Il committente richiede SOC 2. Il rapporto non è disponibile.
La domanda del committenteFornite un rapporto SOC 2 Tipo 2 attuale che copra il servizio proposto. È un requisito obbligatorio.
Rispondere prima alla domanda sulla prova: il rapporto richiesto non è disponibile. Un piano, il rapporto dell'hosting o un documento di assurance diverso non sono sostituti automatici. Verificare se il processo autorizzato consente eccezioni prima di considerare ammissibile l'offerta.
Una risposta da adattare
Non possiamo fornire il rapporto SOC 2 Tipo 2 richiesto per [entità giuridica e servizio proposto] alla data [data di risposta]. Pertanto non soddisfiamo attualmente questo requisito probatorio così come formulato. Le prove di assurance disponibili sono [documento esatto, organizzazione emittente, perimetro e data; omettere se assenti]. Sono offerte per la vostra valutazione, non presentate come rapporto SOC 2 equivalente. [Solo se verificato e approvato: L'incarico di audit copre [perimetro], con [fase attuale]. La data prevista del rapporto è [stima approvata], subordinata a completamento ed emissione; nessun rapporto è ancora stato emesso.] Confermate tramite [canale autorizzato] se la procedura consente di considerare [prova alternativa o eccezione precisamente identificata] e quali condizioni di approvazione e presentazione si applicano. Senza conferma scritta di una modifica o eccezione autorizzata, continueremo a registrare il requisito come non soddisfatto.
Sostituisca ogni campo tra parentesi quadre con fatti verificati. Elimini le frasi facoltative che non può documentare. Non presenti questa formulazione senza adattarla.
Le condizioni che sostengono la risposta
Dichiarare precisamente la mancanza della prova SOC 2, distinguere un piano di audit dal rapporto emesso e verificare se il committente consente alternative prima di impegnarsi.
Identificare che cosa manca, non soltanto la sigla
Leggere tipo di rapporto, entità, servizio, categorie di assurance, periodo e anzianità consentita. Un rapporto esistente può non soddisfare la richiesta se esclude il servizio o riguarda un altro periodo. La checklist AICPA indica copertura del sistema, periodo, giudizio, eccezioni ed esclusioni dei subservizi. Sono verifiche separate, non un Sì/No basato su un logo.
Non trasformare una fase progettuale in assurance
La lettera d'incarico dimostra l'incarico, non un esito di esame già emesso. Una valutazione di preparazione descrive attività preliminari. Nessuna dimostra efficacia operativa nel periodo richiesto. Se l'audit è in corso, identificare fase effettiva e responsabile; non promettere giudizi favorevoli o date non impegnate dall'auditor. Escludere prove future speculative dalla colonna di conformità attuale.
Separare mancanza della prova e controlli sottostanti
L'assenza di assurance non indica da sola quali controlli manchino. Descrivere solo controlli dimostrabili. Avere controlli o un certificato ISO non dimostra l'esistenza della prova SOC 2 richiesta. Il rapporto dell'hosting può supportare la valutazione di quel fornitore; allegarlo non lo trasforma nel rapporto della propria organizzazione di servizi. Il committente decide che cosa può accettare secondo la procedura.
Quattro stati della prova. Quattro risposte diverse.
Classificare prima di scrivere: evita di rispondere a ogni richiesta difficile con un generico «in corso».
- Nessun rapporto emesso
- Dichiararne l'assenza. Cercare un'alternativa autorizzata solo se consentita dalla procedura; preparazione non significa assurance.
- Rapporto esistente, perimetro errato
- Identificare discrepanza di entità, servizio o categoria. Spiegare la parte non coperta, non allegare un rapporto incapace di rispondere.
- Periodo non conforme alla richiesta
- Dichiarare date e prove attuali disponibili. Un aggiornamento temporale non sostituisce un esame.
- Rapporto richiesto disponibile
- Verificare autorizzazioni alla condivisione, perimetro ed eccezioni prima di confermare e consegnare la versione corretta.
La documentazione da acquisire
Requisito e percorso di eccezione
Conservare clausola esatta, versione, natura obbligatoria o valutata a punteggio, termine per quesiti e canale. Ottenere chiarimenti pubblicati o decisioni scritte autorizzate che consentano alternative. Rassicurazioni informali non devono sostituire istruzioni pubblicate; il responsabile delle offerte deve stabilire autorità e modalità di incorporazione della decisione.
Inventario sostenibile dal responsabile sicurezza
Elencare rapporti emessi, perimetro, entità, periodo, limiti di divulgazione e responsabile. Per ogni alternativa indicare la domanda di controllo che aiuta a risolvere e ciò che non prova. Escludere informazioni riservate dal materiale pubblico e concordare un canale sicuro. Richiedere un pacchetto controllato, non ogni politica interna disponibile.
Dichiarazione circoscritta e approvata sullo stato dell'audit
Se pertinente, ottenere perimetro dell'incarico firmato, attività confermate e dichiarazione approvata da sicurezza. Mantenere condizionate le stime. Se esiste un rapporto con una lacuna temporale, cercare prove attuali e valutare le istruzioni; un aggiornamento della direzione non deve far apparire esaminato un nuovo periodo.
La decisione da approvare
- Responsabili dell’approvazione
- Sicurezza o assurance valida le prove; il responsabile delle offerte gestisce ammissibilità e chiarimenti; commerciale e legale approvano gli impegni proposti.
- Procedere
- Procedere solo quando la prova soddisfa davvero il requisito o il processo autorizzato consente espressamente l'alternativa o eccezione dichiarata. Conservare perimetro e condizioni nella risposta.
- Non procedere
- Se il rapporto è una condizione obbligatoria invariata e manca, registrare il requisito non soddisfatto. Una formulazione migliore non rende ammissibile l'offerta; non segnare conformità per mantenere aperta l'opportunità.
- Richiedere una decisione
- Sottoporre prima della presentazione dubbi su anzianità, copertura, riservatezza o autorità delle eccezioni. Una richiesta senza risposta non è approvazione.
Conservare la decisione nei file da presentare
Confrontare casella di conformità, testo sicurezza, elenco deroghe e prove allegate prima del rilascio. Devono descrivere lo stesso stato del rapporto e la stessa decisione del committente. REQVERA si concentra sulla coerenza fra requisiti, prove approvate, risposte e file finali; l'esempio non certifica controlli né decide l'ammissibilità.
Vedere il flusso reale di controllo finaleAmbito e fonti di riferimento
Guida illustrativa, non dichiarazione sullo stato di assurance REQVERA. Le fonti SOC sono AICPA; accettazione e procedimento dipendono dalla gara effettiva. Non è giudizio di audit o consulenza legale. Sostituire ogni campo fra parentesi con informazioni verificate o rimuovere la frase condizionata.
- AICPA & CIMA — System and Organization Controls
Autorità primaria sui servizi di assurance SOC e avvertenze attuali sulla credibilità di incarichi eseguiti inadeguatamente. Verificata l'11 ottobre 2026.
- AICPA — Illustrative SOC 2 Report Review checklist
Strumento illustrativo su tipo, periodo, copertura, giudizio, eccezioni dei controlli ed esclusioni dei subservizi. Non è una regola di accettazione del committente.