SOC 2 jest atestacją, a nie certyfikacją. Uprawniona firma audytorska bada opis systemu przygotowany przez kierownictwo wraz z wspierającymi go zabezpieczeniami i wydaje opinię zgodnie ze standardami atestacyjnymi AICPA. Produktem jest raport, który klient czyta pod kątem zakresu, okresu i stwierdzonych odstępstw — a nie certyfikat do powieszenia na ścianie — a sama opinia może być bez zastrzeżeń, z zastrzeżeniami, negatywna albo może nastąpić odmowa jej wydania.
Ramy opierają się na kryteriach Trust Services. Kategoria Security jest obowiązkowa i wyrażona w dziewięciu grupach kryteriów wspólnych, od CC1 do CC9, obejmujących środowisko kontroli, komunikację, ocenę ryzyka, monitorowanie, czynności kontrolne, kontrolę dostępu logicznego i fizycznego, eksploatację systemów, zarządzanie zmianą oraz ograniczanie ryzyka. Kategorie dostępności, integralności przetwarzania, poufności i prywatności są fakultatywne i dodaje się je, gdy wynika to ze zobowiązań organizacji wobec klientów.
O wartości raportu przesądza rozróżnienie między Typem I a Typem II. Typ I ocenia, czy zabezpieczenia są odpowiednio zaprojektowane w jednym momencie. Typ II ocenia dodatkowo ich skuteczność operacyjną w okresie, zwykle od trzech do dwunastu miesięcy. Klienci korporacyjni mają na myśli zazwyczaj Typ II, a konsekwencja jest strukturalna: dowody muszą istnieć przez cały okres obserwacji, więc nie da się ich zgromadzić wstecznie w chwili przyjścia audytora.
Ponieważ każdy raport obejmuje zakres definiowany przez samą organizację, dwóch raportów SOC 2 nie da się porównać bez przeczytania opisu systemu. To również powód, dla którego SOC 2 i ISO 27001 współistnieją w europejskich procesach zakupowych, zamiast się zastępować: prace nad zabezpieczeniami w dużej mierze się pokrywają, ale jedno postępowanie kończy się akredytowanym certyfikatem względem stałej normy, a drugie opinią biegłego o zakresie zdefiniowanym samodzielnie, wraz z wykazanymi odstępstwami.
