La documentación es lo primero que pide el auditor y lo que usa para planificar todo su trabajo. Si llega incompleta o no coincide con lo que la empresa hace, la auditoría se demora y aparecen excepciones. Esta guía explica qué contiene cada documento, quién suele redactarlo y cómo mantener todo ordenado durante el período de observación.
Resumen rápido
- Tres documentos centrales: descripción del sistema, afirmación de la dirección y matriz de controles.
- Políticas y procedimientos: respaldan los controles y tienen que coincidir con la operación real.
- Documentos de soporte: diagramas, inventarios, organigrama, contratos y planes de respuesta y continuidad.
- Registros: la evidencia de que cada control funcionó; en el Tipo 2, durante todo el período.
- Lo que define cuánto hace falta: las categorías de confianza incluidas y el tipo de informe.
Los tres documentos centrales
- Descripción del sistema
Explica qué servicios presta la empresa, con qué infraestructura, personas y procesos, y qué controles aplica. Forma parte del informe.
- Afirmación de la dirección
La declaración firmada en la que la dirección asegura que la descripción es fiel y que los controles cumplen los criterios.
- Matriz de controles
La lista de controles con los criterios que cubren, sus responsables, su frecuencia y su evidencia. Es la base de la planificación del auditor.
La descripción del sistema, paso por paso
La redacta la empresa, no el auditor, y se publica dentro del informe. Por eso es el documento que más leen los clientes. El AICPA define qué tiene que incluir:
| Elemento | Qué se describe |
|---|---|
| Servicios | Qué servicios presta la empresa y a qué tipo de clientes |
| Compromisos y requisitos | Qué les promete la empresa a sus clientes en materia de seguridad, disponibilidad u otras categorías, y qué necesita el sistema para cumplirlo |
| Componentes del sistema | Infraestructura, software, personas, procedimientos y datos |
| Incidentes relevantes | Incidentes de seguridad significativos ocurridos en el período, si los hubo |
| Criterios y controles | Los criterios aplicables y los controles que los cubren |
| Controles de los clientes | Lo que tienen que hacer los propios clientes para que los controles funcionen, como gestionar sus usuarios |
| Proveedores de subservicios | Los proveedores, como la nube, cuyos controles quedan fuera del alcance, y qué se espera de ellos |
| Cambios en el período | Cambios significativos en el sistema durante el período auditado (Tipo 2) |
Resumen con palabras propias de los criterios de descripción del AICPA.
Un error frecuente es escribirla como un folleto comercial. Tiene que ser precisa: el auditor verifica que cada afirmación coincida con la realidad, y una promesa que no se cumple puede convertirse en excepción.
La afirmación de la dirección
Es un texto breve, firmado por la dirección, que acompaña a la descripción del sistema. En ella, la empresa asegura que la descripción presenta el sistema de forma fiel, que los controles estaban bien diseñados y, en un Tipo 2, que funcionaron durante el período. La firma auditora suele proveer un modelo, pero la responsabilidad del contenido es de la empresa.
La matriz de controles
Lista cada control con su descripción, los criterios que cubre, su responsable, su frecuencia y la evidencia que lo respalda. Algunas empresas suman el nivel de riesgo asociado. Un ejemplo de matriz y de controles por criterio está en la guía de requisitos de SOC 2.
Las políticas que respaldan los controles
| Política | Qué debería cubrir | Responsable habitual |
|---|---|---|
| Seguridad de la información | Objetivos, roles y compromiso de la dirección | Dirección |
| Control de accesos | Altas, bajas, permisos mínimos, autenticación y revisiones | IT |
| Gestión de cambios | Cómo se aprueban, prueban y pasan a producción los cambios | Ingeniería |
| Respuesta a incidentes | Detección, clasificación, comunicación y lecciones aprendidas | Seguridad o IT |
| Continuidad y recuperación | Copias de seguridad, recuperación y pruebas | IT |
| Gestión de proveedores | Evaluación, contratos y seguimiento | Administración |
| Gestión de riesgos | Metodología, frecuencia y aprobación | Dirección |
| Clasificación y retención de la información | Niveles de clasificación, conservación y eliminación | Seguridad o legales |
| Uso aceptable y conducta | Uso de equipos y sistemas, y código de conducta | Personas |
Las políticas tienen que reflejar lo que la empresa realmente hace. El auditor las compara con la evidencia: si la política dice que los accesos se revisan cada trimestre y hubo un trimestre sin revisión, es una excepción.
Documentos de soporte que suele pedir el auditor
- Diagrama de la infraestructura y de los flujos de datos.
- Inventarios de sistemas, activos de información y proveedores.
- Organigrama y descripción de roles y responsabilidades.
- Evaluación de riesgos y registro de riesgos.
- Planes de respuesta a incidentes y de continuidad, con sus pruebas.
- Contratos con proveedores críticos e informes SOC de esos proveedores.
- Informes de pruebas de penetración y escaneos de vulnerabilidades.
- Informes SOC 2 anteriores, si los hay.
Los registros: la evidencia del período
Los registros demuestran que los controles funcionaron: revisiones de accesos, altas y bajas, cambios aprobados, alertas e incidentes gestionados, capacitaciones completadas, evaluaciones de proveedores y pruebas de copias de seguridad. En un Tipo 1 alcanza con mostrar que el control está implementado; en un Tipo 2, el auditor pide los registros de todo el período y toma muestras. Los registros generados por los sistemas, con fecha y hora, son los más confiables.
Cómo mantener la documentación ordenada
- Un solo repositorio. Todas las políticas, documentos y registros en un lugar, no repartidos entre correos y carpetas.
- Un dueño por documento. Alguien responsable de mantenerlo vigente.
- Versión, fecha y aprobación. Cada documento con su historial de cambios y la fecha de su última revisión.
- Revisiones planificadas. Un calendario para revisar las políticas y actualizar la descripción del sistema cuando algo cambia.
- Coherencia con la práctica. Si un proceso cambia, la política se actualiza antes de que lo note el auditor.
- El idioma. Muchos informes SOC 2 se emiten en inglés. Conviene acordar con la firma auditora en qué idioma va la descripción del sistema y si las políticas en español requieren traducción.
Errores frecuentes
- Una descripción del sistema comercial
Promesas que no se pueden demostrar se convierten en excepciones.
- Políticas copiadas
Plantillas que describen procesos que la empresa no tiene.
- Documentos sin fecha ni aprobación
El auditor no puede confirmar que estaban vigentes en el período.
- Olvidar los controles de los clientes
Si no se describen, la responsabilidad parece estar toda en la empresa.
- No actualizar ante cambios
Un sistema nuevo o un proveedor nuevo que no figura en la descripción.
- Evidencia dispersa
Registros repartidos en herramientas y carpetas que cuesta reunir a tiempo.
Cómo ayuda Certenza con la documentación
Las políticas se generan con IA a partir de cómo trabaja la empresa, con su versión, su fecha de revisión y un responsable asignado, y se actualizan cuando cambia algún proceso. Así dejan de ser plantillas que nadie lee y pasan a reflejar la operación real, que es lo que compara el auditor.
Los controles y los riesgos quedan organizados según el alcance definido para el informe: cada control tiene su dueño, y los flujos de evaluación de riesgos dejan documentado el análisis que exigen los criterios comunes. Esa estructura es la base para armar la matriz de controles y la descripción del sistema.
Los registros llegan solos: la recopilación automatizada de evidencias reúne la información fechada desde las herramientas conectadas, y los paneles de monitoreo continuo avisan si un control dejó de generarla. Cuando el auditor o un cliente pide información, el Trust Center permite compartirla desde un solo lugar.
El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.
¿Querés ver tu documentación SOC 2 en un solo lugar?
Te mostramos cómo organizar políticas, controles y evidencia con Certenza.