与专家交谈，让你的问题得到回答是参加会议的无与伦比的好处.
在 188bet亚洲真人体育下载®2023 & CIMA®SOC & 第三方风险管理会议 今年早些时候举行, 与会者向一个小组提出了关于真实场景和假设场景的问题. 专家们就SOC项目面临的挑战提供了见解, 包括供应商管理控制不充分的情况. 一小时问答的精彩片段&接下来是一个会话.
尽管供应商管理控制不足，SOC报告
SOC 1®业务涉及报告服务组织对其系统和设计的描述(以及类型2报告), 服务机构在系统内控制的运行有效性. 那么，当没有供应商管理控制时，你会怎么做?
在SOC 2®业务中，通用标准(CC) 9.信任服务标准2使您有机会报告供应商管理处理是否没有充分发挥作用. SOC 1交战不同于SOC 2交战, 然而, 当您需要阐明与SOC 1合同中供应商管理相关的错误或不充分控制时，哪些会带来挑战.
在审查SOC 1业务中的事务类别时,将有用于处理事务的系统的关键元素. 史蒂文Ursillo, 188bet亚洲真人体育下载网址, 中钢协, CISSP, CCSFP, Cherry Bekaert LLP的合伙人和信息保障和网络安全的全国领导者, 阐述了, “如果这些交易和对这些交易的控制取决于供应商责任的某些要素, 然后，很明显，人们期望服务组织提供一些覆盖的元素，以确保他们对正在执行的适当报告的操作感到满意.”
乌尔西略给出了这样的建议:“归根结底是审计师的判断. …供应商管理可能是其中的关键组成部分，需要采取相应的正确控制措施，以证实控制目标的实现.”
SOC报告和ICFR依赖关系
在进行SOC 1或SOC 2业务时，需要考虑的因素超出了供应商管理控制目标，还包括财务报告(ICFR)依赖性.
克里斯·K. 哈特曼, 188bet亚洲真人体育下载网址, 安永会计师事务所SOC报告负责人, 所述, “SOC 2报告提供了有用的证据, 但还没有达到一级SOC报告的程度.“在进行SOC 1审计时, 您需要将注意力集中在用户审计员和用户实体的需求上.
“当我们进行SOC 1审计时，重点关注的是这一点, 我们戴上了关注用户需求的帽子, 特别是用户审计员和用户实体, 关于ICFR. 然而当我们戴上SOC 2的帽子时, 这是一个与安全相关的更广泛的视角, 可用性, 处理完整性, 保密, 隐私, 主体承诺, 或者系统需求.
“So, 这两份报告有不同的预期用途和不同的审计员, 这就是为什么当你试图利用其中一个或另一个时, 你会发现你没有得到足够的信息,霍尔特曼说.
细致入微的理解对于从报告中提取足够的信息至关重要. SOC从业者需要向客户提供建议，以确保他们理解, 作为一个服务机构, 他们在SOC 1或SOC 2的职责.
但是，当188bet亚洲真人体育下载不是明确的ICFR时，你能证明进行SOC 1考试是合理的吗?
哈特曼给出了这样的建议:“记住，188bet亚洲真人体育下载必须是合适的. 一个系统可能不适合作为SOC 1报告的188bet亚洲真人体育下载……SOC 1有自己的标准. 如果他们不合适，你就不应该接受. 您可能需要与您的客户合作，帮助他们和他们的用户实体准确地理解原因，帮助更好地定义他们的需求，并确保他们得到正确的报告，并帮助客户解决问题.”
收集证据的时间框架
与会者很想知道收集证据的有效时间框架, 和肖恩·林顿, 188bet亚洲真人体育下载网址/ CITP, EisnerAmper LLP合伙人, 就截至日期的第1类报告向专家组提出一个假设情景.
根据哈特曼的说法，这归结为专业判断. “这种专业判断将基于……其他控制措施的实施情况 ... 以及它们是如何相互联系的? 你收集到的证据离其他控制组的期末还有多远?”
Neha帕特尔, 188bet亚洲真人体育下载网址, 中钢协, CDPSE, 担任Weaver and Tidwell LLP的IT咨询服务合伙人, 添加, “对于1型糖尿病人来说, 服务审核员正在评估特定日期的控制. 如果审计师在截止日期之后使用证据支持, 关键问题是审计师采取了哪些额外步骤来验证过去存在的控制? 专业判断和应用在确定您可以提前或超越日期多远才能最大限度地提高报告提供的保证水平方面起着重要作用.”
额外的SOC资源
审计服务组织的系统级控制或其他组织的实体级控制是一项值得注意的服务，可以为您提供竞争优势.
的 服务组织工具包的SOC 指导您了解关键事项，例如确定范围和定价. 的 系统和组织控制:SOC服务套件网页为SOC 1提供资源, SOC 2, SOC 3, 面向网络安全的SOC, 和SOC的供应链检查.
学习更多，得到更多 你的 如有疑问，请在线或在拉斯维加斯加入我们 & Cima engage 2024. 十二月登记. 19，节省350美元.