两者的区别
| 维度 | Type 1 | Type 2 |
|---|---|---|
| 评价对象 | 系统描述 + 控制设计是否适当、是否已实施 | 在 Type 1 基础上，加上控制在一段期间内是否有效运行 |
| 时间维度 | 某一时点（例如 2026 年 6 月 30 日） | 一段期间（常见 3、6 或 12 个月） |
| 审计师测试 | 询问、观察、检查文件 | 在期间内抽样检验运行证据 |
| 客户认可度 | 过渡材料 | 多数企业客户的最终要求 |
| 准备时间 | 控制设计到位即可 | 观察期内证据必须持续形成 |
三个判断问题
1. 客户原文怎么写？ 如果写明“Type II”或“operating effectiveness”，就只能以 Type 2 为目标；如果只写“SOC 2”，请客户确认是否接受 Type 1。
2. 截止日期在什么时候？ Type 2 的最短路径大约是：准备 2–3 个月 + 观察期至少 3 个月 + 报告出具数周。若客户要求在 3 个月内提供材料，Type 2 来不及，可以协商以 Type 1 或准备度说明过渡。
3. 预算如何？ 先做 Type 1 再做 Type 2 意味着两次 CPA 鉴证费用。如果客户接受等待，直接做 Type 2 通常总成本更低。
常见的组合路径
- 路径 A：直接 Type 2。准备 → 观察期 3–6 个月 → 首份 Type 2 报告，之后每 12 个月一份。
- 路径 B：Type 1 过渡。准备 → Type 1 报告（给急需的客户）→ 同时启动观察期 → Type 2 报告。
- 路径 C：短观察期起步。首份 Type 2 用 3 个月观察期尽快出报告，之后转为 12 个月滚动周期。
选择哪条路径，关键是在启动前和客户、CPA 三方对齐。