SOC 2

SOC 2 (System and Organization Controls 2) to raport z badania zabezpieczeń u dostawcy usług, sporządzany przez niezależnego biegłego rewidenta według standardów amerykańskiego stowarzyszenia AICPA. AICPA opisuje rodzinę SOC jako zestaw usług, które biegli rewidenci mogą świadczyć w związku z kontrolami systemów organizacji usługowych ^[3]. Raporty te mają dać odbiorcom informacje potrzebne do oceny ryzyka związanego z outsourcingiem usług ^[3]. SOC 2 dotyczy kontroli istotnych dla bezpieczeństwa, dostępności i integralności przetwarzania systemów oraz dla poufności i prywatności przetwarzanych informacji ^[1].

Jak działa

Badanie SOC to usługa atestacyjna wykonywana przez biegłych rewidentów zgodnie ze standardami AICPA dla usług atestacyjnych (SSAE) ^[1]. Ocenia kontrole, jakie dostawca, na przykład operator chmury lub firma płacowa, stosuje wobec danych klientów ^[1]. Wynikiem jest niezależne zapewnienie dla klientów dostawcy, tak zwanych jednostek użytkownika, że kontrole są właściwie zaprojektowane i skutecznie działają ^[1].

Miarą są kryteria usług zaufania (Trust Services Criteria). Ustaliła je komisja AICPA ds. usług atestacyjnych (ASEC) do oceny kontroli nad bezpieczeństwem, dostępnością, integralnością przetwarzania, poufnością i prywatnością informacji i systemów ^[5]. Aktualny zestaw publikowany przez AICPA nosi nazwę 2017 Trust Services Criteria, z punktami uwagi zmienionymi w 2022 roku ^[5].

Przebieg od prośby klienta do przekazania raportu pokazuje schemat poniżej.

RYS. 1Badanie SOC 2 u dostawcy usług

Rodzaje raportów

Najczęstsze są SOC 1 i SOC 2 ^[1]. SOC 1 ocenia kontrole dostawcy, które mogą mieć znaczenie dla kontroli wewnętrznej klienta nad sprawozdawczością finansową ^[1]. Raport SOC 3 powstaje na podstawie badania SOC 2 ^[2]. W obrębie SOC 2 rozróżnia się dwa typy.

Microsoft opisuje raport Type 2 jako ocenę, czy kontrole dostawcy są właściwie zaprojektowane, działały w określonym dniu i działały skutecznie przez określony czas ^[2]. Firma wskazuje też, że badania typu 1 nie obejmują okresu wstecz ^[2].

Microsoft zleca pełne badanie SOC 2 Type 2 usługi Office 365 raz w roku, a raport SOC 3 wydaje równocześnie z raportem SOC 2 ^[2]. Okres badania obejmuje u tej firmy kroczące 12 miesięcy, od 1 października do 30 września ^[2]. Raport z badania Office 365 odnosi się dodatkowo do macierzy Cloud Controls Matrix organizacji CSA i katalogu C5:2020 niemieckiego urzędu BSI ^[2]. Jeden raport może więc służyć kilku programom zgodności.

Raport SOC 2 ma stałe części. AICPA wymienia opinię niezależnego biegłego, oświadczenie kierownictwa, opis systemu, kontrole z testami i wynikami oraz inne informacje od kierownictwa ^[4]. Raporty SOC 2 są przeznaczone dla określonych stron, które rozumieją system dostawcy i charakter świadczonych usług ^[1].

W WordPressie

Właściciel strony WordPress sam raportu SOC 2 zwykle nie potrzebuje. Spotyka go przy wyborze dostawców: hostingu, usług kopii zapasowych, poczty transakcyjnej czy zewnętrznych usług wtyczek. Przykładowo platforma WordPress VIP deklaruje na swojej stronie posiadanie SOC 2 Type 2 ^[6].

Czytając taką deklarację, warto pamiętać o słownictwie. Raport SOC 2 zawiera opinię biegłego, a nie certyfikat; Journal of Accountancy zwraca uwagę, że słowo „compliance” nie jest używane w badaniach SOC 2 ^[1]. Raport obejmuje też tylko system opisany przez dostawcę. Zabezpieczenia po stronie klienta, takie jak konta administratorów WordPressa czy aktualność wtyczek, pozostają poza nim; to przykład modelu współdzielonej odpowiedzialności.

Przy danych osobowych raport SOC 2 może być jednym z dowodów w ocenie podmiotu przetwarzającego. Nie zastępuje jednak umowy powierzenia przetwarzania danych osobowych wymaganej przez RODO.

Znaczenie

Journal of Accountancy pisze, że raport SOC stał się oznaką zaufania, a badania SOC należą do najpopularniejszych badań tego rodzaju ^[1]. SOC 2 ma zaspokoić potrzeby zarządzania ryzykiem dostawców po stronie klienta ^[1]. Wielu klientów zamawia raport, aby spełnić wymagania umów z partnerami ^[1], a u odbiorcy trafia on do procesu due diligence.

Journal of Accountancy, powołując się na członków grupy roboczej SOC 2 przy AICPA, zaleca klientom kilka kroków ^[1]:

• sprawdzić firmę audytorską: wielkość, doświadczenie, referencje i wyniki kontroli jakości;
• zapytać o zakres badania, sposób doboru próbek i zachowanie niezależności;
• ocenić, czy raport jest dopasowany do systemu, a kontrole do ryzyk branży;
• uważać na raporty oparte głównie na zapytaniach, bez głębszych procedur.

Między kolejnymi raportami dostawcy wydają czasem listy pomostowe (bridge letters). Microsoft zaznacza, że są to jego własne oświadczenia, a nie raporty z badania biegłego ^[2]. Raport SOC 2 bywa zestawiany z certyfikatem ISO/IEC 27001; oba dokumenty mogą służyć jako dowód w audycie bezpieczeństwa dostawcy.

Historia i przykłady

Raporty SOC funkcjonują od 2011 roku ^[1]. Oznaczenia SOC 1, SOC 2 i SOC 3 są zastrzeżonymi znakami towarowymi AICPA ^[1]. W lutym 2026 roku Journal of Accountancy opisał obawy biegłych związane z dostawcami narzędzi, którzy obiecują raport SOC 2 w kilka tygodni, a nawet godzin ^[1]. Artykuł przyznaje, że narzędzia te pomagają, bo pozwalają pobierać dowody wprost z systemów klienta zamiast dziesiątek zrzutów ekranu i plików Excel ^[1]. Tacy dostawcy nie są jednak firmami audytorskimi, więc sami nie mogą poświadczyć skuteczności kontroli ^[1]. AICPA poinformowało, że bada anonimowe zarzuty wobec praktyk jednego z dostawców usług SOC ^[3]. Zapowiedziało działania wobec członków, jeśli audytorzy nie stosowali standardów zawodowych ^[3].