La certificación SOC 2 que desbloquea tus contratos con grandes clientes

Puedes, y prácticamente todo el mundo lo hace. Cuando tu cliente pide la certificación SOC 2, entendemos exactamente lo que quiere. El nombre técnico, sin embargo, es informe de atestación, firmado siguiendo las normas del American Institute of Certified Public Accountants (el instituto de los contadores de Estados Unidos), y la diferencia importa en tres puntos prácticos. Quién firma: solo una firma de auditoría independiente y con licencia, nunca una consultora. Qué recibes: un informe de varias secciones que el cliente va a leer, incluyendo las pruebas control por control, y no un certificado de una página. Y el plazo: como el informe más solicitado cubre un período de funcionamiento, no se acorta como una auditoría de certificación tradicional. Saber esto cambia lo que contratas y a quién.

No, y ninguna consultora firma el informe. El informe lo firma una firma de auditoría independiente y con licencia. Existe una regla de independencia que refuerza esa separación: quien montó los controles queda impedido de auditar al mismo cliente. Nosotros preparamos tu empresa y acompañamos el trabajo de campo, y la auditoría entra en un segundo momento, cuando ya estás listo para pasar.

No. Eso es un error común y caro, porque lleva a la empresa a comprar un proyecto de más. Puedes ir directo al Tipo II, y muchas empresas lo hacen. El Tipo I tiene sentido cuando hay un contrato esperando y no se puede aguardar el período de observación: desbloquea la conversación comercial mientras el Tipo II madura. Es una decisión de negocio, no una exigencia de la norma.

El Tipo I verifica si los controles están bien diseñados y montados en una fecha específica. Es una fotografía. El Tipo II verifica si estaban bien diseñados y si funcionaron de verdad a lo largo de un período. El Tipo II es el que exige la mayoría de los grandes clientes, justamente porque un control puede estar bien diseñado y no funcionar en la práctica. El período se acuerda entre tú y el auditor, y el mercado suele tratar tres meses como el mínimo, siendo de seis a doce meses lo más aceptado por un comprador exigente.

Depende de dos cosas que solo quedan claras en el diagnóstico: cuánto ya existe, lo que determina el tiempo de corrección, y qué período de observación vas a adoptar. No publicamos un plazo estándar porque sería una suposición. Lo que sí se puede afirmar es que un Tipo II no sale en semanas, porque el período de observación es tiempo de calendario que no se puede acortar. Si el plazo de tu cliente es corto, hay un camino: el Tipo I desbloquea la firma mientras el Tipo II madura. Después del diagnóstico, podemos poner fechas a tu caso.

Solo Seguridad, el grupo de criterios comunes, es obligatoria. Disponibilidad, Confidencialidad, Integridad de procesamiento y Privacidad son opcionales: las eliges según lo que prometes en contrato y lo que exige tu mercado. Vale la pena decidirlo con cuidado, porque la elección tiene fecha de caducidad: una categoría incluida después exige un período de observación propio, y hasta que salga el informe siguiente le respondes al cliente que eso no está cubierto. En la práctica, quien vende software con acuerdo de nivel de servicio casi siempre necesita Disponibilidad, quien procesa transacciones en nombre del cliente necesita Integridad de procesamiento, y Confidencialidad suele ser la de menor esfuerzo extra, porque reaprovecha los controles de Seguridad. En el diagnóstico miramos tus contratos firmados, y no solo el pedido del cliente del momento.

Bastante, y el proyecto se reduce de verdad. Buena parte de las políticas, de los controles de acceso, de la gestión de proveedores y de la estructura de gobernanza sirve para los dos. La diferencia principal no está en los controles, está en lo que evalúa cada uno: la ISO certifica el sistema de gestión, mientras que el SOC 2 atesta cómo funcionaron los controles durante un período. En la práctica, esto significa que la rutina de generar pruebas todo el tiempo suele ser la mayor falla de quien viene de la ISO, junto con la descripción del sistema, que no tiene equivalente en la norma.

No, aunque ayuda bastante. La categoría de Privacidad cubre una parte de lo que exige la LGPD, y el informe puede servir como prueba de las medidas técnicas y administrativas que pide la ley. Pero no sustituye el registro de las operaciones de tratamiento, la definición de base legal, la atención a los titulares ni al encargado de datos. Son cosas que se complementan: quien ya organizó el programa de privacidad llega con ventaja al SOC 2, y lo contrario también es válido.

Una falla señalada no es una reprobación, y esa es la mayor confusión de quien llega al SOC 2 esperando un resultado de aprobado o reprobado. Los informes traen fallas con frecuencia. Lo que importa es la opinión del auditor, que puede ser sin salvedades o con salvedades, y la respuesta de tu empresa a cada punto. Un informe con una falla bien descrita, con la causa y el plan de corrección, sigue siendo un documento que cierra negocios. Lo que asusta al cliente es una falla sin explicación, o un patrón de problemas que se repite de un ciclo a otro. Por eso hacemos un ensayo antes de que llegue el auditor: para que los problemas te aparezcan a ti primero.

Es la carta que tu empresa emite para cubrir el intervalo entre el fin del período del último informe y la fecha en que un cliente te está evaluando. Como el informe cubre un período pasado, siempre existe una ventana descubierta, y los clientes que te están evaluando preguntan por ella. La carta declara que no cambió nada relevante en los controles en ese intervalo. Es un documento tuyo, no del auditor, y es la duda práctica más común de quien ya tiene el informe y recibe una evaluación fuera de ciclo.

Son los controles que tu informe va a listar como responsabilidad de quien te contrata. Ningún servicio funciona solo: si tu cliente configura mal los permisos dentro de tu producto, el control falla de su lado, y el informe necesita decirlo. Dejar esa lista bien definida te protege y evita discusiones después de un incidente. Del otro lado, cuando es tu empresa la que lee el SOC 2 de un proveedor, esa es exactamente la sección que dice qué te queda por hacer a ti, y casi nadie la lee.

Sí, y ahí es donde mucha gente se sorprende. El SOC 2 Tipo II es una rutina continua, no un proyecto con final. El informe siguiente necesita cubrir el período inmediatamente posterior, sin dejar hueco, o el cliente pregunta qué pasó en los meses que quedaron fuera. El segundo ciclo suele dar menos trabajo que el primero, porque la estructura ya existe, pero no es cero: lo que pesa es generar pruebas a lo largo de todo el año, y no la auditoría en sí.

El SOC 1 trata sobre controles que afectan los estados financieros de los clientes, y suele pedirlo quien tiene una auditoría financiera involucrada. El SOC 2 trata sobre seguridad y las demás categorías de confianza, y es el pedido más común de un cliente de tecnología. El SOC 3 es una versión pública y resumida del SOC 2, sin los detalles de las pruebas, que puede ir en tu sitio web sin acuerdo de confidencialidad. Si tu cliente pidió solo el SOC, vale la pena confirmar cuál, porque son proyectos diferentes.

Es confidencial y circula bajo acuerdo de confidencialidad, así que no va en el sitio web. El uso práctico es responder a las evaluaciones de los clientes: en lugar de llenar un cuestionario de seguridad diferente para cada uno, entregas el informe y la conversación se acorta. También sostiene cláusulas de contrato y suele acelerar la venta a grandes cuentas. Si quieres algo público, el camino es el SOC 3.

Normalmente sí, porque la firma que lo firma suele ser estadounidense y el documento sigue las normas del AICPA. Esto rara vez es un problema, ya que quien exige el informe en general es justamente un cliente o inversor del extranjero. La preparación, la documentación interna y las políticas pueden estar en español, y nosotros trabajamos en los dos idiomas.