SOC 2.
Articule o âmbito da avaliação, o tipo de relatório e as evidências para que os clientes possam avaliar o serviço efetivamente utilizado.
- AICPA TSC 2017 · Points of Focus 2022
- Por Derya Altinay
- Atualizado em: 22/10/2026
- Tempo de leitura: 8 min.
Resposta breve.
O SOC 2 é um relatório de avaliação dos controlos de um sistema de prestação de serviços delimitado, baseado nos Trust Services Criteria da AICPA. Uma firma CPA independente avalia a descrição do sistema e a conceção dos controlos. O tipo 2 inclui também a eficácia operacional durante um período definido; o tipo 1 refere-se a uma data.
SOC 2 e Trust Services Criteria.
O SOC 2 integra a série System and Organization Controls da AICPA. Permite aos prestadores submeter os controlos do seu sistema a um auditor de serviços independente. A AICPA descreve estes relatórios como uma base de informação para os riscos dos serviços externalizados. Por isso, é determinante que serviço foi examinado, com que compromissos e que conclusões o mandato concreto abrange.
Os Trust Services Criteria organizam os temas de segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. A base disponibilizada publicamente chama-se 2017 Trust Services Criteria, com Points of Focus revistos em 2022. Os critérios comuns e as categorias adicionais são considerados em conjunto no mandato de avaliação; os nomes das categorias não significam cinco pacotes obrigatórios idênticos para qualquer serviço. O conteúdo de uma categoria também não é um produto de software obrigatório.
A descrição do sistema tem um referencial próprio: os 2018 SOC 2 Description Criteria, com orientações de aplicação revistas em 2022. Explica o que pertence ao sistema e como é operado. A avaliação dos controlos examina depois as disposições correspondentes. Um relatório completo relaciona estas perspetivas; um logótipo, por si só, não mostra o âmbito nem a opinião do auditor.
A quem se destina um relatório SOC 2.
Um relatório SOC 2 destina-se aos prestadores de serviços e aos clientes que pretendem avaliar os seus serviços. Segundo a descrição pública da AICPA sobre o guia de avaliação, os clientes precisam de informação sobre a conceção, a operação e a eficácia dos controlos quando externalizam funções. Isto envolve, por exemplo, o tratamento de informação ou a dependência de um sistema disponibilizado; daqui não se deduz uma dimensão específica de empresa.
As necessidades dos clientes contribuem para determinar um âmbito de avaliação adequado. Antes de contratar, esclareça que produto, ambiente operacional e compromissos são materiais para os destinatários. Um requisito contratual de demonstração deve ser comparado com o relatório efetivamente planeado. O SOC 2 não cria uma obrigação legal geral de avaliação para todos os prestadores SaaS.
A preparação SOC 2 em seis áreas de trabalho.
A preparação relaciona um mandato de avaliação acordado com controlos operacionais rastreáveis. As áreas seguintes são uma estrutura prática; não constituem uma nova lista oficial de critérios. A base continua a ser os Trust Services Criteria e os Description Criteria aplicáveis.
Descrever os limites do sistema e os compromissos.
Identifique o serviço oferecido e as pessoas, processos, sistemas e dependências relevantes. A descrição deve corresponder ao serviço real adquirido pelos clientes. Segundo o recurso de gestão da AICPA, a descrição do sistema e a declaração da gestão são componentes próprias do relatório; um inventário técnico, por si só, não explica estas relações.
Acordar as categorias e os riscos.
Os compromissos do serviço e as necessidades de informação dos utilizadores previstos ajudam a selecionar as categorias relevantes. Registe por que razão uma questão integra o âmbito e que riscos devem ser analisados. A lista de revisão da AICPA exige considerar se as categorias e os compromissos abrangidos são suficientes para a utilização própria.
Operar controlos com responsáveis.
Descreva disposições operacionais concretas e as pessoas que as executam ou supervisionam. Serviços diferentes podem precisar de controlos diferentes. Uma política geral só contribui para a demonstração quando os seus requisitos chegam aos processos relevantes e a execução real é rastreável.
Recolher evidências no momento certo.
As evidências devem sustentar temporalmente a afirmação examinada. Para o tipo 1, é determinante a data de referência acordada; para o tipo 2, o período de avaliação definido. Uma captura de ecrã recém-criada não pode comprovar sem mais uma operação anterior. Na avaliação temporal, a AICPA refere expressamente o juízo profissional do auditor.
Esclarecer os serviços externalizados e as tarefas do cliente.
Explique como as organizações subprestadoras materiais são tratadas no relatório e que tarefas permanecem com o cliente. A lista de revisão distingue os controlos complementares do cliente de outras tarefas dos utilizadores. Para a preparação própria, recomenda-se uma atribuição clara, em vez de reunir todas as atividades numa lista geral de fornecedores.
Avaliar as alterações e as exceções.
Os resultados de avaliação precisam do contexto do serviço afetado. Documente as correções e as alterações materiais de forma a permitir avaliar os seus efeitos. Uma exceção isolada num teste e uma opinião de auditoria com reservas são conclusões diferentes. O recurso de gestão da AICPA apoia a consideração separada da opinião, dos testes, dos resultados e de outras informações.
O percurso para o relatório SOC 2.
Esclarecer os destinatários e as necessidades.
Como ponto de partida prático, registe que cliente pretende avaliar que serviço e para que decisão o relatório deve servir de base.
Delimitar o mandato de avaliação.
Acorde a descrição do sistema, as categorias relevantes, o tipo de relatório e a data ou o período previsto com uma firma CPA independente adequada.
Relacionar os controlos e a responsabilidade.
Verifique com as áreas funcionais responsáveis se os processos descritos funcionam efetivamente e que registos tornam a sua operação rastreável.
Manter as evidências operacionais disponíveis.
Organize a recolha de evidências adequadas durante o período acordado e esclareça desde cedo as evidências das dependências externas materiais.
Tratar as constatações.
Discuta as questões em aberto e as exceções com base em evidências concretas e registe as correções e a responsabilidade pelos riscos remanescentes.
Avaliar o relatório no contexto de utilização.
Após a emissão, leia em conjunto o âmbito, a opinião, o período e as tarefas do cliente e planeie a avaliação de alterações materiais posteriores.
Ler corretamente o SOC 2 tipo 2 e tipo 1.
O tipo 1 e o tipo 2 respondem a questões temporais diferentes. O tipo 1 diz respeito à descrição do sistema e à conceção dos controlos numa data de referência. O SOC 2 tipo 2 inclui também a sua eficácia na operação durante o período indicado. A lista de revisão da AICPA regista esta distinção logo nos dados gerais do relatório.
Uma firma CPA licenciada emite o relatório SOC 2. Verifique a firma responsável, a sua habilitação pertinente e o mandato efetivamente descrito. A preparação por um consultor ou fornecedor de ferramentas distingue-se do serviço de avaliação independente. A organização mantém a responsabilidade pelos seus controlos.
O relatório não tem uma validade geral semelhante à de um certificado. A sua utilidade depende de o sistema, o período e as conclusões corresponderem às necessidades atuais do cliente. Uma migração posterior ou outra alteração material pode suscitar questões adicionais. Por isso, analisar o documento continua a fazer parte da decisão própria sobre um prestador.
Enquadrar outros referenciais.
A ISO 27001 diz respeito a um sistema de gestão da segurança da informação e à sua possível certificação. O BSI C5 segue um modelo próprio de avaliação para serviços na nuvem. O RGPD regula o tratamento de dados pessoais; um relatório SOC 2 não substitui a análise destas obrigações legais.
No Secani.
O Secani oferece um catálogo editorial de trabalho relativo aos Trust Services Criteria da AICPA, com orientações próprias de implementação. Os dados de perfil distinguem o mandato de avaliação acordado e as categorias adicionais. As medidas e as evidências podem ser trabalhadas de forma relacionada; este apoio próprio não substitui a norma de critérios protegida nem a avaliação independente.
Começar pelas necessidades do cliente.
Escolha um serviço efetivamente oferecido e registe os destinatários previstos do relatório. Descreva as conclusões de que precisam sobre o serviço e os limites operacionais relevantes. Com esta base, pode discutir o tipo de relatório, o âmbito e o trabalho prévio necessário com uma firma de auditoria adequada.
Fontes.
Perguntas frequentes.
Não. O SOC 2 é um relatório de avaliação de um auditor de serviços independente sobre um sistema descrito e os seus controlos; não é um certificado ISO nem um selo geral de produto.
O tipo 1 refere-se à conceção dos controlos numa data de referência. O tipo 2 inclui também a sua eficácia operacional durante o período de avaliação acordado.
Não se pode deduzir uma obrigação geral fixa nem uma frequência de testes. Os riscos, os controlos descritos e o mandato de avaliação acordado determinam as evidências adequadas; os contratos com clientes podem conter expectativas adicionais.
O relatório descreve a sua data de referência ou período de avaliação. A sua suficiência para uma decisão atual depende também do serviço abrangido, das alterações entretanto ocorridas e dos requisitos do destinatário.
Esclareça o âmbito da avaliação.
Fale connosco sobre como organizar as medidas e as evidências do seu serviço no Secani.
Esta página explica o SOC 2 por palavras próprias. Prevalecem as normas AICPA aplicáveis e o mandato concreto de avaliação; a descrição não substitui uma avaliação técnica.