Was ist SOC 1 Compliance?

SOC 1 (System and Organization Controls 1) ist einer der von der AICPA etablierten Standards. Er beschreibt die Prüfungsarbeit in Bezug auf die internen Kontrollen der Finanzberichterstattung (ICFR) einer Service-SaaS-Organisation. Er generiert einen Bericht, der den Kunden des SaaS-Unternehmens und deren Prüfern als Vertrauensgrundlage bei der Beurteilung der Verlässlichkeit der Finanzberichte dienen kann. 

Für ein Dienstleistungsunternehmen, das eine Vielzahl von Finanzdienstleistungen wie Zahlungsabwicklung, Lohnbuchhaltung, Rechnungsstellung und damit verbundene Unterstützung für seine Kunden erbringt, ist SOC 1 zumeist der entscheidende Faktor, wenn es darum geht, einen Kunden zum Vertragsabschluss zu bewegen. Der Bericht versichert dem Kunden, dass die Auslagerung der finanziellen Aufgaben an einen Drittanbieter kein zusätzliches finanzielles Drittrisiko für dessen eigene Finanzunterlagen mit sich bringt.

Ein Typ-1-Bericht prüft, ob die Kontrollen aus der Perspektive des Kunden zu einem einzigen Zeitpunkt angemessen sind; Typ 2 ist eine umfassendere Untersuchung der tatsächlichen Funktionsweise der Kontrollen über mehrere Prüfungszeiträume (von sechs bis zwölf Monaten). Die Mehrheit der Kunden und Auditoren entscheidet sich für Typ 2, da dieser ein klareres Bild der konsistenten Wirksamkeit der Kontrollen liefert als eine Momentaufnahme.

Die Finanzberichterstattung ist der Hauptgegenstand der Kontrollen unter SOC 1; SOC 2 bewertet Kontrollen für nicht-finanzielle Aspekte wie Sicherheit, Verfügbarkeit, Vertraulichkeit, Datenschutz usw. und die Integrität der Verarbeitung. 

SOX 404 ist die gesetzliche Anforderung für an der US-Börse notierte Unternehmen, ihre internen Kontrollen zu überprüfen. SOC 1 hingegen ist ein freiwilliger SOC-Bericht, der von einem Dienstanbieter zur Verwendung durch seine Kunden erstellt wird. Ein Zahlungsdienstleister, der öffentliche Unternehmen betreut und Daten verarbeitet, muss möglicherweise alle drei Berichte vorweisen.

Der Vorbereitungsprozess umfasst üblicherweise die Identifizierung der Systeme und Prozesse in Finanzberichten, die Erstellung von Dokumentationen zu Kontrollaktivitäten, die Durchführung einer Bewertung oder Lückenanalyse, die Behebung von Mängeln und schließlich die Beauftragung einer registrierten Prüfungsgesellschaft für die eigentliche Prüfung.

CUECs sind Kontrollen, die die Kunden-SaaS-Organisation aufrechterhalten muss, damit das gesamte Kontrollumfeld wie beabsichtigt funktioniert; die Service-Organisation kann nicht alles abdecken. In einigen Fällen umfasst der Prozess einer Zahlungsplattform, dass Kunden Abrechnungsberichte überprüfen und genehmigen, eine Aktivität, die die Plattform nicht direkt vorschreiben kann. Prüfer dokumentieren CUECs, damit beide Parteien verstehen, wo die Verantwortung liegt.

Die Kosten variieren stark je nach Unternehmensgröße, Anzahl der zu prüfenden Kontrollen und ob es sich um einen Typ-1- oder Typ-2-Bericht handelt. Prüfungen liegen aber üblicherweise zwischen 15.000 und 100.000 US-Dollar+ jährlich, zuzüglich der internen Personalkosten für die Vorbereitung. Typ-2-Prüfungen und umfangreichere Kontrollumfelder sind oft mit höheren finanziellen Aufwendungen verbunden.

Berücksichtigen Sie die folgenden zwei Fragen, wenn Sie ein Dienstleister sind:

1.   Beeinflussen meine Angebote die Finanzberichte des Kunden?
2.   Ist dieser Bericht ein Punkt auf der Beschaffungs-Checkliste eines potenziellen oder bestehenden Kunden?

Wenn eine der oben genannten Bedingungen erfüllt ist, könnte die Einhaltung von SOC 1 ein mitwirkender Faktor sein.