Leer el informe SOC 2 de un proveedor

Un informe SOC 2 tiene partes con funciones distintas. La opinión del auditor dice si la descripción del sistema es razonable y si los controles estaban diseñados y, en el tipo II, operaron con eficacia. La afirmación de la gerencia es la declaración de la propia empresa sobre su sistema. La descripción del sistema cuenta qué hace el servicio, con qué infraestructura, personas y procesos. Y las pruebas de controles y sus resultados son el detalle: qué se probó, con qué muestra y qué se encontró.

La opinión puede ser sin salvedades (limpia) o con salvedad (los controles funcionaron, salvo en algo concreto que el auditor señala). Una opinión con salvedad no invalida el informe: lo que obliga es a leer qué falló y si eso te afecta a ti.

Cobrapay entregó su informe. En la consola, SELECT * FROM informe_cobrapay muestra los datos generales (tipo, periodo, categorías, opinión) y SELECT * FROM excepciones muestra los controles que el auditor probó con su muestra y el resultado de cada uno.

Una excepción no es un veredicto sobre toda la empresa: es un control concreto en el que la muestra no salió limpia. Lo que hay que leer es qué se probó, cuántos casos fallaron y qué respondió la gerencia.

Los proveedores también tienen proveedores. Cobrapay usa un proveedor de nube, y el informe dice cómo trata sus controles. Cuando el informe indica que esa organización está excluida (en inglés, método carve-out), significa que sus controles no se prueban dentro de este informe: el auditor de Cobrapay no opina sobre ellos. No es un defecto, es una forma de delimitar el informe; lo que implica para el lector es que, si esa capa le importa, debe pedir el informe de esa otra organización.

Cobrapay no es un caso aparte: la propia Aurora, al responder el cuestionario de Grupo Andino, tendrá que decir qué subcontratados usa y cómo se vigilan.

Todo informe SOC 2 incluye una lista de controles complementarios de la entidad usuaria (en inglés, CUEC): cosas que el proveedor da por hechas porque las tiene que hacer el cliente. Si el cliente no las hace, el control del proveedor no basta. «Revisar quién tiene acceso a mi cuenta» o «proteger mis credenciales» son ejemplos típicos.

En la consola, SELECT * FROM cuec lista las responsabilidades que Cobrapay traslada a Aurora, el control de Aurora que las cubre (si existe) y su estado. Lo que ningún control de Aurora cubre es el hueco que Aurora debe cerrar, y el que Grupo Andino verá si pregunta por la gestión de proveedores.

La opinión de Cobrapay es con salvedad por la excepción que encontraste, y la gerencia ya respondió con una corrección. Aceptar o rechazar al proveedor no depende de que la opinión sea limpia sino de si lo que falló afecta a lo que Aurora le encarga. Un control de revocación de accesos con retraso es relevante para quien le da acceso a su consola; no lo sería para un proveedor al que solo se le manda un archivo.

La decisión razonable es aceptar con condiciones y dejarlo registrado: la excepción, la respuesta de la gerencia, el control propio que reduce el riesgo y cuándo se vuelve a revisar.