Отчёт ISAE 3402 (SOC 1) для сервисной компании: когда его требуют клиенты

Кто такая сервисная организация и при чём тут аудит клиента

По определению ISA 402, сервисная организация — это сторонняя организация (или её подразделение), которая оказывает клиентам услуги, входящие в их информационные системы, значимые для финансовой отчётности. Клиент в терминах стандарта — «пользователь» (user entity), а его аудитор — «аудитор пользователя».

Под это определение попадают процессинговые центры, поставщики облачных бухгалтерских систем, аутсорсеры бухгалтерии и расчёта зарплаты, компании, которые ведут реестры или обрабатывают транзакции. Ключевой признак — ваши услуги влияют на данные, которые попадут в финансовую отчётность клиента. Если вы разрабатываете сайт или приложение, не затрагивающее учёт клиента, отчёт, как правило, не нужен.

Что внутри отчёта: описание, заключение и тесты

Отчёт состоит из двух частей. Первая — описание системы, целей контроля и связанных средств контроля; его готовит руководство самой сервисной организации, а не аудитор. Вторая — заключение независимого аудитора (в терминологии стандарта — «аудитор сервисной организации»), дающее разумную уверенность относительно этого описания.

Практический вывод: основная работа ложится на вашу команду. Нужно формализовать процессы, назвать цели контроля, сопоставить им конкретные средства контроля и собрать подтверждения. Аудитор оценивает то, что вы описали, а не придумывает контроль за вас.

Тип 1 и тип 2: в чём разница

Стандарт ISA 402 различает два вида отчётов, и именно эта разница определяет, насколько клиентам такой отчёт полезен.

• Тип 1 — описание системы и средств контроля, разработанных и внедрённых на определённую дату, плюс заключение аудитора об описании и о пригодности дизайна контролей для достижения заявленных целей. Это «снимок на дату»: он показывает, правильно ли контроль спроектирован, но не показывает, работал ли он на самом деле.
• Тип 2 — то же самое, но охватывающее период и включающее заключение об операционной эффективности контролей, а также описание тестов аудитора и их результатов. Для аудитора клиента это более сильное доказательство: когда ему нужны доказательства эффективности контролей, он может опереться на отчёт типа 2, если он есть.
• Практически: тип 1 удобен как первый шаг для компании, которая только выстроила контроль; тип 2 запрашивают, когда клиенту нужно опереться на работу контролей в течение периода.

Когда отчёт действительно требуют

Обязанности иметь отчёт ISAE 3402 в узбекском законодательстве мы не нашли: это не обязательный документ для резидентов, а коммерческое или договорное требование. Согласно ISA 402, наличие отчёта обычно зависит от того, предусмотрен ли он договором между сервисной организацией и клиентом; организация может также сама предоставить отчёт клиентам по практическим соображениям. В отдельных случаях отчёт может быть недоступен вовсе.

Типичные ситуации, когда его просят: клиент — иностранная компания или группа, чей аудитор должен оценить контроль на вашей стороне; тендер или due diligence, где в анкете есть вопрос о независимом подтверждении контролей; ваши услуги настолько значимы для клиента, что его аудитор не хочет проверять вас самостоятельно. Если запросов нет, затраты на отчёт обычно не оправданы.

Что делает аудитор клиента с вашим отчётом

ISA 402 требует от аудитора клиента не просто принять отчёт, а оценить его. Он убеждается в компетентности и независимости аудитора сервисной организации, проверяет, что дата или период отчёта подходят для его целей, и определяет, значимы ли для клиента комплементарные средства контроля — те, которые, по предположению сервисной организации, должен внедрить сам клиент.

Для вас это означает три практических требования к отчёту: независимый исполнитель, период, соответствующий отчётному периоду клиентов, и чётко описанные обязанности клиента. Если отчёт не содержит описания тестов и их результатов, аудитор клиента может счесть его недостаточным и запросить дополнительные процедуры.

Субподрядчики и ситуация без отчёта

Если вы сами пользуетесь субсервисной организацией (например, дата-центром), отчёт может либо включать её контроли (метод inclusive), либо исключать их (метод carve-out). При исключении аудитор клиента обязан сам применить требования ISA 402 к субсервисной организации — вопросов к вашей цепочке поставщиков не избежать.

Если отчёта нет, а услуги значимые, стандарт допускает альтернативу: при аутсорсинге ключевых функций визит к сервисной организации может оказаться самой эффективной процедурой для аудитора клиента. Отсутствие отчёта не закрывает сделку, но обычно означает больше времени и вопросов с его стороны.

Типичные ошибки при подготовке

• начать подготовку без запроса клиента и без понимания, какой тип нужен — тип 1 или тип 2;
• описать в отчёте процессы «как должно быть», а не «как есть» — проверяется фактическая работа;
• не определить, какие контроли должен внедрить сам клиент, и оставить без описания комплементарные меры;
• забыть про субсервисные организации и выбор метода inclusive или carve-out;
• выбрать период, не совпадающий с тем, на который клиентам нужны доказательства.