Cuando un cliente pide "un SOC", no siempre está claro cuál. Confundirlos puede llevar a preparar el informe equivocado. Esta guía compara los tres, explica quién necesita cada uno y cómo se combinan.
Resumen rápido
- SOC 1: controles sobre la información financiera de los clientes. Lo usan sus auditores contables.
- SOC 2: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Detallado y confidencial.
- SOC 3: las mismas categorías que SOC 2, resumidas para el público general.
- Tipo 1 y Tipo 2: existen para SOC 1 y SOC 2; el SOC 3 se basa en un período, como el Tipo 2.
- Para empresas de software: lo más habitual es SOC 2, a veces acompañado de un SOC 3.
SOC 1, SOC 2 y SOC 3: comparación
| SOC 1 | SOC 2 | SOC 3 | |
|---|---|---|---|
| Qué evalúa | Controles que afectan la información financiera de los clientes | Controles de seguridad y demás categorías de confianza | Las mismas categorías que SOC 2 |
| Nivel de detalle | Detallado | Detallado, con pruebas y excepciones | Resumido, sin el detalle de las pruebas |
| Quién lo lee | Los auditores financieros de los clientes | Clientes y socios, bajo confidencialidad | Cualquier persona |
| Tipos | Tipo 1 y Tipo 2 | Tipo 1 y Tipo 2 | Basado en un período |
| Uso típico | Procesadores de pagos, nómina o servicios contables | Software, nube y servicios que manejan datos | Mostrar confianza en la web o ante el público |
Quién necesita un SOC 1
Lo necesitan las empresas cuyos servicios impactan en los estados financieros de sus clientes: procesamiento de nómina o de pagos, servicios contables tercerizados, administración de préstamos o inversiones. Los clientes lo piden porque sus propios auditores financieros deben evaluar esos controles, por ejemplo, en empresas que cotizan en bolsa en Estados Unidos.
En Latinoamérica, suele aparecer en fintechs y proveedores de servicios financieros que trabajan para empresas estadounidenses o filiales de ellas.
Quién necesita un SOC 2
Lo necesitan las organizaciones que almacenan, procesan o transmiten información de sus clientes: plataformas de software, servicios en la nube, centros de datos, empresas de análisis de datos. Es uno de los informes que más piden las empresas de Estados Unidos al evaluar a un proveedor de tecnología. La explicación completa está en ¿Qué es SOC 2?
Quién necesita un SOC 3
Lo eligen las empresas que, además del SOC 2, quieren mostrar públicamente que fueron auditadas, por ejemplo, en su sitio web. Como no incluye el detalle de los controles ni de las pruebas, no reemplaza al SOC 2 ante un cliente que hace una evaluación de seguridad formal, pero sirve como señal de confianza para el público general.
Habitualmente se obtiene junto con el SOC 2 Tipo 2, con la misma firma y el mismo período, por un costo adicional menor.
Cómo se combinan
- SOC 2 + SOC 3: el SOC 2 se comparte con clientes bajo confidencialidad y el SOC 3 se publica.
- SOC 1 + SOC 2: para empresas que procesan información financiera y además manejan datos sensibles, como algunas fintechs.
- SOC 2 + ISO 27001: para empresas con clientes en Estados Unidos y en otros mercados. Ver ISO 27001 vs SOC 2.
Cómo saber cuál pedir
| Si el cliente pregunta por… | Probablemente necesita |
|---|---|
| La seguridad de sus datos en la plataforma | SOC 2 |
| Controles que afectan sus estados contables | SOC 1 |
| Algo que pueda mostrar públicamente o enlazar | SOC 3 |
Ante la duda, lo más simple es preguntarle al cliente para qué va a usar el informe y quién lo va a leer.
Cómo ayuda Certenza
Entre los informes SOC, Certenza se enfoca en SOC 2, que es el que más suelen necesitar las empresas de software y servicios digitales:
- Alcance definido según las categorías de confianza que piden los clientes.
- Políticas, riesgos y controles organizados, con el generador de políticas con IA, los flujos de evaluación de riesgos y un responsable para cada control.
- Evidencia de todo el período, con la recopilación automatizada y los paneles de monitoreo continuo, que sirve tanto para el SOC 2 como para el SOC 3 que se emite sobre el mismo período.
- Trust Center para mostrar públicamente lo que un SOC 3 resume y compartir el SOC 2 con quien corresponda.
Los informes SOC los emite una firma de contadores independiente que se contrata por separado.
¿Te pidieron un informe SOC?
Te ayudamos a definir cuál y a prepararte para obtenerlo.