Finansal Raporlama Kontrolleri (SOC 1)

SOC 1, bir hizmet kuruluşunun müşterilerinin FİNANSAL RAPORLAMASINI etkileyen iç kontrollerine ilişkin bağımsız güvence raporudur. Bir belge veya sertifika değildir: yetkili bir bağımsız denetçi tarafından düzenlenen ve denetçi görüşü içeren bir rapordur. Asıl kullanıcısı müşterinin kendi mali müşaviri veya bağımsız denetçisidir.

• Bordro ve muhasebe hizmeti veren şirketler
• Ödeme işleme ve tahsilat hizmeti sağlayıcıları
• Varlık yönetimi ve saklama hizmeti verenler
• Müşterilerinin finansal verisini işleyen SaaS sağlayıcıları
• Müşterisinin bağımsız denetçisinden rapor talebi gelen hizmet kuruluşları

Zorunlu değildir; müşterinin bağımsız denetim süreci gerektirdiğinde istenir. Halka açık şirketlere hizmet veren kuruluşlarda müşteri denetçisinin talebi nedeniyle fiilen bir gereklilik hâline gelir.

• Sistem tanımı: hizmetin kapsamı, süreçler, altyapı, personel ve veri akışı
• Kontrol hedeflerinin belirlenmesi (finansal raporlamayla ilişkili)
• Kontrol faaliyetlerinin tanımlanması
• Tip I — Kontrollerin belirli bir tarihteki tasarım uygunluğu
• Tip II — Kontrollerin belirli bir dönem boyunca işletim etkinliği
• Tamamlayıcı kullanıcı kuruluş kontrolleri (CUEC)
• Alt hizmet kuruluşlarının ele alınması: kapsayıcı (inclusive) veya dışlayıcı (carve-out) yöntem
• Denetçi görüşü ve test sonuçları

1. 1Kapsam ve Program BelirlenmesiDenetlenecek sahalar, süreçler ve şemanın gerektirdiği denetim günü belirlenir.
2. 2Ön Değerlendirmeİsteğe bağlı olarak boşluk analizi yapılır; asıl denetim öncesi eksikler görünür hâle gelir.
3. 3Saha DenetimiŞemanın soru listesi üzerinden kayıt incelemesi, saha gözlemi ve çalışan görüşmeleri yapılır.
4. 4Bulguların RaporlanmasıBulgular şemanın sınıflandırmasına göre raporlanır. Bu şemaların çıktısı belge değil, denetim raporudur.
5. 5Düzeltici Faaliyet ve TakipBulgular için düzeltici faaliyet planı sunulur; şemaya göre takip denetimiyle kapatılır.

Denetim raporlarının geçerlilik süresi şemaya göre belirlenir ve çoğunlukla bir ile iki yıl arasındadır. Rapor, alıcı markanın kabul ettiği süre boyunca kullanılır.

• Kuruluş ve saha bilgileri
• Çalışan sayısı ve vardiya düzeni
• Yasal izin ve ruhsatlar
• İlgili politika ve prosedürler
• Bordro, mesai ve personel kayıtları

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Denetlenecek saha sayısı ve çalışan sayısı
• Şemanın öngördüğü denetim günü
• Ön değerlendirme (boşluk analizi) istenip istenmediği
• Takip denetimi gerekip gerekmediği

Bu şemaların çoğu belge değil denetim raporu üretir ve şema sahibinin (ör. Sedex, amfori, RBA) kendi onay sistemine tabidir; klasik anlamda akreditasyon her şemada bulunmaz. Denetçi yetkinliği ve rapor geçerliliği şema sahibinin kurallarına göre belirlenir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• SOC 2Hizmet Kuruluşu Güven Kontrolleri
• PCI DSSKart Verisi Güvenliği
• TISAXOtomotiv Bilgi Güvenliği Değerlendirmesi
• ISO/IEC 27001Bilgi Güvenliği Yönetimi
• ISO/IEC 27017Bulut Güvenliği
• ISO/IEC 27018Bulutta Kişisel Veri
• ISO/IEC 27701Gizlilik Bilgi Yönetimi
• ISO/IEC 42001Yapay Zeka Yönetim Sistemi