SOC 1 frente a SOC 2: ¿en qué se diferencian?

SOC 1 y SOC 2 son informes de auditoría independientes dentro del marco System and Organization Controls del AICPA, pero responden a preguntas distintas. La forma más rápida de recordarlo: SOC 1 trata de los controles que podrían afectar a la información financiera de tus clientes; SOC 2, de cómo proteges los datos de los clientes. Este artículo es información general, no asesoramiento legal.

Qué son los informes SOC

Un informe SOC lo elabora una firma de auditoría (CPA) independiente que examina los controles de una «organización de servicios» (una empresa que opera sistemas o procesos en nombre de sus clientes) y emite una opinión. La finalidad es dar garantías a otros: tus clientes (y sus auditores) quieren pruebas independientes de que los controles que dices tener existen y funcionan de verdad, sin tener que auditarte ellos mismos. SOC 1 y SOC 2 se diferencian en qué controles entran en el alcance y con qué criterios se juzgan.

SOC 1: controles sobre la información financiera

SOC 1 se centra en los controles de una organización de servicios que son relevantes para el control interno de sus clientes sobre la información financiera (ICFR). Importa cuando el servicio que prestas alimenta los estados financieros de tus clientes. Los candidatos clásicos a un SOC 1 son los procesadores de nóminas, los procesadores de pagos, los servicios de facturación y cobro y los administradores de siniestros de seguros: organizaciones cuyo procesamiento, si fallara, podría distorsionar los resultados financieros de un cliente. El alcance de un SOC 1 lo definen objetivos de control ligados a la información financiera, y su público principal son los equipos financieros de tus clientes y sus auditores externos.

SOC 2: controles sobre la seguridad y los datos

SOC 2 se centra en los controles relevantes para los Trust Services Criteria del AICPA: Seguridad (siempre incluida, son los criterios comunes) más cualquiera de Disponibilidad, Integridad del procesamiento, Confidencialidad y Privacidad que decidas incluir según lo que prometes a tus clientes. SOC 2 es el informe que se pide a la mayoría de los proveedores de SaaS, nube y tecnología B2B, porque responde a la pregunta que de verdad les importa a los compradores preocupados por la seguridad: ¿podemos confiarte nuestros datos? El alcance lo define qué Trust Services Criteria incluyes, así que dos informes SOC 2 no son necesariamente comparables: comprueba siempre qué criterios cubre un informe. Prepararse para uno consiste sobre todo en cerrar la distancia entre tus controles reales y los criterios, que es justo para lo que está pensada una lista de comprobación de preparación para SOC 2 antes de contratar a ningún auditor.

Tipo I frente a Tipo II

Tanto SOC 1 como SOC 2 tienen dos tipos, y la diferencia está entre el diseño y el funcionamiento:

• Tipo I evalúa si los controles están bien diseñados en un momento concreto. Es una instantánea: dice que existen los controles adecuados y que están diseñados para cumplir los objetivos en una fecha determinada.
• Tipo II va más allá y comprueba si esos controles funcionaron con eficacia durante un periodo, normalmente de varios meses a un año. Toma muestras de evidencias a lo largo del periodo para demostrar que los controles se siguieron de verdad, de forma constante, y no que solo estaban presentes un día.

El Tipo II pesa mucho más para los compradores exigentes precisamente porque demuestra que los controles funcionan en la práctica a lo largo del tiempo. Muchas organizaciones empiezan con un Tipo I para demostrar el diseño y pasan al Tipo II cuando ya han aplicado los controles el tiempo suficiente para examinarlos durante un periodo. Cuando un cliente pide «tu SOC 2», muy a menudo se refiere a un SOC 2 de Tipo II.

Quién necesita cuál

Ajusta el informe a lo que hace tu servicio:

1. Afectas a la información financiera de tus clientes (nóminas, pagos, facturación, siniestros). Necesitas un SOC 1.
2. Manejas datos de clientes y quieres demostrar tu seguridad (SaaS, nube, encargados del tratamiento, la mayoría de la tecnología B2B). Necesitas un SOC 2.
3. Se dan ambas cosas: por ejemplo, una fintech que procesa dinero relevante para los estados financieros y además almacena datos sensibles de clientes. Puede que necesites los dos.

Si eres tú quien pide los informes a un proveedor en lugar de elaborarlos, saber qué informe esperar para un servicio determinado forma parte de la diligencia debida; nuestra lista de comprobación para evaluar la seguridad de proveedores y un cuadro de riesgo de proveedores te ayudan a pedir el informe correcto, con el alcance y el tipo adecuados, y a leerlo con sentido crítico.

Dónde encaja SOC 3

SOC 3 se basa en el mismo examen de los Trust Services Criteria que SOC 2, pero es un informe público y de uso general. Un SOC 2 completo contiene descripciones detalladas del sistema y de los controles y los resultados de las pruebas del auditor, algo sensible, así que los informes SOC 2 son de uso restringido y suelen compartirse bajo un acuerdo de confidencialidad. Un SOC 3 elimina ese detalle y presenta solo la opinión del auditor, de modo que puede publicarse abiertamente en un sitio web o entregarse a cualquiera. Piensa en SOC 3 como el resumen comercial compartible de un SOC 2.

Una nota sobre la «certificación»

Los informes SOC son atestaciones, no certificados. Una firma CPA independiente examina tus controles y emite un informe con una opinión; no hay un distintivo de aprobado o suspenso ni un registro central. Así que «certificado SOC 2» en realidad significa «tenemos un informe SOC 2», y las preguntas útiles son siempre qué criterios cubre, si es de Tipo I o de Tipo II, qué periodo abarca y si la opinión es limpia. Si además buscas un SGSI basado en ISO 27001, ten en cuenta que ISO 27001 sí emite un certificado, que es una de las diferencias prácticas entre los dos enfoques; nuestra lista de comprobación de preparación para ISO 27001 cubre ese camino.

Preguntas frecuentes

¿Qué diferencia hay entre SOC 1 y SOC 2? SOC 1 cubre los controles relevantes para la información financiera de los clientes (ICFR); SOC 2 cubre la seguridad y, de forma opcional, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad, frente a los Trust Services Criteria.

¿Tipo I o Tipo II? El Tipo I comprueba que los controles están bien diseñados en un momento concreto; el Tipo II comprueba que funcionaron con eficacia durante un periodo, así que pesa más.

¿Quién necesita cuál? SOC 1 si tu servicio afecta a los estados financieros de tus clientes (nóminas, pagos, siniestros); SOC 2 si manejas datos de clientes y debes demostrar tu seguridad; a veces, los dos.

¿Qué es SOC 3? Un resumen público y de uso general de un examen SOC 2, sin el detalle sensible, apto para compartirlo abiertamente.

¿SOC 2 es una certificación? No: es un informe de atestación con la opinión de un auditor, no un certificado. «Certificado SOC 2» significa «tiene un informe SOC 2»; comprueba siempre su alcance, su tipo y su periodo.