تقرير مستقل يعتمد عليه عملاؤك
ما هو SOC 2
SOC 2 (ضوابط النظم والمؤسسات 2) إطار تدقيق وضعه المعهد الأمريكي للمحاسبين القانونيين (AICPA). تفحص شركة محاسبة قانونية مستقلة كيفية حماية مؤسسة الخدمة لبيانات العملاء وفق معايير خدمات الثقة (Trust Services Criteria)، وتصدر تقريرًا يعتمد عليه العملاء. وتقرير SOC 2 تقرير توكيد وليس شهادة. أما الجاهزية فهي العمل الذي تنجزه قبل التدقيق: اختيار النطاق وسد فجوات الضوابط وجمع الأدلة ليسير التدقيق بسلاسة.
نوعان من التقارير
- يبيّن النوع 1 ما إذا كانت ضوابطك مصممة بصورة مناسبة في لحظة زمنية واحدة.
- يبيّن النوع 2 ما إذا كانت ضوابطك مصممة بصورة مناسبة وتعمل بفعالية على مدى فترة، تتراوح عادةً بين 3 و12 شهرًا.
ما الذي يمنحك إياه مشروع جاهزية SOC 2
- نطاق محدد: النظام والخدمات والمواقع ومعايير خدمات الثقة المشمولة في التقرير
- تقرير فجوات مقابل المعايير مع قائمة معالجة مرتبة حسب الأولوية
- سياسات وإجراءات وعمليات أدلة جاهزة للمدقق
- خطة وجدول زمني واضحان للنوع 1 وفترة المراقبة للنوع 2 والتدقيق
يصدر تقرير SOC 2 عن شركة محاسبة قانونية مستقلة. وهو ليس شهادة ولا يضمن عدم وقوع اختراق مستقبلًا.
المصطلحات الأساسية بلغة مبسطة
- 01مؤسسة الخدمة
- الشركة التي تُفحص ضوابطها، كمزود برمجيات كخدمة أو استضافة
- 02مدقق الخدمة
- شركة المحاسبة القانونية المرخصة التي تجري الفحص وتكتب التقرير
- 03معايير خدمات الثقة (TSC)
- معايير AICPA المستخدمة لتقييم الضوابط: الأمن والتوافر وسلامة المعالجة والسرية والخصوصية
- 04وصف النظام
- وصف مكتوب من الإدارة للخدمات والبنية التحتية والبرمجيات والأفراد والبيانات والإجراءات ضمن النطاق
- 05إقرار الإدارة
- إفادة الإدارة بأن الوصف عادل وأن الضوابط تستوفي المعايير
- 06فترة المراقبة
- الفترة التي يغطيها تقرير النوع 2
- 07الاستثناء
- ضابط لم يعمل كما هو موصوف في عينة جرى اختبارها
- 08مؤسسة الخدمة الفرعية
- مورّد، مثل مزود استضافة سحابية، تدعم خدماته نظامك
- 09خطاب الربط
- مذكرة من الإدارة تغطي الفترة بين نهاية فترة التقرير والتاريخ الحالي
أجب عن أسئلة الأمن لدى المؤسسات الكبرى مرة واحدة
يجيب تقرير SOC 2 عن أسئلة الأمن التي يطرحها مشترو المؤسسات الكبرى قبل التوقيع.
دورات بيع أسرع
يحل تقرير مستقل واحد محل استبيانات أمنية كثيرة متكررة.
الوصول إلى صفقات المؤسسات الكبرى
يشترط كثير من المشترين الكبار الحصول على تقرير SOC 2 من الموردين الذين يتعاملون مع بياناتهم.
إثبات مستقل
شركة محاسبة قانونية مرخصة، وليس أنت، هي من تقرر ما إذا كانت الضوابط تستوفي المعايير.
وضع أمني أقوى
تُكتشف الفجوات في الوصول والتغيير والمراقبة وإدارة الموردين وتُعالج.
عمليات واضحة وموثقة
تحل السياسات والملاك والأدلة محل العادات غير الرسمية.
مخاطر أقل للحوادث والنزاعات
تقلل الضوابط المتسقة من احتمال الاختراقات وأثرها.
أساس قابل لإعادة الاستخدام
تتوافق الضوابط مع ISO 27001 وISO 27701 وأطر أخرى، فتصبح التدقيقات اللاحقة أيسر.
ثقة المستثمرين والشركاء
يُظهر النضج التشغيلي أثناء العناية الواجبة.
التحسين المستمر
يحافظ التقرير السنوي على حداثة الضوابط مع تغير الأعمال.
من يحتاج SOC 2 وأي تقرير يختار
كل مؤسسة تخزّن بيانات العملاء أو تعالجها أو يمكنها الوصول إليها نيابةً عن العميل مرشحة.
من الشركات الناشئة إلى مزودي المنصات
تطلب فرق المشتريات ومراجعة الأمن بصورة متزايدة تقرير SOC 2 قبل التوقيع. وإذا كانت صفقاتك الكبرى الأولى تعتمد على تقرير، فالجاهزية هي نقطة البداية.
| الفئة | سبب الملاءمة |
|---|---|
| مزودو البرمجيات كخدمة والبرمجيات السحابية | يطلب العملاء SOC 2 أثناء الشراء ومراجعة الأمن |
| مزودو مراكز البيانات والاستضافة والخدمات المُدارة | يشغّلون بنية تحتية يعتمد عليها العملاء |
| منصات التقنية المالية والمدفوعات | يتعاملون مع بيانات مالية ويواجهون عناية واجبة صارمة للموردين |
| منصات التقنية الصحية وعلوم الحياة | يعالجون بيانات حساسة لعملاء خاضعين للتنظيم |
| مزودو الاستعانة بمصادر خارجية والدعم | يصلون إلى أنظمة العملاء وبياناتهم الشخصية |
| منصات الذكاء الاصطناعي والتحليلات والبيانات | يريد العملاء ضمانات بشأن التعامل مع البيانات والوصول إليها |
| الشركات الناشئة التي تتجه إلى شرائح أكبر | غالبًا ما تعتمد أولى صفقات المؤسسات الكبرى على تقرير |
النوع 1 مقابل النوع 2
المدد أدناه نطاقات معتادة وليست قواعد؛ فالمعهد الأمريكي للمحاسبين القانونيين لا يحدد حدًا أدنى لفترة المراقبة.
| الجانب | النوع 1 | النوع 2 |
|---|---|---|
| ما يختبره المدقق | ما إذا كانت الضوابط مصممة بصورة مناسبة | ما إذا كانت الضوابط مصممة بصورة مناسبة وتعمل بفعالية |
| الفترة المغطاة | تاريخ واحد | فترة تتراوح عادةً بين 3 و12 شهرًا |
| الأدلة | السياسات والإعدادات ولقطات الشاشة في ذلك التاريخ | عينات من الفترة بأكملها، مثل مراجعات الوصول والتذاكر والسجلات |
| المدة الإجمالية المعتادة | نحو 2 إلى 4 أشهر | نحو 6 إلى 15 شهرًا شاملة فترة المراقبة |
| مستوى التأكيد | أقل: يُظهر وجود الضوابط الصحيحة | أعلى: يُظهر أنها عملت بمرور الوقت |
| الاستخدام المعتاد | التقرير الأول أو صفقة عاجلة أو نقطة تحقق قبل النوع 2 | ما يطلبه معظم مشتري المؤسسات الكبرى؛ ويُجدَّد سنويًا |
| التكلفة | أقل | أعلى، بسبب طول الفترة وزيادة الاختبارات |
أيهما تختار؟
- اختر النوع 1 أولًا إذا كانت صفقة تحتاج إلى شيء بسرعة، أو إذا أردت اختبار تصميم ضوابطك قبل التدقيق الأطول.
- انتقل مباشرة إلى النوع 2 إذا أمكنك تشغيل فترة مراقبة لا تقل عن 3 أشهر وكان عملاؤك يطلبونه تحديدًا.
- بعد أول تقرير من النوع 2، تكرره معظم المؤسسات كل سنة بفترة مدتها 12 شهرًا.
هل يبدو لك هذا مألوفًا؟
- 1هل يرسل العملاء استبيانات أمنية؟
- 2هل تتعطل صفقات المؤسسات الكبرى عند مراجعة الأمن؟
- 3هل تتعامل مع بيانات العملاء في السحابة؟
إجابتان أو أكثر بـ«نعم» تعني أن تقييم جاهزية SOC 2 هو الخطوة المنطقية التالية.
احجز تقييم جاهزية SOC 2 مجانًامن الأهداف والنطاق إلى التجديد السنوي
يستغرق أول تقرير SOC 2 من النوع 2 عادةً من 6 إلى 15 شهرًا من البداية إلى النهاية، شاملةً فترة المراقبة (نطاق معتاد يعتمد على الجاهزية والفترة التي تختارها).
-
01 الأهداف والنطاق تأكيد سبب حاجتك إلى التقرير والعملاء الذين يطلبونه والخدمات والأنظمة ضمن النطاق، وهل تبدأ بالنوع 1 أم تنتقل مباشرة إلى النوع 2.
-
02 اختيار معايير خدمات الثقة يُدرج الأمن دائمًا. أضف التوافر أو سلامة المعالجة أو السرية أو الخصوصية فقط إذا اقتضاها عملاؤك والتزاماتك؛ فالمعايير الإضافية تزيد الاختبارات والتكلفة.
-
03 تقييم الفجوات مقارنة الممارسات الحالية بكل معيار مختار. المخرجات: تقرير فجوات وخطة معالجة مرتبة حسب الأولوية.
-
04 تقييم المخاطر تحديد المخاطر على التزاماتك وأنظمتك وتقييمها وربط كل منها بالضوابط.
-
05 السياسات والإجراءات كتابة السياسات التي تتوقعها المعايير واعتمادها، مثل أمن المعلومات والتحكم في الوصول وإدارة التغيير والاستجابة للحوادث وإدارة الموردين واستمرارية الأعمال.
-
06 المعالجة وتطبيق الضوابط سد الفجوات في المجالات التي يختبرها المدققون أكثر، ومنها التحكم في الوصول والمصادقة متعددة العوامل، ومراجعات وصول المستخدمين، وإدارة التغيير، والتسجيل والمراقبة، والتشفير، والنسخ الاحتياطي والاستعادة، وإدارة الثغرات، وإجراءات الانضمام والمغادرة، والإشراف على الموردين.
-
07 الأدلة والملكية تعيين مالك لكل ضابط، وتحديد كيفية التقاط الأدلة، وإعداد جمع منتظم لها، ويفضل أن يكون آليًا.
-
08 اختيار المدقق التعاقد مع شركة محاسبة قانونية مرخصة ومستقلة عن أعمال الجاهزية؛ والاتفاق على النطاق والمعايير ونافذة المراقبة.
-
09 مراجعة الجاهزية إجراء تدقيق تجريبي أو فحص داخلي؛ ومعالجة الملاحظات قبل فترة المراقبة أو تاريخ النوع 1.
-
10 تدقيق النوع 1 (اختياري) يختبر المدقق تصميم الضوابط في تاريخ واحد ويصدر التقرير، عادةً خلال بضعة أسابيع من العمل الميداني.
-
11 فترة مراقبة النوع 2 يجب أن تعمل الضوابط كما هو موصوف في كل يوم من الفترة (عادةً من 3 إلى 12 شهرًا؛ و6 أشهر معتادة للتقرير الأول). اجمع الأدلة شهريًا وراجع الاستثناءات بسرعة.
-
12 العمل الميداني وتقرير النوع 2 بعد انتهاء الفترة، يأخذ المدقق عينات من الأدلة على امتدادها، ويناقش الاستثناءات مع الإدارة ويصدر التقرير.
-
13 الصيانة والتجديد التكرار سنويًا بفترة 12 شهرًا، وإصدار خطابات ربط للعملاء عن أي فجوة بين فترات التقارير.
تحديد تاريخ بداية فترة المراقبة قبل أن تعمل جميع الضوابط فعليًا. فالضوابط غير القائمة عند البداية لا يمكن اختبارها لتلك الفترة، لذا أنهِ المعالجة أولًا.
خمسة معايير، أحدها إلزامي
يقوم SOC 2 على خمسة معايير لخدمات الثقة. الأمن إلزامي في كل تقرير، أما الأربعة الأخرى فتُختار بحسب ما تتعهد به لعملائك.
| المعيار | ما يغطيه | يُدرج عندما |
|---|---|---|
| الأمن (المعايير المشتركة، إلزامي) | الحماية من الوصول غير المصرح به وإساءة الاستخدام، عبر الحوكمة والمخاطر والمراقبة والوصول والعمليات وإدارة التغيير والموردين | دائمًا |
| التوافر | توافر النظام للتشغيل والاستخدام وفق الالتزام | لديك التزامات بوقت التشغيل أو مستوى الخدمة |
| سلامة المعالجة | المعالجة مكتملة وصحيحة ودقيقة وفي وقتها ومصرح بها | تعالج معاملات أو حسابات للعملاء |
| السرية | حماية المعلومات المصنفة سرية | تحتفظ ببيانات أعمال سرية للعملاء |
| الخصوصية | جمع المعلومات الشخصية واستخدامها والاحتفاظ بها والإفصاح عنها والتخلص منها وفق الالتزام | تعالج معلومات شخصية نيابةً عن العملاء |
ما تختبره معايير الأمن (المعايير المشتركة CC1 إلى CC9)
| المجموعة | التركيز |
|---|---|
| CC1 | بيئة الضبط: النزاهة والإشراف والمساءلة والكفاءة |
| CC2 | الاتصال والمعلومات |
| CC3 | تقييم المخاطر |
| CC4 | مراقبة الضوابط |
| CC5 | أنشطة الضبط والسياسات |
| CC6 | الوصول المنطقي والمادي |
| CC7 | تشغيل النظام والكشف والاستجابة للحوادث |
| CC8 | إدارة التغيير |
| CC9 | الحد من المخاطر، بما فيها الموردون وتعطل الأعمال |
الربط بالأطر الأخرى (إرشادي)
| الإطار | العلاقة بـ SOC 2 |
|---|---|
| ISO/IEC 27001 | تداخل كبير في الضوابط؛ فـ ISO 27001 شهادة لنظام إدارة أمن المعلومات، أما SOC 2 فتقرير توكيد، وكثير من المؤسسات تحمل الاثنين |
| ISO/IEC 27701 | يتداخل مع معيار الخصوصية في SOC 2 وضوابط البيانات الشخصية |
| ISO 31000 | يدعم معايير تقييم المخاطر في SOC 2 |
| ISO 22301 | يدعم ضوابط التوافر واستمرارية الأعمال |
| PCI DSS والأطر القطاعية | متطلبات منفصلة؛ لا يحل SOC 2 محلها وإن تداخلت الضوابط |
| SOC 1 | تقارير عن الضوابط ذات الصلة بالتقارير المالية للعملاء وليس الأمن |
| SOC 3 | نسخة عامة أقصر من تقرير بأسلوب SOC 2 يمكن مشاركتها علنًا |
الوثائق والسجلات التي يتوقعها المدققون
لا ينشر SOC 2 قائمة وثائق ثابتة. يختبر المدقق ضوابطك مقابل المعايير التي اخترتها، والسياسات والأدلة هي وسيلتك لإثباتها. ويؤكد مدققك ما ينطبق على نطاقك.
| الوثيقة أو السجل | الغرض | النوع 1 | النوع 2 |
|---|---|---|---|
| وصف النظام (وصف الإدارة للنظام) | يحدد الخدمات والبنية التحتية والبرمجيات والأفراد والبيانات والإجراءات والحدود | نعم | نعم |
| خطاب إقرار الإدارة | إفادة الإدارة بشأن الوصف والضوابط | نعم | نعم |
| سياسة أمن المعلومات | تحدد التوجه الأمني والالتزامات | نعم | نعم |
| سياسة وإجراءات التحكم في الوصول | منح الوصول ومراجعته وسحبه | نعم | نعم |
| سياسة وإجراء إدارة التغيير | اعتماد التغييرات واختبارها وإصدارها | نعم | نعم |
| خطة الاستجابة للحوادث | اكتشاف الحوادث وتصعيدها والتواصل بشأنها ومراجعتها | نعم | نعم |
| تقييم المخاطر وسجل المخاطر | المخاطر المحددة وتقييماتها وملاكها ومعالجاتها | نعم | نعم |
| سياسة إدارة الموردين والأطراف الثالثة وقائمة الموردين | العناية الواجبة ومراقبة مؤسسات الخدمة الفرعية | نعم | نعم |
| خطة استمرارية الأعمال والتعافي من الكوارث | التزامات التعافي واختباره | نعم | نعم |
| سياسة تصنيف البيانات والاحتفاظ بها والتخلص منها | التعامل مع المعلومات السرية والشخصية | إن كانت ضمن النطاق | إن كانت ضمن النطاق |
| أمن الموارد البشرية: فحص الخلفيات والانضمام والمغادرة والاستخدام المقبول | فحص الموظفين واتفاقياتهم وسحب الوصول | نعم | نعم |
| سجلات التدريب على التوعية الأمنية | دليل على تدريب الموظفين | السياسة والخطة | سجلات الإتمام للفترة |
| سجلات مراجعة وصول المستخدمين | مراجعة دورية لمن يملك الوصول إلى ماذا | تحديد الإجراء | مراجعات مكتملة على امتداد الفترة |
| تذاكر التغيير وموافقاتها | دليل على اتباع التغييرات للإجراء | عينة بتاريخ محدد | عينات على امتداد الفترة |
| السجلات والتنبيهات وأدلة المراقبة | يُظهر أعمال الكشف والاستجابة | الإعدادات | سجلات محفوظة للفترة كاملة |
| فحوصات الثغرات وتقارير اختبار الاختراق | دليل على الاختبار والمعالجة | أحدث تقرير | تقارير ومعالجة على امتداد الفترة |
| سجلات اختبار النسخ الاحتياطي والاستعادة | دليل على نجاح الاستعادة | الإعدادات | نتائج الاختبار للفترة |
| سجل الحوادث ومراجعات ما بعد الحادث | سجل الحوادث والمتابعة | تحديد الإجراء | جميع حوادث الفترة |
| تقارير مؤسسات الخدمة الفرعية (مثل تقرير SOC 2 لمزود الاستضافة السحابية) | الاعتماد على ضوابط الموردين | نعم | نعم |
| مراجعة الإدارة ومحاضر الاجتماعات | دليل على الإشراف | نعم | على امتداد الفترة |
كيف يتم التدقيق وكيف تُبقي التقرير حديثًا
يجري التدقيق شركة محاسبة قانونية مرخصة ومستقلة. ويجهزك مزود الجاهزية لكنه لا يصدر الرأي.
مستقل بحكم التصميم
إذا قدمنا خدمات الجاهزية، فإن التدقيق نفسه يجريه مدقق مستقل ومنفصل. ويصدر رأي التدقيق عن شركة المحاسبة القانونية تلك وليس عن QMet.
| المرحلة | ما الذي يحدث | النتيجة المعتادة |
|---|---|---|
| تحديد النطاق والانطلاق | الاتفاق على حدود النظام والمعايير ونوع التقرير والفترة | خطاب التكليف والخطة |
| طلب المعلومات | يعدد المدقق السياسات والإعدادات والأدلة المطلوبة | تعبئة بوابة الأدلة أو المجلد المشترك |
| العمل الميداني | يختبر المدقق التصميم (النوع 1) أو يأخذ عينات من التشغيل على امتداد الفترة (النوع 2)، مع جولات شرح ومقابلات | ضوابط جرى اختبارها وتسجيل أي استثناءات |
| مراجعة الاستثناءات | تراجع الإدارة الاستثناءات وتضيف ردودها | صياغة متفق عليها في التقرير |
| مسودة التقرير | يشارك المدقق المسودة للتحقق من دقة الوقائع | مراجعة المسودة وتصحيحها |
| التقرير النهائي | يوقّع المدقق ويصدر الرأي | تسليم التقرير |
| التجديد | تبدأ فترة جديدة، عادةً متصلة وسنوية | تغطية مستمرة |
ما الذي يتضمنه التقرير
| القسم | المحتوى |
|---|---|
| تقرير مدقق الخدمة المستقل | رأي المدقق في الوصف والضوابط |
| إقرار الإدارة | إفادة الإدارة بشأن الوصف والضوابط |
| وصف النظام | الخدمات والبنية التحتية والبرمجيات والأفراد والبيانات والإجراءات ومؤسسات الخدمة الفرعية |
| المعايير والضوابط والاختبارات | كل معيار وضوابطك، وبالنسبة إلى النوع 2 اختبارات المدقق ونتائجها |
| معلومات أخرى (اختياري) | ردود الإدارة على الاستثناءات أو تفاصيل إضافية |
الآراء المحتملة
- غير متحفظ: الضوابط تستوفي المعايير؛ وقد تُدرج الاستثناءات مع ذلك.
- متحفظ: مشكلة جوهرية تؤثر في جزء من المعايير.
- معاكس أو الامتناع عن إبداء الرأي: إخفاق جسيم أو أدلة غير كافية.
مشاركة التقرير وصيانته
- تقارير SOC 2 عادةً وثائق مقيدة الاستخدام. شاركها مع العملاء والعملاء المحتملين بموجب اتفاقية عدم إفصاح.
- يريد العملاء عادةً أحدث تقرير، يغطي في الغالب آخر 12 شهرًا، لذا خطط لفترات سنوية متصلة.
- أصدر خطاب ربط عند وجود فجوة بين نهاية فترة التقرير وطلب العميل.
- أبقِ الضوابط تعمل بين عمليات التدقيق وراجعها بعد أي تغيير في الأنظمة أو الموردين أو الموظفين.
المدة والتكلفة المعتادة
- تدقيق النوع 1: نحو 2 إلى 4 أشهر من البداية حتى التقرير (نطاق معتاد).
- فترة مراقبة النوع 2: من 3 إلى 12 شهرًا، يُتفق عليها مع المدقق.
- تحدد شركة المحاسبة القانونية أتعاب المدقق في عرض السعر. وتُحدد أتعاب الجاهزية لدينا وفق مؤسستك؛ اطلب عرض سعر بعد التقييم المجاني.
أكثر الأسئلة التي نتلقاها حول SOC 2
تحدث إلى مستشار من QMet وسنجيبك مباشرة، دون أي التزام.
اطرح سؤالك01 ما هو SOC 2؟
إطار تدقيق صادر عن المعهد الأمريكي للمحاسبين القانونيين. تفحص شركة محاسبة قانونية مستقلة ضوابطك وفق معايير خدمات الثقة وتصدر تقريرًا لعملائك.
02 هل SOC 2 شهادة؟
لا. فهو تقرير توكيد يتضمن رأي المدقق وليس شهادة تحملها المؤسسة.
03 ما الفرق بين النوع 1 والنوع 2؟
يتحقق النوع 1 من أن الضوابط مصممة جيدًا في تاريخ واحد. ويتحقق النوع 2 من أنها مصممة جيدًا وعملت على مدى فترة، تتراوح عادةً بين 3 و12 شهرًا.
04 أيهما يريده العملاء؟
يفضل معظم مشتري المؤسسات الكبرى النوع 2، لكن تقرير النوع 1 قد يساعدك على بدء المحادثات أثناء سريان فترة النوع 2.
05 هل نحتاج إلى معايير خدمات الثقة الخمسة جميعها؟
لا. الأمن إلزامي. أضف المعايير الأخرى فقط إذا اقتضتها التزاماتك تجاه العملاء.
06 كم يستغرق؟
يستغرق النوع 1 عادةً نحو 2 إلى 4 أشهر. ويستغرق أول تقرير من النوع 2 عادةً من 6 إلى 15 شهرًا إجمالًا، بحسب جاهزيتك وفترة المراقبة.
07 كم مرة نجدد؟
سنويًا، بفترات متصلة ليرى العملاء دائمًا تقريرًا حديثًا.
08 هل يستطيع مزود الجاهزية إجراء التدقيق أيضًا؟
لا. يجب أن تجري التدقيق شركة محاسبة قانونية مستقلة.
09 هل يحل تقرير SOC 2 محل ISO 27001؟
لا. فهما مختلفان: SOC 2 تقرير توكيد وISO 27001 شهادة لنظام إدارة. وتحمل كثير من المؤسسات الاثنين، وتتداخل ضوابطهما.
هل أنت مستعد لكسب عملاء المؤسسات الكبرى بتقرير SOC 2؟
احجز تقييم جاهزية SOC 2 مجانًا. سنساعدك على اختيار نوع التقرير والمعايير وتحديد الفجوات وتخطيط الطريق إلى المدقق.
بإرسال طلبك فإنك توافق على سياسة الخصوصية لدينا. يكفي الاسم والبريد الإلكتروني للعمل والشركة وعدد الموظفين ونوع التقرير المطلوب لنبدأ.
إخلاء مسؤولية: هذه الصفحة لأغراض المعلومات العامة ولا تُعد استشارة تدقيق أو قانونية أو مهنية. SOC 2 إطار تابع للمعهد الأمريكي للمحاسبين القانونيين (AICPA)؛ وQMet غير تابعة للمعهد. لا تصدر آراء التدقيق إلا عن شركات محاسبة قانونية مرخصة ومستقلة. ولا تضمن خدمات الجاهزية نتيجة التدقيق.