Type 1 和 Type 2 要先分清
Type 1 看某一日期的控制設計和落實狀態；Type 2 還要看一段期間內控制的運作有效性。兩者準備時間、證據要求和客戶接受度都不同。
SOC 2 審計準備與控制證據整理
SOC 2 Audit Readiness 顧問服務
建立連續控制證據，贏得海外企業客戶准入
- 適合科技、SaaS、雲端、支付、數據處理及外判服務公司，先確認 Type 1 / Type 2、Trust Services Criteria 和系統範圍。
- 把存取、變更、事故、備份、供應商、日誌、監察和控制執行證據，按審計週期整理成 CPA 可抽查資料包。
- 由 CISA、CISM、CISSP、ISO 27001 或資訊安全審核背景人員把關；專屬 PM 跟進證據日曆、培訓、透明報價和 CPA 審計對接。
什麼是 SOC 2？
SOC 2 是服務機構控制報告，常見於科技公司、SaaS、雲端、支付、數據處理和外判服務。海外客戶經常用 SOC 2 判斷服務商是否有足夠的安全、可用性、保密性、處理完整性或私隱控制。
SOC 2 不是 ISO 認證，也不是單日交文件。尤其 Type 2 會看一段期間內控制是否持續運作，所以企業要先建立證據節奏，而不是等審計前才補截圖。
控制要有 owner、頻率和證據
每項控制都要說清楚誰負責、多久執行一次、輸入資料是什麼、輸出證據在哪裡，以及出現例外時怎樣處理。
CPA 審計語境下的 SOC 2 准入準備
報告目標先定準
先核對客戶要求、Trust Services Criteria、Type 1 / Type 2、系統範圍和提交期限，避免一開始做錯證據期。
證據日曆提前建立
按月、季、事件或變更節點安排存取、備份、供應商、事故和培訓證據，減少審計前臨時補件。
ISO 27001 控制不混用
已有 ISO 27001 可沿用部分政策和控制紀錄，但 SOC 2 要按控制描述、準則和審計期間重新映射。
CPA 對接和費用講清
專屬項目窗口跟進證據清單、員工培訓、例外整改和 CPA 審計資料要求；顧問費與審計費分開列明。
SOC 2 審計準備對香港企業的實質效益
對 SaaS 和科技服務公司來說，SOC 2 經常是海外客戶、企業採購、投資方或合規團隊要求的信任文件。準備得好，能少走很多問卷來回。
回應海外客戶安全審查
SOC 2 可集中回答存取控制、變更、監控、事故、供應商和服務可用性問題，減少每個客戶重新審查。
讓控制責任清楚落地
每項控制都有 owner、頻率、工具、證據和例外處理，避免 IT、DevOps、HR、法務和管理層互相推資料。
建立連續證據而非臨時截圖
Type 2 需要一段期間的運作證據。先建立節奏，審計時才不會發現月份缺口。
支援融資、企業銷售和跨境合作
對面向海外企業客戶的 SaaS、雲端、支付和數據服務，SOC 2 能提高供應商審批和採購流程的信任度。
適合哪些企業與行業應用
SOC 2 適合向海外企業客戶提供科技、雲端、數據或外判服務的公司，尤其是客戶明確要求 SOC 2 報告或安全控制證明時。
行業 01SaaS、雲端及平台公司
重點在系統範圍、客戶資料、權限、變更、監控、可用性、備份和供應商控制。
行業 02支付、金融科技及數據服務
客戶通常會審查安全控制、處理完整性、事故通報、資料保密和第三方服務風險。
行業 03MSP、IT 外判及 BPO 服務
適合需要證明人員權限、服務台、遠端連線、變更、客戶資料處理和外判供應商控制的公司。
行業 04已有 ISO 27001 的科技企業
可在現有資訊安全制度上建立 SOC 2 控制映射和證據週期，減少從零開始整理的工作。
SOC 2 的核心準備要求與審計重點
SOC 2 準備要按報告範圍、Trust Services Criteria 和審計期間設計控制。常見重點如下。
系統範圍與服務描述
需要清楚說明受審系統、服務、客戶、基礎設施、資料類型、第三方和主要流程。
控制設計與責任人
每項控制要有控制目標、執行人、頻率、工具、輸入、輸出、例外處理和審計證據。
證據週期與運作有效性
Type 2 會看審計期間內控制是否持續運作，例如每月權限審查、季度供應商檢討、每次變更批核。
例外、缺口和整改管理
若控制未執行或證據缺失，需要有原因、影響評估、補救措施、管理層確認和後續防止再發安排。
CertiSafe 可支援的工作
CertiSafe 會按客戶要求、系統範圍和審計目標安排 SOC 2 準備工作：
- 檢查客戶要求、供應商問卷、合約條款、Type 1 / Type 2 目標和提交期限。
- 確認 Trust Services Criteria、系統範圍、服務描述、第三方和資料類型。
- 建立控制矩陣、控制 owner、執行頻率、證據清單和證據日曆。
- 整理存取、變更、事故、備份、日誌、監控、供應商和人員培訓證據。
- 對照 ISO/IEC 27001、SOC 2 客戶清單和現有安全政策，找出可用資料及缺口。
- 跟進例外、整改、管理層說明和審計前問答準備。
- 協調獨立 CPA 審計機構或客戶指定審計方的資料要求。
- 建立後續證據維護安排，支援 Type 2 期間或下一輪審計。
CertiSafe 負責審計準備、控制文件、證據整理、差距整改及審計協調。SOC 2 報告由合資格的獨立 CPA 審計機構作出。
SOC 2 審計準備步驟
客戶要求與報告目標確認
先確認客戶是否要求 SOC 2、Type 1 或 Type 2、信任服務類別、提交期限和可接受報告形式。
系統範圍與控制差距檢查
顧問檢查系統、服務、資料、供應商、政策、控制和現有證據，列出審計準備缺口。
控制矩陣與證據日曆建立
建立控制描述、責任人、頻率、證據來源、例外處理方式和審計期間安排。
證據收集與流程試行
按月、季或事件收集存取、變更、備份、事故、供應商和培訓證據，確保可追查。
Readiness Review 與整改
模擬審計抽查控制設計和證據完整性，先處理缺口、例外和管理層說明。
審計協調與後續維護
配合獨立 CPA 審計機構資料要求，跟進問題清單，並建立下一段審計期間的證據維護節奏。
常見的準備文件與紀錄
實際文件會按 Trust Services Criteria、Type 1 / Type 2、系統範圍和審計期間調整，常見包括：
範圍與控制矩陣資料
包括系統描述、服務描述、資料流、第三方清單、信任服務類別、控制矩陣和控制 owner。
存取、變更和運作證據
包括帳號清單、權限審查、離職撤權、變更申請、批核、測試、發布、日誌和監控紀錄。
安全、備份和供應商資料
包括漏洞修補、事故處理、備份測試、災難復原、供應商評估、合約和服務報告。
例外與審計準備資料
包括證據日曆、Readiness Review、例外清單、整改紀錄、管理層說明和審計問答資料。
常見問題
SOC 2 審計準備適合哪些 SaaS 或雲端公司？
適合需要回應海外客戶、投資方、企業採購或安全問卷的 SaaS、雲端、支付、數據處理、MSP 和外判服務公司。若客戶指定 SOC 2 Type 1、Type 2 或 Trust Services Criteria，就應先做審計準備評估。
SOC 2 Type 1 和 Type 2 應該怎樣選？
Type 1 看某一日期的控制設計和落實狀態，適合先回應客戶初步審查；Type 2 看一段期間內控制是否持續運作，通常更受海外企業客戶重視。應按客戶 deadline、證據成熟度和合約要求判斷。
SOC 2 審計準備最先要整理什麼資料？
最先整理系統範圍、服務描述、Trust Services Criteria、控制矩陣、控制 owner、證據日曆和現有安全政策。存取、變更、事故、備份、供應商、日誌和培訓證據要先看是否連續可追查。
已有 ISO 27001，還需要準備 SOC 2 嗎？
要看客戶或合約是否接受 ISO 27001。ISO 27001 可提供政策、風險、存取、事故和供應商控制基礎，但 SOC 2 仍要按 CPA 審計格式、控制描述、Trust Services Criteria 和證據期間重新映射。
Trust Services Criteria 要選 Security 還是其他類別？
多數 SOC 2 項目會以 Security 作核心；是否加入 Availability、Confidentiality、Processing Integrity 或 Privacy，要按服務內容、客戶資料、SLA、合約條款和海外客戶要求判斷。
客戶給的 SOC 2 控制清單可以直接照抄嗎？
不建議直接照抄。要先核對系統範圍、服務承諾、工具和現有控制，再把每項要求配對到責任人、頻率、證據來源和例外處理，避免寫出實際未執行的控制。
SOC 2 Type 2 證據期要保存哪些資料？
要按 CPA 審計期間安排。常見資料包括存取覆核、離職撤權、變更批核、事故紀錄、備份測試、供應商評估、漏洞修補、日誌監察和員工培訓，重點是連續性和可追查性。
海外客戶只接受 SOC 2，可以用 ISO 27001 代替嗎？
要先看客戶合約和供應商審查條款。SOC 2 和 ISO 27001 不能在未經客戶同意下互相代替，但可整理控制對照表，說明哪些 ISO 27001 控制可支援 SOC 2 審計準備。
SOC 2 審計準備時間和費用受什麼影響？
主要受 Type 1 / Type 2、系統範圍、Trust Services Criteria、控制數量、證據成熟度、審計期間、整改量和 CPA 審計機構要求影響。CertiSafe 會先評估客戶 deadline，再分開列明顧問費和 CPA 審計費。
SOC 2 報告由誰出具，CertiSafe 負責什麼？
SOC 2 報告由合資格獨立 CPA 審計機構出具，屬第三方審計報告。CertiSafe 負責 SOC 2 審計準備、控制矩陣、證據日曆、差距整改、培訓、管理層說明和 CPA 審計資料對接。
不確定 SOC 2 是否適合您的海外客戶要求？
提交客戶問卷、合約條款、系統範圍、現有 ISO 27001 文件或證據樣本，我們可先判斷 SOC 2 準備路線、證據週期及下一步安排。