Empresas de tecnología y servicios
Tus clientes más grandes piden el SOC 2, un informe independiente sobre la seguridad de tus sistemas, antes de firmar. DM11 prepara tu empresa para llegar a la auditoría con los controles funcionando y las pruebas listas, y salir de ahí con el informe que cierra el negocio.
DM11 prepara tu empresa. El informe SOC 2 lo firma una firma de CPA independiente (el contador público certificado de Estados Unidos), contratada por ti. Una regla de independencia impide que quien monta los controles audite al mismo cliente.
Quién lidera la preparación
Cómo funciona en la práctica
Recibes un documento que responde solo a las preguntas de seguridad de tus clientes: un informe con tus controles probados uno por uno por un auditor independiente. El mercado llama a esto certificación y entendemos la petición, pero el nombre técnico es otro, y explica el formato. Es un informe de atestación, firmado siguiendo las normas del American Institute of Certified Public Accountants (el instituto de los contadores de Estados Unidos, el AICPA) por una firma de CPA con licencia. Saber esto cambia lo que contratas, a quién, y qué esperas recibir al final.
El resultado es un documento con cinco secciones. Entre ellas están la descripción del sistema, escrita por tu empresa, y el resultado de las pruebas del auditor, control por control. Tu cliente lo va a leer, sobre todo la parte que muestra las fallas encontradas. No es un PDF de una página con un logotipo.
Una consultora no firma el informe SOC 2, y nosotros tampoco. La firma de auditoría se contrata aparte, por ti. La regla de independencia del AICPA explica el porqué: quien montó los controles queda impedido de auditar al mismo cliente. En la práctica, esto significa dos contratos y dos presupuestos, y es mejor saberlo al planificar que descubrirlo a mitad de camino.
El informe más solicitado no evalúa cómo está tu empresa hoy: evalúa cómo funcionó a lo largo de meses. Es decir, la preparación no termina cuando el control se monta, sino cuando generó pruebas consistentes durante todo el período observado.
La primera decisión
Es la elección que define costo, plazo y lo que vas a poder mostrarle al cliente. Y es donde circula el error más caro del mercado.
Cómo se diseñaron los controles
Verifica si los controles están bien diseñados y montados en una fecha determinada. Es una fotografía. Sirve para mostrar seriedad rápido y suele desbloquear un contrato mientras el Tipo II todavía está en curso. No dice nada sobre si el control funcionó a lo largo del tiempo, y el comprador experimentado lo sabe.
Cómo se diseñaron y cómo funcionaron
Verifica si los controles estaban bien diseñados y si funcionaron de verdad a lo largo de un período. Es el informe que exige la mayoría de los grandes clientes. El período se acuerda entre tú y el auditor, y el mercado suele tratar tres meses como el mínimo, siendo de seis a doce meses lo más aceptado por un comprador exigente.
Circula la idea de que el Tipo I es requisito previo del Tipo II. No lo es. Tu empresa puede ir directo al Tipo II, y muchas lo hacen, para ahorrar tiempo y un proyecto entero. Hacer el Tipo I antes es una decisión comercial, y buena: cuando hay un contrato esperando y no se puede aguardar a que termine el período de observación, desbloquea la firma.
Alcance
Seguridad, el grupo de criterios comunes, entra en cualquier SOC 2. Las otras cuatro son elegibles: las eliges según lo que prometes en el contrato y lo que va a exigir el mercado donde vendes. Elegible no significa prescindible. Es decisión tuya, y tiene fecha de caducidad, porque cada categoría incluida después necesita su propio período de observación. Por eso, la hora más barata para incluirla es ahora, junto con el resto.
| Categoría | Elegibilidad | Por qué vale la pena incluirla |
|---|---|---|
| Seguridad | Obligatoria | Es el grupo de criterios comunes, organizado en nueve bloques que van del entorno de control a la gestión de proveedores. Es la columna vertebral de cualquier informe SOC 2, y por sí sola ya cubre buena parte de las exigencias del cliente. |
| Disponibilidad | Elegible | Ya prometes disponibilidad en contrato: el acuerdo de nivel de servicio (el SLA) está firmado con o sin SOC 2. Esta categoría es lo que prueba que el compromiso se sostiene, cubriendo capacidad, recuperación y prueba del plan. Dejarla fuera suele durar hasta la primera renovación con una cuenta grande, que pregunta justamente por ella. |
| Confidencialidad | Elegible | Vale siempre que el cliente marca alguna información como confidencial y espera verla protegida por acuerdo, lo que en la práctica es casi todo contrato corporativo. Cubre identificar, guardar y descartar esa información. Es la categoría de menor esfuerzo extra para quien ya hizo Seguridad, porque reaprovecha buena parte de los mismos controles. |
| Integridad de procesamiento | Elegible | Necesaria cuando tu servicio procesa una transacción o un cálculo en nombre del cliente y el resultado necesita ser completo, exacto y autorizado. En pagos, nómina, facturación y logística, es lo que responde a la pregunta que el cliente realmente tiene: ¿el número que sale de aquí está correcto? Seguridad por sí sola no responde eso. |
| Privacidad | Elegible | Entra cuando tratas datos personales, y el comprador brasileño pregunta cada vez más por ella debido a la LGPD. Cubre una parte de lo que exige la ley y no sustituye al programa de privacidad, pero le muestra al cliente, con el respaldo de un tercero, justamente lo que más exige a la hora de evaluarte. |
La cuenta que suele salir mal: añadir una categoría en el ciclo siguiente no cuesta un poco más, cuesta un período de observación entero solo para ella, y hasta entonces le respondes al cliente que eso no está cubierto. Vale la pena pedirle al cliente, por escrito, qué espera recibir, y decidir el alcance mirando también los contratos que quieres cerrar en los próximos dos años.
Cronograma real
Casi nunca se publica el cronograma sumado, y es justamente el que importa cuando hay un contrato esperando. Las fases de abajo ocurren una después de la otra, y es la suma de ellas la que necesitas acordar con tu cliente.
Comparación de tu situación con los criterios, definición de categorías, sistemas y entornos, y la decisión entre Tipo I y Tipo II. Termina con un plan y con el alcance por escrito.
La fase de duración más impredecible, y el mayor riesgo de que se pase el plazo. Depende por completo de cuánto ya existe. Una empresa con gobernanza en pie avanza rápido; una empresa que nunca formalizó nada tiene trabajo de base que hacer.
Solo existe en el Tipo II, y es tiempo de calendario que no se puede acortar. Los controles necesitan funcionar y generar pruebas a lo largo de todo el período acordado con el auditor.
La firma de CPA prueba los controles, examina las pruebas y conversa con el equipo. Aquí aparece la diferencia entre el proceso que está en el papel y el que se hace de verdad.
Redacción, respuesta de tu empresa a las eventuales fallas encontradas y entrega. El documento sale en inglés cuando la firma es estadounidense, lo que suele ser el caso.
No publicamos un plazo estándar porque sería una suposición: las correcciones varían demasiado de una empresa a otra y el período de observación es una decisión de alcance. Lo que sí podemos afirmar con seguridad es que un Tipo II no sale en semanas, porque el período de observación es tiempo de calendario que no se puede acortar. Después del diagnóstico, podemos poner fechas a tu caso con precisión suficiente para que te comprometas con el cliente.
Quién hace qué
Un proyecto de SOC 2 involucra a cuatro partes, cada una firmando algo diferente. Dejamos la división clara antes de la propuesta para que no haya sorpresas de alcance ni de honorarios después.
Autodiagnóstico
Dieciocho preguntas sobre los grupos de control que examina el informe. El resultado aparece completo en la pantalla, con la nota de cada grupo y lo que cierra las mayores fallas. No pedimos correo electrónico para mostrarlo.
El informe empieza por el entorno de control, y es donde la auditoría prueba la cultura con un documento en mano.
Cómo lo hacemos
Cada fase termina con una entrega. Sabes qué recibes antes de empezar.
Traducimos la exigencia de tu cliente en tipo de informe, categorías, sistemas y período. Es la decisión que más afecta el costo y el plazo, y la que más se falla por prisa.
Lo que recibes
Evaluamos la situación actual control por control, en el mismo checklist que usamos en auditoría, para mostrar la distancia real en lugar de una impresión.
Lo que recibes
Implementamos junto con tu equipo lo que falta: políticas, procesos de acceso, cambios, monitoreo, respuesta a incidentes y gestión de proveedores.
Lo que recibes
En el Tipo II el auditor prueba todo el período, así que la prueba necesita nacer de la operación. Definimos qué se genera, por quién y con qué frecuencia, antes de que empiece el período.
Lo que recibes
Ayudamos a redactar la sección del informe que es responsabilidad de tu empresa, incluyendo los límites del sistema, los compromisos asumidos y el rol de los socios.
Lo que recibes
Simulamos la auditoría con el mismo rigor del auditor antes de que llegue, y acompañamos el trabajo de campo de la firma de CPA, incluyendo la respuesta de tu empresa si hay alguna falla.
Lo que recibes
Historias
Ocultamos los nombres de los clientes con el mismo sigilo que va a proteger a tu empresa después. Los nombres cambian, y el patrón de los problemas se repite.
Relevamiento
Doce preguntas sobre lo que define el tamaño de un proyecto de SOC 2. Al final revisas lo que respondiste, corriges lo que quieras y recibes una propuesta hecha con base en esto, sin necesitar una reunión solo para descubrir lo básico.
Si el pedido no lo especifica, vale la pena confirmarlo con él antes de cotizar.
Preguntas frecuentes
Respuestas basadas en las normas del AICPA (el instituto de los contadores de Estados Unidos). Donde no existe un número oficial, decimos que no existe.
Puedes, y prácticamente todo el mundo lo hace. Cuando tu cliente pide la certificación SOC 2, entendemos exactamente lo que quiere. El nombre técnico, sin embargo, es informe de atestación, firmado siguiendo las normas del American Institute of Certified Public Accountants (el instituto de los contadores de Estados Unidos), y la diferencia importa en tres puntos prácticos. Quién firma: solo una firma de CPA con licencia, nunca una consultora. Qué recibes: un informe de varias secciones que el cliente va a leer, incluyendo las pruebas control por control, y no un certificado de una página. Y el plazo: como el informe más solicitado cubre un período de funcionamiento, no se acorta como una auditoría de certificación tradicional. Saber esto cambia lo que contratas y a quién.
¿Más dudas? Habla con DM11
Una conversación de treinta minutos suele bastar para definir el tipo de informe, las categorías y una idea del esfuerzo involucrado. Sin compromiso.