Che cos'è il certificato?

SOC 1 è un rapporto di garanzia indipendente sui controlli interni di un'organizzazione di servizi che influiscono sui REPORT FINANZIARI dei suoi clienti. Non è un certificato: è una relazione rilasciata da un revisore indipendente autorizzato e contiene il parere del revisore. L'utente principale è il contabile o il revisore dei conti del cliente.

A chi serve?

Società che forniscono servizi di contabilità e buste paga
Fornitori di servizi di elaborazione e riscossione dei pagamenti
Fornitori di servizi di gestione e custodia patrimoniale
Fornitori SaaS che elaborano i dati finanziari dei loro clienti
Organizzazioni di servizi che ricevono una richiesta di rapporto dal revisore indipendente del loro cliente

È obbligatorio?

Non obbligatorio; viene richiesto quando il processo di audit indipendente del cliente lo richiede. Per le organizzazioni che servono società quotate in borsa, diventa effettivamente un requisito a causa della richiesta del revisore del cliente.

Campo di applicazione della norma

Descrizione del sistema: ambito del servizio, processi, infrastruttura, personale e flusso di dati
Definizione degli obiettivi di controllo (relativi al reporting finanziario)
Definizione delle attività di controllo
Tipo I — l'idoneità della progettazione dei controlli ad una data specifica
Tipo II — l'efficacia operativa dei controlli in un periodo specifico
Controlli complementari delle entità utente (CUEC)
Trattamento delle organizzazioni di subservizi: il metodo inclusivo o carve-out
Il giudizio del revisore e i risultati dei test

Processo di certificazione

1Determinazione dell'ambito e del programmaVengono determinati i siti e i processi da sottoporre ad audit e la durata dell'audit richiesta dallo schema.
2Pre-valutazioneFacoltativamente viene effettuata un'analisi delle lacune; le lacune diventano visibili prima dell’audit principale.
3Audit in sitoL'esame dei registri, l'osservazione del sito e le interviste ai lavoratori vengono effettuati rispetto alla lista di controllo del programma.
4Rendicontazione dei rilieviI risultati sono riportati in base alla classificazione dello schema. Il risultato di questi schemi è un rapporto di audit, non un certificato.
5Azioni correttive e follow-upViene presentato un piano di azioni correttive per i risultati; si conclude con un audit di follow-up nell'ambito del programma.

Periodo di validità

Il periodo di validità delle relazioni di audit è stabilito dal sistema ed è generalmente compreso tra uno e due anni. Il report viene utilizzato per il periodo accettato dal marchio acquirente.

Documenti richiesti

Organizzazione e dettagli del sito
Organico e schema dei turni
Autorizzazioni e licenze legali
Politiche e procedure pertinenti
Registri delle buste paga, degli orari e del personale

Costo della certificazione

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

Il numero di siti da sottoporre ad audit e l'organico
La durata dell'audit prescritta dallo schema
Se è richiesta una pre-valutazione (gap analysis).
Se è necessario un audit di follow-up

Accreditamento

La maggior parte di questi schemi producono rapporti di audit, non documenti, e sono soggetti al sistema di approvazione del proprietario dello schema (ad esempio Sedex, amfori, RBA); L'accreditamento nel senso classico non si trova in ogni schema. La competenza del revisore e la validità del rapporto sono determinate dalle regole del proprietario dello schema.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

Ambito e autorizzazioni

Certificazioni correlate

Domande frequenti

Posso ottenere un certificato SOC 1?

SOC 1 non è una certificazione; non viene rilasciato alcun certificato. Il risultato è una relazione di garanzia contenente il parere del revisore indipendente. La frase "certificato SOC 1" è tecnicamente errata.

Dovrei ottenere il Tipo I o il Tipo II?

Il tipo I valuta la configurazione dei controlli a partire da una data specifica e può essere ottenuto rapidamente; Test di tipo II che i controlli hanno effettivamente funzionato per un periodo (di solito 6-12 mesi). La maggior parte dei clienti richiede il Tipo II; Il tipo I è principalmente un passaggio temporaneo per il primo anno.

Controlli sull'informativa finanziaria (SOC 1)