Auditoría SOC 2 para proveedores de nearshoring: el informe que exige su cliente en Estados Unidos

La situación: su cliente en Estados Unidos exige un informe SOC 2

Un cliente en Estados Unidos está a punto de firmar, o de renovar, un contrato de nearshoring, desarrollo de software, soporte de TI o servicios BPO, y su equipo de seguridad o de riesgo de proveedores (vendor risk) detiene el proceso con una pregunta: «¿Tienen SOC 2?». Sin el informe, la firma se retrasa o la operación no se cierra.

Con el auge del nearshoring y el marco del T-MEC (USMCA), cada vez más empresas de México y América Latina acceden a los sistemas y a los datos de clientes estadounidenses. Para ese cliente usted es un proveedor crítico, y el informe SOC 2 es el documento con el que su equipo de riesgo evalúa a los proveedores críticos.

Una precisión antes de responder: SOC 2 no es una certificación, aunque su cliente la llame así. Una certificación (como ISO 27001) la emite un organismo acreditado frente a una norma; un informe SOC 2 es un informe de atestiguamiento que solo puede emitir una firma CPA con licencia, y contiene la opinión del auditor, la descripción de su sistema, los controles probados y los resultados de las pruebas. Tampoco sustituye las obligaciones de protección de datos de su país, como la LFPDPPP en México.

Qué le pedirá el equipo de seguridad o de riesgo de proveedores de su cliente

Cuando su cliente le pida «el SOC 2», en la práctica querrá revisar lo siguiente:

• El informe completo, no un sello. Es un documento confidencial que se comparte bajo acuerdo de confidencialidad (NDA); un distintivo en su sitio web no lo sustituye.
• El tipo de informe. Para un proveedor crítico, que trata datos de producción o accede a sus sistemas, suele exigir un informe SOC 2 Tipo II, no un informe de tipo I a una fecha determinada.
• El período cubierto. Comprobará que el informe está vigente: el mercado lo trata como actual durante unos 12 meses, contados desde el cierre del período o desde la emisión.
• La opinión del auditor y las excepciones. Si la opinión es sin salvedades, con salvedades o adversa, y qué excepciones surgieron en las pruebas.
• Los controles complementarios de la entidad usuaria (CUEC). Los controles que su propio cliente debe operar para poder basarse en su informe.
• Una carta puente (bridge letter) si hay un intervalo entre fechas. Cuando el período cubierto termina antes de la fecha en que el cliente revisa el informe, le pedirá una carta puente firmada por su dirección, no por la firma CPA. En la práctica habitual se acepta para intervalos de unos 90 días como máximo y nunca sustituye a un informe nuevo.
• Un cuestionario de seguridad, solo para lo que el informe no responda.

Si todavía no tiene ninguno de estos documentos, el siguiente paso es decidir qué informe puede entregar dentro del plazo del contrato. Reserve una llamada de alcance de 30 minutos y se lo confirmamos con fechas concretas.

Cómo se desarrolla la auditoría en remoto desde México y América Latina

No necesita recibir auditores en sus oficinas ni desplazar a su equipo. El trabajo de campo se realiza de forma remota (o presencial, si lo prefiere) y el encargo se desarrolla en español: reuniones, solicitudes de evidencia y pruebas de recorrido (walkthroughs) con sus equipos de ingeniería, seguridad y operaciones. Un auditor sénior queda asignado al encargo desde el primer día. El proceso sigue cuatro fases:

• 1. Diagnóstico. Mapeamos sus sistemas, identificamos los servicios dentro del alcance y definimos las categorías de los criterios de servicios de confianza (Trust Services Criteria, TSC) que cubrirá su informe. La categoría Seguridad es obligatoria; las demás se añaden solo si su cliente las exige.
• 2. Preparación. Análisis de brechas y orientación para la remediación, de modo que sus controles cumplan todos los criterios aplicables antes del trabajo de campo y, en un tipo II, antes de que empiece el período de observación.
• 3. Trabajo de campo. Pruebas de los controles, recopilación de evidencia y pruebas de recorrido con sus equipos, en remoto. La evidencia puede salir de su plataforma GRC (Vanta, Drata, Secureframe, Sprinto u otra) o exportarse directamente de sus sistemas y organizarse en hojas de cálculo: el honorario y el informe son los mismos.
• 4. Entrega. Emisión del informe SOC 2 final, carta de recomendaciones a la dirección y apoyo continuo para su siguiente ciclo de informe, incluida la orientación sobre la carta puente cuando su cliente la solicite.

Todo empieza con una llamada de alcance de 30 minutos en la que confirmamos el alcance, el calendario y el honorario. Como firma CPA con licencia, cada encargo requiere una aprobación individual y la confirmación de la independencia del auditor antes de emitir la carta de encargo. Reserve su llamada de alcance con la fecha de su contrato a la vista.

Quién firma su informe y por qué su cliente lo acepta

Solo una firma CPA con licencia puede emitir un informe SOC 1 o SOC 2. Auditsuisse Assurance NA PC es una firma CPA con licencia en Estados Unidos (Kalispell, Montana), inscrita en el programa de revisión por pares (Peer Review) del AICPA, con oficinas administrativas en Nueva York, Boston y Richmond. Auditsuisse Assurance AG es un auditor experto autorizado en Suiza (ASR/RAB) con sede en Zúrich. Su informe SOC 2 Tipo I o Tipo II se emite conforme a las normas SSAE 18 por nuestra firma CPA estadounidense con licencia: el mismo tipo de informe, de la misma clase de firma, que el equipo de riesgo de su cliente revisa para sus proveedores en Estados Unidos.

Al frente de la práctica de auditoría está Sébastien Ruosch, director de auditorías: CPA suizo (Wirtschaftsprüfer, licencia RAB/ASR 114662) y CPA estadounidense (licencia 034634), máster en Contabilidad, Control y Finanzas por la Universidad de Lausana, casi cinco años en la práctica de auditoría de una firma Big Four y especialización en SOC 2 y ciberseguridad.

Si además tiene clientes en Europa que le piden un informe bajo la norma internacional, consulte nuestra página de ISAE 3402. Más sobre la firma en Sobre nosotros.