SOC 2, System and Organization Controls (AICPA)
Prüfbericht nach den Standards der AICPA über die Kontrollen eines Dienstleisters. Kein Zertifikat; der Bericht stammt von einem in den USA zugelassenen Wirtschaftsprüfer (CPA).
Experto Mundi ist weder Herausgeber noch Prüf- oder Zertifizierungsstelle und steht in keiner Partnerschaft mit dem Herausgeber.
Was es ist
SOC ist eine Reihe von Leistungen, die CPAs zu Kontrollen einer Service-Organisation erbringen. SOC 2 prüft die Beschreibung des Systems und die Kontrollen zu Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit oder Datenschutz (Trust Services Criteria). Kunden nutzen den Bericht, um Risiken einer Auslagerung zu bewerten.
Herausgeber und Fassung
- Die AICPA setzt die Berufsstandards für SOC-Prüfungen. Maßgeblich: Trust Services Criteria 2017 mit überarbeiteten Points of Focus 2022 und Description Criteria 2018 mit überarbeiteter Anleitung 2022; SOC-2-Guide Stand 15.10.2022 nach SSAE No. 20 und 21.
- Die AICPA hat Entwürfe für 2027 SOC 2 Trust Services Criteria und Description Criteria zur Kommentierung gestellt.
Struktur
- SOC 2 Typ 1 und Typ 2 (die AICPA stellt getrennte Muster für beide Typen bereit).
- SOC 3: Bericht zur allgemeinen Verwendung (General Use Report) über dieselben Kriterien.
- SOC 1: Kontrollen mit Bezug zur Finanzberichterstattung.
Wer prüft
CPAs. Die AICPA warnt ausdrücklich vor Anbietern, die Prüfungen ohne Peer Review oder Zulassung durchführen.
Abgrenzung
- BSI C5: deutsches Gegenstück für Cloud-Dienste mit ähnlicher Berichtsform.
- ISO/IEC 27001: Zertifikat eines Managementsystems.
- AICPA & CIMA, SOC Suite of Services, Abruf 10.11.2026.
- AICPA & CIMA, SOC 2 Guide (Publikationsseite), Abruf 10.11.2026.