SOC 2 Workflow für das Lieferantenmanagement (CC9.2, CC3.4)
SOC-2-fähiger Prozess für das Lieferantenmanagement: Due Diligence, Risikobewertung, Vertrag, laufende Überwachung und Offboarding — mit Freigabestufen und Unterschriften für den Type-II-Zeitraum.
So funktioniert es
Legen Sie die Risikostufen fest, bevor Sie zeichnen
Zwei oder drei Stufen genügen. Definieren Sie sie über Datenzugriff und Betriebskritikalität, nicht über das Auftragsvolumen — der Auditor fragt nach dem Datenzugriff, nicht nach dem Preis.
Setzen Sie die Freigabe dorthin, wo wirklich entschieden wird
Hat die Informationssicherheit ein Vetorecht bei Auftragsverarbeitern, gehört das als eigener Freigabeschritt ins Diagramm. Eine Freigabe, die faktisch nur eine Information ist, hält in einem Walkthrough nicht stand.
Zeichnen Sie die Neubewertung als echte Schleife
Sowohl die jährliche als auch die anlassbezogene Neubewertung nach CC3.4 muss in den Ablauf zurückführen. Sonst haben Sie einen Onboarding-Prozess dokumentiert und ihn Lieferantenmanagement genannt.
Benennen Sie den Nachweis zu jedem Schritt
Notieren Sie im Kommentarfeld, woraus der Nachweis besteht: die ausgefüllte Bewertung, der Auftragsverarbeitungsvertrag, die Freigabe und die Bestätigung des Offboardings. Aus dieser Liste zieht der Auditor seine Stichproben.
Gehen Sie das Diagramm mit Einkauf und Recht durch
Lieferantenmanagement läuft über mindestens drei Abteilungen. Ein Diagramm, das nur die Informationssicherheit gesehen hat, beschreibt nicht den Prozess, der tatsächlich gelebt wird.
Häufig gestellte Fragen
Was verlangt SOC 2 zum Lieferantenmanagement?
CC9.2 (Beziehungen zu Dritten) und CC3.4 (Risikobewertung bei Änderungen, die Kontrollen betreffen) verlangen dokumentierte Verfahren für Due Diligence, Vertragsprüfung, laufende Überwachung und Beendigung. SOC 2 Type II verlangt zusätzlich den Nachweis, dass das Verfahren über den gesamten Prüfzeitraum tatsächlich eingehalten wurde.
Wie hilft QueryChart bei einem SOC-2-Type-II-Audit?
Jede Ausführung des Workflows wird im unveränderlichen Audit-Trail mit Autor, Zeitstempel und Freigabeunterschrift festgehalten. Der Auditor erhält das gelenkte Prozessdiagramm und zugleich die vollständige Nachweiskette zu jeder Stichprobe, die er während der Prüfung zieht.
Worin unterscheiden sich CC9.2 und CC3.4?
CC9.2 betrifft die Lieferantenbeziehung selbst: Bewertung, Vertrag, Überwachung und Beendigung. CC3.4 betrifft das, was passiert, wenn sich etwas ändert — ein Dienstleister erhält neuen Datenzugriff, wechselt den Unterauftragsverarbeiter oder verlagert den Betrieb in eine andere Region — und verlangt, dass diese Änderung eine erneute Risikobewertung auslöst. In der Praxis ist CC3.4 die Kontrolle, die genau die Fälle aufgreift, die CC9.2 nur einmal beim Vertragsabschluss gesehen hat.
Müssen alle Lieferanten die vollständige Bewertung durchlaufen?
Nein — und ein Prozess, der das behauptet, wird nicht eingehalten. Klassifizieren Sie Ihre Dienstleister stattdessen nach Datenzugriff und Betriebskritikalität und schicken Sie nur die kritischen in die vollständige Prüfung mit Sicherheitsbewertung und Auftragsverarbeitungsvertrag. Entscheidend für den Auditor ist, dass die Kriterien im gelenkten Prozess stehen und die Einstufung jedes einzelnen Lieferanten dokumentiert ist.