Cuando un cliente pide SOC 2, la siguiente pregunta casi siempre es "¿para cuándo lo pueden tener?". La respuesta depende de tres cosas: cuánto de lo que exigen los criterios ya existe en la empresa, qué tipo de informe se necesita y qué tan largo es el período de observación. Esta guía desglosa cada etapa, propone un cronograma de ejemplo y explica qué acorta o alarga el camino.
Resumen rápido
- Preparación: de 1 a 3 meses si los controles ya existen; de 3 a 9 meses si se empieza de cero.
- Tipo 1: después de la preparación, entre 1 y 3 meses más para la auditoría y el informe.
- Tipo 2: suma un período de observación de 3 a 12 meses antes de la auditoría.
- Primer informe Tipo 2: alrededor de un año desde que se empieza, en la mayoría de los casos.
- Lo que más demora: implementar controles y entregar la evidencia que pide el auditor.
Las etapas y cuánto dura cada una
| Etapa | Tipo 1 | Tipo 2 |
|---|---|---|
| Preparación (alcance, brechas, controles, políticas) | 1 a 3 meses con controles existentes; 3 a 9 desde cero | Igual |
| Período de observación | No aplica: se evalúa una fecha | 3 a 12 meses |
| Trabajo de campo del auditor | 2 a 5 semanas | 2 a 6 semanas |
| Emisión del informe | 2 a 6 semanas | 2 a 6 semanas |
| Total aproximado desde cero | 4 a 12 meses | 9 a 18 meses, según el período |
Plazos de referencia. Dependen del alcance, de las categorías incluidas, de la agenda de la firma auditora y de la rapidez con que la empresa entrega la evidencia.
El período de observación: cuánto conviene que dure
En el Tipo 2, el auditor evalúa si los controles funcionaron durante un período. Ese período lo define la empresa junto con la firma auditora, y es la parte del plazo que no se puede acelerar: hay que esperar a que transcurra.
- 3 meses
Habitual para un primer informe cuando hay apuro. Algunos clientes lo aceptan como punto de partida.
- 6 meses
Un punto medio que muchos clientes consideran suficiente para un primer informe.
- 12 meses
El estándar a partir del segundo informe: cubre el año completo y no deja huecos.
- Períodos encadenados
Cada período empieza donde terminó el anterior, para que la empresa tenga cobertura continua.
Antes de elegir, conviene preguntarles a los clientes clave qué período mínimo aceptan.
Un cronograma de ejemplo: 12 meses hasta el primer Tipo 2
Así puede verse el camino de una empresa de software de 25 personas, sin certificaciones previas, que necesita un Tipo 2 para un cliente de Estados Unidos:
| Mes | Qué pasa |
|---|---|
| Mes 1 | Alcance y categorías, análisis de brechas y elección de la firma auditora |
| Meses 2 a 4 | Implementación de controles, políticas, capacitación y evaluación de riesgos |
| Mes 5 | Auditoría Tipo 1, para darle al cliente una primera respuesta |
| Meses 5 a 10 | Período de observación de 6 meses: los controles operan y dejan evidencia |
| Mes 11 | Trabajo de campo del Tipo 2 |
| Mes 12 | Emisión del informe SOC 2 Tipo 2 |
Ejemplo ilustrativo. Hacer el Tipo 1 es opcional: algunas empresas pasan directo al período de observación.
Qué alarga o acorta el plazo
| Alarga el plazo | Lo acorta |
|---|---|
| Empezar sin controles básicos de accesos, cambios o monitoreo | Tener prácticas de seguridad ya establecidas |
| Incluir categorías que ningún cliente pidió | Limitar el alcance a Seguridad y a lo que exigen los contratos |
| Contratar la firma auditora a último momento | Reservar la auditoría durante la preparación |
| Juntar evidencia a mano cuando la pide el auditor | Recolectarla de forma continua desde el inicio del período |
| Controles que fallan durante el período sin que nadie lo note | Monitorear los controles y corregir a tiempo |
| Un equipo sin tiempo asignado al proyecto | Un coordinador con horas dedicadas |
Después del primer informe
SOC 2 no es un proyecto que termina: los clientes esperan un informe nuevo cada año. Lo habitual es encadenar períodos de 12 meses, de modo que la auditoría de un año empieza a prepararse mientras corre el período siguiente. Si un cliente pide el informe varios meses después del fin del período, la empresa puede entregarle una carta puente que declare que no hubo cambios importantes.
Qué pasa en cada etapa de la auditoría está explicado en la guía de auditoría SOC 2.
Dónde ahorra tiempo Certenza
El período de observación no se puede acortar, pero casi todo lo demás sí. Esta es la diferencia, etapa por etapa:
| Etapa | Lo que suele demorar | Con Certenza |
|---|---|---|
| Alcance | Discusiones sobre qué sistemas y categorías incluir | Alcance personalizable, configurado según lo que piden los clientes |
| Brechas y riesgos | Planillas armadas desde cero | Flujos de evaluación de riesgos que muestran qué falta frente a cada criterio |
| Políticas | Semanas redactando documentos | Generador de políticas con IA que ayuda a redactarlas según cómo trabaja la empresa |
| Implementación | Tareas que se pierden entre áreas | Cada control con responsable y estado visible |
| Período de observación | Fallas que se descubren en la auditoría | Paneles de monitoreo continuo que alertan cuando un control deja de cumplirse |
| Trabajo de campo | Días buscando evidencia para cada muestra | Recopilación automatizada de evidencias de todo el período |
| Mientras tanto | Clientes esperando sin información | Trust Center para compartir el estado de la seguridad antes de tener el informe |
La auditoría y el informe SOC 2 los realiza una firma de contadores independiente que se contrata por separado.
¿Para cuándo necesitás tu informe SOC 2?
Te ayudamos a armar un plan realista hasta esa fecha.