Wat is SOC 1?
SOC 1 (System and Organization Controls 1) is een assurancerapport van een onafhankelijke auditor over de beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de interne beheersing van de financiële verslaggeving van haar klanten. Het rapport wordt opgesteld onder de Amerikaanse attestatiestandaard SSAE 18 (sectie AT-C 320) van de AICPA, de beroepsorganisatie van Amerikaanse accountants. De internationale tegenhanger is ISAE 3402, die in Nederland als NBA Standaard 3402 wordt gebruikt. Klanten en hun accountants gebruiken een SOC 1-rapport om te beoordelen of uitbestede processen, zoals salarisverwerking, ERP-hosting of facturatie, aantoonbaar onder controle zijn.
SOC 1 heeft niets te maken met een Security Operations Center. De afkorting staat hier voor System and Organization Controls, een rapportagefamilie van de AICPA met SOC 1, SOC 2 en SOC 3.
🧠 Hoe werkt een SOC 1-onderzoek?
Bij een SOC 1-onderzoek zijn vier partijen betrokken: de serviceorganisatie (de leverancier), de gebruikersorganisaties (de klanten), de serviceauditor die de audit uitvoert en de accountant van de klant (user auditor). Die laatste gebruikt het rapport bij de jaarrekeningcontrole, zodat hij niet zelf bij elke leverancier hoeft te testen. Voor beursgenoteerde Amerikaanse bedrijven is SOC 1 daarnaast een vast onderdeel van compliance met de beoordeling van interne beheersing onder de Sarbanes-Oxley Act (SOX 404).
Het onderzoek is assertion-based: het management van de serviceorganisatie schrijft een systeembeschrijving en verklaart dat die klopt en dat de beheersmaatregelen goed zijn opgezet (en bij Type 2 ook werken). De auditor geeft daarover een oordeel. Een kenmerk van SOC 1 is dat de serviceorganisatie haar beheersdoelstellingen (control objectives) zelf formuleert, zoals “transacties worden volledig en juist verwerkt”. Bij SOC 2 toetst de auditor juist tegen vaste Trust Services Criteria.
Een SOC 1-rapport bestaat doorgaans uit:
- Oordeel van de serviceauditor - goedkeurend, met beperking of afkeurend
- Bevestiging van het management - de assertion
- Systeembeschrijving - diensten, processen, systemen, subdienstverleners
- Beheersdoelstellingen, beheersmaatregelen en testen - bij Type 2 met aard, omvang en resultaten, inclusief afwijkingen
- Overige informatie - optioneel, door de auditor niet getoetst
🔄 Wat is het verschil tussen SOC 1 Type 1 en Type 2?
| Kenmerk | SOC 1 Type 1 | SOC 1 Type 2 |
|---|---|---|
| Oordeel over beschrijving | Ja | Ja |
| Oordeel over opzet van maatregelen | Ja | Ja |
| Oordeel over werking | Nee | Ja, gedurende een periode |
| Peilmoment | Eén datum | Doorgaans 6 tot 12 maanden |
| Testresultaten in rapport | Nee | Ja, met afwijkingen |
| Typisch gebruik | Eerste jaar, nieuwe dienst | Jaarlijkse zekerheid voor klant en accountant |
Accountants vragen vrijwel altijd om een Type 2-rapport, omdat alleen dat aantoont dat maatregelen gedurende het boekjaar werkten. Valt de rapportageperiode niet samen met het boekjaar van de klant, dan geeft de leverancier vaak een bridge letter af: een managementverklaring dat er sinds het einde van de periode geen wezenlijke wijzigingen waren. Die brief is geen auditoroordeel.
🧱 Wat valt binnen en buiten de scope van SOC 1?
SOC 1 gaat uitsluitend over maatregelen die de financiële verslaggeving van klanten kunnen raken. Typische beheersdoelstellingen zijn verdeeld over twee groepen:
- Bedrijfsprocesmaatregelen - autorisatie van transacties, volledigheid en juistheid van verwerking, aansluitingen en tijdige rapportage
- IT general controls (ITGC’s) - logische toegang via IAM en RBAC, wijzigingsbeheer, IT-operations zoals jobscheduling en back-ups, en incidentbeheer
In een OT-context gaat het bijvoorbeeld om de vraag of alleen bevoegde engineers receptuur, telwerken of batchgegevens kunnen wijzigen die later naar het ERP doorstromen, en of wijzigingen in die koppeling een goedgekeurde procedure volgen.
Buiten de scope vallen cybersecurity en informatiebeveiliging als zelfstandig onderwerp, beschikbaarheid van diensten en de kwaliteit of veiligheid van productie. Daarvoor zijn SOC 2, ISO 27001 of, voor OT-leveranciers, IEC 62443-2-4 geschikter. Let daarnaast op twee valkuilen die het rapport zelf benoemt:
- Subdienstverleners - bij de carve-out-methode vallen bijvoorbeeld een datacenter of cloudplatform buiten het onderzoek; het rapport noemt dan de maatregelen die van die partij verwacht worden (complementary subservice organization controls). Bij de inclusive-methode zijn ze wel getest.
- Complementary User Entity Controls (CUEC’s) - maatregelen die u als klant zelf moet uitvoeren, zoals het tijdig intrekken van accounts of het goedkeuren van invoer. Doet u dat niet, dan geldt de zekerheid uit het rapport niet volledig voor u.
🏭 Wanneer is SOC 1 relevant in een IT/OT-omgeving?
OT-data wordt pas SOC 1-relevant op het moment dat zij in de financiële administratie terechtkomt. Productie- en kwaliteitsbeheersing als zodanig valt buiten de scope. De vraag is dus steeds: welke procesdata bepaalt een bedrag in de jaarrekening of op een factuur?
| Voorbeeldproces | Financiële relevantie | Past SOC 1? |
|---|---|---|
| Productietellingen uit SCADA of MES die naar ERP stromen | Voorraadwaardering, kostprijs, omzet | Ja, als een leverancier de koppeling of het systeem beheert |
| Meetdata voor facturatie (energie, water, warmte) via Historian | Basis voor gefactureerde bedragen | Ja, bij uitbestede meet- en factuurprocessen |
| Batchregistratie en Tracking and Tracing | Vooral kwaliteit en terugroepacties; voorraad indirect | Deels; kwaliteitsaspecten vallen buiten SOC 1 |
| Machine-uren en batchdata voor kostprijsberekening | Toerekening van productiekosten en voorraadwaardering | Ja, als de berekening bij een dienstverlener plaatsvindt |
| Alarm Management en storingsregistratie | Procesveiligheid en beschikbaarheid | Nee; eerder SOC 2 of IEC 62443 |
| Hosting van ERP of MES door een managed service provider | Verwerking van financiële transacties | Ja, klassiek SOC 1-domein |
In gereguleerde sectoren zoals farma speelt data-integriteit van productiegegevens een grote rol, maar daarvoor gelden GMP en 21 CFR Part 11, niet SOC 1. Een SOC 1-rapport kan daar hooguit aanvullend bewijs leveren voor gedeelde ITGC’s.
🔁 Hoe verhoudt SOC 1 zich tot andere rapporten en normen?
| Rapport of norm | Onderwerp | Verhouding tot SOC 1 |
|---|---|---|
| ISAE 3402 | Financiële verslaggeving, internationaal | Internationale tegenhanger; inhoudelijk vergelijkbaar |
| SOC 2 | Security, beschikbaarheid, integriteit, vertrouwelijkheid, privacy | Aanvullend; vaste Trust Services Criteria |
| SOC 3 | Samenvatting van SOC 2 voor algemeen publiek | Geen detailtesten, wel openbaar te delen |
| SOC for Supply Chain | Productie- en distributiesystemen van fabrikanten | AICPA-raamwerk sinds maart 2020, gebaseerd op SOC 2-criteria |
| ISO 27001 | Certificering van het ISMS | Certificaat, geen oordeel over werking van specifieke maatregelen |
| IEC 62443-2-4 | Beveiligingseisen aan OT-serviceleveranciers | Beste fit voor integrators en onderhoudspartijen |
| COBIT | IT-governance en -beheersing | Vaak bron van ITGC-beheersdoelstellingen |
Historie: SOC 1 is de opvolger van het SAS 70-rapport uit 1992. In 2011 werd SAS 70 vervangen door SSAE 16 in de VS en ISAE 3402 internationaal, beide voor rapportageperioden die eindigen op of na 15 juni 2011. Sinds 1 mei 2017 geldt SSAE 18, waarin SOC 1 is ondergebracht in sectie AT-C 320.
🧭 Hoe beoordeelt u een SOC 1-rapport van een leverancier?
Een SOC 1-rapport is pas waardevol als u het echt leest. Een praktische aanpak bij leveranciersbeoordeling:
- Scope - controleer of de dienst die u afneemt, inclusief locaties en systemen, in de systeembeschrijving staat.
- Type en periode - eis een Type 2 met een periode die uw boekjaar zo veel mogelijk dekt, en vraag zo nodig om een bridge letter.
- Oordeel en afwijkingen - lees de testresultaten; ook een goedkeurend oordeel kan uitzonderingen bevatten die voor u belangrijk zijn.
- Subdienstverleners - vraag bij carve-out om de eigen SOC-rapporten van die partijen.
- CUEC’s - leg vast wie in uw organisatie elke klantmaatregel uitvoert, bijvoorbeeld periodieke autorisatiereviews.
- Aanvullend bewijs - combineer met SOC 2, ISO 27001 of een vragenlijst over leveranciersbeveiliging voor OT-specifieke risico’s.
In Nederland vragen accountants meestal om een ISAE 3402-rapport van een NBA- of NOREA-geregistreerde auditor; SOC 1 komt vooral voor bij Amerikaanse leveranciers en bij klanten die onder SOX vallen. Sommige auditors geven één rapport af dat aan beide standaarden voldoet. Onder de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) moet u leveranciersrisico’s beheersen, maar een SOC 1-rapport is daarvoor onvoldoende omdat het geen beveiligingsoordeel geeft.
❓ Veelgestelde vragen
Waar staat SOC 1 voor?
SOC 1 staat voor System and Organization Controls 1, het eerste rapport in de SOC-familie van de AICPA. Een SOC 1-rapport gaat over beheersmaatregelen bij een dienstverlener die de financiële verslaggeving van klanten raken. Het heeft niets te maken met een Security Operations Center.
Is SOC 1 hetzelfde als ISAE 3402?
SOC 1 en ISAE 3402 zijn inhoudelijk vergelijkbaar, maar het zijn twee verschillende standaarden. SOC 1 valt onder de Amerikaanse SSAE 18 (AT-C 320) van de AICPA, ISAE 3402 is de internationale standaard van de IAASB. Sommige auditors stellen één rapport op dat aan beide voldoet.
Wat is het verschil tussen SOC 1 en SOC 2?
SOC 1 beoordeelt beheersmaatregelen die relevant zijn voor de financiële verslaggeving van klanten, met beheersdoelstellingen die de leverancier zelf kiest. SOC 2 beoordeelt beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy aan de hand van vaste Trust Services Criteria. Voor cybersecurity van een OT- of cloudleverancier is SOC 2 dus de betere keuze.
Hoe lang is een SOC 1-rapport geldig?
Een SOC 1-rapport heeft geen formele geldigheidsduur, maar beschrijft een vaste datum (Type 1) of periode (Type 2). Accountants accepteren een SOC 1 Type 2 meestal als de periode het boekjaar grotendeels dekt, eventueel aangevuld met een bridge letter. Daarom laten leveranciers het SOC 1-onderzoek jaarlijks herhalen.
Heeft een OT-leverancier een SOC 1-rapport nodig?
Een OT-leverancier heeft alleen een SOC 1-rapport nodig als zijn dienst de financiële verslaggeving van klanten raakt, bijvoorbeeld bij het beheer van een MES-ERP-koppeling of meetdata voor facturatie. Voor puur technische diensten zoals onderhoud van besturingssystemen is SOC 1 niet zinvol. Daar passen IEC 62443-2-4, ISO 27001 of SOC 2 beter.
Wie mag een SOC 1-rapport opstellen?
Een SOC 1-rapport onder SSAE 18 mag alleen worden afgegeven door een Amerikaans gelicentieerd CPA-kantoor. Nederlandse accountants (NBA) en IT-auditors (NOREA) geven het gelijkwaardige ISAE 3402-rapport af onder hun eigen Standaard 3402. Grote internationale kantoren kunnen vaak beide leveren.
📌 Samengevat
SOC 1 is een AICPA-assurancerapport over de beheersmaatregelen van een dienstverlener die de financiële verslaggeving van klanten raken, met ISAE 3402 als internationale tegenhanger. Type 2 toont aan dat maatregelen gedurende een periode werkten. In IT/OT-omgevingen is SOC 1 alleen relevant waar procesdata in de financiële administratie belandt, zoals bij MES-ERP-koppelingen of meetdata voor facturatie. Voor beveiliging en beschikbaarheid van OT-diensten zijn SOC 2, ISO 27001 en IEC 62443-2-4 de juiste bewijsstukken.