành trong một kỳ quan sát, thường từ 3 đến 12 tháng, AICPA không quy định thời gian tối thiểu. Cách chia này áp dụng cho SOC 1 và SOC 2. SOC 3 không có lựa chọn Type I; theo Linford & Co, SOC 3 luôn ở dạng Type II và thường được phát hành cùng phạm vi, cùng kỳ với SOC 2 để dùng chung phần kiểm thử. Chi tiết về hai loại: SOC 2 Type I và Type II.
Công ty SaaS hay IT outsourcing Việt Nam nên chọn báo cáo nào?
- Hỏi khách hàng chính xác họ cần gì. Bảng câu hỏi vendor security hầu như luôn hỏi SOC 2 Type II hoặc ISO 27001; yêu cầu SOC 1 thường đến từ bộ phận tài chính hoặc kiểm toán của khách hàng.
- Chọn SOC 1 nếu dịch vụ của bạn trực tiếp xử lý số liệu đi vào báo cáo tài chính của khách hàng, ví dụ tính lương, xử lý thanh toán, đối soát hoặc lập hóa đơn.
- Chọn SOC 2 nếu khách hàng lo về bảo mật dữ liệu và hệ thống bạn vận hành hộ họ. Đây là trường hợp phổ biến nhất với SaaS và outsourcing phát triển phần mềm.
- Cân nhắc thêm SOC 3 khi đã có SOC 2 Type II và muốn đưa bằng chứng công khai lên website mà không phải ký NDA cho từng khách.
- Một số công ty cần cả SOC 1 và SOC 2 vì có hai nhóm khách hàng khác nhau; hai báo cáo có thể do cùng một công ty CPA thực hiện.
Nếu bạn đang cân nhắc giữa SOC 2 và ISO 27001, xem so sánh ISO 27001 và SOC 2.
pTrackly hỗ trợ báo cáo nào?
pTrackly hỗ trợ framework SOC 2 theo Trust Services Criteria: tổ chức control, chính sách, evidence task lặp lại và không gian làm việc cho kiểm toán viên trong kỳ quan sát. Evidence của SOC 2 cũng là đầu vào khi công ty CPA phát hành SOC 3 cùng kỳ, nhưng pTrackly không có framework SOC 1 hay quy trình riêng cho SOC 3.
pTrackly không phải công ty CPA và không phát hành báo cáo SOC nào. Báo cáo do một công ty kiểm toán CPA độc lập phát hành; xem ai được kiểm toán SOC 2.
Câu hỏi thường gặp
SOC 2 có tốt hơn SOC 1 không?
Không. Hai báo cáo trả lời hai câu hỏi khác nhau: SOC 1 cho báo cáo tài chính của khách hàng, SOC 2 cho bảo mật và các tiêu chí Trust Services Criteria. Bạn cần báo cáo nào phụ thuộc vào khách hàng đang hỏi gì.
Có thể gửi SOC 3 thay cho SOC 2 không?
Thường là không. SOC 3 không có mô tả chi tiết control và kết quả kiểm thử, nên đội vendor risk của khách hàng thường vẫn yêu cầu SOC 2 dưới NDA. SOC 3 phù hợp để công khai trên website.
SOC 1, SOC 2, SOC 3 có phải chứng chỉ không?
Không. Cả ba là báo cáo chứng thực (attestation report) do công ty CPA phát hành theo chuẩn AICPA, kèm ý kiến kiểm toán cho một phạm vi và một thời điểm hoặc kỳ cụ thể. Mọi người hay gọi là "chứng nhận SOC 2", nhưng không có chứng chỉ SOC.
Báo cáo SOC có hết hạn không?
Không có ngày hết hạn chính thức. Khách hàng thường muốn báo cáo có kỳ đánh giá kết thúc trong 12 tháng gần nhất, nên doanh nghiệp làm lại hằng năm; xem hiệu lực báo cáo SOC 2.
Đang chuẩn bị SOC 2? Đặt lịch demo để xem pTrackly tổ chức control, evidence và audit trong kỳ quan sát.
