Los proveedores de servicios que gestionan información sensible de los usuarios deben proporcionar documentación estructurada detallando lo que están haciendo para proteger esa información.

Aquí es donde entran en juego los exámenes SOC®. SOC significa Controles del Sistema y de la Organización. Es un tipo de examen orientado a entidades que proporcionan servicios directamente relacionados con los sistemas de control de un usuario, como compañías de SaaS, organizaciones de informes financieros, centros de datos y procesadores de pagos.

Existen diferentes tipos de informes SOC diseñados para ayudar a las organizaciones de servicios a satisfacer las necesidades específicas de los usuarios. En esta publicación, discutiremos las principales diferencias entre los informes SOC 1 y SOC 2 para que puedas entender cuál puedes necesitar.

Informe SOC 1® vs SOC 2®

Las diferencias clave entre un informe SOC 1 y SOC 2 son los controles que examinan y las necesidades de los usuarios que satisfacen.

SOC 1 examina los controles de una organización de servicios sobre los informes financieros. Las entidades que utilizan organizaciones de servicios pueden solicitar un informe SOC 1 para evaluar el efecto de esos controles en sus propios estados financieros. Esto es importante para las entidades mismas y para los CPAs que auditan los estados financieros de las entidades.

El SOC 2 examina los controles de una organización de servicios basándose en cinco criterios: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Este tipo de informe puede ser solicitado por una amplia gama de usuarios que necesitan información detallada y asegurarse sobre los controles de una organización de servicios relevantes a 1) la seguridad, disponibilidad e integridad del procesamiento de los sistemas que la organización utiliza para procesar los datos de los usuarios y 2) la confidencialidad y privacidad de la información procesada por estos sistemas.

Veamos más de cerca cada tipo de informe a continuación.

¿Qué es SOC 1®?

Un informe SOC 1 es una auditoría de los controles organizacionales que tiene como objetivo analizar los controles de una organización de servicios relevantes a los estados financieros de sus usuarios.

Cómo obtener un informe SOC 1

SOC 1 puede considerarse un informe de “atestación”, lo que significa que un auditor externo (típicamente un CPA) debe proporcionar una opinión sobre el rendimiento de tus controles.

Primero, la alta dirección de la organización debe definir los controles que están directamente relacionados con las operaciones financieras de los usuarios. Luego, el CPA puede analizar esos controles y emitir una opinión sobre si son efectivos.

Usualmente, esta opinión incluye:

• Alcance: ¿Cuál es el alcance del compromiso?
• Responsabilidades: ¿Cuáles son las responsabilidades de la organización?
• Diseño: ¿Cuál es el diseño de los controles?
• Descripción: ¿Cuál es la descripción proporcionada por la administración respecto a los controles?
• Tipo: ¿Cuál es el tipo de informe que se está utilizando?
• Opinión: ¿Cuál fue la opinión del auditor después de realizar todas las pruebas y el examen?

Una vez que tengas este documento listo, puedes enviarlo a tus clientes y partes interesadas para que puedan usarlo siempre que ellos mismos estén pasando por una auditoría financiera.

El propósito de los informes SOC 1

Si una empresa depende de un proveedor de servicios externo para realizar procesos cruciales de informes financieros (por ejemplo, un sistema de gestión de nómina subcontratado o una plataforma de informes de ingresos), probablemente le pedirán a esos proveedores de servicios un informe SOC 1.

Aunque estos informes no son obligatorios, te ayudan a validar tus controles y comunicar a los clientes que tienes procesos seguros. Esto les ayudará a sentirse más seguros y cómodos con respecto a sus estados financieros.

Tipos de informes SOC 1

Hay dos tipos de informes SOC 1:

• Tipo 2: Un informe tipo 2 evalúa la equidad de la descripción de la gerencia del sistema de la organización de servicios y la idoneidad del diseño y la efectividad operativa de los controles para lograr los objetivos de control relacionados incluidos en la descripción a lo largo de un período especificado.
• Tipo 1: Un informe tipo 1 evalúa la equidad de la descripción de la gerencia del sistema de la organización de servicios y la idoneidad del diseño de los controles para lograr los objetivos de control relacionados incluidos en la descripción a una fecha especificada.

¿Quién necesita un informe SOC 1?

Si tu servicio impacta las operaciones financieras de tus usuarios, entonces probablemente necesites una auditoría SOC 1.

Por ejemplo, las siguientes empresas pueden necesitar cumplir con SOC 1:

• Software de procesamiento de nóminas
• Plataformas de gestión de facturación
• Empresas fiduciarias
• Software de informes financieros

Estos son solo algunos ejemplos. En resumen, si impactas la información financiera de los usuarios de alguna manera, necesitas esto.

¿Qué es SOC 2®?

A diferencia de SOC 1, que se enfoca en los controles sobre los informes financieros, los exámenes SOC 2 se centran en el lado de operaciones y cumplimiento.

Los informes SOC 2 se basan en los criterios de servicios de confianza (anteriormente conocidos como los principios de servicios de confianza) establecidos por el AICPA. Estos son:

• Seguridad (también conocido como “criterios comunes”): ¿Está tu organización de servicios protegida contra accesos no autorizados?
• Disponibilidad: ¿Están tus servicios disponibles en todo momento? ¿Los servicios están restringidos?
• Integridad de procesamiento: ¿Funcionan tus sistemas de procesamiento de manera confiable? ¿Proporcionan datos oportunos y precisos a los usuarios? ¿Procesas datos de otras organizaciones? ¿Tienes alguna integración?
• Confidencialidad: ¿Cómo gestionas los datos confidenciales? ¿Están clasificados y protegidos? ¿Quién puede acceder a dicha información?
• Privacidad: ¿Estás manejando información sensible y personal de los usuarios? Si es así, ¿qué estás haciendo para mantener esos datos protegidos?

Aunque todos estos criterios son importantes cuando intentas proteger la información sensible de los usuarios, el único requerido para cumplir con SOC 2 es la seguridad. Es por eso que se le llama “criterios comunes”.

Cómo obtener un informe SOC 2

Al igual que SOC 1, SOC 2 es un informe de certificación en el que un auditor externo necesita intervenir, analizar tus controles y emitir un informe de opinión.

El AICPA no proporciona directrices específicas para prepararse para una auditoría SOC 2. Realmente depende de las regulaciones específicas de la industria y del tipo de servicio que proporciona tu organización. La mejor manera de prepararse es analizando cómo tus servicios impactan las organizaciones de tus usuarios e identificando qué riesgos y problemas potenciales están involucrados.

Por ejemplo, si usted es una empresa de procesamiento de pagos para negocios de comercio electrónico, es posible que desee considerar el principio de integridad del procesamiento en sus controles. Por otro lado, si su negocio proporciona servicios de gestión de recursos humanos, puede que desee considerar otros principios, como la confidencialidad y la privacidad.

El AICPA no enumera controles específicos que deba tener para cumplir con SOC 2, lo cual puede hacer el proceso más confuso.

En esta etapa, una evaluación de preparación puede ser útil para determinar el estado actual de sus controles, detectar posibles brechas en sus sistemas y estar mejor preparado para la auditoría real.

La mayoría de las firmas contables que tienen experiencia con informes SOC pueden realizar evaluaciones de preparación para ayudarle a mitigar posibles problemas con sus controles actuales antes de su examen SOC 2.

El propósito de los informes SOC 2

Al igual que los informes SOC 1, los informes SOC 2 no son obligatorios, pero pueden ayudar a proporcionar a los clientes la seguridad de que sus datos están adecuadamente protegidos. Esto puede ayudarle a construir confianza y transparencia y obtener una ventaja sobre los competidores.

Tipos de informes SOC 2

Similar a SOC 1, hay dos tipos de informes SOC 2:

• Tipo 2: Un informe de tipo 2 evalúa la descripción de la gerencia del sistema de una organización de servicios y la idoneidad del diseño y la efectividad operativa de los controles durante un período prolongado de tiempo.
• Tipo 1: Un informe de tipo 1 evalúa la descripción de la gerencia del sistema de una organización de servicios y la idoneidad del diseño de los controles en un momento específico.

¿Quién necesita un informe SOC 2?

Si su organización maneja información sensible que no está relacionada con informes financieros, entonces puede necesitar un informe SOC 2.

Por ejemplo, las siguientes empresas pueden necesitar cumplir con SOC 2:

• Proveedor de servicios en la nube
• Proveedor de SaaS
• Servicio de gestión de recursos humanos
• Plataforma de reclutamiento
• Centro de datos anfitrión

Agregue a esta lista cualquier tipo de organización basada en servicios que afecte las operaciones de controles internos, excluyendo las operaciones financieras, para sus usuarios.

SOC® Tipo 1 vs Tipo 2

Como mencionamos anteriormente, hay dos tipos de informes SOC 1 y SOC 2. Eso significa que una vez que haya decidido si un informe SOC 1 o SOC 2 es mejor para su organización, su próxima elección es decidir entre un informe Tipo 1 y Tipo 2.

Ambos tipos de informes tienen algunas similitudes, incluyendo:

• Objetivo: Ambos tipos de informes tienen como objetivo explorar los controles de una organización de servicios
• Certificación: Ambos tipos de informes deben proporcionar una opinión de un CPA externo
• Controles: Ambos tipos de informes deben incluir los diferentes controles utilizados por la organización

Pero si usted es una organización basada en servicios que busca cumplir con SOC, es importante que entienda las principales diferencias entre estos tipos de informes.

En resumen, la principal diferencia entre los informes Tipo 1 y Tipo 2 radica en la duración y profundidad de la auditoría en cuestión. Piense en un informe Tipo 1 como mojarse los pies en el agua, y un Tipo 2 como nadar por completo.

Exploremos este punto un poco más.

Informes SOC Tipo 1

Los informes SOC Tipo 1 tienen como objetivo explorar la funcionalidad de los controles de una organización basada en servicios en un punto en el tiempo. Por ejemplo, "informe de auditoría para el 30 de noviembre de 2021."

Los informes Tipo 1 tratan de responder a la pregunta: ¿Son sus controles conformes con SOC 1 o SOC 2 en este momento?

Este tipo de informe generalmente cubre si sus controles internos están diseñados adecuadamente según los criterios propietarios de SOC 1 (objetivos de control) o SOC 2 (principios de confianza) en el contexto del servicio que está proporcionando.

Algunos de los componentes principales de un informe SOC de Tipo 1 incluyen:

• Equidad: Opinión del auditor sobre la equidad de la descripción de los objetivos de control por parte de la gerencia.
• Idoneidad: Opinión del auditor sobre la idoneidad del diseño del control en el contexto del servicio proporcionado.
• Rendimiento: Opinión del auditor sobre el rendimiento de los controles en un solo momento en el tiempo.

Informes SOC de Tipo 2

Los informes SOC de Tipo 2, por otro lado, tienen como objetivo probar los controles de una organización de servicios en un rango de tiempo, típicamente de seis a 12 meses consecutivos. Por ejemplo, “informe de auditoría para el período del 30 de noviembre de 2021 al 30 de mayo de 2022.”

Por esa razón, los informes SOC de Tipo 2 son mucho más exhaustivos que los informes SOC de Tipo 1 y generalmente cubren la funcionalidad continua de los controles internos durante períodos más largos. Por lo tanto, el informe SOC 2 Tipo 2 tiene más peso y brindará a los usuarios más confianza en sus procesos.

Tenga en cuenta que los informes de Tipo 2 cubren los mismos criterios que los de Tipo 1 (equidad, idoneidad y rendimiento). La única diferencia es que los informes de Tipo 2 exploran los controles de la organización durante tres a 12 meses y proporcionan descripciones más detalladas de cómo funcionó cada control.

Los informes de Tipo 2 también añaden una sección adicional relacionada con las pruebas realizadas por el auditor del servicio sobre la efectividad operativa de dichos controles.

¿Cómo puede elegir el tipo de informe adecuado?

Su cliente a menudo definirá el tipo de informe que necesita para su auditoría SOC. ¿Qué necesita su cliente?

Cuando los usuarios solicitan un informe SOC para su propio proceso de auditoría, generalmente quieren la versión más completa, que es un informe de Tipo 2.

Pero supongamos que recién se está familiarizando con los informes SOC. En ese caso, ya sea SOC 1 o SOC 2, le sugerimos que comience con un informe de Tipo 1 para comprender mejor los controles de su organización, así como conocer personalmente el proceso de auditoría.

Si su cliente no está pidiendo claramente un informe de Tipo 2, un informe de Tipo 1 le ayudará a entender cómo trabaja el auditor del servicio y a diseñar efectivamente los controles de su organización. También podrá verificar la exactitud de la descripción de sus controles.

Obtener primero un informe SOC de Tipo 1 le ayudará a prepararse para el Tipo 2 y establecer las expectativas correctas para su equipo.

¿Qué pasa si su cliente solicita un informe de Tipo 2? En ese caso, necesitará pruebas adicionales del auditor para asegurarse de que tiene los controles correctos en su lugar. Analizarán si estos controles están funcionando correctamente durante el período definido.

En resumen, los informes SOC de Tipo 1 son el mejor lugar para comenzar porque le ayudan a diseñar los controles correctos desde el principio. Los informes SOC de Tipo 2 requieren que ya tenga dichos controles funcionando durante un largo período de tiempo.

Decidir qué informe SOC® necesita

Determinar qué tipo de informe SOC necesitará se reduce principalmente a dos factores: qué controles quiere examinar y qué necesidades de usuario está tratando de satisfacer.

La siguiente tabla muestra los criterios para cada tipo de informe.

Ya sea que necesite un informe SOC 1 o SOC 2 o ambos, Secureframe puede ayudarle a agilizar su proceso SOC 2 en semanas, no meses. Para obtener más información, lea nuestra página de descripción del producto o programe una demostración personalizada hoy mismo.