Tedarikçinin SOC 2 Raporu

Altay Kargo, yeni kurye takip platformunu Pusula Bulut Hizmetleri A.Ş.'nin yönetilen altyapısına taşımaya hazırlanıyor. Pusula müşteri adlarını, adreslerini ve teslimat fotoğraflarını işleyecek. Sözleşme 15 Ekim'de imzalanacak, platform 1 Kasım'da canlıya çıkacak. Son onay GRC ekibinde ve dosya senin masanda.

Pusula sözleşmeye yerinde denetim hakkı koymak istemiyor. Onun yerine SOC 2 Type II raporunu ve bir köprü mektubu gönderdi. Type II raporu, bağımsız bir denetçinin kontrolleri belirli bir dönem boyunca test ettiğini gösterir. Köprü mektubu (bridge letter) ise rapor dönemi ile bugün arasındaki boşluk için tedarikçi yönetiminin kendi beyanıdır. Elinde raporun kapsam özeti, istisna listesi, CUEC listesi, alt hizmet kuruluşu notu, köprü mektubu ve Altay Kargo'nun değerlendirme formu var.

Raporu alıcı gözüyle oku. Görüş paragrafı tek başına karar vermeye yetmez. CUEC, yani kullanıcı kuruluşun tamamlayıcı kontrolü, raporun senin tarafına bıraktığı iştir ve denetçi onu test etmez. Carve-out (hariç tutma) yönteminde alt hizmet kuruluşunun kontrolleri de teste girmez. Her belgede aynı soruyu sor: bu kanıt hangi dönemi, hangi hizmeti ve kimin kontrolünü kapsıyor?

Hiçbir sisteme bağlanman gerekmiyor. Görevin belgeleri karşılaştırmak, raporun bıraktığı boşlukları bulmak ve kabul, şartlı kabul ya da ret kararını gerekçesiyle seçmek.