AICPA и AIUC объединили отчеты SOC 2 и сертификацию AIUC-1

19 октября 2026 года Американский институт дипломированных бухгалтеров и Artificial Intelligence Underwriting Company объявили о совместной сертификации, подтверждающей соответствие требованиям. Она объединяет отчет SOC 2 и сертификацию AIUC-1 в одном документе, подготовленном по итогам одной проверки под руководством CPA и охватывающем системы и агенты ИИ.

Организации назвали эту сертификацию первой комплексной независимой оценкой деловых рисков, связанных с системами и агентами ИИ. Согласно объявлению, предложение основано на стандартах и системах оценки, разработанных двумя партнерами и применяемых тысячами компаний по всему миру; в прошлом году более 40 000 организаций получили отчет о соответствии SOC 2 или сертификацию AIUC-1.

«Компании вложили значительные средства в ИИ, и инвесторы, клиенты и другие заинтересованные стороны заслуживают более полной и объективной картины того, насколько эта технология безопасна, надежна и надлежащим образом регулируется», — заявил президент и генеральный директор AICPA Марк Козиэль. По его словам, совместное предложение дает такую картину, а участие CPA в проведении проверки позволяет организациям опираться на экспертные знания, добросовестность и профессиональное суждение, укрепляющие доверие на рынках капитала.

Что включает проверка SOC 2

SOC 2 — это независимая проверка, которую лицензированный CPA проводит в соответствии со стандартами аттестации AICPA. Она оценивает средства контроля, относящиеся к безопасности, доступности, целостности обработки, конфиденциальности или защите частной жизни системы. В итоговом отчете содержится заключение о том, насколько надлежащим образом разработаны средства контроля, поддерживающие эту систему, и насколько эффективно они работают.

AICPA описывает System and Organization Controls как комплекс услуг, которые CPA могут оказывать в связи со средствами контроля на уровне системы организации, предоставляющей услуги, или на уровне организации в целом для других организаций. Кроме того, AICPA разрабатывает профессиональные стандарты для проверок SOC.

В рамках совместной модели CPA-фирмы оценивают средства контроля организации на соответствие критериям доверия к услугам, разработанным AICPA: обязательным базовым требованием является безопасность, а доступность, целостность обработки, конфиденциальность и защита частной жизни выступают дополнительными направлениями, согласно документации AIUC по сопоставлению с SOC 2. В ней указано, что AIUC-1 охватывает специфичные для ИИ средства контроля, не входящие в SOC 2, и соотносит критерии доверия к услугам SOC 2 с требованиями, относящимися к ИИ. Анализ пробелов показывает, что AIUC-1 не охватывает ряд областей SOC 2, включая управление мощностями, защиту окружающей среды и резервное копирование, тестирование планов восстановления, ограничения физического доступа, надзор со стороны совета директоров, оценку риска мошенничества и меры по снижению рисков для непрерывности бизнеса.

Как AIUC-1 проверяет ИИ-агентов

В объявлении AIUC-1 назван первым в мире стандартом безопасности, защищенности и надежности ИИ-агентов. Согласно документации стандарта, его требования охватывают шесть категорий: данные и конфиденциальность — правила использования данных, интеллектуальная собственность и коммерческая тайна, раскрытие персональных данных и утечка секретов; безопасность — тестирование на устойчивость к атакам, фильтрация входных данных, контроль доступа и безопасные шаблоны кода; безвредность — классификация рисков, тестирование до развертывания и третьими сторонами, а также предотвращение вредоносных ответов и ответов за пределами заданной области; надежность — предотвращение галлюцинаций и ограничения на небезопасные вызовы инструментов; подотчетность — планы действий при сбоях, распределение ответственности, проверка поставщиков, ведение журналов, прозрачность и управление качеством; общество — предотвращение использования ИИ для киберзлоупотреблений и действий, способных привести к катастрофическим последствиям.

Чтобы получить сертификацию, агенты должны выполнить все применимые требования AIUC-1, проверенные аккредитованным аудитором, и пройти комплексную оценку, охватывающую основные риски для крупных предприятий, говорится в документации. AIUC-1 разработан консорциумом, в который входят более 250 директоров по информационной безопасности и других руководителей в сфере безопасности, и обновляется ежеквартально. В объявлении говорится, что его требования соотносятся с такими системами, как MITRE ATLAS, ISO 42001 и Закон ЕС об искусственном интеллекте — европейским регламентом, который классифицирует системы ИИ по уровню риска. В документации стандарта также перечислены таблицы соответствия Рамке управления рисками ИИ NIST и списку OWASP Top Ten.

Сооснователь AIUC Раджив Даттани представил совместную сертификацию как независимый ответ на два вопроса, которые, по его словам, теперь задают организации: каково состояние их защищенности и ведут ли себя ИИ-агенты так, как задумано. «AIUC-1 отличает тестирование поведения ИИ-агентов в реальных условиях, а не просто проверка политик и защитных механизмов», — сказал он. По словам Даттани, агенты проходят тестирование на сотнях сочетаний рисков и атак — от галлюцинаций и утечки данных до манипулятивных запросов и внедрения враждебных инструкций в запрос. Каждое сочетание проверяется в ходе серии последовательных диалогов, а типичная оценка охватывает тысячи сценариев.

Условия продления и сроки предоставления

В объявлении описан распространенный сегодня процесс подтверждения соответствия между крупными компаниями и разработчиками ИИ: доверие приходится выстраивать, согласовывая по одной анкете по безопасности за раз. Этот обмен документами идет медленно, обходится дорого и редко позволяет получить однозначный ответ. Там также отмечается, что ИИ-агенты теперь используют учетные данные, вызывают API и действуют внутри ключевых систем, поэтому сбой ИИ все чаще становится нарушением безопасности.

И отчеты SOC 2, и сертификаты AIUC-1 необходимо обновлять ежегодно; кроме того, для AIUC-1 каждый квартал проводится повторное техническое тестирование. В документации стандарта указано, что AIUC-1 требует ежегодной повторной сертификации, чтобы уровень безопасности организации соответствовал развитию возможностей ИИ и передовым практикам. В таблице соответствия отмечено, что сертификация также включает ежеквартальное техническое тестирование агентов независимой третьей стороной на предмет рисков, возникающих в реальных условиях.

Несколько фирм сертифицированных бухгалтеров (CPA) уже предлагают клиентам совместную услугу SOC 2 и AIUC-1. В документации AIUC указано, что организации получают подтверждение соответствия SOC 2 и сертификацию AIUC-1 в рамках одного проекта, проводимого совместно с их действующим аудитором SOC 2. Организации заявили, что полноценный запуск совместной сертификации ожидается в начале 2027 года, после завершения первых проектов.