SH

Soloharness

概念 · 辨析 · Agent

← 返回概念辨析

Concept Contrast Fable

体检入场券和一次拍照留底

SOC 2 是服务组织整体控制框架的审计报告类型,定义了信任服务标准。SOC 2 Type I 只描述某个时间点的控制设计是否合理,不验证运行有效性。把 Type I 当成完整的 SOC 2 报告,等于用验收当天的快照替代持续运营的证据。

寓言

衙门发了两张通行证,一张管审批一张管巡查

京城在城门口设了两套进出检查。外地商队想进城做生意,得先拿通行证。第一套叫录册,商队报上自己的护镖章程、银两账房、货物清单和值更轮次,衙门的录册官看了觉得规矩写得合理,盖了章——允许进城。第二套叫巡验,巡街的小吏每隔两个月上门,翻账本、查镖师的值更记录、核对货物进出是否跟章程一致。

南边来了个大商号,急着进城接一笔大单。他们报了厚厚的章程,录册官看了一天,盖章放行。商号对外通告说已通过城门检查,客户信了。三个月后,客户派人来查——值更记录缺了两个月,镖师的换班日志对不上,有一批货入库时没登记。客户问为什么章程里有写却没做到,商号指着录册的章说:我通过了。

录册官后来跟巡街小吏吵了一次。录册官说:他们报上来的东西没问题,我盖的章是点上的——盖章那一刻,规矩是对的。巡街小吏说:你那个章不代表他们天天照规矩干,我的巡验才是时间轴上的——连续看到六个月,才敢说这商号真在做规矩上写的事。

这话传到了外地客商的耳朵里,他们开始追问细节。一个要跟北城钱庄合作的商队被问到:你的通行证是第一套的还是第二套的?商队支吾了两天,最后承认只拿了录册的章。钱庄的掌柜在纸上写了四个字:不管明天。

录册的规矩后来细化成了三样东西:商号的章程归档、录册当日抽查、一次拍照留底的签字画押。巡验加了频率——每季一次,看章程里写了什么,再看现场做了什么,最后写一份偏差报告。商号才开始明白,进了城门只是开头,不是结论。

最典型的误会出在招标。客户在标书里写需要通过城门检查,但没说清楚要录册还是要巡验。十几家商号递来的通行证参差不齐——有的只有录册章,有的有完整的巡验记录。报价也差了三倍,因为准备录册只需要一周,准备巡验需要半年。

后来城门口贴了一张告示:录册告诉你计划,巡验告诉你实践。对外说通过了城门检查,请注明是录册还是巡验。

SOC 2

针对服务组织的控制框架审计报告,覆盖安全性、可用性、处理完整性、保密性和隐私性五项信任服务标准。包含 Type I 和 Type II 两种类型。

SOC 2 Type I

SOC 2 报告的一种类型,只评估某个特定时间点控制设计的合理性,不验证控制在考察期间的实际运行效果。适合作为合规建设的第一阶段里程碑。

故事对应

  • 录册盖章:SOC 2 Type I,只评估某个时间点控制设计是否合理
  • 巡街小吏定期上门:SOC 2 Type II,验证控制在考察期间的实际运行效果
  • 值更记录缺两个月:Type I 不检查运行连续性,暴露时间是关键短板
  • 录册官和巡街小吏吵架:Type I 和 Type II 的审计范围、周期和证据要求不同
  • 钱庄掌柜写不管明天:客户关心的是持续合规,Type I 无法回答这个问题
  • 招标报价差三倍:Type I 和 Type II 的准备周期和投入差距巨大

落到合规审计和供应商评估

拿到 SOC 2 报告时要分两步看:先确认是 Type I 还是 Type II——Type I 只在报告日期验证了设计,Type II 覆盖了一个时间窗口内的实际运行。供应商说通过了 SOC 2 但没给报告类型和审计期,等于没给结论。如果你的客户要求持续合规证据,Type I 只能当作第一块基石,不能用它代替 Type II。采购时把 Type I 和 Type II 的报价分开看,两者的审计周期和现场工作量完全不同。