La conformità SEC dell'host controllato "SAS 70 Tipo II"?

SAS-70 (incluso Tipo II) non è uno standard di certificazione. È una dichiarazione di ciò che pretendi di fare, accoppiato con un attestato di un revisore che fai ciò che dici. Hai una flessibilità incredibilmente ampia per definire esattamente quello che fai, quindi non ci sono due SAS-70 uguali. Non so a quali regole SEC ti riferisci, ma le SAS-70 non sono in ogni caso una certificazione definita con precisione, quindi sono difficili da confrontare con qualsiasi altra cosa.

I report SAS-70 sono progettati per dimostrare che un revisore ha visto che la società in revisione esegue determinate azioni che la società in esame enumera. Un esempio che utilizziamo qui per dimostrare la natura di un SAS-70 è che potremmo esaminare un requisito che "Tutti i nostri bidoni della spazzatura sono rotondi".

Quando esternalizzi una funzione che è fondamentale per la tua attività, spesso sei ancora responsabile di quella funzione. Un SAS-70 mostra che alcuni controlli sono in atto presso il proprio fornitore di servizi. Si spera che la persona che riceve il rapporto dal proprio fornitore di servizi abbia esaminato il rapporto per assicurarsi che tali controlli siano ragionevoli.

Ricorda che per un SAS-70, il client enumera i loro controlli e se hanno davvero un senso o per una particolare esigenza aziendale non fa parte della revisione. Quello che vuoi vedere è un Type-II (controlli attivi per l'intero periodo di test) e vuoi assicurarti che i controlli siano efficaci .

Mentre ci siamo, il SAS-70 è morto a partire da quest'anno. In futuro, stai cercando i rapporti SOC-1, SOC-2 o SOC-3. Vedi link