Mengumpulkan bukti SOC 2 sepanjang periode pemeriksaan

Mengapa bukti perlu mengikuti periode?

SOC 2 Type 2 memeriksa suatu periode, termasuk efektivitas operasi kontrol; Type 1 terkait keadaan pada tanggal tertentu. Gambar pengaturan hari ini tidak dengan sendirinya menjelaskan pekerjaan beberapa bulan sebelumnya. Perjelas jenis laporan sebelum menyiapkan folder bukti.

Alat peninjauan ilustratif AICPA mengajak pembaca memeriksa periode, lingkup, pengujian dan pengecualian laporan. Rencana kerja di bawah adalah saran Kompli untuk menata bukti. Ini bukan salinan seluruh kriteria, keputusan sampel auditor atau jaminan opini.

Baca persiapan SOC 2 untuk pembagian tugas awal. Panduan ini dimulai ketika layanan, periode dan pekerjaan yang hendak dibuktikan sudah dibahas.

Sepakati daftar pekerjaan dengan auditor

Catat sistem, lokasi, kategori dan kontrol yang masuk lingkup. Untuk tiap kegiatan, tulis apa yang memicunya, siapa menjalankan, siapa memeriksa, serta catatan apa yang tersedia. Pastikan tim dan auditor memakai pengertian periode serta zona waktu yang sama.

Contoh: kontrol persetujuan rilis terjadi setiap kali perubahan dirilis, sedangkan pemeriksaan akses mengikuti jadwal organisasi. Jangan memaksa keduanya memakai satu tangkapan layar bulanan. Frekuensi dan bukti yang diperlukan harus sesuai kontrol serta lingkup yang disepakati.

Siapkan populasi kegiatan, bukan hanya contoh yang rapi

Populasi adalah seluruh kegiatan yang relevan dalam batas pemeriksaan, misalnya seluruh rilis pada periode tersebut. Daftar ini berbeda dari sampel, yaitu kegiatan yang dipilih untuk diperiksa lebih jauh.

Sebagai langkah kerja, cocokkan daftar rilis dari aplikasi dengan catatan deployment. Catat rilis darurat, pembatalan, kegiatan yang tidak masuk daftar awal dan perubahan cara pencatatan. Minta auditor menetapkan kebutuhan kelengkapan dan pemilihan sampel; halaman ini tidak memberikan jumlah minimum.

Jika tidak ada kegiatan pada suatu rentang waktu, simpan cara tim memastikan keadaan tersebut. “Tidak ada tiket” mungkin berarti tidak ada kejadian, atau pencatatannya belum lengkap. Periksa sebelum memilih kesimpulan.

Contoh kronologi bukti rilis

Skenario fiktif: pemeriksaan layanan demo mencakup Januari–Maret. Tanggal, kontrol dan pengecualian berikut adalah latihan, bukan hasil pemeriksaan SOC 2 atau frekuensi wajib.

Catatan	Isi dan pekerjaan berikutnya
Populasi	Cocokkan 12 rilis pada daftar aplikasi dengan 12 catatan deployment, termasuk dua rilis darurat.
Januari	Rilis R-01 memiliki hasil uji, persetujuan sebelum deploy dan referensi versi aplikasi.
Februari	Rilis R-07 tidak memiliki bukti persetujuan sebelum deploy. Catat kekurangan dan periksa proses darurat yang sebenarnya berlaku.
Maret	Alur persetujuan diperbaiki; simpan tanggal perubahan dan bukti pelaksanaan berikutnya.
Penilaian periode	Bukti Maret tidak menghapus kekurangan Februari. Kecukupan bukti dan pengaruhnya pada hasil pemeriksaan dibahas dengan auditor.

Jumlah 12 merupakan populasi buatan dalam contoh, bukan rekomendasi ukuran sampel. Jangan membuat persetujuan bertanggal mundur. Jika bukti lama tidak tersedia, jelaskan apa yang hilang, pemeriksaan lain yang mungkin dilakukan dan keterbatasannya.

Catat perubahan dan ketergantungan vendor

Pergantian hosting, sistem tiket atau pemilik kontrol dapat memisahkan bukti menjadi beberapa rentang. Simpan tanggal peralihan, bagian layanan yang berubah, pemilik lama/baru dan referensi catatan di kedua sistem. Jangan memutus akses bukti lama sebelum kebutuhan pemeriksaan diselesaikan.

Dalam laporan, periksa apakah pihak pendukung termasuk atau dikecualikan dari lingkup (carve-out). Periksa pula pekerjaan yang diharapkan dari pengguna, termasuk CUEC bila disebutkan. Laporan cloud tidak otomatis membuktikan kontrol aplikasi Anda. Gunakan panduan membaca bukti vendor untuk pemeriksaan laporan tersebut.

Simpan bukti yang dapat ditelusuri dan aman dibagikan

Gunakan peta bukti audit yang sudah ada; tidak perlu membuat inventaris kedua. Tambahkan periode, ID kegiatan, sumber populasi, tanggal pengambilan, pemilik, batas akses dan status pemeriksaan. Bedakan waktu kegiatan dengan waktu bukti diekspor.

Utamakan referensi ke tempat penyimpanan terkendali. Samarkan data yang tidak diperlukan, tanpa menghilangkan konteks penting bagi pemeriksa. Jangan membagikan kredensial, rekaman pelanggan lengkap atau rincian kelemahan melalui folder umum.

Kapan pekerjaan dapat ditandai siap?

Tim dapat menandai paket siap untuk diperiksa setelah lingkup dan populasi dijelaskan, bukti dapat ditemukan, serta kekurangan dan perubahan tercatat. Status ini bukan opini audit.

Catat permintaan auditor, jawaban, pekerjaan terbuka dan versi paket yang dikirim. Bila ada pengecualian, jelaskan fakta serta tindak lanjutnya. Hindari menjanjikan hasil laporan berdasarkan jumlah dokumen atau status hijau alat pengumpulan bukti.