Ihre Kunden in den USA oder internationale Konzerne verlangen einen SOC-Bericht und fragen nach der Konformität mit SSAE 18?
SSAE 18 (Statement on Standards for Attestation Engagements No. 18) ist der Standard des AICPA für Attestation Engagements in den USA.
Er bildet die Grundlage für SOC-1- und SOC-2-Berichte und löste im Jahr 2017 den Vorgänger SSAE 16 ab.
Auf dieser Seite erfahren Sie, was SSAE 18 regelt, wie er sich zu ISAE 3402 und ISAE 3000 verhält und welcher Bericht für Sie der richtige ist.
%20(15).png)
Digitale Abläufe und wiederverwendbare Nachweise reduzieren den manuellen Aufwand – besonders bei der Re-Zertifizierung.
Zahlreiche abgeschlossene Prüfungs- und Beurteilungsprojekte bilden die Grundlage unserer Methodik.
SaaS-Anbieter, Cloud-Plattformen, IT-Dienstleister und regulierte Unternehmen setzen auf Certinova
SSAE 18 ist kein eigenes Produkt, sondern der Rahmen, auf dem die SOC-Berichte des AICPA beruhen. Welcher Bericht für Sie passt, hängt von Ihren Kunden und deren Anforderungen ab.
.svg)
Der Standard legt fest, wie ein unabhängiger Prüfer (CPA) Aussagen des Managements über Kontrollen und Systeme beurteilt. Er umfasst unter anderem die Abschnitte AT-C 105 und 205 als allgemeine Grundlagen sowie AT-C 320 für Kontrollen mit Bezug zur Rechnungslegung.
.svg)
SOC 1 beurteilt Kontrollen mit Relevanz für die Rechnungslegung der Kunden und beruht auf SSAE 18 (AT-C 320). Das internationale Pendant ist ISAE 3402, das deutsche IDW PS 951.
Finden Sie hier weitere Informationen zu SOC 1.
.svg)
SOC 2 beurteilt Kontrollen zu Sicherheit, Verfügbarkeit, Vertraulichkeit, Verarbeitungsintegrität und Datenschutz anhand der Trust Services Criteria. Er wird in den USA nach SSAE 18 erstellt, international häufig nach ISAE 3000.
Informieren Sie sich hier zu SOC 2.
.svg)
Wie bei ISAE 3402 beurteilt Typ 1 die Angemessenheit der Kontrollen zu einem Stichtag. Typ 2 beurteilt zusätzlich die Wirksamkeit über einen Zeitraum, in der Regel sechs bis zwölf Monate.
Wir kombinieren fachliche Beurteilung durch erfahrene Prüfer mit technologiegestützten Prozessen.
Das Ergebnis: kürzere Prüfungszyklen, weniger interner Aufwand bei Ihnen und Berichte, die den Anforderungen Ihrer Kunden standhalten.
Nachweise werden strukturiert erhoben und automatisiert plausibilisiert – die fachliche Beurteilung bleibt bei unseren Prüfern.
Unterlagen einreichen, Fragebögen beantworten, Status verfolgen – transparent statt in endlosen E-Mail-Ketten.
Ein klares Prüfungsmuster vom Scope bis zum Bericht – weniger Rückfragen, kalkulierbarer Aufwand.
Ein erfahrenes Team begleitet Sie über den einzelnen Bericht hinaus – auch in Folgeprüfungen und angrenzenden Rahmenwerken.
Von der Abgrenzung zu ISAE 3402 und ISAE 3000 bis zur Frage, welchen Bericht Ihre Kunden akzeptieren: Hier finden Sie die wichtigsten Antworten.
Ihre Frage ist nicht dabei? Sprechen Sie uns direkt an.
Beide Standards verfolgen für Kontrollen mit Bezug zur Rechnungslegung dasselbe Ziel. SSAE 18 stammt vom AICPA und gilt in den USA, ISAE 3402 stammt vom IAASB und ist international ausgerichtet. In der Praxis sind sie eng aufeinander abgestimmt. Ein Bericht kann bei sauberem Scoping beide Standards abdecken.
Dazu zählen SOC 1 und SOC 2 in der US-Variante. SOC 3 ist eine öffentlich nutzbare Kurzfassung von SOC 2. Das konkrete Kriterienwerk, etwa die Trust Services Criteria, bestimmt den Inhalt.
Nicht zwingend. Für Kunden in Deutschland ist meist IDW PS 951 oder ISAE 3402 die passende Grundlage. Haben Sie internationale oder US-nahe Kunden, die ausdrücklich einen SOC-Bericht verlangen, ist ein Bericht nach SSAE 18 bzw. eine kombinierte Prüfung sinnvoll.
Lassen Sie uns in Kontakt treten, um Ihre Anforderungen besprechen.
