Elegir al auditor es una de las decisiones más importantes de un proyecto SOC 2: si el informe no lo emite quien corresponde, los clientes pueden no aceptarlo. Para una empresa de Latinoamérica la pregunta es todavía más relevante, porque las reglas que habilitan a un auditor son de Estados Unidos. Esta guía explica quién puede firmar un informe SOC 2, quién no, qué alternativas existen fuera de Estados Unidos y cómo verificar a una firma antes de contratarla.
Resumen rápido
- Quién firma: una firma de contadores públicos con licencia de un organismo estatal de Estados Unidos.
- Control de calidad: la firma tiene que estar inscripta en el programa de revisión entre pares del AICPA.
- Independencia: no puede haber diseñado ni operado los controles que audita.
- Quién no puede: consultoras sin licencia CPA, plataformas de cumplimiento y organismos certificadores de ISO.
- Fuera de Estados Unidos: muchas firmas emiten informes ISAE 3000 con los mismos criterios, que algunos clientes aceptan y otros no.
Quién puede firmar un informe SOC 2
SOC 2 es un servicio de atestación definido por las normas del AICPA. Por eso, el informe tiene que emitirlo una firma que ejerza la contaduría pública en Estados Unidos y cumpla tres condiciones:
- Licencia CPA
La firma tiene que estar habilitada por el organismo de contabilidad de algún estado de Estados Unidos.
- Revisión entre pares
Su trabajo de atestación pasa por revisiones periódicas de calidad dentro del programa del AICPA.
- Independencia
No puede tener intereses ni haber prestado servicios que comprometan su objetividad frente a la empresa auditada.
La firma puede ser una de las grandes firmas internacionales o una firma más chica especializada en SOC 2: ambas emiten informes con el mismo valor formal. La diferencia está en el precio, la experiencia en el sector y el reconocimiento que les dan los clientes.
Quiénes integran el equipo auditor
El equipo auditor de SOC 2 suele incluir un socio o responsable del encargo, contador público habilitado que firma la opinión; un gerente que planifica y coordina; auditores de sistemas, a menudo con certificaciones como CISA o CISSP; y especialistas cuando el alcance incluye privacidad o integridad del procesamiento. No todos tienen que ser contadores públicos.
| Rol | Qué hace |
|---|---|
| Socio o responsable del encargo | Contador público habilitado que revisa el trabajo y firma la opinión |
| Gerente de la auditoría | Planifica, coordina con la empresa y supervisa las pruebas |
| Auditores de sistemas | Prueban los controles técnicos; suelen tener certificaciones como CISA o CISSP |
| Especialistas | Participan cuando el alcance incluye temas como privacidad o integridad del procesamiento |
Lo que importa es que la opinión la firme un contador público habilitado de una firma que cumpla las condiciones anteriores.
Quién no puede emitir un informe SOC 2
- Consultoras sin licencia CPA
Pueden ayudar a prepararse, pero no emitir el informe.
- Plataformas de cumplimiento
Organizan los controles y la evidencia, pero no auditan.
- Organismos certificadores de ISO
Certifican normas como ISO 27001, pero no están habilitados para SOC 2.
- La firma que diseñó los controles
Aunque sea CPA, perdería la independencia necesaria para auditarlos.
Desconfiar de ofertas de "certificación SOC 2" rápida o incluida en otro servicio: SOC 2 no es una certificación y el informe solo puede emitirlo una firma auditora independiente.
La independencia del auditor
Las normas de independencia buscan que el auditor no termine evaluando su propio trabajo. En la práctica:
- La firma no puede diseñar, implementar ni operar los controles de la empresa.
- No puede asumir funciones de la dirección, como aprobar políticas o aceptar riesgos.
- Algunas firmas ofrecen una evaluación de preparación previa; conviene confirmar por escrito que eso no afecta su independencia para la auditoría.
- Si la empresa trabajó con una consultora para prepararse, la auditoría tiene que hacerla otra firma.
Auditores para empresas de Latinoamérica
Una empresa de la región tiene dos caminos:
- Informe SOC 2 del AICPA
Emitido por una firma de contadores habilitada en Estados Unidos. Muchas trabajan de forma remota con empresas de la región, y algunas grandes firmas lo emiten a través de sus equipos habilitados en Estados Unidos. Es la opción que más aceptan los clientes estadounidenses.
- Informe ISAE 3000
Emitido por una firma de auditoría de otro país bajo la norma internacional ISAE 3000, usando los mismos Criterios de Servicios de Confianza. Es otro tipo de informe: algunos clientes lo aceptan como equivalente y otros exigen el SOC 2 del AICPA.
Antes de elegir, conviene preguntarles a los clientes clave qué informe aceptan. Si venden en Estados Unidos, lo más seguro suele ser el informe SOC 2 del AICPA.
Cómo verificar a una firma auditora
- Confirmar la licencia. Pedir el estado en el que está habilitada y verificarla en el registro público de ese estado o en bases como CPAverify, que reúne licencias de varios estados.
- Revisar la revisión entre pares. Los resultados de las revisiones de calidad de las firmas inscriptas pueden consultarse en el archivo público del programa del AICPA.
- Pedir un informe de ejemplo. Una versión anonimizada permite ver la calidad y el nivel de detalle de su trabajo.
- Confirmar la experiencia. Cuántos informes SOC 2 emite por año y en qué sectores.
- Verificar el reconocimiento. Que los clientes de la empresa acepten informes de esa firma.
Preguntas para hacerle a la firma antes de contratarla
- ¿En qué estado está habilitada y cuándo fue su última revisión entre pares?
- ¿Emite el informe bajo las normas del AICPA o bajo ISAE 3000?
- ¿Quién firma la opinión y quiénes integran el equipo que va a trabajar con nosotros?
- ¿Puede trabajar en español y de forma remota?
- ¿Qué incluye la propuesta y cuánto cuesta la renovación del segundo año?
- ¿Qué servicios nos puede prestar sin afectar su independencia?
Cómo es la auditoría una vez contratada está explicado en la guía de auditoría SOC 2, y los honorarios de referencia, en cuánto cuesta SOC 2.
Qué hace Certenza y qué hace el auditor
Certenza no audita ni emite informes SOC 2, y esa separación es justamente lo que mantiene la independencia del auditor. El trabajo se reparte así:
- Certenza prepara a la empresa
Define el alcance a medida, guía la evaluación de riesgos, genera las políticas con IA, asigna responsables a cada control, recopila automáticamente la evidencia y monitorea los controles en tiempo real. Con el Trust Center, la empresa comparte el estado de su seguridad con clientes y auditores.
- La firma auditora evalúa
Revisa la descripción del sistema, prueba los controles sobre muestras del período, documenta las excepciones y emite su opinión en el informe SOC 2. Se contrata por separado y trabaja de forma independiente.
Cuanto más ordenada llega la empresa, menos tiempo le lleva al auditor encontrar lo que necesita, y eso se nota en los plazos y en el resultado.
¿Querés llegar a la auditoría con la evidencia lista?
Te mostramos cómo prepararte para SOC 2 con Certenza.