這是什麼證書？
SOC 1 是一份關於服務組織影響其客戶財務報告的內部控制的獨立保證報告。它不是證書：它是由有執照的獨立審計師所出具的報告，包含審計師的意見。其主要使用者為客戶自己的會計師或獨立審計師。
誰需要它？
- 提供薪資和會計服務的公司
- 付款處理和收款服務提供者
- 資產管理及託管服務提供者
- SaaS 提供者處理客戶的財務數據
- 服務組織收到客戶獨立審計員的報告請求
是否為強制？
非強制性；當客戶的獨立審核流程需要時，會提出要求。對於為上市公司服務的組織來說，由於客戶審計師的要求，它實際上成為一項要求。
標準適用範圍
- 系統描述：服務範圍、流程、基礎設施、人員和資料流
- 設定控制目標（與財務報告相關）
- 定義控制活動
- 類型 I — 控制設計在特定日期的適用性
- 第二類—特定時期內控制措施的運作有效性
- 補充使用者實體控制 (CUEC)
- 附屬服務組織的處理：包容法或剝離法
- 審核員意見和測試結果
驗證流程
- 1確定範圍和計劃確定要審核的地點和流程以及方案所需的審核持續時間。
- 2預評估可選擇進行差距分析；在主要審計之前，差距就會顯現出來。
- 3現場稽核記錄審查、現場觀察和工人訪談均根據該計劃的清單進行。
- 4發現事項報告根據計劃的分類報告調查結果。這些方案的輸出是審核報告，而不是憑證。
- 5矯正措施與追蹤針對調查結果提交糾正行動計劃；該計劃以後續審計結束。
有效期限
審計報告的有效期限由方案規定，大多為一年至兩年。該報告用於購買品牌接受的期間。
所需文件
- 組織和站點詳細信息
- 員工人數和輪班模式
- 法律許可和執照
- 相關政策和程序
- 工資、時間和人事記錄
驗證費用
無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。
- 審核地點數量及人數
- 方案規定的審核期限
- 是否需要預評估（差距分析）
- 是否需要後續審核
認證
這些計劃中的大多數都會產生審計報告，而不是文件，並受計劃所有者（例如 Sedex、amfori、RBA）自己的審批系統的約束；並非每個計劃都具有經典意義上的認證。審核員的能力和報告的有效性由計劃所有者的規則決定。
此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。
範圍和授權相關認證
常見問題
我可以獲得 SOC 1 憑證嗎？
SOC 1 不是認證；沒有核發憑證。結果是包含獨立審計師意見的鑑證報告。 「SOC 1 認證」這句話在技術上是不正確的。
我應該選擇 I 型還是 II 型？
I 類評估截至特定日期的控制設計，可以快速獲得； II 類測試控制在一段時間內（通常是 6-12 個月）的實際運行。大多數客戶要求類型 II； I 型主要是第一年的過渡步驟。