La decisión casi siempre llega igual: un cliente de Estados Unidos, o un corporativo en México, pide el reporte SOC 2 como condición para firmar o renovar. La empresa dice que sí, contrata al auditor y empieza el proceso con la mejor disposición. 

Lo que pocas veces se cuenta es qué pasa entre el “sí, lo hacemos” y el reporte final. En OCD Tech México acompañamos a empresas en ese camino y vemos que los problemas casi nunca son de tecnología. Son de evidencia, de alcance y de procesos que existen en papel pero no en el día a día. La buena noticia es que todos se pueden anticipar. 

El camino, en resumen 

1. Evaluación de preparación: se revisa dónde está la empresa frente a los criterios de SOC 2 y qué falta. 

2. Remediación: se corrigen los huecos, se documentan políticas y se ponen en marcha los controles. 

3. Periodo de observación: en un reporte Tipo 2, los controles tienen que funcionar durante varios meses y dejar evidencia. 

4. Trabajo de campo: la firma auditora, que debe ser una firma de contadores públicos certificados en Estados Unidos (CPA), revisa la evidencia y prueba los controles. 

5. Reporte: el auditor emite su opinión, que se entrega a los clientes que lo solicitan. 

Los 7 puntos donde más se atoran las empresas 

1. Un alcance más grande de lo necesario 

SOC 2 se basa en los Criterios de Servicios de Confianza del AICPA. Seguridad es obligatorio; disponibilidad, integridad del procesamiento, confidencialidad y privacidad se agregan según lo que tu cliente necesite. Muchas empresas incluyen todos “por si acaso” y multiplican el trabajo. 

Cómo evitarlo: pregúntale a tu cliente qué necesita ver y define qué sistema o servicio entra en el alcance. Para un primer reporte, empezar con seguridad suele ser suficiente. 

2. La descripción del sistema 

El reporte incluye una descripción del sistema que redacta la propia empresa: qué servicio presta, con qué infraestructura, qué personas, qué procesos y qué proveedores. Suele dejarse para el final y termina escrita con prisa, incompleta o distinta a la realidad. 

Cómo evitarlo: empieza a escribirla desde la evaluación de preparación y actualízala conforme cambien las cosas. 

3. Políticas que existen pero no se cumplen 

Tener una política de contraseñas, de respaldos o de respuesta ante incidentes es el primer paso. Pero el auditor no se queda en el documento: quiere ver que se aplicó. Una política aprobada que nadie sigue es una excepción esperando a suceder. 

Cómo evitarlo: escribe políticas que tu equipo pueda cumplir en un día normal, no copias de plantillas pensadas para un corporativo. 

4. Evidencia que nadie guardó 

Este es el tropiezo más común en un Tipo 2. El control sí se hizo, pero no quedó registro: la revisión de accesos se platicó en una junta, el respaldo se probó pero nadie guardó el resultado, la capacitación se dio pero no hay lista de asistencia. 

Cómo evitarlo: define desde el día uno qué evidencia genera cada control, quién la guarda, dónde y con qué frecuencia. Un calendario de evidencia evita sorpresas. 

5. Altas, bajas y revisiones de acceso 

El auditor toma una muestra de personas que entraron y salieron de la empresa durante el periodo y revisa cuándo se les dio y cuándo se les quitó el acceso. Una baja que se aplicó dos semanas tarde, o una revisión trimestral de accesos que se saltó, aparece en el reporte. 

Cómo evitarlo: conecta a recursos humanos con TI con un proceso claro y un registro de cada alta, baja y cambio de puesto. 

6. Los proveedores 

Si tu servicio corre en una nube, usa un proveedor de correo o depende de otro sistema crítico, el auditor va a preguntar cómo te aseguras de que esos proveedores también protejan la información. Muchas veces la respuesta es “confiamos en ellos”. 

Cómo evitarlo: lleva un inventario de proveedores críticos, solicita sus propios reportes SOC 2 o certificaciones y deja registro de que los revisaste. 

7. Cambios sin aprobación documentada 

Si tu empresa desarrolla software o administra sistemas, cada cambio en producción debe tener una solicitud, una aprobación y una evidencia de prueba. En equipos pequeños es común que la misma persona haga, apruebe y publique el cambio sin dejar rastro. 

Cómo evitarlo: define un flujo de cambios sencillo, aunque sea en la herramienta que ya usan, y que siempre quede quién aprobó y cuándo. 

Tres errores de última hora que salen caros 

Generar evidencia “hacia atrás” 

Cuando alguien descubre que falta un registro de hace tres meses, la tentación es crearlo ahora con fecha anterior. Nunca es buena idea: los auditores revisan metadatos, historiales y consistencia, y una evidencia fabricada pone en riesgo todo el reporte y la confianza del cliente. Es mejor reconocer el hueco y corregir el proceso. 

Cambiar de herramientas a mitad del periodo 

Migrar de sistema de tickets, de nube o de proveedor de identidad durante la ventana de observación obliga a demostrar que el control funcionó en ambos lados. Si el cambio es inevitable, documéntalo bien y avísale al auditor con anticipación. 

Mover el alcance cuando ya empezó la auditoría 

Agregar un criterio o un sistema nuevo cuando el periodo ya está corriendo suele significar empezar de nuevo esa parte. Define el alcance con calma al inicio y respétalo. 

¿Y si aparece una excepción? 

Una excepción es un caso en el que el auditor encontró que un control no funcionó como se describió. No significa reprobar, pero sí queda escrita en el reporte que leerán tus clientes. Por eso conviene acompañarla de una respuesta de la dirección que explique qué pasó y qué se corrigió. Lo ideal, claro, es detectarla antes con una revisión interna. 

Cómo llegar mejor preparado 

1. Haz una evaluación de preparación antes de contratar el periodo de auditoría. Es mucho más barato encontrar huecos ahí que en el reporte. 

2. Asigna a una persona responsable del proyecto, con tiempo y autoridad para pedir evidencia a otras áreas. 

3. Centraliza la evidencia en un solo lugar, ordenada por control y por mes. 

4. Haz una revisión interna a la mitad del periodo para corregir a tiempo. 

5. Involucra a recursos humanos, finanzas y operaciones desde el inicio: SOC 2 no es solo un proyecto de TI. 

Un reporte que abre puertas 

Un buen reporte SOC 2 no solo destraba contratos: le demuestra a tus clientes que tu empresa opera con orden y que sus datos están en buenas manos. Y casi todo lo que hace la diferencia se decide antes de que llegue el auditor. 

En OCD Tech México te acompañamos desde la evaluación de preparación hasta tu reporte SOC 2, con un plan claro y realista para el tamaño de tu empresa.