Attestazione AICPA

SOC 2: report di attestazione AICPA sui Trust Services Criteria, di tipo I e di tipo II

Nel tipo II il revisore valuta i controlli lungo un periodo di osservazione, di solito da tre a dodici mesi: le evidenze servono per tutto il periodo.

ParliamoneValutazione di partenza

SOC 2 è un report di attestazione emesso da un revisore indipendente secondo gli standard dell'AICPA. Descrive i controlli di un'organizzazione di servizi rispetto ai Trust Services Criteria ed è spesso richiesto dai clienti, in particolare sul mercato nordamericano. Il report di tipo II valuta l'efficacia operativa dei controlli lungo un periodo.

A chi si applica

  • Fornitori di servizi software, cloud e di elaborazione dati che trattano dati dei clienti.
  • Aziende che vendono a clienti che chiedono un report SOC 2, spesso negli Stati Uniti.
  • Organizzazioni con ISO/IEC 27001 che vogliono riusare gran parte dei controlli.

Cosa chiede

  1. 01

    Sicurezza

    Criterio sempre incluso: protezione da accessi non autorizzati, divulgazione e danni ai sistemi.

  2. 02

    Disponibilità

    Criterio facoltativo sulla disponibilità del sistema rispetto agli impegni presi.

  3. 03

    Integrità dell'elaborazione

    Criterio facoltativo su completezza, accuratezza e tempestività dell'elaborazione.

  4. 04

    Riservatezza e privacy

    Criteri facoltativi su informazioni riservate e dati personali.

  5. 05

    Tipo I e tipo II

    Il tipo I valuta il disegno dei controlli a una data; il tipo II la loro efficacia lungo un periodo, di solito da tre a dodici mesi.

EVIDEVO

Come EVIDEVO gestisce controlli ed evidenze per SOC 2

Evidenze lungo il periodo di osservazione

Ogni controllo raccoglie evidenze datate lungo il periodo, con avvisi sulle scadenze.

Riuso di ISO/IEC 27001

I controlli comuni portano con sé le evidenze già raccolte.

Richieste del revisore

In Audit e verifiche le richieste del revisore sono collegate a controlli ed evidenze, con lo stato di ogni risposta.

Eccezioni documentate

Deviazioni e azioni correttive sono registrate con data, motivazione e responsabile.

Dati puramente a scopo illustrativo e non reali

Cosa si esporta

  • Evidenze per criterio e per controllo
  • Campioni del periodo di osservazione
  • Stato delle richieste del revisore

Le funzionalità per SOC 2

Come si stabilisce se SOC 2 si applica

Settore, dimensione e servizi decidono il perimetro. La valutazione di partenza lo individua e indica le priorità.

Valutazione di partenza

Guide su SOC 2

Framework che condividono le evidenze

Sintesi a scopo informativo, aggiornata a ottobre 2026. Non costituisce consulenza legale: applicabilità e obblighi vanno verificati sul testo ufficiale e sul caso specifico.

Una presentazione di trenta minuti sul perimetro dell'organizzazione.

Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.

Parliamone