جاهزون قبل أن يصل المدقق.
معظم SOC 2 يدور حول الأدلة: أن تفعل أشياء معقولة، وأن تستطيع إثبات أنك فعلتها باستمرار. نضع الاثنين في مكانهما قبل أن يبدأ التدقيق، والتدقيق نفسه تجريه جهة مستقلة غيرنا.
نُعدّ شركتك لتدقيق SOC 2: نطبّق الضوابط، ونجعل الأدلة تُجمع تلقائياً، ونسد الفجوات قبل أن يبدأ المدقق. التدقيق نفسه تجريه شركة محاسبة مستقلة مرخّصة تختارها أنت؛ نحن لسنا مدققين، ولا نصدر تقارير أو شهادات، ولا نحمل SOC 2 بأنفسنا. يناسب الشركات التي يطلبه منها عميل كبير.
آخر تحديث نوفمبر 2026
معظم SOC 2 هو إثبات ما تفعله أصلاً.
أين تكون الثغرات عادةً، وكم من العمل تتطلبه كل منها.
معظم SOC 2 هو إثبات ما تفعله أصلاً.
لدى الشركات عادةً ممارسات معقولة. ما ينقصها هو الدليل: سجل يثبت أن الصلاحيات رُوجعت كل فصل، وأن التغييرات اعتُمدت، وأن النسخ الاحتياطية اختُبرت. التدقيق يطلب إثباتاً لا نوايا.
لذلك يدور الاستعداد في معظمه حول جعل الأدلة تجمع نفسها. إذا كان إثبات ضابط ما يتطلب أن يجمع أحدهم لقطات شاشة كل فصل، فسيتوقف ذلك بحلول المرة الثالثة، وسيجد التدقيق ذلك.
Type I يقول إن الضوابط موجودة في تاريخ محدد. Type II يقول إنها عملت على مدى أشهر. معظم العملاء الذين يطلبون SOC 2 يريدون Type II، أي أن فترة الأدلة تبدأ قبل التدقيق، والتخطيط المبكر يوفّر وقتاً حقيقياً. وللوضوح: التدقيق وتقريره من عمل شركة محاسبة مستقلة، لا من عملنا.
ما نفعله.
تقييم الفجوات أولاً
ما هو موجود أصلاً، وما الناقص، وكم من العمل تحتاجه كل فجوة.
أدلة تجمع نفسها
أهم شيء على الإطلاق. جمع الأدلة يدوياً يتوقف بحلول الفصل الثالث.
سياسات سيتبعها الناس
مكتوبة لشركتك كما هي فعلاً. القوالب العامة تُتجاهل، والمدققون يلاحظون.
إجراء مراجعة الصلاحيات
فصلياً، ومسجّلاً، ومؤتمتاً بقدر ما تسمح أدواتك.
إدارة التغيير
غالباً لديك هذا أصلاً في طلبات الدمج. يحتاج تسجيلاً لا إعادة بناء.
خطة الاستجابة للحوادث
مكتوبة، ومُجرّبة مرة واحدة على الأقل؛ المدققون يسألون إن كانت قد اختُبرت.
سجل المورّدين
من يعالج بياناتك، وما الذي قُيّم، ومتى رُوجع آخر مرة.
التنسيق مع المدقق
نساعدك على اختيار شركة تدقيق مستقلة والاستعداد لها، لكننا لا نستطيع تدقيقك بأنفسنا ولا نتحدث باسمها.
أين تكون الفجوات عادةً.
مرتبة تقريبياً بحسب عدد المرات التي نجد فيها كلاً منها غائباً تماماً.
| مجال الضابط | الفجوة الشائعة | جهد سدّها |
|---|---|---|
| مراجعة الصلاحيات | لم تُجرَ قط، أو أُجريت مرة واحدة | منخفض، فصلياً وقابل للأتمتة |
| إدارة التغيير | نشر من دون سجل اعتماد | منخفض، إن كنتم تستخدمون طلبات الدمج أصلاً |
| انضمام الموظفين ومغادرتهم | لا سجل لسحب الصلاحيات | منخفض، قائمة تحقق ودليل |
| مراجعة المورّدين | لا أحد يقيّم المورّدين | متوسط، سجل وإجراء |
| الاستجابة للحوادث | لا خطة مكتوبة | متوسط، كتابة وتمرين واحد |
| تقييم المخاطر | لم يُجرَ رسمياً قط | متوسط، سنوياً وموثّقاً |
| التشفير والسجلات | سليمة عادةً | منخفض، معظمه إثبات |
كيف نتعامل معه.
نحن نُعدّك، وجهة مستقلة تدققك. لا يستطيع الطرف نفسه فعل الاثنين بمصداقية.
أكبر مؤشر على أن الاستعداد سيصمد حتى موعد التدقيق.
فترة المراقبة تمتد أشهراً قبل التقرير، ولهذا يهم البدء قبل أن يطلبه العميل.
متى تبدأ.
طلبه عميل من المؤسسات
الدافع المعتاد. البدء والصفقة تنتظر مرهق ومكلف.
تبيع لعملاء أكبر
فوق حجم معين للصفقة يصبح سؤالاً معتاداً. الأفضل أن تكون قد بدأت مبكراً.
تعالج بيانات عملائك
إن كنت تعالج شيئاً حساساً نيابةً عنهم، فهذا قادم في النهاية.
لا تشترِ هذا إذا كان فريقك صغيراً جداً ولم يطلبه أحد
إذا لم يطلبه أحد ولديك خمسة أشخاص، فالمال يُنفق في مكان آخر أفضل الآن. وإن كان عملاؤك في الخليج يطلبون إطاراً آخر غير SOC 2، فاعرف ذلك قبل أن تبدأ.
كيف نعمل.
نقيّم الفجوات
مقابل معايير الثقة التي تحتاجها فعلاً، وهي عادةً ليست كلها.
نرتّب بحسب الجهد
الضوابط السريعة القابلة للأتمتة أولاً، ليكون التقدم حقيقياً مبكراً.
نؤتمت الأدلة
قبل أي شيء آخر. الدليل الذي يحتاج إنساناً كل فصل لن يصمد.
نكتب السياسات
لشركتك كما تعمل، لا قالباً استُبدل فيه الاسم باسمك.
نتابع فترة الأدلة
في Type II يجب أن تعمل الضوابط على مدى أشهر. نتحقق من أنها صامدة.
نُعدّك للمدقق
جولة، وأدلة مرتبة، والأسئلة التي سيطرحها.
الاستعداد لـ SOC 2
7 أسئلة مع إجاباتها. لديك سؤال آخر؟ تواصل معنا.
لا، ولن يعرض ذلك أحد يحترم المهنة. تدقيق SOC 2 يجب أن تجريه شركة محاسبة قانونية (CPA) مستقلة، وإعداد شركة ثم تقييمها يُفرغ العملية من معناها. نحن نُعدّك ونساعدك على اختيار مدقق، والمدقق يجري التدقيق ويصدر التقرير.