02 / Compliance und Zertifizierung
SOC 1, für die Kontrollen, auf die sich die Prüfer Ihrer Kunden stützen
Wir helfen Ihnen, Kontrollziele festzulegen, die IT-General-Controls darunter zu festigen und Nachweise vorzubereiten, damit die CPA-Firma Kontrollen prüft, die bereits funktionieren.
Überblick
Was ein SOC 1-Bericht ist
Ein SOC 1-Bericht behandelt die Kontrollen eines Dienstleisters, die für das interne Kontrollsystem der Rechnungslegung seiner Kunden relevant sind. Wenn Sie Gehälter, Zahlungen, Schadensfälle oder andere Daten verarbeiten, die in die Abschlüsse Ihrer Kunden einfließen, wollen deren Abschlussprüfer wissen, ob sie sich auf Sie verlassen können.
Der Dienstleister legt seine Kontrollziele fest, und der Prüfer testet die Kontrollen, die sie erreichen sollen. Ein Typ-1-Bericht betrachtet die Gestaltung zu einem Stichtag, ein Typ-2-Bericht zusätzlich die Wirksamkeit über einen Zeitraum. IT-General-Controls wie Zugriffe, Änderungsmanagement und Betrieb tragen meist einen großen Teil der Arbeit.
Den Bericht stellt eine zugelassene CPA-Firma aus, also eine Prüfungsgesellschaft nach US-amerikanischem Berufsrecht. Black Fox ist keine. Wir übernehmen Readiness, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise und unterstützen Sie während der Prüfung. Wir arbeiten mit langjährigen Partnerfirmen zusammen und koordinieren die Prüfung mit ihnen oder mit einer CPA-Firma Ihrer Wahl, sodass Sie in einem Auftrag von der Readiness bis zum Bericht kommen.
Für wen es gedacht ist
Dienstleister, deren Arbeit die Abschlüsse ihrer Kunden beeinflusst, etwa Lohnabrechnung, Zahlungsverkehr, Fondsverwaltung, Schadenbearbeitung und gehostete Finanzsysteme, sowie Teams, von denen der Abschlussprüfer eines Kunden zum ersten Mal einen SOC 1-Bericht verlangt.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Abgrenzung und Kontrollziele
Wir helfen Ihnen, die für die Rechnungslegung Ihrer Kunden relevanten Dienste und Systeme zu bestimmen und passende Kontrollziele zu entwerfen.
Readiness-Assessment
Ein Abgleich der Geschäftsprozess- und IT-Kontrollen mit diesen Zielen, mit Lücken nach Risiko und Aufwand geordnet.
IT-General-Controls
Berechtigungsverwaltung, Änderungsmanagement, Datensicherung und Jobsteuerung, so gestaltet, dass sie prüfbar sind und Nachweise hinterlassen.
Systembeschreibung
Unterstützung beim Entwurf der Beschreibung, einschließlich der Subdienstleister und der Kontrollen, die Sie bei Ihren Kunden voraussetzen.
Vorbereitung der Nachweise
Eine Anforderungsliste, bevor der Prüfer seine schickt, mit laufend gesammelten Berechtigungsprüfungen, Änderungstickets und Abstimmungen.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren die Dienste im Umfang, die Beteiligten und Ihren Zieltermin für den Bericht und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Readiness-Assessment
Prozessbegehungen, Dokumentenprüfung und Stichproben, am Ende ein priorisierter Bericht.
Kontrolldesign und Nachbesserung
Wir schließen mit Ihren Verantwortlichen die Lücken und beschreiben jede Kontrolle prüfbar.
Probelauf
Wir testen Stichproben wie ein Prüfer und zeigen Ihnen die Abweichungen, bevor jemand anderes sie sieht.
Prüfung
Wir koordinieren die Prüfung mit einer unserer langjährigen Partnerfirmen oder der CPA-Firma Ihrer Wahl und helfen bei Anforderungen und Abweichungen während der Prüfung.
Was Sie erhalten
- Abgrenzungsvermerk mit Diensten, Systemen und Berichtstyp
- Entwurf der Kontrollziele und Kontrollmatrix
- Readiness-Bericht mit priorisiertem Maßnahmenplan
- Verfahren für die IT-General-Controls
- Liste der Nachweisanforderungen mit Verantwortlichen und Quellen
- Ergebnisse des Probelaufs vor der Prüfung
Black Fox bereitet Sie vor und unterstützt Sie, stellt aber selbst keine Zertifikate, Testate oder offiziellen Bewertungen aus. Ist ein Zertifikat oder Bericht das Ziel, koordinieren wir das Audit mit unseren langjährigen Zertifizierungspartnern oder einer Stelle Ihrer Wahl, sodass die Arbeit in einem Auftrag von Anfang bis Ende läuft.
Fragen
Kann Black Fox unseren SOC 1-Bericht ausstellen?
Nein. SOC 1-Berichte stellen zugelassene CPA-Firmen nach den Prüfungsstandards des AICPA aus, unabhängig von unserer Vorbereitungsarbeit. Wir bereiten Sie vor, koordinieren die Prüfung mit einer unserer langjährigen Partnerfirmen oder einer Firma Ihrer Wahl und unterstützen Sie dabei.
SOC 1 oder SOC 2?
SOC 1 betrifft Kontrollen, die für die Rechnungslegung Ihrer Kunden relevant sind, und wird vor allem von deren Abschlussprüfern gelesen. SOC 2 betrifft Sicherheit und verwandte Kriterien und wird von den Sicherheits- und Einkaufsteams Ihrer Kunden gelesen. Manche Organisationen brauchen beides.
Was ist ISAE 3402?
Ein internationaler Prüfungsstandard für Berichte über Kontrollen bei Dienstleistern, außerhalb der USA weit verbreitet. Er erfüllt einen ähnlichen Zweck wie SOC 1. Welcher Bericht nötig ist, hängt davon ab, wer ihn liest.
Wer formuliert die Kontrollziele?
Ihre Geschäftsleitung. Der Prüfer testet dann, ob die Kontrollen sie erreichen. Wir helfen Ihnen, Ziele zu formulieren, die dem entsprechen, worauf sich Ihre Kunden verlassen, weder zu eng, um nützlich zu sein, noch zu weit, um sie nachzuweisen.
Verwandte Leistungen
- Compliance und ZertifizierungSOC 2SOC 2 mit Black Fox Security: Abgrenzung nach Trust Services Criteria, Gap-Analyse, Kontrolldesign und Vorbereitung der Nachweise für die Prüfung durch Ihre CPA-Firma.
- Managed SecurityBerechtigungsprüfungenBerechtigungsprüfungen von Black Fox Security: Benutzer und privilegierte Zugriffe in Verzeichnissen, Cloud und Anwendungen, mit Nachweisen fürs Audit.
- Governance und RisikoInformationssicherheits-AuditUnabhängige Audits der Informationssicherheit von Black Fox Security nach ISO/IEC 27001, 27002, DSGVO, PCI DSS, Ihren Richtlinien oder einem Kundenfragebogen.
- Governance und RisikoCOBITCOBIT mit Black Fox Security: ein Governance-System für die Unternehmens-IT, Governance- und Managementziele, Reifegradbewertung und Abbildung auf ISO und NIST.
Beginnen Sie, bevor der Prüfer Ihres Kunden den Fragebogen schickt
Erzählen Sie uns, auf welche Ihrer Dienste sich Ihre Kunden für ihre Rechnungslegung verlassen. Wir zeigen Ihnen, was ein Prüfer zuerst testen würde.