选择 SOC 2 的 CPA 事务所
必须满足
- 在美国具备执业资格的 CPA 事务所，能够依 AICPA 鉴证准则执行 SOC 2 业务
- 独立性：不能同时为你提供准备咨询或代建控制。同一事务所的咨询部门与审计部门也需注意独立性安排。
值得比较
- 品牌与客户认可度：大型或知名专业事务所的报告在大企业采购中阻力更小，但费用和档期压力更大
- 行业经验：是否熟悉 SaaS、AI、云原生架构，能否理解基础设施即代码等现代证据形式
- 跨境经验：能否远程审计中国团队，是否有中文沟通能力
- 档期：Type 2 观察期结束后多久能开始现场工作、多久出报告
- 报价结构：是否包含系统描述审阅、管理层声明协助、后续年度的价格锁定
选择 ISO 认证机构
必须满足
- 获得认可：认证机构须获得国家认可机构认可，且认可范围覆盖 ISO/IEC 27001（或 42001、27701）
- 客户认可的认可机构：中国的 CNAS、英国的 UKAS、美国的 ANAB 等均为 IAF 多边互认成员，但个别客户可能有偏好，签约前可问一句
- 独立性：认证机构不能为你提供体系建设咨询
怎么核查
- 在认可机构官网或 IAF CertSearch 查询认证机构及其认可范围
- 拿到证书后，同样可以通过上述渠道验证证书真伪、范围与有效期
值得比较
- 审核员的行业背景与语言能力
- 证书语言（中英文）与证书上范围描述的准确性
- 三年周期内监督审核和再认证的总费用
- 是否支持多标准一体化审核（如 27001 + 42001 + 27701）
一个提醒
市场上存在未经认可的“认证”，费用低、出证快，但海外客户核查时可能不被承认。省下的认证费，可能换来丢掉的订单。