SOC 2 Type I of Type II: welke heb je nodig en hoe lang is de periode?

Wie voor het eerst een SOC 2-rapport nodig heeft, komt direct voor de keuze tussen Type I en Type II te staan. Het verschil is snel uitgelegd en heeft grote gevolgen voor je planning, je budget en de vraag of het rapport voor je klanten bruikbaar is.

Wat Type I is

Een Type I-rapport beoordeelt de situatie op één peildatum. De auditor stelt vast dat de systeembeschrijving juist is en dat de beheersmaatregelen op die datum goed zijn opgezet en geïmplementeerd. Het antwoord dat een Type I geeft: had deze organisatie op deze datum de juiste maatregelen staan?

Wat een Type I niet zegt: of die maatregelen de rest van het jaar zijn uitgevoerd. De maandelijkse toegangsreview kan op de peildatum als procedure bestaan en daarna nooit meer worden uitgevoerd. Het Type I-rapport blijft dan even geldig ogen.

Wat Type II is

Een Type II-rapport toetst daarnaast de werking over een observatieperiode. De auditor geeft een oordeel over de opzet en over de werking van de maatregelen gedurende die hele periode.

Het praktische verschil zit in het testwerk. Bij Type II trekt de auditor per maatregel een steekproef uit de hele periode: wijzigingen uit meerdere maanden, een selectie van incidenten, de toegangsreviews van elk kwartaal. In het rapport staat per maatregel wat er is getest en wat de uitkomst was. Voor de lezer, meestal het securityteam van je klant, is dat de informatie waar het om gaat.

Uitzonderingen in een Type II

Een Type II zonder enkele uitzondering is de uitzondering. Als in de steekproef een toegangsreview te laat blijkt te zijn uitgevoerd, meldt de auditor dat bij die maatregel, samen met de reactie van het management. Dat betekent niet dat het rapport is gezakt. Pas als de tekortkomingen zo ernstig zijn dat een criterium niet wordt gehaald, past de auditor zijn oordeel aan (een voorbehoud, in het Engels qualified opinion). Klanten lezen de uitzonderingen dan ook zorgvuldig. Een uitzondering met een duidelijke oorzaak en een aantoonbaar herstel weegt lichter dan een rapport waarin het managementantwoord ontbreekt.

Hoe lang de observatieperiode moet zijn

Hier staat in veel artikelen een onjuistheid: een formeel minimum van drie maanden. De AICPA schrijft geen minimumduur voor. Wat telt is of de auditor over de gekozen periode een redelijk oordeel kan geven. Voor een eerste rapport is drie maanden in de praktijk de ondergrens die auditors en klanten accepteren. Zes tot twaalf maanden komt vaker voor, en organisaties die al langer rapporteren gaan meestal naar twaalf.

De lengte heeft een keerzijde die vaak wordt onderschat. Een rapport over drie maanden toont zes tot negen maanden later nog steeds alleen die drie maanden aan getest bewijs. Een rapport over twaalf maanden dekt op hetzelfde moment een heel jaar.

Wat klanten accepteren

Securityteams van grotere klanten vragen in de praktijk meestal om Type II. Een Type I wordt geaccepteerd als tijdelijke stap, vaak met de afspraak dat het Type II-rapport op een concrete datum volgt. Wie in een verkooptraject alleen een Type I kan laten zien, krijgt de vraag wanneer het echte rapport komt.

Ook de leeftijd van het rapport speelt mee. Een SOC 2-rapport heeft geen vervaldatum, maar de meeste inkoopprocessen verwachten dat het einde van de periode niet langer dan ongeveer een jaar geleden ligt. Ligt er tijd tussen het einde van de periode en het moment van de vraag, dan vragen klanten soms om een bridge letter: een verklaring van je management, geen auditorsverklaring, dat er sindsdien niets wezenlijks is veranderd. Die brug is kort. Wie meer dan een paar maanden moet overbruggen, wordt doorgaans naar het volgende rapport gestuurd.

Kosten en inspanning

De audit van een Type II is duurder dan die van een Type I, omdat het testwerk over een periode gaat en niet over een moment. Hoeveel duurder hangt af van scope, aantal criteria en de lengte van de periode, dus vraag bij de auditor een offerte voor beide typen op dezelfde scope. Een uitgebreide uitleg staat in wat een SOC 2-traject kost.

De grotere kostenpost zit meestal aan de eigen kant. Een Type II vraagt dat je een periode lang per maatregel bewijs vastlegt: tickets, logs, reviewverslagen, notulen. Organisaties die dat pas aan het eind van de periode bij elkaar zoeken, verliezen daar veel meer aan dan aan het verschil in auditkosten. Richt de bewijsverzameling in als doorlopend proces vanaf de eerste dag van de periode.

De juiste volgorde: wanneer Type I, wanneer direct Type II

Er zijn twee situaties waarin een Type I als tussenstap zinvol is. De eerste: een klant of deal vereist op korte termijn een rapport, en de observatieperiode voor Type II moet nog beginnen. Een Type I overbrugt dan de tijd totdat het Type II-rapport er is. De tweede: je wilt een formeel toetsmoment op de opzet voordat de observatieperiode start, als sluitstuk van de voorbereiding.

In alle andere gevallen is direct naar Type II de efficiëntere route. De voorbereiding is grotendeels hetzelfde, en een Type I die niemand vraagt is een uitgave zonder afnemer. De volgorde die dan logisch is: readiness assessment, herstel van de gaten, start van de observatieperiode, eerste Type II-rapport. Hoe je die voorbereiding aanpakt staat in je SOC 2-audit voorbereiden. Hoe de observatieperiode werkt bij het verwante ISAE 3402 type II staat in de observatieperiode bij ISAE 3402 type 2.

Na het eerste rapport

Het eerste Type II-rapport is geen eindpunt. Klanten verwachten daarna elk jaar een nieuw rapport, zonder gat tussen de periodes. Begin de volgende periode daarom op de dag na het einde van de vorige. Hoe je van een eerste rapport naar een houdbaar jaarritme komt, staat in de jaarlijkse SOC 2-auditcyclus.

Twijfel je welk type bij jouw situatie past, neem dan de eisen van je klanten als uitgangspunt en kijk daarna pas naar de staat van je beheersmaatregelen. De aanpak van een SOC 2-onderzoek staat op de pagina over de SOC 2-audit.