SOC 2.
Acordar el alcance de auditoría, el tipo de informe y las evidencias para que los clientes puedan evaluar el servicio realmente utilizado.
- AICPA TSC 2017 · Points of Focus 2022
- Por Derya Altinay
- Actualizado: 22/10/2026
- Tiempo de lectura: 8 min.
Respuesta breve.
SOC 2 es un informe de auditoría sobre los controles de un sistema de servicios delimitado, basado en los Trust Services Criteria de AICPA. Una firma CPA independiente evalúa la descripción del sistema y el diseño de controles. El tipo 2 incorpora su eficacia operativa durante un período definido; el tipo 1 se refiere a una fecha.
SOC 2 y los Trust Services Criteria.
SOC 2 pertenece a la serie System and Organization Controls de AICPA. Permite que un auditor de servicios independiente examine los controles del sistema de un proveedor. AICPA describe estos informes como una base informativa sobre riesgos de prestaciones externalizadas. Por ello, es decisivo qué servicio se examinó, con qué compromisos y qué conclusiones cubre el encargo concreto.
Los Trust Services Criteria organizan los temas de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La base ofrecida públicamente se denomina 2017 Trust Services Criteria con Points of Focus revisados en 2022. Los criterios comunes y las categorías adicionales se consideran conjuntamente en el encargo; los nombres de las categorías no implican cinco paquetes obligatorios idénticos para todos los servicios. El contenido de una categoría tampoco prescribe un producto de software.
La descripción del sistema tiene un criterio propio: los 2018 SOC 2 Description Criteria con orientaciones de aplicación revisadas en 2022. Explica qué pertenece al sistema y cómo se opera. La evaluación de controles examina después las medidas correspondientes. Un informe completo conecta ambas perspectivas; un logotipo por sí solo no muestra ni el alcance ni la opinión de auditoría.
A quién se dirige un informe SOC 2.
Un informe SOC 2 se dirige a proveedores de servicios y a clientes que desean evaluar sus prestaciones. Según la descripción pública de AICPA de la guía de auditoría, los clientes necesitan información sobre diseño, operación y eficacia de controles cuando externalizan funciones. Esto afecta, por ejemplo, al tratamiento de información o la dependencia de un sistema proporcionado; de ello no puede deducirse un tamaño de empresa concreto.
Las necesidades del cliente contribuyen a determinar un alcance de auditoría razonable. Antes del encargo, aclare qué producto, entorno operativo y compromisos son importantes para los destinatarios. Un requisito contractual de acreditación debe contrastarse con el informe realmente previsto. SOC 2 no establece una obligación legal general de auditoría para todos los proveedores SaaS.
La preparación de SOC 2 en seis ámbitos de trabajo.
La preparación conecta un encargo de auditoría acordado con controles operativos trazables. Los ámbitos siguientes son una estructura práctica; no constituyen una nueva lista oficial de criterios. La base siguen siendo los Trust Services Criteria y los Description Criteria aplicables.
Describir los límites del sistema y los compromisos.
Identifique el servicio ofrecido y las personas, procedimientos, sistemas y dependencias relevantes para él. La descripción debe ajustarse a la prestación real que contratan los clientes. Según el recurso de AICPA para la dirección, la descripción del sistema y la declaración de la dirección son componentes propios del informe; un inventario técnico por sí solo todavía no explica esas relaciones.
Acordar categorías y riesgos.
Los compromisos de servicio y las necesidades informativas de los usuarios previstos ayudan a seleccionar las categorías pertinentes. Documente por qué una cuestión está dentro del alcance y qué riesgos deben examinarse. La lista de revisión de AICPA exige considerar si las categorías y los compromisos cubiertos bastan para el propio uso.
Operar controles con responsables.
Describa medidas operativas concretas y las personas que las ejecutan o supervisan. Distintos servicios pueden necesitar controles diferentes. Una política general solo contribuye a la acreditación si sus disposiciones llegan a los procedimientos relevantes y su ejecución real es trazable.
Recopilar evidencias en el momento correcto.
Las evidencias deben respaldar temporalmente la afirmación examinada. Para el tipo 1 es decisiva la fecha acordada; para el tipo 2, el período de auditoría definido. Una captura de pantalla recién creada no acredita sin más una operación anterior. AICPA señala expresamente el juicio profesional del auditor al evaluar la dimensión temporal.
Aclarar las prestaciones externalizadas y las tareas del cliente.
Explique cómo se tratan en el informe las organizaciones de subservicios significativas y qué tareas siguen correspondiendo al cliente. La lista de revisión distingue los controles complementarios del cliente de otras tareas del usuario. Para preparar el trabajo propio, conviene una asignación clara, en lugar de reunir todas las actividades en una lista general de proveedores.
Evaluar cambios y excepciones.
Los resultados de auditoría necesitan el contexto del servicio afectado. Documente correcciones y cambios significativos de modo que pueda evaluarse su efecto. Una excepción individual en una prueba y una opinión de auditoría con salvedades son afirmaciones diferentes. El recurso de AICPA para la dirección apoya el examen separado de opinión, pruebas, resultados e información adicional.
El camino hacia el informe SOC 2.
Aclarar los destinatarios y las necesidades.
Como primer paso práctico, documente qué cliente desea evaluar qué prestación y para qué decisión debe servir de base el informe.
Delimitar el encargo de auditoría.
Acuerde con una firma CPA independiente adecuada la descripción del sistema, las categorías relevantes, el tipo de informe y la fecha o el período previstos.
Conectar controles y responsabilidad.
Examine con las áreas funcionales competentes si los procedimientos descritos se operan realmente y qué registros hacen trazable su funcionamiento.
Mantener disponibles las evidencias operativas.
Organice la recopilación de evidencias adecuadas durante el período acordado y aclare pronto las evidencias de dependencias externas significativas.
Gestionar los hallazgos.
Examine las preguntas pendientes y las excepciones con evidencias concretas y documente las correcciones y la responsabilidad por los riesgos residuales.
Evaluar el informe en el contexto de uso.
Tras su emisión, lea conjuntamente el alcance, la opinión, el período y las tareas del cliente y prevea evaluar cambios significativos posteriores.
Leer correctamente SOC 2 tipo 2 y tipo 1.
Los tipos 1 y 2 responden a preguntas temporales diferentes. El tipo 1 se refiere a la descripción del sistema y al diseño de controles a una fecha de referencia. SOC 2 tipo 2 incorpora además su eficacia operativa durante el período indicado. La lista de revisión de AICPA recoge esta distinción ya en los datos generales del informe.
Una firma CPA autorizada emite el informe SOC 2. Compruebe la firma responsable y su autorización pertinente, así como el encargo realmente descrito. La preparación por un consultor o proveedor de herramientas debe distinguirse del servicio de auditoría independiente. La responsabilidad de la organización por sus controles se mantiene.
El informe no tiene una vigencia general como un certificado. Su utilidad depende de si el sistema, el período y las conclusiones se ajustan a las necesidades actuales del cliente. Una migración posterior u otro cambio significativo puede generar preguntas adicionales. Por ello, examinar el documento sigue siendo parte de la propia decisión sobre un proveedor.
Entender otros marcos.
ISO 27001 se refiere a un sistema de gestión de seguridad de la información y su posible certificación. BSI C5 sigue un modelo propio de auditoría para servicios en la nube. El RGPD regula el tratamiento de datos personales; un informe SOC 2 no sustituye el examen de esas obligaciones legales.
En Secani.
Secani ofrece un catálogo editorial de trabajo sobre los Trust Services Criteria de AICPA con orientaciones propias de implantación. Los datos del perfil distinguen el encargo de auditoría acordado y las categorías adicionales. Pueden trabajarse medidas y evidencias en su contexto; la herramienta propia no sustituye ni el estándar de criterios protegido ni la auditoría independiente.
Empezar por las necesidades del cliente.
Elija un servicio realmente ofrecido y documente los destinatarios previstos del informe. Describa qué conclusiones necesitan sobre el servicio y qué límite operativo es relevante para ello. Con esta base, puede acordar con una firma de auditoría adecuada el tipo de informe, el alcance y el trabajo previo necesario.
Fuentes.
Preguntas frecuentes.
No. SOC 2 es un informe de un auditor de servicios independiente sobre un sistema descrito y sus controles, no un certificado ISO ni un sello general de producto.
El tipo 1 se refiere al diseño de los controles a una fecha de referencia. El tipo 2 incorpora además su eficacia operativa durante el período de auditoría acordado.
De ello no puede deducirse una obligación fija general ni una frecuencia de pruebas. Los riesgos, los controles descritos y el encargo de auditoría acordado determinan qué evidencias son adecuadas; los contratos con clientes pueden incluir expectativas adicionales.
El informe describe su fecha de referencia o período de auditoría. Que baste para una decisión actual también depende del servicio cubierto, los cambios posteriores y los requisitos del destinatario.
Aclarar el alcance de auditoría.
Hable sobre cómo organizar las medidas y las evidencias de su servicio en Secani.
Esta página explica SOC 2 con palabras propias. Son determinantes los estándares AICPA aplicables y el encargo concreto de auditoría; el contenido no sustituye una evaluación especializada.