Kontrollen der Finanzberichterstattung (SOC 1)

SOC 1 ist ein unabhängiger Prüfbericht über die internen Kontrollen einer Dienstleistungsorganisation, die sich auf die FINANZBERICHTERSTATTUNG ihrer Kunden auswirken. Es handelt sich nicht um ein Zertifikat, sondern um einen Bericht, der von einem zugelassenen unabhängigen Prüfer erstellt wurde und dessen Prüfungsurteil enthält. Der Hauptnutzer ist der eigene Buchhalter oder unabhängige Wirtschaftsprüfer des Kunden.

• Unternehmen, die Lohn- und Buchhaltungsdienstleistungen anbieten
• Anbieter von Zahlungsabwicklungs- und Inkassodiensten
• Anbieter von Vermögensverwaltungs- und Verwahrungsdiensten
• SaaS-Anbieter verarbeiten die Finanzdaten ihrer Kunden
• Serviceorganisationen erhalten eine Berichtsanfrage vom unabhängigen Prüfer ihres Kunden

Nicht erforderlich; Sie wird angefordert, wenn der unabhängige Prüfungsprozess des Kunden dies erfordert. Für Organisationen, die börsennotierte Unternehmen betreuen, wird dies aufgrund der Anfrage des Abschlussprüfers des Kunden tatsächlich zu einer Anforderung.

• Systembeschreibung: Leistungsumfang, Prozesse, Infrastruktur, Personal und Datenfluss
• Festlegen von Kontrollzielen (im Zusammenhang mit der Finanzberichterstattung)
• Kontrollaktivitäten definieren
• Typ I — die Eignung des Kontrolldesigns zu einem bestimmten Zeitpunkt
• Typ II — die betriebliche Wirksamkeit der Kontrollen über einen bestimmten Zeitraum
• Komplementäre Benutzerentitätskontrollen (CUEC)
• Behandlung von Subservice-Organisationen: die Inclusive- oder Carve-out-Methode
• Das Gutachten und die Prüfergebnisse des Abschlussprüfers

1. 1Festlegung von Umfang und ProgrammEs werden die zu prüfenden Standorte und Prozesse sowie die für das System erforderliche Prüfdauer festgelegt.
2. 2VorabbewertungOptional wird eine Gap-Analyse durchgeführt; Lücken werden bereits vor der Hauptprüfung sichtbar.
3. 3Audit vor OrtDie Überprüfung der Aufzeichnungen, die Standortbeobachtung und die Befragung der Arbeitnehmer werden anhand der Checkliste des Systems durchgeführt.
4. 4Berichterstattung über die FeststellungenBefunde werden gemäß der Klassifizierung des Systems gemeldet. Das Ergebnis dieser Systeme ist ein Prüfbericht, kein Zertifikat.
5. 5Korrekturmaßnahmen und NachverfolgungFür die Feststellungen wird ein Korrekturmaßnahmenplan vorgelegt; Es wird mit einem Folgeaudit im Rahmen des Programms abgeschlossen.

Die Gültigkeitsdauer von Prüfberichten wird durch das System festgelegt und liegt meist zwischen einem und zwei Jahren. Der Bericht wird für den Zeitraum verwendet, den die kaufende Marke akzeptiert.

• Organisations- und Standortdetails
• Personalbestand und Schichtmuster
• Gesetzliche Genehmigungen und Lizenzen
• Relevante Richtlinien und Verfahren
• Lohn-, Zeit- und Personalunterlagen

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

• Die Anzahl der zu prüfenden Standorte und die Mitarbeiterzahl
• Die Auditdauer, die das System vorschreibt
• Ob eine Vorabbewertung (Lückenanalyse) erforderlich ist
• Ob ein Folgeaudit erforderlich ist

Die meisten dieser Systeme erstellen Prüfberichte und keine Dokumente und unterliegen dem eigenen Genehmigungssystem des Systeminhabers (z. B. Sedex, Amfori, RBA). Eine Akkreditierung im klassischen Sinne findet sich nicht in jedem System. Die Kompetenz des Prüfers und die Gültigkeit des Berichts werden durch die Regeln des Systeminhabers bestimmt.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

• SOC 2Vertrauenskontrollen der Serviceorganisation
• PCI DSSDatensicherheit bei Zahlungskarten
• TISAXBewertung der Automobil-Informationssicherheit
• ISO/IEC 27001Informationssicherheitsmanagement
• ISO/IEC 27017Cloud-Sicherheit
• ISO/IEC 27018Persönliche Daten in der Cloud
• ISO/IEC 27701Datenschutz-Informationsmanagement
• ISO/IEC 42001Künstliches Intelligenz-Managementsystem