SOC 1 مقابل SOC 2، والنوع الأول مقابل النوع الثاني: ما الذي يستطيع مراجع المنشأة المستخدمة الاعتماد عليه فعلًا

ابحث عن الفرق بين SOC 1 وSOC 2 وستجد كل نتيجة مكتوبة بيد شركة تبيع مراجعات SOC 2 لموردي البرمجيات. وسؤالهم أي تقرير سيطلبه العميل. أما سؤال المراجع فمختلف، وهو ما تختبره AUD: عميل في الرياض يسند رواتبه أو نظام مخزونه أو نظام تخطيط موارده بأكمله إلى منشأة خدمية، وعلى المراجع أن يقرر ما الذي يتيح له تقرير من مراجع تلك المنشأة أن يعتمد عليه، وما الذي ما زال عليه أن يفعله بنفسه.

وللجواب ثلاثة أجزاء. فتقرير SOC 1 وحده يتناول الضوابط على التقرير المالي. وتقرير النوع الثاني وحده يتناول هل عملت تلك الضوابط على مدى فترة. وحتى تقرير SOC 1 من النوع الثاني يترك لمراجع المنشأة المستخدمة عملًا: الضوابط التي يفترض التقرير أن العميل نفسه ينفذها، والفجوة بين فترة التقرير وفترة المراجعة، والحكم على هل يمكن الوثوق بمراجع المنشأة الخدمية. والمعيار هو AU-C 402 لمراجع المنشأة المستخدمة وAT-C 320 لمراجع المنشأة الخدمية؛ ونظيراهما الدوليان، معيار المراجعة الدولي 402 ومعيار ارتباطات التأكيد الدولي 3402، هما ما تعتمده الهيئة السعودية للمراجعين والمحاسبين.

التقارير

	SOC 1	SOC 2	SOC 3
الموضوع	الضوابط في المنشأة الخدمية ذات الصلة بالرقابة الداخلية على التقرير المالي للمنشآت المستخدمة	الضوابط ذات الصلة بالأمن والإتاحة وسلامة المعالجة والسرية والخصوصية	كما في SOC 2
المعايير	أهداف الرقابة الخاصة بالمنشأة الخدمية	معايير خدمات الثقة الصادرة عن AICPA	معايير خدمات الثقة
المستخدمون المستهدفون	إدارة المنشآت المستخدمة ومراجعوها	الإدارة والعملاء والجهات التنظيمية وشركاء الأعمال ذوو المعرفة الكافية	أي شخص؛ ملخص للاستخدام العام بلا تفاصيل
معيار مراجع المنشأة الخدمية	AT-C 320	AT-C 105 و205	AT-C 105 و205
الاستخدام في مراجعة القوائم المالية	نعم: هذا ما يتصوره AU-C 402	ليس للاعتماد على ضوابط التقرير المالي؛ وقد يفيد في تقييم خطر تقنية المعلومات	لا

والصف الأول هو التمييز كله. فتقرير SOC 1 موجود ليستطيع مراجع المنشأة المستخدمة فهم الضوابط في منشأة خدمية تؤثر في القوائم المالية للمنشأة المستخدمة، والاعتماد عليها حيث يناسب: ضوابط معالج الرواتب على حساب الأجور، وضوابط أمين الحفظ على تسجيل الأوراق المالية، وضوابط مورد نظام تخطيط الموارد السحابي على تغييرات البرامج. وتقرير SOC 2 موجود ليستطيع العميل تقييم هل بياناته آمنة وخدمته متاحة. وكلاهما تقرير تأكيد يصدره محاسبون قانونيون، وكلاهما قد يكون من النوع الأول أو الثاني، وواحد منهما فقط عن الأرقام.

وتقرير SOC 2 ليس عديم الفائدة لمراجع القوائم المالية. فحيث يعتمد التقرير المالي للمنشأة المستخدمة على أمن نظام وإتاحته، يكون تقرير SOC 2 دليلًا عن بيئة تقنية المعلومات العامة، ويمكن أن يفيد في تقييم الخطر. وما لا يستطيعه هو أن يحل محل اختبارات الضوابط التي تعالج المعاملات، لأنه لم يُصمم لاختبارها.

النوع الأول والنوع الثاني

	النوع الأول	النوع الثاني
ما يبدي مراجع المنشأة الخدمية رأيه فيه	هل وصف النظام عادل وهل الضوابط مصممة بشكل مناسب ومطبقة، في نقطة زمنية	الشيء نفسه، بالإضافة إلى هل الضوابط عملت بفعالية على مدى فترة
يحتوي اختبارات الضوابط ونتائجها	لا	نعم، لكل هدف رقابي
يدعم فهم مراجع المنشأة المستخدمة للضوابط	نعم	نعم
يدعم تخفيض الاختبارات الأساسية لدى مراجع المنشأة المستخدمة	لا؛ فالتصميم وحده لا يقول شيئًا عن التشغيل	نعم، للفترة المغطاة

يجيب تقرير النوع الأول عن السؤال الذي يطرحه مراجع المنشأة المستخدمة في مرحلة الفهم: ماذا تفعل المنشأة الخدمية، وهل ضوابطها مصممة لفعله؟ ويجيب تقرير النوع الثاني عن السؤال المطروح في مرحلة الاختبار: هل عملت؟ والمراجع الذي يخفض الإجراءات الأساسية استنادًا إلى تقرير من النوع الأول قد قيّم خطر الرقابة دون الحد الأقصى على دليل عن التصميم فقط، وهو ما لا يجيزه AU-C 402. وتلك الجملة، بصيغة ما، هي أوثق سؤال في AUD عن الموضوع.

ما يفعله مراجع المنشأة المستخدمة

يضع AU-C 402 تسلسلًا، وكل خطوة فيه قابلة للاختبار.

1. فهم الخدمات وأثرها. يحدد مراجع المنشأة المستخدمة الخدمات التي تقدمها المنشأة الخدمية، ومدى جوهريتها للقوائم المالية، ودرجة التفاعل، وطبيعة المعاملات المعالجة. فالشركة التي تستضيف بريد العميل الإلكتروني ليست منشأة خدمية لهذا الغرض؛ والشركة التي تدير رواتب العميل هي كذلك.
2. تقرير هل الاعتماد مطلوب. إن استطاع مراجع المنشأة المستخدمة الحصول على أدلة كافية بإجراءات أساسية لدى المنشأة المستخدمة، مثلًا بإعادة حساب الرواتب من البيانات المصدرية، فلا حاجة إلى اعتماد على الضوابط ويُستخدم التقرير للفهم فقط. فالاعتماد اختيار لا التزام.
3. إن اعتمد، فليحصل على تقرير من النوع الثاني أو ينفذ اختبارات ضوابط في المنشأة الخدمية، مباشرة أو عبر مراجع آخر.
4. تقييم مراجع المنشأة الخدمية. الكفاءة المهنية، والاستقلالية عن المنشأة الخدمية، وفق معايير يراها مراجع المنشأة المستخدمة كافية. وتقرير مراجع منشأة خدمية لا يستطيع مراجع المنشأة المستخدمة الاطمئنان إليه ليس دليلًا.
5. تقييم التقرير. هل تغطي فترته ما يكفي من فترة المراجعة؟ وهل أهداف الرقابة هي التي يهتم بها مراجع المنشأة المستخدمة؟ وهل كانت هناك انحرافات، وماذا تعني لمعاملات المنشأة المستخدمة؟ وهل يستبعد التقرير أو يضم المنشآت الخدمية الفرعية التي يعتمد عليها العميل أيضًا؟
6. اختبار الضوابط المكملة لدى المنشأة المستخدمة. يعدد كل تقرير SOC 1 ضوابط تفترض المنشأة الخدمية أن المنشآت المستخدمة تنفذها بنفسها، كفحص تقارير الاستثناءات أو اعتماد المدخلات. ولم يختبرها مراجع المنشأة الخدمية؛ وعلى مراجع المنشأة المستخدمة اختبارها، لدى العميل.

وخطوتان من هذه تحملان أغلب الدرجات. فجوة الفترة: تقرير من النوع الثاني يغطي يناير إلى سبتمبر، يُستخدم في مراجعة سنة تنتهي في ديسمبر، يترك ثلاثة أشهر غير مغطاة، ويطلب مراجع المنشأة المستخدمة من المنشأة الخدمية خطاب جسر يؤكد عدم وجود تغييرات مهمة، وينظر هل تلزم إجراءات إضافية. والضوابط المكملة لدى المنشأة المستخدمة: فضابط معالج الرواتب على معدلات الأجور يفترض أن العميل اعتمد المعدلات التي أرسلها، وإن لم يفعل، فالتقرير النظيف للمعالج لا قيمة له لذلك التأكيد.

ما لا يستطيع التقرير فعله

تقرير مراجع المنشأة المستخدمة هو تقريره هو. ويحظر AU-C 402 الإشارة إلى عمل مراجع المنشأة الخدمية في رأي مراجع المنشأة المستخدمة أساسًا له؛ فمراجع المنشأة المستخدمة يتحمل المسؤولية كاملة، ولا يمكن تفسير رأي معدل بالإشارة إلى مراجع المنشأة الخدمية. وتقرير مراجع المنشأة الخدمية مقيد الاستخدام على إدارة المنشأة الخدمية والمنشآت المستخدمة ومراجعيها، ولا يستطيع مراجع المنشأة المستخدمة تمريره إلى أطراف ثالثة. والتقرير بتاريخه وفترته: فالتغيير في نظام المنشأة الخدمية بعد التقرير، وهو ما يُقصد بخطاب الجسر أن يكشفه، غير مغطى.

الإطار السعودي

تنطبق البنية نفسها وفق معايير المراجعة الدولية. فمعيار المراجعة الدولي 402 هو معيار مراجع المنشأة المستخدمة ومعيار ارتباطات التأكيد الدولي 3402 معيار مراجع المنشأة الخدمية، ومراجع شركة سعودية مدرجة يعمل وفق معايير الهيئة المعتمدة يطرح الأسئلة نفسها على التقارير نفسها؛ فتقرير SOC 1 الصادر عن مكتب أمريكي وفق AT-C 320 وتقرير 3402 الصادر عن مكتب سعودي هما النوع نفسه من الأدلة. وحيث يشغّل عميل في الرياض نظام تخطيط موارده على مزود سحابي عالمي، سيكون التقرير الذي يتلقاه المراجع عادةً تقرير SOC 1 بصيغة AICPA، والتحليل أعلاه هو بالضبط ما تتوقعه مادة المراجعة في زمالة الهيئة أيضًا. والطبقة السعودية من المهنة، ما ترخصه الهيئة وما تسجله هيئة السوق المالية، في دليل دراسة المراجعة في زمالة الهيئة.

كيف تسأل AUD

نمط السؤال	الجواب
«أي تقرير مصمم لمراجعي المنشآت المستخدمة المعتمدين على ضوابط التقرير المالي»	SOC 1، النوع الثاني
يخفض المراجع الاختبارات الأساسية استنادًا إلى تقرير من النوع الأول	غير مناسب؛ فالنوع الأول يتناول التصميم فقط
تنتهي فترة التقرير قبل نهاية السنة بثلاثة أشهر	احصل على خطاب جسر؛ وانظر في إجراءات إضافية للفجوة
يعدد التقرير ضوابط مكملة لدى المنشأة المستخدمة	يختبرها مراجع المنشأة المستخدمة لدى المنشأة المستخدمة
«هل يجوز لمراجع المنشأة المستخدمة الإشارة إلى مراجع المنشأة الخدمية في الرأي»	لا
مزود العميل السحابي لديه SOC 2 من النوع الثاني	دليل عن أمن تقنية المعلومات وإتاحتها؛ لا اعتماد على ضوابط معالجة المعاملات
استقلالية مراجع المنشأة الخدمية مشكوك فيها	التقرير ليس دليلًا كافيًا ومناسبًا؛ نفذ إجراءات أخرى

أين تتدرب على هذا

الموضوع شجرة قرار واحدة، ويُتعلم بتمرير أنماط الوقائع عبرها حتى يصير التمييز بين SOC 1 وSOC 2 وبين النوع الأول والثاني انعكاسًا. ويغطي مقرر AUD في بريبيتو المنشآت الخدمية وتقارير SOC وAU-C 402 بأسئلة تدريبية تسمي شروحها التقرير والنوع المعنيين في كل خيار. ويغطي مقرر المراجعة في زمالة الهيئة معيار المراجعة الدولي 402 كما اعتُمد. ولنموذج الخطر الذي تغذيه هذه التقارير، راجع نموذج خطر المراجعة والرقابة الداخلية؛ وللمادة كلها، دليل دراسة AUD.

---

المصادر: AICPA، مجموعة خدمات ضوابط النظم والمنشآت (SOC)، وAICPA، معايير المراجعة السارية حاليًا (AU-C 402)، وملف IFAC عن السعودية بشأن اعتماد الهيئة لمعايير المراجعة الدولية. تُراجع المعايير وإطار SOC دوريًا؛ فتأكد من النص الساري لارتباط بعينه.