Empresas de tecnologia e serviços
SOC 2 não é um selo que se compra: é um relatório sobre como seus controles operaram durante um período. A DM11 prepara sua empresa para chegar à auditoria com o controle funcionando e a evidência pronta, sem descobrir lacuna quando o auditor já está dentro.
A DM11 prepara sua empresa. O relatório SOC 2 é emitido por uma firma de CPA independente, contratada por você, e quem implanta os controles fica impedido por independência de auditar o mesmo cliente.
Quem conduz a preparação
Comece pelo que quase todo mundo erra
Não existe certificado SOC 2, nem selo, nem organismo certificador. O que existe é um relatório de atestação, emitido sob as normas do American Institute of Certified Public Accountants por uma firma de CPA licenciada. Quem vende certificado está descrevendo algo que não existe, e normalmente erra também no resto.
O resultado é um documento com cinco seções, entre elas a descrição do sistema, escrita pela sua empresa, e o resultado dos testes do auditor controle a controle. Seu cliente vai ler, principalmente a parte em que constam as exceções. Não é um PDF de uma página com um logotipo.
Consultoria não emite relatório SOC 2, e nós também não. A firma de auditoria é contratada à parte, por você. Mais que isso: quem implantou os controles fica impedido, por independência, de auditar o mesmo cliente. Desconfie de quem oferece as duas coisas juntas.
O relatório mais pedido não avalia como sua empresa está hoje: avalia como ela operou ao longo de meses. Isso significa que a preparação não termina quando o controle é implantado, e sim quando ele produziu evidência consistente durante todo o período observado.
A primeira decisão
É a escolha que define custo, prazo e o que você vai conseguir mostrar ao cliente. E é onde circula o equívoco mais caro do mercado.
Desenho dos controles
Avalia se os controles estão desenhados e implantados adequadamente numa data determinada. É uma fotografia. Serve para demonstrar seriedade rapidamente e costuma destravar contrato enquanto o Tipo II ainda está em curso. Não diz nada sobre o controle ter funcionado ao longo do tempo, e o comprador experiente sabe disso.
Desenho e operação
Avalia se os controles estavam bem desenhados e se operaram com eficácia ao longo de um período. É o relatório que a maioria dos clientes corporativos exige. O período é definido entre você e o auditor, e o mercado costuma tratar três meses como piso, com seis a doze sendo o mais aceito por comprador exigente.
Circula por aí que o Tipo I é pré-requisito do Tipo II. Não é. Sua empresa pode ir direto ao Tipo II, e muitas vão, para poupar tempo e um projeto inteiro. Fazer o Tipo I antes é decisão comercial, quando existe um contrato esperando e não dá para aguardar o período de observação terminar. Quem apresenta o Tipo I como obrigatório está vendendo uma etapa a mais.
Escopo
Esta é a maior alavanca de custo e prazo do projeto, e quase nenhuma página do mercado menciona. Segurança, os critérios comuns, é obrigatória em qualquer SOC 2. As outras quatro entram por escolha, conforme o que o seu cliente exige e o que o seu serviço promete em contrato.
| Categoria | Entra? | Quando faz sentido incluir |
|---|---|---|
| Segurança | Obrigatória | Os critérios comuns, organizados em nove grupos que vão do ambiente de controle à gestão de fornecedores. É a espinha dorsal de qualquer relatório SOC 2, e sozinha já atende boa parte das exigências de cliente. |
| Disponibilidade | Opcional | Quando você assume compromisso de disponibilidade em contrato. Cobre capacidade, recuperação e teste do plano. Praticamente obrigatória na prática para quem vende software como serviço com acordo de nível de serviço. |
| Confidencialidade | Opcional | Quando você trata informação que o cliente classifica como confidencial e espera ver protegida por acordo. Cobre identificação e descarte dessa informação. |
| Integridade de processamento | Opcional | Quando o seu serviço processa transação ou cálculo em nome do cliente, e o resultado precisa ser completo, exato e autorizado. Comum em pagamento, folha, faturamento e logística. |
| Privacidade | Opcional | Quando você trata dado pessoal e o cliente quer ver isso coberto. Atenção: cobre um subconjunto do que a LGPD exige, e não substitui o programa de privacidade. |
Incluir categoria que ninguém pediu é a forma mais comum de encarecer um projeto de SOC 2 sem ganho comercial. Antes de definir escopo, vale pedir por escrito ao cliente qual relatório ele espera receber, e com quais categorias.
Cronograma real
Ninguém publica o cronograma somado, e é por isso que tanta gente promete prazo impossível. As fases abaixo acontecem em sequência, e a soma é o que importa quando existe um contrato esperando.
Levantamento contra os critérios, definição de categorias, sistemas e ambientes, e a decisão entre Tipo I e Tipo II. Termina com um plano e com o escopo escrito.
A fase de duração mais variável, e o maior risco de cronograma. Depende inteiramente de quanto já existe. Empresa com governança em pé anda rápido; empresa que nunca formalizou nada tem trabalho de fundação a fazer.
Só existe no Tipo II, e é tempo de calendário que não se comprime. Os controles precisam operar e produzir evidência ao longo de todo o período combinado com o auditor.
A firma de CPA testa os controles, examina a evidência e conduz entrevistas. Aqui aparece a diferença entre o processo escrito e o praticado.
Redação, resposta da administração às eventuais exceções e emissão. O documento sai em inglês quando a firma é americana, o que costuma ser o caso.
Não publicamos prazo padrão porque ele seria chute: a remediação varia demais entre empresas e o período de observação é escolha de escopo. O que dá para dizer com segurança é que um Tipo II não sai em semanas, e que quem promete isso está descrevendo outra coisa. Depois do diagnóstico, conseguimos datar o seu caso.
Quem faz o quê
Neste mercado se promete certificado que não existe e se vende auditoria que quem implantou não pode fazer. Preferimos deixar claro desde já quem assina o quê.
Autodiagnóstico
Dezoito perguntas sobre as categorias de controle que o relatório examina. O resultado aparece inteiro na tela, com a nota de cada categoria e o que fecha as lacunas mais críticas. Não pedimos e-mail para mostrar.
O relatório começa pelo ambiente de controle, e é onde a auditoria testa cultura com documento.
Como conduzimos
Cada fase termina com entregável. Você sabe o que recebe antes de começar.
Traduzimos a exigência do seu cliente em tipo de relatório, categorias, sistemas e período. É a decisão que mais move custo e prazo, e a que mais se erra por pressa.
Você recebe
Avaliamos a situação atual controle a controle, no mesmo checklist que usamos em auditoria, para mostrar a distância real em vez de uma impressão.
Você recebe
Implantamos junto com seu time o que falta: políticas, processos de acesso, mudanças, monitoramento, resposta a incidentes e gestão de fornecedores.
Você recebe
No Tipo II o auditor testa o período inteiro, então a evidência precisa nascer da operação. Definimos o que é produzido, por quem e com que frequência, antes do período começar.
Você recebe
Apoiamos a redação da seção do relatório que é responsabilidade da sua empresa, incluindo fronteiras do sistema, compromissos assumidos e o tratamento dos subserviços.
Você recebe
Simulamos a auditoria com o rigor do auditor antes que ele chegue, e acompanhamos o trabalho de campo da firma de CPA, incluindo a resposta da administração se houver exceção.
Você recebe
Histórias
Anonimizamos os clientes pelo mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, e o padrão dos problemas se repete.
Levantamento
Doze perguntas sobre o que define o tamanho de um projeto de SOC 2. Ao final você revê o que respondeu, corrige o que quiser e recebe uma proposta construída sobre isso, sem uma reunião só para descobrir o básico.
Se o pedido não especifica, vale confirmar com ele antes de orçar.
Dúvidas frequentes
Respostas ancoradas nas normas do AICPA. Onde não existe número oficial, dizemos que não existe.
Não. É um relatório de atestação emitido sob as normas do American Institute of Certified Public Accountants. Não existe certificado, não existe selo e não existe organismo certificador. A diferença não é preciosismo: quem trata SOC 2 como certificação costuma errar também no prazo, no escopo e em quem pode emitir o documento. Se você encontrar alguém oferecendo certificado SOC 2, vale desconfiar do resto da proposta.
Mais dúvidas? Fale com a DM11
Uma conversa de trinta minutos costuma bastar para definir tipo de relatório, categorias e uma ordem de grandeza de esforço. Sem compromisso.