결론부터 말하면: 3PL과 계약하기 전에 실제 SOC 2 보고서——슬라이드가 아니라 보고서 자체——를 받아 와서, 아래 체크리스트를 따라 2시간을 들여 검토하세요. 검토가 끝나면 이 3PL의 보안 태세가 진짜인지 서류상의 것인지 알 수 있습니다.

영업 자료의 «SOC 2 인증 획득» 문구를 믿지 마세요. 두 가지 문제가 있습니다. 첫째, SOC 2는 인증이 아닙니다. AICPA 프레임워크에 따라 면허를 가진 공인회계사(CPA) 법인이 발행하는 인증 보고서이며, 인증서도 합격/불합격 도장도 존재하지 않습니다. 둘째, 3년 전의 Type I 보고서와 최신 Type II 보고서는 증명하는 내용이 하늘과 땅 차이입니다. 검토를 건너뛰면 눈을 감고 계약하는 셈입니다.

먼저 Type I과 Type II의 차이를 이해하세요

Type I Type II
테스트 내용 통제가 적절하게 설계되었는지 통제가 일정 기간 효과적으로 운영되었는지
기간 특정 한 시점 관찰 기간, 일반적으로 3–12개월 (흔히 6–12개월)
증명하는 것 모델 하우스 그 집에 실제로 살면 어떤지
계약 전 판단 자료로 충분한가 아니요 필요한 것은 바로 이것

기억할 한 문장: Type I은 3PL이 올바른 통제가 어떤 모습인지 알고 있음을 증명합니다. Type II는 그 통제를 거의 1년 동안 실제로 운영했음을 증명합니다. 수십만 단위의 재고와 모든 주문 데이터를 넘기려는 순간입니다——당연히 후자가 필요합니다. 저는 이 실패 패턴을 세 번 봤습니다: 고객이 Type I을 자사 대기업 고객의 벤더 보안 설문에 제출했다가 그 자리에서 탈락하는 겁니다.

SOC 2 보고서 검토 7단계 체크리스트

순서대로 진행하세요. 단계를 건너뛰지 마세요.

1. 감사 기간을 확인하세요. 표지에 나와 있습니다. 기간 종료 후 12개월이 넘었다면 보고서가 오래된 것입니다——경영진 브릿지 레터(공백 기간 동안 통제에 중대한 변경이 없었다는 서명 진술서)를 요청하거나, 그냥 최신 보고서를 요구하세요.

2. 시스템 설명——스코프를 읽으세요. 보고서 전체에서 가장 중요한 섹션이며, 감사인의 의견보다 중요합니다. 스코프에 어떤 시스템이 포함되어 있는지 확인하세요: WMS가 들어 있나요? 주문 관리 시스템은요? 많은 3PL 보고서가 «기업 IT»만 다루고, 당신이 진짜 관심 있는 창고 시스템은 감사 범위를 벗어나 있습니다. 감사하지 않은 시스템의 문제는 보고서에 절대 언급되지 않습니다.

3. 선택된 Trust Services Criteria를 확인하세요. SOC 2에는 다섯 가지가 있습니다: Security(모든 보고서에서 필수), Availability, Processing Integrity, Confidentiality, Privacy. 중요한 것은 3PL이 Security 외에 무엇을 선택했는지입니다. 풀필먼트 사업자라면 Availability가 있어야 합니다(시스템이 멈추면 안 됩니다), Confidentiality도 있어야 합니다(재고와 주문 데이터가 상대방 손에 있습니다). Security만 있는 보고서는 필수 질문에만 답한 것입니다.

4. 감사인의 의견을 읽으세요. 최소 기준은 적정 의견입니다. 한정 의견이나 부적정 의견은 즉각적인 위험 신호——거기서 읽기를 멈춰도 됩니다.

5. 예외 사항을 세세요. 감사인의 테스트에서 설계대로 운영되지 않은 통제가 발견된 건수입니다. 세 가지 관점으로 평가하세요: 건수, 같은 통제에 집중되는지, 같은 통제가 해마다 예외를 내는지. 경영진 개선 계획과 기한이 있는 단발성 예외는 허용 가능합니다. 같은 통제가 매년 실패한다면 개선은 서류상에서만 존재합니다.

6. Complementary User Entity Controls(CUEC)를 읽으세요. 모든 보고서에는 3PL이 당신이 수행할 것을 전제로 한 통제 목록이 있습니다——정기적 접근 권한 검토, 전송 중 데이터 암호화, 퇴사자 계정의 신속한 삭제 등. 계약 후 그 모든 것이 당신의 일이 됩니다. 하나씩 따져보세요: 정말 실행할 수 있나요? 안 된다면 계약 시점에 3PL의 책임으로 협상하거나, 다른 사업자를 선택하세요.

7. 하위 서비스 조직을 확인하세요. 3PL은 어느 클라우드에서 운영되나요? 감사인은 클라우드 업체를 스코프에 포함했나요(포괄 방식), 아니면 «자체 SOC 2가 있다»는 주석과 함께 제외했나요(카브아웃 방식)? 카브아웃도 괜찮지만, 그 경우 그 클라우드 업체의 보고서를 직접 받아보세요. 체인에 공백을 남기지 마세요.

위험 신호: 하나라도 보이면 계약을 중단하세요

  • 보고서가 18개월 이상 갱신되지 않았고 브릿지 레터도 없음
  • Type I을 충분한 것처럼 제시
  • WMS나 주문 시스템이 감사 범위 밖
  • 같은 통제가 2년 연속 예외를 내고 개선은 영원히 «계획 중»
  • 현실적으로 실행할 수 없는 항목이 나열된 CUEC
  • 면허 CPA 법인이 아닌 발행자의 보고서(SOC 2 보고서를 발행할 수 있는 것은 면허 CPA 법인뿐입니다——컨설팅사의 자체 평가는 인정되지 않습니다)

실제 실패 사례 두 가지

2024년, 제 DTC 뷰티 고객이 영업 자료에 «SOC 2 감사 완료»라고 적힌 3PL과 계약했습니다. 계약 후, 본 가동 전에 실제 보고서를 요청하도록 했습니다. 그것은 Type I이었고, 감사 기간은 3년 전의 것이었습니다. 자사 대기업 고객에게 벤더 설문에서 막혔고, Type II 관찰 기간을 통과하는 데 3개월이 걸렸습니다. 프로젝트 전체가 미뤄졌습니다. 저는 이 각본이 반복되는 것을 세 번 봤습니다.

다른 3PL의 보고서에는 Availability에서 4건의 예외가 있었고, 모두 «백업 복구 테스트가 예정대로 수행되지 않음»이었습니다. 계약을 파기하지 않았습니다. 대신 계약서에 두 가지 조항을 넣었습니다: 분기별 재해 복구 훈련 실시 증거, 그리고 훈련을 건너뛰면 발동되는 SLA 페널티. 보고서는 종이에 불과하지만, 계약에는 이빨이 있습니다. 그 3PL은 그 이후로 한 번도 훈련을 건너뛰지 않았습니다.

직관에 반하는 점: «깨끗한» 보고서는 안전을 의미하지 않습니다

대부분의 사람은 SOC 2 보고서를 감사 의견이 적정인지로 확인합니다. 그건 순서가 거꾸로입니다. 의견은 명시된 스코프 내부만 다룹니다. 좁은 스코프의 보고서는 당연히 깨끗하게 나옵니다——기업 이메일만 조사한 보고서로는 WMS 문제를 발견할 수 없습니다.

따라서 올바른 순서는: 먼저 스코프, 다음 기준, 다음 예외, 의견은 마지막입니다. 이 순서를 뒤집으면 시험지보다 먼저 답안을 읽는 꼴입니다.

본 가동 전날 밤 체크리스트를 압축하면 이렇습니다: Type II + 최신 기간 + WMS가 스코프 내 + Availability와 Confidentiality 선택 + 적정 의견 + 허용 가능한 예외 + 실제로 수행 가능한 CUEC. 일곱 개 모두 녹색이면 서명. 하나가 적색이면 조건 협상. 두 개 이상이면 발길을 돌리세요.

이 2시간이 왜 가치 있는지 마지막으로 한 마디: IBM의 2025년 데이터 침해 비용 보고서에 따르면 전 세계 평균 침해 비용은 $4.44 million입니다. 당신의 재고 데이터, 주문 데이터, 고객 데이터——모두 3PL의 손에 있습니다. 그 안심을 위해 2시간을 쓰는 것은 싼 거래입니다.

Lin Xiao, WMS 구현 컨설턴트 지음

영어판 번역본입니다. 내용이 다를 경우 영어판을 우선합니다.