AICPA और AIUC ने SOC 2 रिपोर्टों को AIUC-1 प्रमाणन के साथ जोड़ा

American Institute of CPAs और Artificial Intelligence Underwriting Company ने 19 अक्टूबर, 2026 को संयुक्त आश्वासन प्रमाणन की घोषणा की, जो SOC 2 रिपोर्ट को AIUC-1 प्रमाणन के साथ जोड़ता है। यह AI प्रणालियों और एजेंटों को कवर करने वाली, CPA के नेतृत्व में की गई एक ही जांच के आधार पर एकल रिपोर्ट के रूप में जारी किया जाएगा।

संगठनों ने इस प्रमाणन को AI प्रणालियों और एजेंटों से जुड़े व्यावसायिक जोखिम की पहली व्यापक, स्वतंत्र समीक्षा बताया। घोषणा के अनुसार, यह पेशकश दोनों साझेदारों द्वारा विकसित किए गए और दुनिया भर की हज़ारों कंपनियों द्वारा इस्तेमाल किए जाने वाले मानकों और रूपरेखाओं पर आधारित है। पिछले साल 40,000 से अधिक संगठनों ने SOC 2 सत्यापन या AIUC-1 प्रमाणन प्राप्त किया।

AICPA के अध्यक्ष और CEO Mark Koziel ने कहा, “कंपनियों ने AI में भारी निवेश किया है और निवेशक, ग्राहक तथा अन्य हितधारक इस बात की अधिक संपूर्ण और निष्पक्ष तस्वीर पाने के हकदार हैं कि यह तकनीक सुरक्षित, भरोसेमंद और उचित रूप से नियंत्रित है या नहीं।” उन्होंने कहा कि यह संयुक्त पेशकश ऐसी तस्वीर देती है और CPA के नेतृत्व में जांच होने से संगठनों को उस विशेषज्ञता, ईमानदारी और पेशेवर निर्णय-क्षमता का लाभ मिलता है, जो पूंजी बाज़ारों में भरोसा कायम करती है।

SOC 2 जांच में क्या शामिल है

SOC 2 एक स्वतंत्र जांच है, जिसे लाइसेंसधारी CPA, AICPA के अटेस्टेशन मानकों के तहत करता है। इसमें उन नियंत्रणों का मूल्यांकन किया जाता है जो किसी प्रणाली की सुरक्षा, उपलब्धता, प्रसंस्करण की अखंडता, गोपनीयता या निजता से संबंधित होते हैं। इस जांच से तैयार रिपोर्ट में उन नियंत्रणों की रूपरेखा और परिचालन प्रभावशीलता पर राय दी जाती है, जो उस प्रणाली को सहारा देते हैं।

AICPA के अनुसार, सिस्टम और संगठन नियंत्रण सेवा-संगठनों के सिस्टम-स्तरीय नियंत्रणों या अन्य संगठनों के इकाई-स्तरीय नियंत्रणों से संबंधित सेवाओं का एक समूह है, जिसे CPA प्रदान कर सकते हैं। AICPA, SOC जांचों के लिए पेशेवर मानक भी जारी करता है।

AIUC के SOC 2 क्रॉसवॉक दस्तावेज़ के अनुसार, इस संयुक्त मॉडल के तहत CPA फर्में AICPA द्वारा विकसित ट्रस्ट सर्विसेज़ मानदंडों के आधार पर किसी संगठन के नियंत्रणों का आकलन करती हैं। इसमें सुरक्षा अनिवार्य आधार है, जबकि उपलब्धता, प्रसंस्करण की अखंडता, गोपनीयता और निजता वैकल्पिक विस्तार हैं। क्रॉसवॉक में कहा गया है कि AIUC-1 उन AI-विशिष्ट नियंत्रणों को कवर करता है जो SOC 2 में शामिल नहीं हैं, और SOC 2 के ट्रस्ट सर्विसेज़ मानदंडों को AI-विशिष्ट आवश्यकताओं से जोड़ता है। इसके अंतर-विश्लेषण में SOC 2 के कुछ क्षेत्रों के साथ AIUC-1 का कोई ओवरलैप दर्ज नहीं किया गया है। इन क्षेत्रों में क्षमता प्रबंधन, पर्यावरणीय सुरक्षा और बैकअप, रिकवरी योजना का परीक्षण, भौतिक पहुँच पर पाबंदियाँ, बोर्ड की निगरानी, धोखाधड़ी के जोखिम का आकलन और व्यावसायिक निरंतरता के जोखिम को कम करना शामिल हैं।

AIUC-1, AI एजेंटों की जांच कैसे करता है

घोषणा में AIUC-1 को AI एजेंटों की सुरक्षा, संरक्षण और विश्वसनीयता के लिए दुनिया का पहला मानक बताया गया है। मानक के दस्तावेज़ के अनुसार, इसके नियंत्रण छह श्रेणियों में आते हैं: डेटा और निजता—जिसमें डेटा उपयोग नीतियाँ, बौद्धिक संपदा और व्यापार रहस्य, व्यक्तिगत डेटा का उजागर होना तथा गोपनीय जानकारी का लीक होना शामिल है; सुरक्षा—जिसमें प्रतिकूल परीक्षण, इनपुट फ़िल्टरिंग, पहुँच नियंत्रण और सुरक्षित कोड पैटर्न शामिल हैं; सेफ़्टी—जिसमें जोखिम वर्गीकरण, तैनाती से पहले और तीसरे पक्ष द्वारा परीक्षण, तथा हानिकारक या दायरे से बाहर के आउटपुट को रोकना शामिल है; विश्वसनीयता—जिसमें मतिभ्रम रोकना और असुरक्षित टूल कॉल पर पाबंदियाँ शामिल हैं; जवाबदेही—जिसमें विफलता की योजनाएँ, ज़िम्मेदारी, विक्रेता की उचित जाँच-पड़ताल, लॉगिंग, पारदर्शिता और गुणवत्ता प्रबंधन शामिल हैं; तथा समाज—जिसमें AI-सक्षम साइबर दुरुपयोग और विनाशकारी दुरुपयोग को रोकना शामिल है।

प्रमाणन पाने के लिए एजेंटों को मान्यता-प्राप्त ऑडिटर द्वारा सत्यापित AIUC-1 की सभी लागू आवश्यकताओं को पूरा करना होगा और उद्यमों के प्रमुख जोखिमों को कवर करने वाले व्यापक मूल्यांकनों से गुज़रना होगा, ऐसा दस्तावेज़ में कहा गया है। AIUC-1 को 250 से अधिक मुख्य सूचना सुरक्षा अधिकारियों (CISO) और सुरक्षा विशेषज्ञों के एक संघ ने विकसित किया था और इसे हर तिमाही अपडेट किया जाता है। घोषणा के अनुसार, इसके नियंत्रण MITRE ATLAS, ISO 42001 और EU AI Act सहित कई रूपरेखाओं से मेल खाते हैं। EU AI Act यूरोपीय विनियमन है, जो AI प्रणालियों को उनके जोखिम स्तर के आधार पर वर्गीकृत करता है। मानक के दस्तावेज़ों में NIST AI Risk Management Framework और OWASP Top Ten के साथ क्रॉसवॉक भी सूचीबद्ध हैं।

AIUC के सह-संस्थापक Rajiv Dattani ने संयुक्त प्रमाणन को दो ऐसे सवालों का स्वतंत्र जवाब बताया, जो उनके अनुसार संगठन अब पूछते हैं: उनकी सुरक्षा स्थिति क्या है, और क्या AI एजेंट अपेक्षा के अनुसार काम करते हैं। उन्होंने कहा, “AIUC-1 को अलग बनाने वाली बात AI एजेंटों के व्यवहार का लाइव परीक्षण है, न कि सिर्फ नीतियों और सुरक्षा उपायों की समीक्षा।” Dattani के अनुसार, एजेंटों को मतिभ्रम और डेटा लीक से लेकर चालाकी भरे अनुरोधों और प्रतिकूल प्रॉम्प्ट इंजेक्शन तक, जोखिमों और हमलों के सैकड़ों संयोजनों के आधार पर परखा जाता है। हर संयोजन का मूल्यांकन बार-बार की जाने वाली बातचीत के ज़रिए होता है और एक सामान्य मूल्यांकन में हज़ारों परिदृश्य शामिल होते हैं।

नवीनीकरण की शर्तें और सेवा-प्रदान की समय-सीमा

घोषणा में उद्यमों और AI डेवलपरों के बीच प्रचलित आश्वासन प्रक्रिया को इस तरह बताया गया है: भरोसे का निर्धारण हर बार एक सुरक्षा प्रश्नावली पर बातचीत के ज़रिए होता है। यह धीमी और महँगी प्रक्रिया है, जिससे शायद ही कभी सवाल का निर्णायक जवाब मिल पाता है। इसमें यह भी कहा गया है कि AI एजेंट अब क्रेडेंशियल रखते हैं, API कॉल करते हैं और मुख्य प्रणालियों के भीतर काम करते हैं; इसलिए AI की विफलता अब तेज़ी से सुरक्षा उल्लंघन का रूप ले रही है।

SOC 2 की दोनों रिपोर्टों और AIUC-1 प्रमाणनों का हर साल नवीनीकरण आवश्यक है। इसके अलावा, AIUC-1 का तकनीकी पुनर्परीक्षण हर तिमाही होता है। मानक के दस्तावेज़ों में कहा गया है कि AIUC-1 के लिए हर साल पुनः प्रमाणन आवश्यक है, ताकि किसी संगठन की सुरक्षा स्थिति AI की क्षमताओं और सर्वोत्तम कार्यप्रणालियों के अनुरूप बनी रहे। क्रॉसवॉक में कहा गया है कि प्रमाणन में वास्तविक दुनिया के जोखिमों के मद्देनज़र एजेंटों का तृतीय पक्ष द्वारा हर तिमाही तकनीकी परीक्षण भी शामिल है।

कई सीपीए फर्में पहले से ही ग्राहकों को SOC 2 और AIUC-1 का संयुक्त प्रस्ताव दे रही हैं। AIUC के दस्तावेज़ों के अनुसार, संगठन अपने मौजूदा SOC 2 ऑडिटर के साथ एक ही कार्य के दौरान SOC 2 सत्यापन और AIUC-1 प्रमाणन हासिल करते हैं। संगठनों ने कहा कि संयुक्त प्रमाणन की पूरी शुरुआत 2027 की शुरुआत में होने की उम्मीद है, जब शुरुआती कार्य पूरे हो जाएंगे।