El informe SOC 2 tiene dos públicos: la empresa que lo obtiene y los clientes que lo reciben para evaluarla. Para la primera, saber qué va a leer el cliente ayuda a prepararse mejor. Para los segundos, sobre todo en empresas grandes que evalúan decenas de proveedores, saber leerlo es parte de una buena gestión de riesgos. Esta guía sirve para los dos lados.
Resumen rápido
- Cinco partes: opinión, afirmación de la dirección, descripción del sistema, controles y pruebas, e información adicional.
- Primero, lo básico: tipo de informe, período, firma auditora y tipo de opinión.
- Después, el alcance: qué sistemas y categorías cubre, y qué proveedores quedan afuera.
- Lo que más se pasa por alto: los controles que tiene que aplicar el propio cliente.
- Vigencia: no vence formalmente, pero un informe de más de un año suele considerarse desactualizado.
Las cinco partes de un informe SOC 2
- Opinión del auditor. La conclusión de la firma: si la descripción es fiel y los controles cumplen los criterios. Indica el tipo de informe, el período y las categorías.
- Afirmación de la dirección. La declaración firmada por la empresa sobre su sistema y sus controles.
- Descripción del sistema. Servicios, compromisos con los clientes, infraestructura, software, personas, procesos, datos, proveedores y controles complementarios.
- Criterios, controles, pruebas y resultados. Para cada criterio, los controles que lo cubren, qué probó el auditor y qué encontró. En el Tipo 2 es la sección más extensa.
- Información adicional. Datos que la empresa agrega, como respuestas a las excepciones o planes de mejora. El auditor no opina sobre esta sección.
Cómo interpretar la opinión
| Opinión | Qué significa | Qué hacer como cliente |
|---|---|---|
| Sin salvedades | Los controles cumplen los criterios | Revisar igual las excepciones y los controles a cargo del cliente |
| Con salvedades | Cumplen, salvo en aspectos específicos | Entender qué criterios están afectados y si impactan en el servicio contratado |
| Adversa | No cumplen de forma generalizada | Pedir un plan de remediación antes de avanzar |
| Abstención | El auditor no pudo opinar | Preguntar por qué y considerar el informe insuficiente |
Qué revisar, en orden
| Punto | Dónde está | Qué verificar |
|---|---|---|
| Tipo y período | Opinión | Que sea un Tipo 2 y que el período sea reciente |
| Firma auditora | Opinión | Que sea una firma de contadores con licencia en Estados Unidos y reconocida |
| Alcance | Descripción del sistema | Que incluya el servicio que se contrata y las categorías relevantes |
| Proveedores excluidos | Descripción del sistema | Qué proveedores quedaron fuera, como la nube, y si tienen sus propios informes |
| Controles del cliente | Descripción del sistema | Qué tiene que hacer el propio cliente para que los controles funcionen |
| Excepciones | Pruebas y resultados | Cuáles hubo, en qué criterios y cómo respondió la dirección |
| Cambios en el período | Descripción del sistema | Si hubo cambios importantes o incidentes relevantes |
Señales de alerta
- Período desactualizado
Un informe que terminó hace más de un año, sin carta puente.
- Alcance que no incluye el servicio
El informe cubre otro producto o una parte menor del sistema.
- Excepciones repetidas
Las mismas fallas en distintos controles o en informes sucesivos.
- Proveedores críticos sin respaldo
Servicios excluidos que no tienen sus propios informes.
Vigencia y carta puente
El informe SOC 2 no tiene fecha de vencimiento, pero la práctica del mercado es considerarlo vigente durante unos doce meses desde el fin del período. Si un cliente lo pide meses después y el siguiente informe todavía no está listo, la empresa puede entregarle una carta puente: una declaración de la dirección que indica que no hubo cambios significativos en los controles desde el fin del período. La firma la empresa, no el auditor. Más detalle en cómo mantener SOC 2 año a año.
Con quién se comparte
El informe SOC 2 es de uso restringido: se comparte con clientes, potenciales clientes y sus auditores, normalmente bajo un acuerdo de confidencialidad, porque describe en detalle los controles y la infraestructura. Para comunicación pública existe el SOC 3. Las diferencias están en SOC 1, SOC 2 y SOC 3.
Cómo ayuda Certenza a quien emite su informe
Si los clientes van a leer el informe de esta forma, conviene prepararse pensando en lo que van a revisar. La descripción del sistema y la sección de pruebas reflejan cómo trabajó la empresa durante todo el período, y ahí es donde Certenza ayuda: el alcance personalizable deja claro qué cubre el informe, los flujos de evaluación de riesgos y el generador de políticas con IA sostienen la documentación, y cada control tiene un responsable que lo mantiene al día.
La recopilación automatizada de evidencias y los paneles de monitoreo continuo reducen las excepciones, que son lo primero que miran los equipos de seguridad de los clientes. Y cuando llega el pedido del informe, el Trust Center permite compartir la información de seguridad de forma ordenada, con los accesos que la empresa decida.
El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.
¿Querés un informe que pase la revisión de tus clientes?
Te mostramos cómo prepararte con Certenza.