Бридж-письмо (bridge letter)

Бридж-письмо (его же называют gap letter) — это короткое заявление, которое поставщик выпускает, чтобы закрыть промежуток между окончанием последнего аудируемого периода SOC 2 и текущей датой. Отчёт SOC 2 Type II проверяет контроли на протяжении определённого периода, обычно двенадцати месяцев, и публикуется через несколько недель после его закрытия. Отсюда постоянный разрыв: когда вы читаете отчёт за период с января по декабрь, на календаре уже март, и о январе с февралём отчёт не говорит ничего. Бридж-письмо заполняет этот промежуток, обычно утверждая, что за прошедшее время не было существенных изменений в среде контроля, значимых отказов контролей и релевантных инцидентов безопасности. Покупатель сталкивается с этим на этапе проверки поставщика, и суть в том, что бридж-письмо — это собственное заявление менеджмента, а не мнение аудитора. Его подписывает вендор, аудиторская фирма его не заверяет, поэтому оно имеет вес заверения, а не доказательства. Это нормально и общепринято, но заменой актуальному отчёту не служит. Значение имеет разумность самого разрыва. Поставщик, у которого аудируемый период закончился два месяца назад и который прикладывает бридж-письмо, работает штатно. Поставщик, перекрывающий письмом девять или двенадцать месяцев, фактически перестал аудироваться непрерывно, и письмо прикрывает не задержку, а отсутствие. Задайте три вопроса: когда заканчивается следующий аудируемый период и когда будет отчёт; названы ли в письме конкретный перекрываемый отчёт и точные даты; и менялись ли за период разрыва субподрядчики, регионы размещения или охват аудита — именно в последнем чаще всего и прячется существенное изменение.