时间：从启动到第一份报告
| 阶段 | Type 1 路径 | Type 2 路径 |
|---|---|---|
| 范围界定与差距评估 | 3–5 周 | 3–5 周 |
| 整改与控制建设 | 1–3 个月 | 1–3 个月 |
| 观察期 | 不需要 | 3–12 个月 |
| CPA 现场工作与出具报告 | 数周 | 数周 |
| 合计 | 约 2–4 个月 | 约 6–15 个月 |
影响时间最大的因素：现有基础（是否已有 SSO、MFA、日志、变更流程）、范围大小、团队投入，以及能否尽早锁定 CPA 档期。
费用：五个组成部分
- 准备咨询：差距评估、制度编写、控制设计、证据准备、准备度评估。影响因素：范围、现有基础、需要多少“代做”。
- CPA 鉴证：由独立 CPA 事务所收取。影响因素：事务所规模与品牌、报告类型、信任服务类别数量、系统复杂度。
- 工具（可选）：合规自动化平台、身份管理、日志、终端管理。
- 第三方测试（可选但常见）：渗透测试。
- 内部投入：工程、运维、人事等团队配合的工时，常被低估。
比较报价时要问的七个问题
- CPA 鉴证费是否包含在内？是哪家事务所？
- Type 1 和 Type 2 是否分别计价？观察期内的支持是否收费？
- 包含哪些信任服务类别？
- 制度文件是模板交付还是按实际情况定制？
- 是否包含准备度评估？
- 是否捆绑了工具订阅？取消后证据是否还能导出？
- 第二年续做的费用如何计算？
为什么不在网页上标统一价格
SOC 2 的工作量与范围强相关：同样是 30 人的 SaaS，有的已经在用 SSO 和基础设施即代码，有的连资产清单都没有。统一报价要么对一方不公平，要么藏着排除项。我们的做法是在需求沟通后给出分项报价。