Qué es SOC 2 y qué contiene el informe ya lo explicamos en ¿Qué es SOC 2? Esta guía se concentra en la auditoría en sí: cómo elegir la firma, qué etapas tiene, cómo trabaja el auditor, qué le va a pedir al equipo y dónde aparecen las excepciones más comunes.
Resumen rápido
- Quién la hace: una firma de contadores públicos habilitada e independiente de quien diseñó los controles.
- Cómo prueba: con entrevistas, observación, inspección de registros y, en algunos casos, repitiendo el control.
- Muestras: en el Tipo 2, el auditor elige casos de todo el período, por ejemplo, altas y bajas de personal o cambios en producción.
- Lo que pide: una lista de evidencia que la empresa tiene que entregar, conocida como lista de solicitudes.
- Resultado: el informe, con las excepciones encontradas y las respuestas de la dirección.
Cómo elegir la firma auditora
La auditoría SOC 2 solo la puede hacer una firma de contadores públicos (CPA) con licencia en Estados Unidos, otorgada por las juntas estatales de contabilidad, para emitir este tipo de informes. Muchas firmas internacionales tienen equipos o socios en Latinoamérica. Al compararlas, conviene revisar:
- Habilitación y control de calidad
Que esté habilitada para emitir informes SOC y que su trabajo pase por revisiones de calidad entre pares.
- Experiencia en el sector
Auditores que conocen empresas de software y servicios en la nube entienden mejor los controles técnicos.
- Idioma y modalidad
Si puede trabajar en español y de forma remota con equipos en la región.
- Independencia
Si la firma ayudó a diseñar los controles, no puede auditarlos.
- Reconocimiento
Que los clientes de la empresa acepten informes de esa firma.
- Alcance de la propuesta
Tipo de informe, categorías incluidas, período, plazos de entrega y qué pasa si hay que repetir pruebas.
Las etapas de la auditoría
- Evaluación de preparación (opcional). Una revisión previa para detectar brechas antes de la auditoría formal.
- Carta de contratación y alcance. Se acuerdan el tipo de informe, las categorías de confianza, los sistemas incluidos y, para el Tipo 2, el período.
- Descripción del sistema. La empresa redacta la descripción de sus servicios, infraestructura, procesos y controles, que forma parte del informe.
- Planificación. El auditor relaciona cada criterio con los controles de la empresa y define qué va a probar y cómo.
- Trabajo de campo. Entrevistas, recorridas por los procesos, revisión de evidencia y pruebas sobre muestras.
- Excepciones y respuestas. El auditor comunica lo que encontró y la dirección puede responder cada excepción.
- Borrador e informe final. La empresa revisa el borrador para corregir errores de hecho, y la firma emite el informe.
Cómo trabaja el auditor
Para cada control, el auditor de SOC 2 combina cuatro métodos de prueba: indagación (preguntar a los responsables), observación (ver el control funcionando), inspección (revisar documentos y registros) y reejecución (repetir el control para comprobar el resultado). La indagación sola no alcanza: siempre necesita evidencia que respalde lo que le dicen.
| Método | En qué consiste | Ejemplo |
|---|---|---|
| Indagación | Preguntar a los responsables cómo funciona el control | Entrevista con quien gestiona los accesos |
| Observación | Ver el control funcionando | Ver cómo se aprueba un cambio antes de pasar a producción |
| Inspección | Revisar documentos y registros | Revisar la evidencia de una revisión trimestral de accesos |
| Reejecución | Repetir el control para comprobar el resultado | Verificar que una cuenta dada de baja ya no puede ingresar |
La indagación sola no alcanza: el auditor siempre necesita evidencia que respalde lo que le dicen.
Poblaciones y muestras
En el Tipo 2, el auditor pide la lista completa de casos del período (la población) y elige una muestra para revisar. Por ejemplo: todas las personas que ingresaron o se fueron, todos los cambios en producción o todos los incidentes. Para cada caso de la muestra, la empresa tiene que mostrar que el control funcionó: la aprobación, la fecha, el registro.
La cantidad de casos que se revisan depende de con qué frecuencia opera el control y del criterio de la firma: un control diario requiere más muestras que uno trimestral.
Qué le va a pedir el auditor al equipo
Antes y durante el trabajo de campo, la firma envía una lista de solicitudes con todo lo que necesita. Suele incluir:
- Políticas y procedimientos aprobados, con su fecha de revisión.
- Organigrama, descripción de roles y responsables de cada control.
- Inventario de sistemas y diagrama de la infraestructura.
- Listados de usuarios, altas y bajas del período, y revisiones de accesos.
- Registros de cambios en producción con sus aprobaciones.
- Evaluación de riesgos, gestión de proveedores e informes de sus auditorías.
- Registros de incidentes, monitoreo, copias de seguridad y pruebas de restauración.
- Evidencia de capacitación y de acuerdos de confidencialidad firmados.
Responder la lista a tiempo es una de las cosas que más influye en la duración de la auditoría. Las demoras en la evidencia alargan el trabajo de campo y, muchas veces, el costo.
Las excepciones más comunes
Una excepción es un caso en el que el control no funcionó como estaba descrito. Estas son las que más aparecen:
- Bajas tardías
Accesos que siguieron activos días o semanas después de que la persona se fue.
- Revisiones de accesos salteadas
Una revisión trimestral que no se hizo o no dejó registro.
- Cambios sin aprobación
Pasajes a producción sin la revisión que exige el procedimiento.
- Capacitación incompleta
Personas nuevas que no hicieron la concientización en el plazo previsto.
- Proveedores sin evaluar
Proveedores críticos sin revisión de su informe de seguridad.
- Políticas desactualizadas
Documentos que no se revisaron en el plazo que la propia política fija.
Una excepción no implica automáticamente una opinión con salvedades: depende de su gravedad y de si hay controles que compensen. Igual queda descrita en el informe, y los clientes la van a leer.
Cuánto dura la auditoría
| Etapa | Duración habitual |
|---|---|
| Preparación de la empresa | De 3 a 9 meses, según el punto de partida |
| Período de observación (solo Tipo 2) | De 3 a 12 meses |
| Trabajo de campo | Algunas semanas |
| Emisión del informe | Algunas semanas después del trabajo de campo |
Plazos de referencia. Dependen del alcance, de la firma y de la rapidez con que la empresa entrega la evidencia.
Cómo preparar al equipo
- Designar un coordinador. Una persona que reciba la lista de solicitudes, reparta los pedidos y siga los plazos.
- Tener las poblaciones listas. Los listados completos del período (usuarios, cambios, incidentes) son lo primero que pide el auditor.
- Repasar la descripción del sistema. Tiene que coincidir con lo que el equipo hace en la práctica.
- Preparar a los entrevistados. Que expliquen cómo trabajan y muestren evidencia, sin improvisar.
- Hacer una revisión interna previa. Probar algunas muestras antes que el auditor permite corregir a tiempo.
Cómo ayuda Certenza durante la auditoría SOC 2
Buena parte del esfuerzo de una auditoría SOC 2 está en responder la lista de solicitudes y encontrar la evidencia de cada muestra. Certenza la tiene reunida antes de que el auditor la pida:
- Evidencia lista para las muestras: la recopilación automatizada de evidencias guarda los registros de todo el período, así cada caso que elige el auditor tiene su respaldo.
- Un alcance que coincide con el informe: los sistemas y las categorías configurados en Certenza son los mismos que se acordaron con la firma.
- Políticas al día para entregar: el generador de políticas con IA ayuda a mantener la documentación vigente y con su fecha de revisión.
- Menos excepciones sorpresa: los paneles de monitoreo continuo muestran un control conectado que dejó de cumplirse cuando ocurre, no en el trabajo de campo.
- Responsables listos para las entrevistas: cada control tiene un dueño identificado, que sabe qué evidencia respalda su trabajo.
- Riesgos documentados: los flujos de evaluación de riesgos dejan el registro que el auditor revisa en los criterios comunes.
- Trust Center para compartir información: un portal donde el auditor y los clientes encuentran la información de seguridad que la empresa decide compartir.
La auditoría y el informe SOC 2 los realiza una firma de contadores independiente que se contrata por separado.
¿Querés llegar a la auditoría con la evidencia lista?
Te mostramos cómo responder la lista de solicitudes con Certenza.