SOC 1、2 或 3：什么最适合您？

了解它们之间的区别可以让一切变得不同。

Mitratech 员工八月19,2019 3 分钟阅读

服务组织控制（SOC）引入近十年后，人们对 SOC 审计的种类和背景仍然感到困惑。

从表面上看，SOC 报告似乎有三种，其中又有两种子类型。如果一些关键或高风险供应商提供的是 SOC 1，而其他供应商提供的是 SOC 2 甚至是 SOC 3， 你怎么能知道其中的区别？你又如何知道何时以及为何使用每一种报告？

SOC 1 审计是一份保密报告，详细说明第三方供应商内部控制的有效性，可能与其客户的财务报告内部控制有关。

SOC 1 审计可以是第 1 类（侧重于供应商的控制措施），也可以是第 2 类（在一段时期内测试关键内部控制措施的设计和运行效果，通常不短于 6 个月）。

SOC 1 审计以SSAE 18标准为基础，这是一项新的审计标准，范围更广，包括对第四方的重要洞察。

SOC 2 审计评估与第三方和第四方供应商的系统安全直接相关的内部控制、政策和程序。SOC 2 是一份保密报告，用于确定供应商是否符合 "信托服务标准"：

SOC 3 报告还基于 信托服务标准.该报告可自由分发，不需保密。SOC 3 报告并不描述服务机构的系统。相反，它提供了审计师报告的摘要。

SOC 报告可能长达 50 到 250 页。如果您没有专业知识或时间来审查、理解和证实 SOC 报告中的大量发现，那么可以使用 供应商风险管理 (VRM) 系统 可以为您自动完成这项工作。

VRM 解决方案可根据贵组织提交的报告或直接向供应商索取报告，对 SOC 控制审计报告进行审查。然后，一个团队会提供一份总结风险分析和发现的最终报告。

作为与 VRM 解决方案合作的一部分，您将获得一个单一的参考来源，您所需的一切都在一个地方。评估和最终报告、您对我们评估结果的书面审查和补充控制证明，以及供应商的文件都会上载到您的电子供应商文件夹中。

在考虑第三方和第四方供应商提供的哪些报告符合贵组织的需求时，您必须首先了解 SOC 审计的不同类型。有关 SOC 1、2 和 3 之间区别的更多信息、 下载并阅读白皮书"SOC 1、2 或 3：什么最适合您？

了解我们一流的 VRM/ERM 解决方案。