# 客户要求 SOC 2，先确认什么？

> SOC 2 是围绕服务组织控制措施开展的独立鉴证报告。收到客户要求后，先核对对方要的报告类型、覆盖的业务与系统，以及采购时间节点，再决定准备工作。

来源页面: https://assurelane.ai/frameworks/soc-2/
更新: 2026-09-26 · 来源核验: 2026-09-26

## 要点速览

- 全称: System and Organization Controls 2（服务组织控制 2 类报告）
- 发布/监管方: 独立 CPA 事务所（依 AICPA 准则）
- 成果: Type 1 或 Type 2 鉴证报告，限制使用
- 适用对象: 为企业客户提供 SaaS、云、数据处理等服务的组织
- 地区: 北美为主，全球企业采购普遍认可
- 典型周期: Type 1 约 2–4 个月；Type 2 另需 3–12 个月观察期
- 有效期: 无“有效期”，客户通常要求最近 12 个月内的报告，需每年续做

## 关键时间线

- 2017: AICPA 发布现行信任服务准则（TSC）
- 2022: TSC 关注点（points of focus）修订
- 2026: AICPA 推进新版 SOC 2 准则修订（关注 AI 与新技术）

## 先确认客户到底需要什么

采购邮件里的一句“请提供 SOC 2”，还不足以确定项目范围。请索取合同、问卷或供应商门户中的原文，并逐项确认：要求 **Type 1 还是 Type 2**；要求哪一个法人、产品或平台进入报告范围；买方是否指定报告期间、交付时间或补充材料；是否还要求安全问卷、渗透测试、隐私附件或特定控制证明。

如果客户没有写明类型，先请对方澄清。不能仅因为客户位于美国，就推断所有供应商必须做 SOC 2，也不能把一份报告当作所有产品和关联公司的通行证明。

## Type 1 与 Type 2 的区别

两者都围绕服务组织的系统描述与相关控制进行鉴证。Type 1 关注特定时点的控制设计与实施状态；Type 2 还覆盖一段期间内控制运行的情况。买方关心的是哪一种，需要从其采购要求与风险判断中确认。准备计划必须考虑报告范围和所需证据的实际形成过程。

| 决策问题 | 需要弄清的事实 |
| --- | --- |
| 报告对象 | 哪个法律实体、服务和系统接受鉴证？ |
| 报告类型 | 客户接受 Type 1，还是明确要求 Type 2？ |
| 控制领域 | 安全之外，是否涉及可用性、处理完整性、保密性或隐私？ |
| 时间要求 | 客户何时需要报告，是否接受准备阶段的替代材料？ |
| 第三方依赖 | 云服务、外包团队和子服务组织如何进入系统边界？ |

## 企业通常要投入哪些准备工作

首先由业务和技术负责人共同定义受检服务与系统边界，列出关键数据流、人员权限、基础设施与外包依赖。随后把已有安全做法对应到控制要求：访问管理、变更管理、风险评估、事件响应、供应商管理、备份与持续监控等。重点在于控制真实运行，并能留下与报告范围、时间相匹配的证据。

对第一次准备的团队，最常见的困难是政策写法、实际操作与证据记录互相对不上，缺模板反倒是小问题。例如制度要求定期审查权限，但工单和审批记录无法证明谁在何时完成了审查。应先找出这些差距，再安排整改和证据周期。

## 谁负责 SOC 2 报告？

企业负责系统、控制和证据；准备顾问可协助界定范围、梳理差距和组织材料；**SOC 2 鉴证报告由独立 CPA 执行并出具**。AssureLane 负责需求判断与项目编排，准备工作由专业交付合作方承担。任何人都不应承诺“保证通过”或把 SOC 2 描述为一张由咨询机构颁发的证书。

## 收到要求后的五项行动

1. 保存客户要求原文和采购截止时间，避免口头转述改变范围。
2. 让销售、安全与技术负责人确认报告覆盖的实体、产品和系统。
3. 盘点已有政策、控制执行记录和外部供应商依赖。
4. 与专业人员确认差距、责任分工及独立 CPA 的鉴证安排。
5. 向客户确认准备期可接受的沟通方式，不把计划或草稿冒充已出具报告。

如果你手上已有客户问卷或合同条款，可以带着具体要求讨论下一步；首次沟通不需要上传敏感审计证据。

## 两种常见情境，路径不同

**情境 A：客户已在供应商准入条款中写明 Type 2。** 先问清要求的报告期间、覆盖的产品和签约实体。即使团队已有安全政策，也要检查关键控制能否在所需期间持续运行并留下记录。若合同时间表比证据形成时间更紧，应与采购方讨论其是否接受阶段性材料，而不是承诺尚未出具的报告。

**情境 B：客户只写了“提供独立安全证明”。** 先确认对方的供应商审核政策是否接受现有报告、ISO/IEC 27001 证书、问卷及补充证据。此时直接采购一项 SOC 2 项目，可能仍无法回答客户关心的产品范围或数据处理问题。

## 启动前的责任与材料清单

| 角色 | 启动阶段的责任 | 不应混淆的边界 |
| --- | --- | --- |
| 业务负责人 | 保存客户原文，确认采购时点与签约范围 | 不能替客户决定接受哪种成果 |
| 安全与工程团队 | 说明系统边界、控制做法、可提供的运行记录 | 政策文本不能代替实际执行证据 |
| 准备顾问 | 协助梳理差距、责任和证据计划 | 不能以顾问身份签发独立鉴证报告 |
| 独立 CPA | 确定鉴证安排并执行独立审查 | 鉴证结论由其专业判断决定 |

初次沟通可先准备三件材料：客户要求的原文、拟覆盖服务与实体的一页说明、现有控制与证据的目录。无需在公开表单上传完整合同、客户数据或内部架构图。

## 关于 SOC 2 的常见误区

- **“SOC 2 是美国法规要求的认证”**：它是独立鉴证报告。是否要求提供，通常要看采购方、合同及适用场景。
- **“买一个模板就能通过”**：真实控制的持续运行与证据一致性比模板数量重要。
- **“拿到报告后所有客户都不用再问”**：客户仍会检查报告范围、期间、例外事项，并可能提出额外问卷。

如果你已确认客户需要 SOC 2 报告，可继续看 [SOC 2 准备与独立鉴证协同](https://assurelane.ai/services/soc-2/)：其中列出项目阶段、客户投入与各方责任。

## 参考来源

- [AICPA & CIMA — SOC Suite of Services](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2)
- [AICPA & CIMA — Trust Services Criteria](https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。