Informationssicherheit
SOC 1
SOC 1 (System and Organization Controls 1)
SOC 1 ist eine unabhängige Prüfungsbescheinigung eines Wirtschaftsprüfers (CPA) über die Kontrollen in Ihrem Unternehmen, die für die interne Kontrolle der Finanzberichterstattung Ihrer Kunden relevant sind. Wir begleiten Sie von der ersten Lücke bis zu einem sauberen Typ-I- oder Typ-II-Bericht.
Was SOC 1 ist
SOC 1 ist ein Prüfungsbericht, der von einer unabhängigen Wirtschaftsprüfungsgesellschaft (CPA) erstellt wird und die Kontrollen bei einer Dienstleistungsorganisation beschreibt, die sich auf die Jahresabschlüsse ihrer Kunden auswirken könnten. Er existiert, damit Ihre Kunden und deren Prüfer sich auf die Kontrollen verlassen können, die Sie in ihrem Auftrag betreiben, wenn sie über die interne Kontrolle der Finanzberichterstattung (ICFR) berichten.
Ein Typ-I-Bericht beurteilt, ob die Kontrollen zu einem bestimmten Zeitpunkt angemessen gestaltet sind. Ein Typ-II-Bericht prüft, ob diese Kontrollen über einen Zeitraum, meist sechs bis zwölf Monate, wirksam funktioniert haben, und ist derjenige, den die meisten Kundenprüfer erwarten, wenn Ihr Dienst für deren Zahlen wesentlich ist.
Der Aufbau des Berichts
Abschnitt 1 · Prüfungsurteil des unabhängigen Dienstleistungsprüfers
Das formelle Urteil der CPA-Gesellschaft darüber, ob die Beschreibung angemessen dargestellt ist und, bei einem Typ II, ob die Kontrollen wirksam funktioniert haben.
Abschnitt 2 · Erklärung des Managements
Eine schriftliche Erklärung Ihres Managements, die die Richtigkeit der Systembeschreibung und die Angemessenheit der Kontrollen bestätigt.
Abschnitt 3 · Beschreibung des Systems
Ihre Darstellung der Dienste, Prozesse, Personen und Technologie, die das für die Finanzberichterstattung der Kunden relevante System ausmachen.
Abschnitt 4 · Kontrollziele und Kontrollen
Die Kontrollziele, die an die interne Kontrolle der Finanzberichterstattung gebunden sind, mit den konkreten Kontrollen, die jedes Ziel erfüllen, und, bei einem Typ II, den Tests und Ergebnissen des Prüfers.
Ergänzende Kontrollen der Nutzerorganisation
Kontrollen, von denen der Bericht annimmt, dass Ihre Kunden sie selbst betreiben, damit die Gesamtziele auf ihrer Seite erreicht werden.
Typ I im Vergleich zu Typ II
Typ I beurteilt die Gestaltung der Kontrollen zu einem Zeitpunkt, während Typ II zusätzlich die Wirksamkeit über einen festgelegten Prüfzeitraum testet.
Wer es braucht
- Anbieter von Gehaltsabrechnung, Zahlungsverkehr, Abrechnung und Fondsverwaltung, deren Verarbeitung in die Finanzzahlen der Kunden einfließt
- SaaS-Plattformen, die Transaktionen, Umsätze oder Finanzunterlagen für ihre Kunden verarbeiten
- Dienstleistungsorganisationen, die von dem externen Prüfer eines Kunden um einen SOC-1-Bericht gebeten werden
Was Sie erhalten
- Eine Lückenbewertung und ein priorisierter Fahrplan anhand der relevanten Kontrollziele
- Dokumentierte Kontrollziele, Kontrollen und ein Nachweispaket
- Eine interne Bereitschaftsüberprüfung und ein Probelauf vor der Feldarbeit
- Prüfungsvorbereitung und Unterstützung bis zu einem sauberen Typ-I- oder Typ-II-Bericht
Die Zeitpläne hängen von Ihrem Ausgangspunkt ab und davon, ob es sich um Typ I oder Typ II handelt. Wir legen den Umfang von Anfang an ehrlich fest, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
SOC 1 ist ein Prüfungsauftrag, der nach dem SSAE-18-Rahmenwerk der AICPA durchgeführt wird, wobei AT-C section 320 die konkreten Anforderungen für die Berichterstattung über Kontrollen bei einer Dienstleistungsorganisation festlegt. SSAE 18 ist seit seinem Inkrafttreten im Jahr 2017 der maßgebliche Standard und fasst die früheren Prüfungsstandards zusammen, und AT-C 320 ist der aktuelle Bezugspunkt für neue Berichte. Es gibt keine separate nummerierte Ausgabe von SOC 1, die zu übernehmen wäre; die Leitlinien werden von der AICPA gepflegt und regelmäßig aktualisiert, sodass Sie rund um Ihr gewähltes Typ-I-Datum oder Ihren Typ-II-Prüfzeitraum planen statt um einen Versionswechsel.
Was es kostet
Hier stehen zwei Kosten nebeneinander. tr3labs berechnet ein auf den Umfang zugeschnittenes Beratungs- und Umsetzungshonorar, das im Voraus angeboten wird, sobald wir Ihre Größe, Ihr System und den Stand Ihrer Kontrollen verstehen, und das die Lückenarbeit, die Kontrollziele, die Nachweise und die Bereitschaft abdeckt. Die unabhängige CPA-Gesellschaft, die die Prüfung durchführt und das Urteil ausstellt, berechnet separat nach ihrer eigenen Vergütungsordnung, da tr3labs niemals der Prüfer ist und den Bericht niemals ausstellt. Wir legen den Umfang lieber gemeinsam mit Ihnen anhand Ihres tatsächlichen Ausgangspunkts fest, als blind zu kalkulieren.
Wie tr3labs Sie dorthin bringt
Umfangs- und Lückenbewertung
Wir ermitteln die für die Finanzberichterstattung Ihrer Kunden relevanten Kontrollziele, gleichen Ihre aktuellen Kontrollen damit ab und übergeben Ihnen einen priorisierten Fahrplan zum Schließen der Lücken.
Aufbau der Kontrollen
Wir unterstützen Sie dabei, die Kontrollziele zu definieren, die dazugehörigen prozessualen und technischen Kontrollen umzusetzen und die Nachweise zu sammeln, die Ihr Prüfer testen wird.
Interne Prüfung und Nachweise
Wir führen eine interne Überprüfung und einen Probelauf der Prüfung durch, damit die Kontrollen vor der Feldarbeit funktionieren und belegt sind, ohne Überraschungen für einen Typ-II-Zeitraum.
Unterstützung bei der Prüfungsbescheinigung
Wir arbeiten gemeinsam mit Ihrem CPA-Prüfer durch die Feldarbeit bis zu einem sauberen Bericht und halten Sie für den nächsten Berichtszeitraum bereit.
SOC 1 im Vergleich zu SOC 2
Beide teilen den Namen SOC und dasselbe Prüfungsgerüst, sodass sie leicht miteinander verwechselt werden.
| SOC 1 | SOC 2 | |
|---|---|---|
| Deckt ab | Kontrollen, die für die Finanzberichterstattung relevant sind | Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit, Datenschutz |
| Kernidee | Können sich die Prüfer Ihrer Kunden auf Sie verlassen | Können Ihre Kunden darauf vertrauen, wie Sie ihre Daten schützen |
| Wer danach fragt | Externe Finanzprüfer der Kunden | Sicherheits- und Beschaffungsteams der Kunden |
| Gemessen an | Ihren eigenen Kontrollzielen für die ICFR | Den Trust Services Criteria |
| Prüfmodell | Typ I oder Typ II, nach SSAE 18 | Typ I oder Typ II, nach SSAE 18 |
| Typischer Inhaber | Gehaltsabrechnung, Zahlungsverkehr und Fondsverwaltung | SaaS- und Hosting-Plattformen |
SOC 1 FAQ
- Was ist der Unterschied zwischen SOC 1 und SOC 2?
- SOC 1 deckt Kontrollen ab, die für die Finanzberichterstattung Ihrer Kunden relevant sind, damit deren Prüfer sich auf Ihren Dienst verlassen können. SOC 2 deckt Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz anhand der Trust Services Criteria ab. Welchen Sie benötigen, hängt davon ab, worum Ihre Kunden bitten.
- Was ist der Unterschied zwischen SOC 1 Typ I und Typ II?
- Typ I beurteilt, ob Ihre Kontrollen zu einem einzigen Zeitpunkt richtig gestaltet sind. Typ II prüft, ob sie über einen Prüfzeitraum, meist sechs bis zwölf Monate, wirksam funktioniert haben, und ist das, worum Kundenprüfer in der Regel bitten.
- Wer stellt den SOC-1-Bericht aus?
- Eine unabhängige, lizenzierte Wirtschaftsprüfungsgesellschaft (CPA) stellt den Bericht aus. tr3labs bereitet Sie auf die Prüfung vor, baut die Kontrollziele und Nachweise auf und begleitet Sie dabei; wir stellen die Prüfungsbescheinigung nicht selbst aus.
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit