Wat is SOC 1 Compliance?

SOC 1 (System and Organization Controls 1) is een van de standaarden opgesteld door de AICPA. Het beschrijft de auditwerkzaamheden met betrekking tot de interne controles op de financiële verslaglegging (ICFR) van de service-SaaS-organisatie. Het genereert een rapport dat kan dienen als een vertrouwensbasis voor de klanten van het SaaS-bedrijf en hun accountants bij het beoordelen van de betrouwbaarheid van de financiële overzichten. 

Voor een dienstverlenend bedrijf dat werkt met een verscheidenheid aan financiële diensten zoals betalingsverwerking, salarisadministratie, facturatie en gerelateerde ondersteuning voor klanten, is SOC 1 meestal de doorslaggevende factor bij het overtuigen van een klant om een contract te ondertekenen. Het rapport vertelt de klant dat het uitbesteden van de financiële taak aan een externe partij geen extern financieel risico zal toevoegen aan hun eigen financiële administratie.

Een Type 1-rapport controleert of de beheersmaatregelen vanuit het perspectief van de klant op één enkel tijdstip adequaat zijn; Type 2 is een uitgebreider onderzoek naar de daadwerkelijke werking van de beheersmaatregelen gedurende meerdere beoordelingsperiodes (van zes tot twaalf maanden). De meeste klanten en auditors kiezen voor Type 2, omdat het een duidelijker beeld geeft van de consistente effectiviteit van de beheersmaatregelen dan een momentopname.

Financiële rapportage is het hoofdonderwerp van controles onder SOC 1; SOC 2 beoordeelt controles voor niet-financiële zaken zoals beveiliging, beschikbaarheid, vertrouwelijkheid, privacy, enz., en verwerkingsintegriteit. 

SOX 404 is de wettelijke vereiste voor in de VS genoteerde bedrijven om hun eigen interne controles te beoordelen. Echter, SOC 1 is een vrijwillig SOC-rapport dat door de serviceorganisatie wordt opgesteld voor gebruik door haar klanten. Een betalingsorganisatie die openbare bedrijven bedient en gegevens verwerkt, moet mogelijk alle drie de rapporten kunnen tonen.

Het voorbereidingsproces omvat doorgaans het identificeren van de systemen en processen in financiële overzichten, het opstellen van documentatie over controleactiviteiten, het uitvoeren van een evaluatie of gapanalyse, het verhelpen van tekortkomingen, en ten slotte het inschakelen van een geregistreerd accountantskantoor voor de daadwerkelijke audit.

CUEC's zijn controles die de klant-SaaS-organisatie moet handhaven opdat de algehele controleomgeving naar behoren functioneert; de serviceorganisatie kan niet alles afdekken. In sommige gevallen omvat het proces van een betaalplatform dat klanten afrekeningsrapporten beoordelen en goedkeuren, een activiteit die het platform niet direct kan opleggen. Auditors documenteren CUEC's zodat beide partijen begrijpen waar de verantwoordelijkheid ligt.

De kosten variëren sterk, afhankelijk van de bedrijfsgrootte, het aantal controles dat binnen het bereik valt en of het een Type 1- of Type 2-rapport betreft. Audits variëren doorgaans van $15.000 tot $100.000+ per jaar, plus interne personeelstijd voor de voorbereiding. Type 2-audits en uitgebreidere controleomgevingen gaan vaak gepaard met hogere financiële uitgaven.

Overweeg de volgende twee vragen als u een dienstverlener bent:

1.   Heeft mijn aanbod invloed op de financiële overzichten van de klant?
2.   Is dit rapport een onderdeel op de inkoopchecklist van een potentiële of bestaande klant?

Als aan een van de bovengenoemde voorwaarden is voldaan, kan SOC 1-conformiteit een bijdragende factor zijn.