Seguridad de la información
SOC 1
SOC 1 (System and Organization Controls 1)
SOC 1 es una certificación independiente de un contador público (CPA) sobre los controles de su organización que son relevantes para el control interno de la información financiera de sus clientes. Lo acompañamos desde la primera brecha hasta un informe limpio de Tipo I o de Tipo II.
Qué es SOC 1
SOC 1 es un informe de certificación elaborado por una firma de contadores públicos (CPA) independiente que describe los controles de una organización de servicios que podrían afectar los estados financieros de sus clientes. Existe para que sus clientes y los auditores de estos puedan confiar en los controles que usted opera en su nombre cuando informan sobre el control interno de la información financiera (ICFR).
Un informe de Tipo I evalúa si los controles están diseñados de forma adecuada en un momento determinado. Un informe de Tipo II comprueba si esos controles funcionaron eficazmente durante un período, por lo general de seis a doce meses, y es el que esperan la mayoría de los auditores de los clientes cuando su servicio es relevante para sus cifras.
La estructura del informe
Sección 1 · Dictamen del auditor de servicios independiente
El dictamen formal de la firma CPA sobre si la descripción se presenta de forma razonable y, para un Tipo II, sobre si los controles funcionaron eficazmente.
Sección 2 · Afirmación de la dirección
Una declaración escrita de su dirección que certifica la exactitud de la descripción del sistema y la idoneidad de los controles.
Sección 3 · Descripción del sistema
Su relato de los servicios, procesos, personas y tecnología que componen el sistema relevante para la información financiera de los clientes.
Sección 4 · Objetivos de control y controles
Los objetivos de control vinculados al control interno de la información financiera, con los controles específicos que cumplen cada objetivo y, para un Tipo II, las pruebas y los resultados del auditor.
Controles complementarios de la entidad usuaria
Los controles que el informe asume que sus propios clientes operan para que los objetivos globales se logren en su extremo.
Tipo I frente a Tipo II
El Tipo I evalúa el diseño de los controles en un momento determinado, mientras que el Tipo II además pone a prueba la eficacia operativa durante un período de revisión definido.
Quién lo necesita
- Proveedores de nóminas, pagos, facturación y administración de fondos cuyo procesamiento alimenta las finanzas de los clientes
- Plataformas SaaS que gestionan transacciones, ingresos o registros financieros para sus clientes
- Organizaciones de servicios a las que el auditor externo de un cliente les solicita un informe SOC 1
Qué obtiene
- Una evaluación de brechas y una hoja de ruta priorizada frente a los objetivos de control relevantes
- Objetivos de control, controles y un conjunto de evidencias documentados
- Una revisión interna de preparación y un simulacro antes del trabajo de campo
- Preparación para la auditoría y apoyo hasta un informe limpio de Tipo I o de Tipo II
Los plazos dependen de su punto de partida y de si se trata de Tipo I o Tipo II. Definimos el alcance con honestidad desde el principio en lugar de prometer un número fijo de semanas.
Versión actual
SOC 1 es un encargo de certificación realizado bajo el marco SSAE 18 de la AICPA, donde la AT-C section 320 establece los requisitos específicos para informar sobre los controles de una organización de servicios. SSAE 18 es la norma vigente desde que entró en vigor en 2017, al consolidar las normas de certificación anteriores, y la AT-C 320 es el punto de referencia actual para los nuevos informes. No existe una edición numerada aparte de SOC 1 que haya que adoptar; la AICPA mantiene y actualiza periódicamente las orientaciones, de modo que usted planifica en torno a la fecha de Tipo I o al período de revisión de Tipo II que elija, y no en torno a un cambio de versión.
Qué cuesta
Aquí conviven dos costes. tr3labs cobra unos honorarios de asesoría e implantación ajustados al alcance, presupuestados por adelantado una vez que entendemos su tamaño, su sistema y cuán avanzados están ya sus controles, que cubren el trabajo sobre las brechas, los objetivos de control, las evidencias y la preparación. La firma CPA independiente que realiza el examen y emite el dictamen cobra por separado según su propia tarifa, ya que tr3labs nunca es el auditor ni emite el informe. Preferimos definir el alcance junto con usted a partir de su punto de partida real antes que presupuestar a ciegas.
Cómo tr3labs le lleva hasta allí
Evaluación de alcance y brechas
Identificamos los objetivos de control relevantes para la información financiera de sus clientes, cotejamos sus controles actuales con ellos y le entregamos una hoja de ruta priorizada para cerrar las brechas.
Implantación de los controles
Lo ayudamos a definir los objetivos de control, implementar los controles de proceso y técnicos que los sustentan y reunir las evidencias que su auditor pondrá a prueba.
Auditoría interna y evidencias
Realizamos una revisión interna y un simulacro de la auditoría para que los controles estén operando y documentados antes del trabajo de campo, sin sorpresas para un período de Tipo II.
Apoyo a la certificación
Trabajamos junto a su auditor CPA durante el trabajo de campo hasta lograr un informe limpio y lo mantenemos preparado para el próximo período de reporte.
SOC 1 frente a SOC 2
Ambos comparten el nombre SOC y el mismo mecanismo de certificación, por lo que se confunden con facilidad.
| SOC 1 | SOC 2 | |
|---|---|---|
| Abarca | Controles relevantes para la información financiera | Seguridad, disponibilidad, integridad del procesamiento, confidencialidad, privacidad |
| Idea central | Si los auditores de sus clientes pueden confiar en usted | Si sus clientes pueden confiar en cómo protege sus datos |
| Quién lo pide | Los auditores financieros externos de los clientes | Los equipos de seguridad y compras de los clientes |
| Se mide frente a | Sus propios objetivos de control para el ICFR | Los Trust Services Criteria |
| Modelo de auditoría | Tipo I o Tipo II, bajo SSAE 18 | Tipo I o Tipo II, bajo SSAE 18 |
| Titular habitual | Nóminas, pagos y administración de fondos | Plataformas SaaS y de alojamiento |
Preguntas frecuentes sobre SOC 1
- ¿Cuál es la diferencia entre SOC 1 y SOC 2?
- SOC 1 abarca los controles relevantes para la información financiera de sus clientes, de modo que sus auditores puedan confiar en su servicio. SOC 2 abarca la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad frente a los Trust Services Criteria. El que usted necesite depende de lo que le pidan sus clientes.
- ¿Cuál es la diferencia entre SOC 1 de Tipo I y de Tipo II?
- El Tipo I evalúa si sus controles están diseñados correctamente en un único momento. El Tipo II comprueba si funcionaron eficazmente durante un período de revisión, por lo general de seis a doce meses, y es lo que suelen pedir los auditores de los clientes.
- ¿Quién emite el informe SOC 1?
- Una firma de contadores públicos (CPA) independiente y autorizada emite el informe. tr3labs lo prepara para la auditoría, desarrolla los objetivos de control y las evidencias y lo acompaña durante el proceso; nosotros no emitimos la certificación por nuestra cuenta.
Normas relacionadas
Lectura relacionada
El OWASP LLM Top 10, explicado: una guía en lenguaje sencillo para equipos que lanzan funcionalidades de IA
A clear, practical walkthrough of the OWASP Top 10 risks for LLM applications, in Spanish.
9 min de lectura
Cómo leer un informe de test de intrusión (VAPT): una guía en lenguaje sencillo para equipos
Un recorrido práctico, sección por sección, por lo que contiene un informe de test de intrusión, para que fundadores y equipos de ingeniería puedan leerlo con confianza y actuar según lo que dice.
8 min de lectura
SOC 2 frente a ISO 27001: una comparación honesta para ayudarte a elegir
Una guía en lenguaje sencillo sobre las diferencias reales entre SOC 2 e ISO 27001: qué es cada uno, quién pide cuál, cómo funcionan las auditorías, qué acabas teniendo en la mano y si deberías hacer ambos.
8 min de lectura