服務組織控制報告（SOCR）

安永能為您做什麼

SOC報告為服務供應商及其服務使用組織帶來價值，尤其企業均期望確保服務供應商的控制環境符合全球公認的標準。安永科技風險團隊提供獨立的查核服務，根據SOC報告特定的認證標準（例如，SSAE 18、ISAE 3402）測試管理階層對業務流程和控制的聲明。

安永服務的優勢

安永於全球提供高品質的SOC報告服務，每年為超過900個客戶發布超過3,000份SOC報告。自1993年以來，我們一直在協助客戶理解高品質SOC報告認證所帶來的價值和優勢。身為科技業、資訊服務業、金融服務業和醫療保健業的SOC報告領導者，我們為近半數的全球最大科技公司、三分之一的Russell 3000健康產業公司、以及台灣多數的大型雲端資料中心及許多雲端服務業者提供SOC報告認證服務。

安永科技風險團隊以擁有資訊、資安、風險管理及會計專業知識的跨領域專家所組成，團隊成員擁有會計師、資訊系統安全認證專家(CISSP) 、國際電腦稽核師(CISA)、內部稽核師(CIA)等專業證照，專注於協助企業掌握科技及業務流程間的風險，並促進以信任為基礎的溝通，能依據豐富的SOC報告服務經驗提供認證服務。

我們運用這些經驗協助企業因應日益複雜和快速變遷的環境。而客戶和監管機構也正在隱私和安全等層面尋求更多的透明度及保證，並期望管理層能夠提供答案。

相對的，管理層也認識到對服務供應商和合作夥伴的依賴日益增加，並希望確保這些服務供應商已有妥善的風險管理措施，以便在未來繼續成為可靠的夥伴。

這增加了身處於供應鏈中的公司對獨立查核認證服務的需求。SOC報告藉由提供企業合作夥伴對於內部控制設計是否合乎其主要風險，以及是否能有效運作等兩大面向的獨立審查意見，協助企業建立對合作夥伴的信任。

服務供應商取得SOC報告的優點包括：

• 與現有或潛在客戶建立互信
• 作為開展合作關係的重要工具，例如在投標階段展示風險控制的品質，或初創時建立信譽以贏得大型合約
• 接受單次性的專業的獨立客觀查核而非多次的客戶查核
• 專注於關鍵風險控制措施，並有機會進行控制措施的優化

安永科技風險團隊使用一系列全球認可的報告框架為客戶提供SOC報告認證服務，包括：

• SOC 1/ISAE3402：關注與服務使用組織財務報告流程相關之內部控制，SOC 1報告旨在滿足服務使用組織之管理層及其內外部審計人員的需求，以評估服務供應商的控制對服務使用組織財務報告的影響，並建立對控制流程的信任與信心。
• SOC 2/ISAE3000：關注與資訊安全相關之安全性、可用性、處理完整性、保密性和隱私性要求，SOC 2報告旨在協助服務供應商滿足廣泛使用者對於資訊安全風險控制現況的需求。
• SOC for Cyber：可協助企業滿足廣泛使用者的需求，這些使用者需要服務供應商網路安全風險管理計畫的資訊和保證。
• SOC for Supply Chian：可協助企業滿足利害關係人的需求，這些利害關係人需要企業的生產、製造或分銷商品的系統和控制的資訊和保證，以更好地了解其供應鏈中的風險。
• 安永團隊也提供預評服務，例如在執行有限或合理確信的鑑證工作（例如SOC報告）之前，對系統描述等主題事項進行初步的預先評估。