DOCUMENTEER DOORDACHTBeleid dat aansluit op de werkwijze van je bedrijf.

Vraag SOC 2-compliancedocumentatie aan bij een documentatiedienst op maat, een complianceplatform of een consultant nadat je je systeem, de klantvereisten en de verantwoordelijken voor beheersmaatregelen hebt vastgesteld.

In het kort

• Kies de aanpak op basis van wat je team nodig heeft: documenten opstellen, bewijsmateriaal verzamelen, maatregelen invoeren of een onafhankelijk onderzoek laten uitvoeren.
• Kies beleid dat je daadwerkelijke tools en verantwoordelijkheden beschrijft, met een expliciete lijst van resterende hiaten.
• Koppel elke belangrijke toezegging aan een procedure, een verantwoordelijke en een bewijsstuk dat je team kan aanleveren.
• COLONFILM biedt documentatiepakketten met een duidelijke afbakening vanaf 680 €, met levering binnen 4, 6 of 9 dagen.

Waar kun je terecht voor SOC 2-compliancedocumentatie?

De beste plek om te beginnen hangt af van wat er ontbreekt. Een oprichter met bestaande beveiligingsmaatregelen heeft misschien iemand nodig die interviews en bestaande gegevens omzet in leesbare beleidsdocumenten. Een beveiligingsmanager die veel terugkerende controles uitvoert, heeft mogelijk baat bij een platform. Een bedrijf dat nog bepaalt hoe het toegang en incidenten beheert, heeft naast documenten misschien ook advies over de invoering nodig.

Maak onderscheid tussen deze behoeften voordat je offertes aanvraagt. Anders kunnen een verzameling sjablonen, een softwareabonnement en een praktisch adviestraject concurrerende aanbiedingen lijken, terwijl ze iets anders opleveren. Vraag elke aanbieder aan te geven wie de documenten opstelt, wie maatregelen invoert, wie bewijsmateriaal verzamelt en wie het eindresultaat beoordeelt.

Deze aanpakken kunnen elkaar aanvullen. Laat bijvoorbeeld beleid op maat opstellen, bewaar het in je bestaande werkomgeving en gebruik later een platform als de terugkerende administratie dat rechtvaardigt. Een CPA-kantoor kan de reikwijdte van het onderzoek al vroeg verduidelijken; bespreek de onafhankelijkheid voordat je advies en auditdiensten combineert.

Bepaal de reikwijdte van SOC 2 voordat je beleid aanschaft

Beschrijf op één pagina welke dienst klanten bij je afnemen. Vermeld de rechtspersoon, het product, de hostingomgeving, de locaties van je team, belangrijke leveranciers en de soorten klantinformatie die een rol spelen. Geef aan welke systemen de dienst ondersteunen, waaronder identiteitsbeheer, ondersteuningstools en werkprocessen voor de uitrol van software.

Vraag vervolgens aan de klant die om zekerheid vraagt wat die precies nodig heeft. Leg het gevraagde rapporttype, de relevante categorieën, de gewenste deadline en de eventuele prioriteit van een bestaande vragenlijst vast. Zo voorkom je dat je team een onnodig breed programma voorbereidt en tegelijk een specifieke inkoopeis over het hoofd ziet.

De AICPA Trust Services Criteria omvatten beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy. Stem de toepasselijke reikwijdte van het onderzoek af met je auditor. Een beheersmatrix moet de geselecteerde criteria koppelen aan je beheersmaatregelen en ondersteunende bewijsstukken.

Een bruikbare afbakening kan bijvoorbeeld luiden: ‘Het gehoste klantportaal en de mensen, clouddiensten en ondersteuningsprocessen die nodig zijn om het te beheren.’ Dit is een illustratief uitgangspunt. Je definitieve formulering moet afhankelijkheden en grenzen nauwkeurig genoeg weergeven om ook voor iemand buiten je bedrijf begrijpelijk te zijn.

Welke documenten hebben SOC 2-auditors nodig?

Er bestaat geen universele lijst met beleidstitels die altijd volstaat. Maak een inventaris op basis van de risico’s en processen binnen de reikwijdte en stem die af op de documentenlijst van de auditor. De volgende groepen bieden een praktische basisstructuur voor een klein technologiebedrijf.

• Besturing: beveiligingsverantwoordelijkheden, goedkeuring van beleid, risicobeoordeling, risicoregister en afhandeling van uitzonderingen.
• Mensen en toegang: in- en uitdiensttreding, verantwoord gebruik, toegangsverzoeken, toegang met verhoogde rechten en periodieke controles.
• Technologie: inventaris van bedrijfsmiddelen, veilige configuratie, wijzigingsbeheer, ontwikkelwerkwijzen, kwetsbaarhedenbeheer en logregistratie.
• Gegevens: classificatie, verwerking, bewaring, verwijdering en passende bescherming van opgeslagen en verzonden informatie.
• Operationele weerbaarheid: incidentrespons, back-ups, herstel, bedrijfscontinuïteit en toezicht op leveranciers.
• Systeemcontext: een beschrijving van de dienst, de afhankelijkheden, toezeggingen en relevante verantwoordelijkheden voor beheersmaatregelen.

Maak bij elk onderdeel onderscheid tussen een schriftelijke regel, de procedure om die te volgen en het bewijsmateriaal dat ontstaat wanneer iemand die procedure uitvoert. Een toegangsbeleid legt verwachtingen vast. Een checklist voor uitdiensttreding verdeelt de stappen. Een afgerond uitdiensttredingsticket laat zien wat er voor een specifieke persoon is gebeurd.

Vraag of het gekozen pakket de systeembeschrijving, de index van bewijsstukken en operationele registraties bevat, of dat dit afzonderlijke taken blijven. Als je dat vóór de start weet, is de overdracht veel bruikbaarder dan wanneer je ontbrekende onderdelen pas ontdekt zodra de auditverzoeken binnenkomen.

Hoe ISO 27001-documentatie de opdracht verandert

ISO 27001 voegt de context van het managementsysteem toe. Je opdracht moet betrekking hebben op het managementsysteem voor informatiebeveiliging, oftewel het ISMS, en op de reikwijdte, het risicoproces, de doelstellingen en de verantwoordelijkheden. Bepaal hoe de organisatie beoordelingen, interne audits, corrigerende maatregelen en wijzigingen documenteert terwijl het systeem in gebruik is.

De ISO/IEC 27001:2022-norm stelt eisen aan een ISMS. Beschouw de Verklaring van Toepasselijkheid als een onderbouwde vastlegging van besluiten over beheersmaatregelen, waaronder de noodzakelijke maatregelen, hun invoeringsstatus en gemotiveerde uitsluitingen uit Annex A. De verklaring moet aansluiten op de besluiten van de organisatie over risicobehandeling.

Gezamenlijk beleid kan beide programma’s ondersteunen. Houd één leidend toegangsbeleid aan en koppel dat aan elk normenkader, in plaats van tegenstrijdige versies te beheren. Zo’n koppeling vraagt wel om een beoordeling van de hiaten: twee overeenkomende koppen betekenen niet dat de onderliggende eisen of bewijsstukken identiek zijn.

Vraag bij een project dat op ISO is gericht om de documenteninventaris voordat je een pakket kiest. Controleer welke registraties voor het managementsysteem je bedrijf na oplevering zelf moet maken en welke concepten de aanbieder opstelt. Zo krijgt de interne verantwoordelijke een realistisch invoeringsplan.

Zo herken je beleid dat voor jouw bedrijf is geschreven

Lees eerst het onderdeel over toegangsbeheer. Daarin moet staan wie verantwoordelijk is, hoe verzoeken worden goedgekeurd en welke identiteitstools je gebruikt. Een toezegging om elke maand controles uit te voeren vraagt om een vervolgvraag: kan je team die planning daadwerkelijk uitvoeren en vastleggen?

Bekijk daarna de incidentprocedure. Het moet duidelijk zijn wie de respons coördineert, waar een incident wordt geregistreerd, hoe de ernst wordt beoordeeld en wie communicatie goedkeurt. Bij besluiten over meldingen moet rekening worden gehouden met toepasselijke contracten en wettelijke verplichtingen, zonder een universele deadline te verzinnen.

Controleer tot slot het documentbeheer. Kijk of een titel, verantwoordelijke, versie, goedkeuringsstatus en aanleiding voor herziening zijn opgenomen. Concepttoezeggingen en onopgeloste vragen moeten zichtbaar zijn. Een aanbieder moet onzekerheid omzetten in een expliciete vraag of een hiaat, in plaats van die op te vullen met een aantrekkelijke maar ongecontroleerde bewering.

Een voorbeeld van een verbetering: vervang ‘alle toegangsrechten worden regelmatig gecontroleerd’ door een procedure die vermeldt welke systemen worden gecontroleerd, wie verantwoordelijk is voor de controle, wat de afgesproken frequentie is, waar de registratie wordt bewaard en hoe uitzonderingen worden afgehandeld. Door die extra precisie kan het team dat de procedure moet volgen er daadwerkelijk mee werken.

Wat je voorbereidt voordat je een documentatiedienst inschakelt

Maak een compacte map voor de intake. Voeg een overzicht van je architectuur, een lijst met tools, een organogram, je huidige beleid, relevante beveiligingseisen van klanten en eventuele documentenverzoeken van de auditor toe. Bepaal wie vragen kan beantwoorden over softwareontwikkeling, personeelszaken, financiën en leveranciersbeheer.

1. Maak een lijst van de systemen en processen die binnen de reikwijdte vallen.
2. Maak onderscheid tussen bestaande werkwijzen en verbeteringen die je wilt invoeren.
3. Wijs één persoon aan die interne feedback kan bundelen.
4. Lever waar nuttig geanonimiseerde voorbeelden van bestaande registraties aan.
5. Spreek af hoe gevoelige informatie wordt gedeeld en bewaard.
6. Bevestig welke bewerkbare bestandsformaten en documenttaal nodig zijn.

Om beleid op te stellen zijn doorgaans feitelijke beschrijvingen en geschikte voorbeelden nodig, geen wachtwoorden voor productieomgevingen of volledige klantdatasets. Spreek af welke toegang in verhouding staat tot de opdracht. Vraag bij een werkwijze met AI-ondersteuning hoe vertrouwelijk materiaal wordt behandeld, welke informatie nodig is en wie de resulterende documenten beoordeelt.

Bij COLONFILM wordt het werk uitgevoerd met AI-agents en door een persoon beoordeeld. De intake heeft een praktisch doel: het opstellen van de documenten gebeurt op basis van echte tools, rollen en randvoorwaarden. Vergelijk de documentatiedienst voor SOC 2 en ISO 27001 met je inventaris voordat je een pakket kiest.

Hoe lang duurt het opstellen van SOC 2-documentatie?

Maak in je planning onderscheid tussen de tijd voor het opstellen, de interne goedkeuring en het verzamelen van bewijsmateriaal. Een afgebakend schrijfproject kan binnen enkele dagen worden afgerond zodra alle informatie compleet is. Daarna heeft je team mogelijk extra tijd nodig om het beleid goed te keuren, wijzigingen door te voeren en bewijsstukken te verzamelen die laten zien dat de processen werken.

Een Type I-onderzoek betreft een specifieke datum; Type II onderzoekt ook de werking van beheersmaatregelen gedurende een bepaalde periode. Bevestig de beoogde periode en de verwachtingen rond bewijsmateriaal met het CPA-kantoor. Een snelle oplevering van documenten verkort niet de periode waarop dat onderzoek betrekking heeft.

Plan het project terug vanaf de commerciële deadline. Reserveer tijd voor de intake, wijs beslissers aan, bepaal een datum voor gebundelde feedback en wijs verantwoordelijken voor de invoering aan. Als een belangrijk feit nog onduidelijk is, zet het dan op de lijst met hiaten en bepaal wanneer er een besluit over wordt genomen, zodat het niet uit de definitieve tekst verdwijnt.

Wanneer de documentatiepakketten van COLONFILM passen

COLONFILM past bij een bedrijf dat een duidelijk afgebakende documentoplevering wil en nauwkeurige informatie over zijn werkzaamheden kan aanleveren. David Colón en Flor runnen de studio in Zaragoza, Spanje. De studio ontwerpt sinds 2010 en heeft de statussen Fiverr Pro en Top Rated, met meer dan 1.000 beoordelingen en een score van 4,8 sterren. Dit zijn referenties van de studio; beoordeel de voorgestelde documentatie op haar eigen inhoud.

Kies Basis als je vooral een samenhangende basis voor je beleid nodig hebt. Kies Standaard als je beleid, risico’s en SOC 2-beheersmaatregelen met elkaar wilt verbinden. Kies Premium als de opdracht beide normenkaders, de aanvullende plannen en het stappenplan voor hiaten omvat.

Het aantal beleidsdocumenten beschrijft het pakket en vormt geen grens voor compliance. Breng bij het afbakenen van je project ook het aanvullende werk in kaart dat nodig is voor een bredere invoering, ondersteuning bij interne audits of doorlopend beheer van bewijsmateriaal. Lees voor de afzonderlijke kostenposten de kostengids voor SOC 2-compliance.

Gebruik deze checklist voordat je de documenten accepteert

Open de bestanden samen met de mensen die ermee gaan werken. Doorloop de indiensttreding van een medewerker, een uitdiensttreding, een software-release en een incidentscenario. Volg voor elk scenario de stap van beleid naar procedure en vervolgens naar het verwachte bewijsstuk. Markeer elke tool, rol of planning die afwijkt van de huidige praktijk.

Controleer daarna of documentversies met elkaar overeenkomen, de koppelingen aan normenkaders leesbaar zijn en voor elk hiaat een verantwoordelijke is aangewezen. Bewaar de goedgekeurde documenten op een beheerde locatie en archiveer verouderde versies. Na een succesvolle overdracht kan je team uitleggen wat elk document doet en welke actie volgt.

Klaar om de documenten te laten opstellen? Stuur de reikwijdte, je bestaande materiaal en het gewenste normenkader via de documentatiedienst van COLONFILM. Begin met het kleinste pakket dat de documenten bevat die je daadwerkelijk nodig hebt.

Veelgestelde vragen

Kan ik beginnen met gratis SOC 2-beleidssjablonen?

Ja, als iemand ze kan aanpassen aan je systemen, de toezeggingen kan controleren en de goedgekeurde versies kan beheren. Reserveer interne tijd voor dat werk.

Heb ik eerst een complianceplatform nodig?

Nee. Kies een platform als de functies voor het verzamelen van bewijsmateriaal en het beheren van werkprocessen een daadwerkelijke administratieve behoefte oplossen. Documenten op maat kunnen onafhankelijk daarvan worden opgesteld.

Levert een documentatiepakket een SOC 2- of ISO-certificering op?

Het levert voorbereidende documentatie op. Een CPA-kantoor geeft het SOC 2-rapport af. Een onafhankelijke certificerende instelling geeft de ISO 27001-certificering af; kies een geaccrediteerde instelling als je onafhankelijke bevestiging van haar deskundigheid nodig hebt.

Kan hetzelfde beleid beide normenkaders ondersteunen?

Vaak wel. Houd gezamenlijk beleid consistent en koppel het afzonderlijk aan elk normenkader, waarbij je specifieke documenten en hiaten per normenkader benoemt.

Wat moet ik aanleveren om te beginnen?

Stuur de afbakening van je dienst, een lijst met tools, bestaand beleid, de verantwoordelijke contactpersonen en eventuele eisen van klanten of auditors. Op basis daarvan wordt bepaald welk pakket past.