未公開的發明揭露書可能包含技術細節、商業計畫以及法律顧問的分析工作。在將這些資料輸入智慧財產權（IP）平台之前，您的專利團隊需要做出具備辯護力的供應商資格評估決策。安全徽章無法提供關於服務、控管措施或審查期間的詳細資訊。您的審查工作需要將「系統與組織控制」（SOC）2 Type II 報告、任何必要的資訊安全證書以及供應商的回答，與您打算核准的專利工作流程連結起來。

SOC 2 Type II 能為 IP 買家提供哪些資訊

針對 IP 平台，請索取您團隊計畫使用的服務之 SOC 2 Type II 報告。SOC 2 是由美國會計師公會（AICPA）所開發的審查與報告框架。獨立的執業會計師（CPA）會根據適用的「信託服務準則」，對服務組織的系統描述與控管措施進行審查。

這些類別包括安全性、可用性、處理完整性、機密性與隱私權。請記錄該特定審查涵蓋了哪些類別。報告的範圍決定了所涉及的控管措施與服務承諾。這份 AICPA 報告指南 對此系統層級的審查有詳細說明。

報告類型會影響可取得的證據內容：

• Type I：針對特定日期的系統描述與控管設計的適切性進行評估。
• Type II：除了上述內容外，還會評估特定期間內的運作有效性，並包含審計人員的控管測試與結果。

這項區別詳見 AICPA 指南摘錄。對於準備分享機密資料的專利團隊而言，Type II 提供了關於所描述的控管措施在審查期間如何運作的額外證據。

請使用精確的認證術語：SOC 2 Type II 認證（attestation）或 SOC 2 Type II 報告。Patlytics 已完成 SOC 2 Type II 審查。其 信任中心 提供報告存取請求管道，以及 ISO 證書資源。請將報告的實際範圍與日期納入您的資格審查紀錄中。

SOC 2 Type II 與 ISO 27001 解決的是不同問題

ISO/IEC 27001 由國際標準化組織（ISO）與國際電工委員會（IEC）共同發布，為資訊安全管理系統（ISMS）設定了要求。它處理的是組織管理資訊安全風險的方法。這份 IEC 標準說明 將 ISO/IEC 27001:2022 定義為建立、維護與改善該管理系統的要求標準。

ISO 27001 認證與 SOC 2 Type II 報告皆可用於支援供應商資格審查。請將它們視為獨立的證據，並具有各自的適用範圍。

認證機構會對管理系統進行稽核並核發證書。美國國家標準協會認證委員會 (ANAB) 的 認證指南 對此流程有詳細說明。請索取供應商的證書，並記錄其上的實體名稱、涵蓋活動、地點及標準版本。上述標準版本與特定供應商證書上所載的版本可能有所不同。

SOC 2 報告與 ISO 27001 證書是兩種不同的證明文件。貴組織的採購需求決定了是否接受其中之一、兩者皆收，或是採用其他替代方案。請記錄每份被接受的文件如何滿足擬議部署的需求。

根據您的專利工作流程閱讀 SOC 2 報告

先以簡短的聲明說明預期用途。「專利撰寫」一詞過於籠統，無法定義資料邊界。一份有效的聲明應包含輸入內容、處理過程、工作產出以及處理人員。例如：發明人文件進入揭露工作流程，經核准的揭露內容成為申請草稿，並在進一步使用前由專利律師審閱產出結果。

透過供應商授權的存取流程索取完整報告。請將報告限制在允許的審閱人員範圍內，並遵守文件處理條件。指派安全審查人員進行控制措施分析，並由專利律師負責評估預期用途與事項需求。

美國會計師公會 (AICPA) 將意見書、管理層聲明、系統說明、控制措施、測試及結果視為 報告關鍵要素。請依照下列順序一併閱讀。

1. 核對實體、服務與系統邊界

記錄法律實體與指定服務。閱讀系統說明，了解審查所涵蓋的組件、活動與邊界。

將您規劃的資料路徑對應至該說明：上傳、處理、儲存、支援存取與匯出。若人工智慧 (AI) 處理屬於工作流程的一部分，請確認該處理如何納入所述系統及其相依項目中。相關服務的報告必須具備與您團隊即將採購之服務的書面連結。

明確記錄未解決的範圍問題。在核准相關資料使用前，請為每個問題指派負責人並要求提供解答。

2. 記錄審查期間與後續變更

將審查期間的起訖日期及報告日期複製到審查記錄中。將審查過的服務與擬議的部署進行比較。要求提供審查期間結束後的重大變更說明，特別是影響您所規劃資料路徑的變更。

請將任何管理層的銜接信（bridge letter）與審計師報告分開。記錄其作者、日期、涵蓋區間以及關於後續變更的聲明。將這些聲明歸屬於管理層，並保留審計師的審查期間不變。

根據貴組織的供應商風險政策設定後續追蹤日期。請使用報告的實際日期與部署的變更內容，而非將 SOC 2 認證視為永久核准。

3. 綜合閱讀意見、聲明與測試結果

記錄審計師的意見及任何修正內容。閱讀管理層的聲明，以了解管理層對系統與控制措施的陳述。接著檢查與您資料路徑相關的測試與結果。

針對每一項相關的例外情況，記錄受影響的控制措施、測試結果、管理層回應以及可取得的補救佐證。請安全審查人員評估其對預期部署的影響。務必區分觀察到的測試例外、管理層的解釋以及審計師的整體意見。

對於機密發明資料，存取控制與變更管理方面的發現值得關注，因為這與誰能接觸資料以及服務如何變更息息相關。請從實際報告中選取相關發現，而非假設每份報告都使用相同的控制措施或測試程序。

4. 指派客戶責任

互補性使用者實體控制（Complementary user entity controls）是指報告預期客戶組織應實施的控制措施。若報告有此要求，請將這些期望轉化為您部署中的指定責任，例如帳戶管理或存取權限移除。

記錄負責團隊與實施佐證。若外部法律顧問將參與其中，請定義誰負責管理存取權限，以及在案件或委託結束時由誰負責移除權限。請確保此指派與報告的實際要求掛鉤。

5. 確認子服務組織的處理方式

子服務組織負責執行部分服務，例如託管。在包含法（inclusive method）下，其相關控制措施會納入審查範圍。在排除法（carve-out method）下，這些控制措施則排除在審查範圍之外。

記錄與您預期用途相關的方法與相依項目。對於採用排除法的相依項目，請由安全審查人員確認所需的額外保證佐證。AICPA 的 報告導覽 涵蓋了客戶控制、子服務處理、意見、例外情況與銜接信等報告審查主題。

單獨檢查 ISO 證書

索取實際的 ISO 27001 證書，並將相關的狀態資訊保留在同一個資格審查檔案中。記錄：

• 認證機構的名稱與聯絡資訊。
• 認證組織的名稱與地理位置。
• 認證活動或服務的範圍。
• 標準與版本。
• 簽發日期及顯示的任何到期日。
• 證書的唯一識別碼。

請使用簽發認證機構的驗證管道來確認目前狀態。ANAB 的 證書審查指南 列出了這些欄位，並說明如何向簽發機構查詢有效性問題。

將認證範圍與 SOC 2 系統說明及您擬採用的服務進行比對。記錄實體、地點或活動上的任何差異。採購部門隨後即可區分適用於預期服務的憑證，與涵蓋供應商營運其他部分的憑證。

建立工作流程專屬的資格記錄

將證據整合至決策記錄中，並註明許可用途、文件參考、待決問題、負責人及核准條件。報告內容應遵守存取限制；總結採購決策時，請勿將受限的調查結果傳閱給授權對象以外的人員。

以下虛構範例涉及內部專利團隊評估「揭露至草擬」的工作流程。此範例僅用於說明審查記錄，並不涉及任何實際供應商的調查結果。

若文件中有未決的重要問題，請附上服務專屬的書面解答。針對發明資料，這些解答可能涉及客戶資料模型訓練、上傳素材與生成草稿的保留，或處理位置。請確保每項解答皆與相關的資料類別及服務掛鉤。關於帳戶歷史的聲明應與發明檔案或備份的保留條款分開處理。

針對專利工作，請保留獨立的律師審查步驟。顧問在依賴草稿或報告前，需審查技術支援、權利要求、引證及法律分析。供應商控制證據屬於安全決策範疇；實質的專利審查則屬於事務工作流程範疇。

針對企業商業案例，請編列完成此記錄所需的安全、採購及法律顧問時間預算。將首個核准的工作流程與專利團隊的藍圖對齊，例如揭露內容接收後進行申請案撰寫。將證據審查與專利工作流程評估同步安排，以便儘早釐清開放式問題。重複使用資格記錄以供後續部署，並針對其服務與資料邊界進行更新。在擴展至新的資料類別或工作流程前，請記錄額外的審查成本與待解決問題。

Patlytics 的適用場景

Patlytics 專為跨連結專利工作流程的專利從業人員所打造。「發明揭露 (IDF)」模組可將發明人素材轉化為結構化的發明揭露書以供審查。專利撰寫支援從揭露素材到申請案草稿的下一步驟。律師在提交或進一步使用前，對工作成果保有審查與決策權。

Patlytics 的安全憑證包括 SOC 2 Type II 認證、ISO 27001 認證及 ISO 42001 認證。未經明確同意或必要情況，Patlytics 不會使用客戶資料來調整或訓練其模型。安全概覽說明了這些防護措施，而信任中心則讓您的團隊能直接索取 SOC 2 Type II 報告。請為您打算核准的部署記錄適用的文件範圍、日期及客戶責任。

了解 Patlytics 如何將機密發明素材從揭露階段轉移至供律師審查的申請案草稿。該平台擁有 SOC 2 Type II 認證，以及 ISO 27001 和 ISO 42001 認證。預約演示，體驗專為您的「揭露至撰寫」工作流程量身打造的方案。