Checklist de SOC 2: 16 pasos para prepararse para la auditoría

Antes de empezar: cuatro definiciones previas

• ¿Para quién es el informe?

  Qué clientes o contratos lo requieren y qué tipo de informe y categorías aceptan.

• ¿Quién lidera el proyecto?

  Un coordinador con tiempo asignado y el respaldo de la dirección.

• ¿Para cuándo se necesita?

  La fecha define si conviene empezar por un Tipo 1. Ver cuánto tarda SOC 2.

• ¿Cuánto se puede invertir?

  Auditoría, preparación y renovación anual. Ver cuánto cuesta SOC 2.

Fase 1: planificación (pasos 1 a 3)

Define para qué y para quién se hace el informe, qué tipo de informe se necesita y qué evaluará el auditor.

• 1. Definir los objetivos del proyecto. Identificar los clientes o contratos que requieren el informe, confirmar con ellos qué tipo y categorías aceptan, y fijar una fecha objetivo con la aprobación de la dirección.Entregable: plan del proyecto aprobado.
• 2. Seleccionar el tipo de informe y el período. Decidir entre empezar por un Tipo 1 o ir al Tipo 2, definir la duración del período de observación y su fecha de inicio.Entregable: calendario del informe y del período.
• 3. Delimitar el alcance. Definir servicios, sistemas, datos y equipos incluidos, elegir las categorías de confianza y decidir cómo se tratarán los proveedores clave.Entregable: documento de alcance.

Fase 2: riesgos y brechas (pasos 4 a 7)

Establece quién trabaja en el proyecto, qué hay que proteger y cuánto falta para cumplir los criterios.

• 4. Conformar el equipo del proyecto. Designar al coordinador, sumar referentes de ingeniería, tecnología, personas, legales y administración, y asignar responsables por grupo de controles.Entregable: equipo y responsabilidades documentados.
• 5. Inventariar sistemas, datos y proveedores. Registrar la infraestructura del alcance, los datos de clientes y dónde se guardan, y los proveedores con acceso, cada uno con su responsable.Entregable: inventario de sistemas y proveedores.
• 6. Evaluar los riesgos. Definir una metodología, identificar amenazas sobre sistemas, datos, personas y proveedores, considerar el riesgo de fraude y documentar el tratamiento.Entregable: registro de riesgos aprobado.
• 7. Realizar el análisis de brechas. Comparar los controles actuales con cada criterio aplicable y priorizar lo que falta según riesgo y esfuerzo.Entregable: plan de remediación con responsables y plazos.

Fase 3: controles y políticas (pasos 8 a 10)

Lleva el plan a la práctica. Es la fase que más esfuerzo demanda y la que determina la evidencia del período.

• 8. Diseñar los controles y la matriz de controles. Definir cada control con su responsable, frecuencia, criterios que cubre y evidencia que lo respalda.Entregable: matriz de controles.Más detalle en requisitos de SOC 2.
• 9. Elaborar y aprobar las políticas. Seguridad de la información, accesos, cambios, incidentes, continuidad, proveedores, clasificación de la información y riesgos, alineadas con la operación real.Entregable: políticas aprobadas y comunicadas.
• 10. Implementar los controles técnicos. Autenticación multifactor, revisiones de accesos, aprobación de cambios, monitoreo, gestión de vulnerabilidades, copias de seguridad y cifrado.Entregable: controles operativos que generan evidencia.

Fase 4: personas y proveedores (pasos 11 y 12)

Cubre dos áreas que suelen quedar relegadas y que el auditor revisa con muestras.

• 11. Gestionar el ciclo de vida del personal. Aceptación de políticas y del código de conducta, acuerdos de confidencialidad, capacitación con registro y bajas de accesos dentro del plazo definido.Entregable: registros de ingresos, capacitaciones y salidas.
• 12. Gestionar los proveedores. Clasificarlos por criticidad, revisar los informes de seguridad de los críticos, incluir cláusulas en los contratos y reevaluarlos periódicamente.Entregable: evaluaciones de proveedores.

Fase 5: auditoría y mantenimiento (pasos 13 a 16)

Comprende la selección del auditor, el período de observación, el trabajo de campo y la continuidad del cumplimiento.

• 13. Seleccionar la firma auditora. Pedir propuestas a firmas habilitadas para emitir informes SOC, comparar alcance, plazos, modalidad y precio de renovación, y verificar su independencia.Entregable: carta de contratación firmada.
• 14. Preparar la descripción del sistema y la evidencia. Redactar la descripción del sistema, reunir la evidencia fechada de todo el período y tener listas las poblaciones de altas, bajas, cambios e incidentes.Entregable: descripción del sistema y evidencia del período.
• 15. Atender el trabajo de campo. Coordinar los pedidos del auditor, responder la lista de solicitudes a tiempo, preparar a los responsables para las entrevistas y responder las excepciones.Entregable: informe SOC 2 emitido.Más detalle en auditoría SOC 2.
• 16. Mantener el cumplimiento. Monitorear los controles de forma continua, encadenar los períodos de observación y revisar políticas, riesgos y proveedores según lo planificado.Entregable: plan de renovación anual.

Cuánto lleva cada fase

Plazos de referencia, coherentes con la guía de cuánto tarda SOC 2. Las fases 3 y 4 suelen avanzar en paralelo.

Errores frecuentes al usar una checklist

• Tildar sin evidencia

  Un paso está completo cuando existe el entregable y la evidencia que lo respalda, no cuando alguien dice que lo hizo.

• Empezar por las políticas

  Redactarlas antes de evaluar los riesgos produce documentos genéricos.

• Sumar categorías por las dudas

  Cada categoría extra multiplica el trabajo durante todo el período.

• Arrancar el período sin controles operativos

  Lo que falle en esas semanas queda como excepción en el informe.

• Dejar personas y proveedores para el final

  Son áreas que el auditor prueba con muestras de todo el período.

• Cerrar la checklist con el primer informe

  El paso 16 se repite cada año.

Qué tener en cuenta desde Latinoamérica

• La firma auditora: tiene que ser una firma de contadores habilitada para emitir informes SOC. Conviene confirmar que trabaja en español y de forma remota con equipos en la región.
• Verificación de antecedentes: si se incluye como control, tiene que respetar la legislación laboral y de datos de cada país.
• Leyes de datos locales: SOC 2 no reemplaza obligaciones como las de la Ley 21.719 en Chile o la LGPD en Brasil, aunque varios controles sirven para ambas.
• ISO 27001 en paralelo: si los clientes de la región piden ISO 27001, buena parte de los controles y la evidencia se comparten. Ver ISO 27001 vs SOC 2.

Qué pasos de la checklist resuelve Certenza

Una checklist ordena el trabajo, pero no lo hace. Estos son los pasos en los que Certenza reduce el esfuerzo del equipo:

• Pasos 3 y 8 · Alcance y controles. El alcance personalizable define los sistemas y categorías, y los controles quedan organizados frente a cada criterio.
• Pasos 6 y 7 · Riesgos y brechas. Los flujos de evaluación de riesgos guían el análisis y muestran qué falta implementar.
• Paso 9 · Políticas. El generador de políticas con IA redacta la documentación a partir de cómo trabaja la empresa y la mantiene vigente.
• Pasos 4, 11 y 12 · Responsables. Cada control, incluidos los de personas y proveedores, queda asignado a un responsable con su estado visible.
• Pasos 10, 14 y 16 · Evidencia y monitoreo. La recopilación automatizada de evidencias y los paneles de monitoreo continuo cubren todo el período y los años siguientes.
• Mientras tanto · Trust Center. Un portal para compartir el estado de la seguridad con clientes y auditores antes de tener el informe.

El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.