El primer informe SOC 2 suele demandar mucho esfuerzo, y después aparece la tentación de bajar el ritmo. Pero en SOC 2 eso es especialmente riesgoso: el siguiente período de observación ya está corriendo, y cada control que deja de funcionar aparece en el próximo informe como excepción. Esta guía explica cómo funciona la renovación, qué hacer durante el año y cuándo usar una carta puente.
Resumen rápido
- No hay certificado que renovar: se emite un informe nuevo por cada período.
- Períodos encadenados: de 12 meses, sin huecos entre uno y otro.
- Durante el año: los controles tienen que operar y dejar evidencia según lo que dicen las políticas.
- Carta puente: declaración de la dirección para los meses posteriores al último informe.
- Cambios: sistemas, proveedores o categorías nuevas se reflejan en la descripción del sistema.
Cómo funciona la renovación
SOC 2 no tiene una vigencia fija como un certificado. Cada informe cubre un período, y los clientes esperan uno nuevo aproximadamente cada año. La forma de lograr cobertura continua es encadenar los períodos:
| Momento | Qué pasa |
|---|---|
| Enero a diciembre | Período de observación del informe del año 1 |
| Enero y febrero del año siguiente | Trabajo de campo y emisión del informe del año 1, mientras ya corre el período del año 2 |
| Enero a diciembre del año 2 | Período de observación del informe del año 2 |
Ejemplo ilustrativo. Los períodos pueden empezar en cualquier mes, y el primero puede ser más corto.
Qué hacer durante el año
Las frecuencias de cada actividad las define la empresa en sus políticas, y el auditor verifica que se cumplan. Un calendario de ejemplo:
| Frecuencia | Actividades |
|---|---|
| Continua | Altas y bajas de accesos, aprobación de cambios, monitoreo de alertas, gestión de incidentes |
| Trimestral | Revisión de accesos, escaneo de vulnerabilidades, seguimiento de deficiencias |
| Anual | Evaluación de riesgos, revisión de políticas, capacitación, prueba del plan de incidentes y de continuidad, evaluación de proveedores críticos |
| Antes de la auditoría | Actualizar la descripción del sistema, reunir las poblaciones del período y revisar algunas muestras |
Frecuencias orientativas. Lo importante es que coincidan con lo que dicen las políticas de la empresa: si una política promete una revisión trimestral, el auditor va a buscar cuatro.
La carta puente
Si un cliente pide el informe en abril y el último período terminó en diciembre, hay tres meses sin auditar. La carta puente cubre ese hueco:
- Quién la firma: la dirección de la empresa, no el auditor.
- Qué declara: que no hubo cambios significativos en el sistema ni en los controles desde el fin del período auditado, o cuáles hubo.
- Qué período cubre: desde el fin del último informe hasta una fecha cercana, habitualmente no más de algunos meses.
- Qué no es: no reemplaza al siguiente informe ni implica una nueva revisión del auditor.
Qué hacer cuando la empresa cambia
| Cambio | Qué revisar |
|---|---|
| Un producto o sistema nuevo | Si entra en el alcance, actualizar la descripción del sistema y los controles |
| Un proveedor crítico nuevo | Evaluarlo y definir cómo se trata en el informe |
| Un cliente pide sumar una categoría | Planificar su primer período de observación |
| Un incidente relevante | Documentar la respuesta: puede tener que mencionarse en la descripción del sistema |
| Cambia el equipo | Reasignar los controles que quedaron sin responsable |
Errores frecuentes después del primer informe
- Bajar el ritmo
El período siguiente ya está corriendo: lo que falle hoy aparece en el próximo informe.
- Dejar huecos entre períodos
Meses sin cobertura que los clientes notan.
- Políticas que no se cumplen
Frecuencias prometidas que nadie controla.
- Descripción desactualizada
Sistemas o proveedores nuevos que no figuran.
Cómo ayuda Certenza a sostener SOC 2
El mantenimiento de SOC 2 es un trabajo de todos los días. Así lo acompaña Certenza a lo largo del año:
- Todos los días: la recopilación automatizada de evidencias registra accesos, cambios e incidentes, y los paneles de monitoreo continuo avisan cuando un control conectado deja de cumplirse.
- Cada trimestre: cada revisión tiene un responsable asignado, para que las frecuencias que prometen las políticas se cumplan aunque cambie el equipo.
- Cada año: los flujos de evaluación de riesgos y el generador de políticas con IA facilitan la revisión anual, y el alcance personalizable se ajusta si se suman sistemas o categorías.
- Cuando un cliente pregunta: el Trust Center muestra el estado actual de la seguridad, también en los meses en que todavía no está el informe nuevo.
El informe SOC 2 lo emite una firma de contadores independiente que se contrata por separado.
¿Querés llegar a tu próxima renovación sin sorpresas?
Te mostramos cómo mantener SOC 2 al día con Certenza.