先确认客户到底需要什么
采购邮件里的一句“请提供 SOC 2”，还不足以确定项目范围。请索取合同、问卷或供应商门户中的原文，并逐项确认：要求 Type 1 还是 Type 2；要求哪一个法人、产品或平台进入报告范围；买方是否指定报告期间、交付时间或补充材料；是否还要求安全问卷、渗透测试、隐私附件或特定控制证明。
如果客户没有写明类型，先请对方澄清。不能仅因为客户位于美国，就推断所有供应商必须做 SOC 2，也不能把一份报告当作所有产品和关联公司的通行证明。
Type 1 与 Type 2 的区别
两者都围绕服务组织的系统描述与相关控制进行鉴证。Type 1 关注特定时点的控制设计与实施状态；Type 2 还覆盖一段期间内控制运行的情况。买方关心的是哪一种，需要从其采购要求与风险判断中确认。准备计划必须考虑报告范围和所需证据的实际形成过程。
| 决策问题 | 需要弄清的事实 |
|---|---|
| 报告对象 | 哪个法律实体、服务和系统接受鉴证？ |
| 报告类型 | 客户接受 Type 1，还是明确要求 Type 2？ |
| 控制领域 | 安全之外，是否涉及可用性、处理完整性、保密性或隐私？ |
| 时间要求 | 客户何时需要报告，是否接受准备阶段的替代材料？ |
| 第三方依赖 | 云服务、外包团队和子服务组织如何进入系统边界？ |
企业通常要投入哪些准备工作
首先由业务和技术负责人共同定义受检服务与系统边界，列出关键数据流、人员权限、基础设施与外包依赖。随后把已有安全做法对应到控制要求：访问管理、变更管理、风险评估、事件响应、供应商管理、备份与持续监控等。重点在于控制真实运行，并能留下与报告范围、时间相匹配的证据。
对第一次准备的团队，最常见的困难是政策写法、实际操作与证据记录互相对不上，缺模板反倒是小问题。例如制度要求定期审查权限，但工单和审批记录无法证明谁在何时完成了审查。应先找出这些差距，再安排整改和证据周期。
谁负责 SOC 2 报告？
企业负责系统、控制和证据；准备顾问可协助界定范围、梳理差距和组织材料；SOC 2 鉴证报告由独立 CPA 执行并出具。AssureLane 负责需求判断与项目编排，准备工作由专业交付合作方承担。任何人都不应承诺“保证通过”或把 SOC 2 描述为一张由咨询机构颁发的证书。
收到要求后的五项行动
- 保存客户要求原文和采购截止时间，避免口头转述改变范围。
- 让销售、安全与技术负责人确认报告覆盖的实体、产品和系统。
- 盘点已有政策、控制执行记录和外部供应商依赖。
- 与专业人员确认差距、责任分工及独立 CPA 的鉴证安排。
- 向客户确认准备期可接受的沟通方式，不把计划或草稿冒充已出具报告。
如果你手上已有客户问卷或合同条款，可以带着具体要求讨论下一步；首次沟通不需要上传敏感审计证据。
两种常见情境，路径不同
情境 A：客户已在供应商准入条款中写明 Type 2。 先问清要求的报告期间、覆盖的产品和签约实体。即使团队已有安全政策，也要检查关键控制能否在所需期间持续运行并留下记录。若合同时间表比证据形成时间更紧，应与采购方讨论其是否接受阶段性材料，而不是承诺尚未出具的报告。
情境 B：客户只写了“提供独立安全证明”。 先确认对方的供应商审核政策是否接受现有报告、ISO/IEC 27001 证书、问卷及补充证据。此时直接采购一项 SOC 2 项目，可能仍无法回答客户关心的产品范围或数据处理问题。
启动前的责任与材料清单
| 角色 | 启动阶段的责任 | 不应混淆的边界 |
|---|---|---|
| 业务负责人 | 保存客户原文，确认采购时点与签约范围 | 不能替客户决定接受哪种成果 |
| 安全与工程团队 | 说明系统边界、控制做法、可提供的运行记录 | 政策文本不能代替实际执行证据 |
| 准备顾问 | 协助梳理差距、责任和证据计划 | 不能以顾问身份签发独立鉴证报告 |
| 独立 CPA | 确定鉴证安排并执行独立审查 | 鉴证结论由其专业判断决定 |
初次沟通可先准备三件材料：客户要求的原文、拟覆盖服务与实体的一页说明、现有控制与证据的目录。无需在公开表单上传完整合同、客户数据或内部架构图。
关于 SOC 2 的常见误区
- “SOC 2 是美国法规要求的认证”：它是独立鉴证报告。是否要求提供，通常要看采购方、合同及适用场景。
- “买一个模板就能通过”：真实控制的持续运行与证据一致性比模板数量重要。
- “拿到报告后所有客户都不用再问”：客户仍会检查报告范围、期间、例外事项，并可能提出额外问卷。
如果你已确认客户需要 SOC 2 报告，可继续看 SOC 2 准备与独立鉴证协同：其中列出项目阶段、客户投入与各方责任。