قائمة التحقق من الجاهزية لتقرير SOC 2 (ملف Excel مجاني، 2026)

ما الذي تغطيه قائمة التحقق من الجاهزية لتقرير SOC 2

المصنّف منظم حول معايير خدمات الثقة الخمسة، وهي البنية ذاتها التي تستخدمها شركة CPA عند التخطيط لتدقيقك. معيار الأمن - أي المعايير المشتركة (Common Criteria) من CC1 إلى CC9 - إلزامي ويستحوذ على النصيب الأكبر من البنود الـ72. أما المعايير الاختيارية الأربعة (التوافر، وسلامة المعالجة، والسرية، والخصوصية) فلكل منها قسم مجمّع خاص به، بحيث تقيّم فقط ما ينطبق على الالتزامات التي قطعتها لعملائك. كن حازمًا تمامًا في تحديد هذا النطاق. فكل معيار اختياري تتبناه يعني مزيدًا من الضوابط ومزيدًا من الأدلة ومزيدًا مما قد يسوء في التقرير. أضف المعيار الذي يلزمك به عقد موقّع بالفعل، واترك البقية خارج تقريرك الأول.

كل صف مصمم ليُعمل عليه. لديك أربعة أعمدة عمل:

• بند الجاهزية - الضابط أو الممارسة المحددة، مكتوبة بلغة واضحة.
• الحالة - حدّد كل بند: لم يبدأ، أو قيد التنفيذ، أو جاهز.
• الدليل - سمِّ الأداة التي تثبت البند (سياسة، أو سجل، أو تذكرة، أو لقطة شاشة لإعداد).
• المالك - الشخص الوحيد المسؤول، حتى لا يبقى أي بند من دون إسناد.

ولأنه لا توجد قائمة ضوابط منشورة لـSOC 2، فإن القيمة تكمن في الربط. كل بند يرتبط بمعيار، فعندما تنتهي من التقييم يمكنك أن ترى بدقة أي المعايير جاهزة للتدقيق وأيها لا تزال فيه فجوات مفتوحة.

من الإنصاف قوله بوضوح: غياب قائمة الضوابط نقطة ضعف حقيقية في SOC 2 كإطار عمل. فالمرونة حقيقية، وثمنها أن شركتين قد تحمل كلتاهما تقريرًا نظيفًا بمجموعتي ضوابط مختلفتين تمامًا، وأن مهمة تحديد ما يُحتسب تقع عليك وعلى مدققك بدلًا من أن يحسمها المعيار.

SOC 2 بصراحة: ما الذي يهم فعلًا

SOC 2 هو تصديق (attestation) من AICPA، وليس شهادة نجاح أو رسوب ولا شارة تُشترى. شركة CPA مرخصة هي التي تصدر التقرير. لا تستطيع أي منصة برمجية، بما فيها منصتنا، إصدار تقرير SOC 2، وأي أداة توحي بغير ذلك تبيعك وهمًا. البرمجيات تعدّ الأدلة، والمدقق يكوّن الرأي. اختر شركة CPA في وقت أبكر مما يبدو ضروريًا. فرؤيتها للنطاق ولما يُعدّ دليلًا كافيًا تشكّل نصف العمل في هذه القائمة، واكتشاف ذلك بعد أن تكون قد جمعت فترة كاملة من الأدوات الخاطئة طريقة مكلفة للتعلم.

هناك خمسة معايير لخدمات الثقة. معيار الأمن إلزامي ويُعبَّر عنه بالمعايير المشتركة من CC1 إلى CC9، وهي تغطي الحوكمة والمخاطر والوصول وإدارة التغيير والمراقبة. أما المعايير الأربعة الأخرى - التوافر، وسلامة المعالجة، والسرية، والخصوصية - فاختيارية. لا تدرجها إلا عندما تكون قد قطعت لعملائك وعدًا تغطيه، مثل التزام بوقت التشغيل أو بند محدد للتعامل مع البيانات.

القرار التالي هو النطاق الزمني. تقرير النوع الأول (Type 1) يختبر ما إذا كانت ضوابطك مصممة بشكل صحيح عند نقطة زمنية واحدة. وتقرير النوع الثاني (Type 2) يختبر ما إذا كانت تلك الضوابط عملت بفعالية فعلًا خلال فترة زمنية، عادة من 3 إلى 12 شهرًا. معظم المشترين يطلبون في النهاية تقرير Type 2 لأنه يُظهر أن الضوابط صمدت مع مرور الوقت. وبصراحة تامة: يستحق تقرير Type 1 كلفته عندما تحتاج صفقة إلى وثيقة في يد المشتري هذا الربع ولا تستطيع انتظار انقضاء فترة المراقبة. أما إذا لم يكن هناك عقد معلق على ذلك، فالانتقال مباشرة إلى Type 2 يوفر عليك دفع أتعاب شركة تدقيق مرتين للبرنامج نفسه. وإذا لم تكن متأكدًا من أيهما تبدأ، فاقرأ دليلنا المبسط حول الفرق بين SOC 2 Type 1 وType 2 قبل الالتزام بفترة تدقيق.

الخلاصة الصريحة: الجاهزية تعني أن تكون قادرًا على تسمية الضابط، والإشارة إلى دليله، وإثبات أنه عمل فعلًا. وهذا هو بالضبط شكل هذه القائمة.

كيفية استخدام قائمة التحقق من الجاهزية لتقرير SOC 2

1. حدّد نطاقك. قرر أي المعايير الاختيارية ينطبق عليك. أبقِ على معيار الأمن، ثم أضف فقط المعايير المرتبطة بالتزامات حقيقية تجاه العملاء.
2. أسنِد المالكين. امنح كل بند مالكًا واحدًا مسؤولًا قبل تقييم أي شيء. فالبنود غير المسندة هي سبب تعثر الجاهزية.
3. قيّم بصدق. حدّد كل بند: لم يبدأ، أو قيد التنفيذ، أو جاهز. قاوم الرغبة في التقييم بسخاء، فالمدقق لن يفعل. تقييم المصنّف كله يستغرق ظهيرة واحدة بوجود الأشخاص المناسبين في الغرفة. أما إغلاق ما يكشفه ذلك التقييم فهو الجزء الذي يمتد لأشهر، فتعامل مع القائمة المكتملة على أنها بداية العمل.
4. أرفق الأدلة. لكل بند بحالة "جاهز"، سمِّ الأداة التي تثبته. إذا لم تستطع تسمية الدليل، فالبند ليس جاهزًا.
5. أغلق الفجوات. رشّح البنود إلى "لم يبدأ" و"قيد التنفيذ"، واعمل عليها حتى يصبح لكل منها مالك ودليل وحالة "جاهز".
6. أطلع مدققك. قدّم المصنّف المكتمل إلى شركة CPA حتى يبدأ التدقيق من رؤية مشتركة وموثقة بالأدلة لضوابطك.

نفّذ ذلك تلقائيًا في Venvera

جدول البيانات طريقة صحيحة للبدء، لكنه يفقد حداثته لحظة إغلاقه. في Venvera يتحول عمل الجاهزية نفسه إلى مساحة عمل SOC 2 حية: كل معيار يُربط بضوابط، وتُجمع الأدلة وتُحدَّث وفق جدول زمني، ويتلقى المالكون تذكيرات قبل أن يفقد أي بند حداثته. ولأن الأدلة تُخزَّن مرة واحدة ويعاد استخدامها عبر كل إطار تعمل عليه، فإن مراجعة الوصول أو ضابط السجلات الذي تثبته لـSOC 2 يُحتسب أيضًا للمعيار التالي بدلًا من جمعه من جديد. تبدأ الخطط من 399 يورو شهريًا. وإذا كنت تقارن بين الأدوات، فإن دليلنا حول بديل لـVanta لامتثال SOC 2 يوضح ما ينبغي البحث عنه. يبقى التقرير صادرًا عن شركة CPA الخاصة بك، ودور Venvera هو جعل التحضير عملية مستمرة.

الأسئلة الشائعة

هل توجد قائمة ضوابط رسمية لـSOC 2؟

لا. يحدد AICPA معايير خدمات الثقة الخمسة لكنه لا ينشر قائمة ضوابط ثابتة. وهذا بالضبط ما يجعل بناء قائمة تحقق من الجاهزية تربط المعايير ببنود ملموسة وموثقة بالأدلة أمرًا يستحق العناء قبل التدقيق.

ما الفرق بين SOC 2 Type 1 وType 2؟

تقرير Type 1 يختبر ما إذا كانت ضوابطك مصممة بشكل صحيح عند نقطة زمنية واحدة. وتقرير Type 2 يختبر ما إذا كانت عملت بفعالية خلال فترة زمنية، عادة من 3 إلى 12 شهرًا. راجع شرحنا للفرق بين Type 1 وType 2 لمعرفة كيفية الاختيار.

هل تستطيع منصة برمجية إصدار تقرير SOC 2 الخاص بي؟

لا. لا يصدر تقرير SOC 2 إلا عن شركة محاسبة قانونية (CPA) مرخصة. تساعدك البرمجيات على التحضير وجمع الأدلة، أما التصديق نفسه فيجب أن يصدر عن مدقق مستقل.

أي معايير خدمات الثقة أحتاج؟

معيار الأمن (المعايير المشتركة من CC1 إلى CC9) إلزامي لكل تقرير SOC 2. أما التوافر وسلامة المعالجة والسرية والخصوصية فمعايير اختيارية تُدرج بناءً على الالتزامات التي تقطعها لعملائك.