稳定币外包出去的账：SOC1 与 SOC2 报告怎么读

一家稳定币发行商的账本很薄：铸币和赎币交给服务商，储备托管在信托行，清算对账外包给基金运营方。于是鉴证链条也跟着账本一起被外包出去了——会计师事务所给这些服务商开的 SOC 报告，就是这条外包链条的质检单。这篇文章讲这张质检单分几种、在哪三处找问题。

鉴证业务先分三个深度

会计师事务所出具的鉴证材料有深浅：最高一档是审核（examination），注册会计师独立测试后给出正面意见，提供合理保证；中间一档是审阅（review），程序较少，只给有限保证，措辞是未见重大修改事项这类否定式表达；最浅一档是商定程序，双方约定逐项执行、如实报告发现，不下结论。同样一份储备数字，挂在哪一档标题下，含金量完全不同。SOC 报告同样先分深浅再看内容。

SOC1 与 SOC2 各查什么

SOC1 聚焦服务商控制与委托方财务报表的关系，任何可能影响客户账目准确性的环节都在范围内，分两类：Type I 讲某个时点控制的设计是否合理，Type II 讲一段期间内控制是否持续有效运行——审计师真正关心的是后者。SOC2 转向信任服务准则，按安全性、可用性、处理完整性、保密性、隐私性五个维度裁剪，常用于云服务商与基础设施商。对稳定币生态，铸币平台、托管行、筛查供应商的 SOC1 Type II，比一份漂亮的宣传页更接近问题核心。

报告先翻三处

第一处看覆盖期间与类型：只给 Type I、或期间只有一两天的报告，证明的是快照而非习惯。第二处看补充控制一节：报告里会写明哪些控制环节本应由使用方（也就是发行商）自己执行——很多事故复盘到最后，缺的正是使用方这一侧的复核。第三处看子服务商处理办法：外包商自己也外包时，有两种做法，carve-out 把子服务商的控制排除在测试范围外、只在说明里提示，inclusive 把它们并进测试；同一份标题的报告，两种办法的实际范围可以差出一截。例外事项栏不必追求零，关键看例外是什么、谁发现、多久补救。

它和储备鉴证函不是一回事

每月发布的储备鉴证函回答的是币在不在、储备够不够；SOC 报告回答的是铸币、托管、对账这些流程的控制在不在。一个查钱，一个查流程；发行商可以两种材料都有，也完全可以只披露其中一种。看到月度鉴证函就推断背后流程都被审过，是把两份材料合成了一份。

普通用户能不能看到

SOC 报告通常在使用方审计师与服务商之间按保密协议流转，公众少见全文。但发行商的披露页往往写明其服务商是否经过独立鉴证、按什么标准出具；这一整段材料的缺席本身，就是关于这条外包链条可信度的一项信息。成熟发行方会把鉴证函、SOC 摘要、审计意见三类文档分别列出，缺哪一类，流程就断在哪一环。

小结

把这条材料链捋成一句话：深度看标题——是审核还是审阅；范围看类型——Type II 才谈得上持续有效；责任看补充控制与子服务商办法；例外看发现与修复。储备鉴证函管钱的数量，SOC 报告管流程的质量，两份材料各自成立，才谈得上一个发行方的账外包得清楚。下次看到某发行方把审计意见、月度鉴证、服务商报告列成三行清单，你就知道它至少把问题答到了三层。

风险提示

本文为鉴证机制科普，不构成投资建议；报告类型、覆盖范围以各机构披露文本为准。存在鉴证或 SOC 材料不等于零风险，任何流程控制都只对已覆盖环节有效。