Mapa de informes de aseguramiento

Un informe de controles de un proveedor responde a tres preguntas que conviene hacer antes de leer una sola página: ¿qué tema cubre?, ¿para quién está escrito? y ¿qué tiempo abarca? Los informes SOC 1 y los informes ISAE 3402 tratan los controles de la organización de servicio que pueden afectar a la información financiera de sus clientes (las entidades usuarias); su lector natural es el auditor de los estados financieros de esa entidad usuaria. Los informes SOC 2 y SOC 3 tratan criterios de confianza como seguridad o disponibilidad.

Cada informe nace de una norma de aseguramiento: los SOC de los estándares de atestación de la AICPA, y el ISAE 3402 de las normas internacionales del IAASB, que se aplica junto con la ISAE 3000. Esto no cambia lo esencial para el analista: primero se identifica el tema y el lector, y solo después se mira lo que el informe dice.

El informe SOC 1 y el informe ISAE 3402 responden esencialmente a la misma pregunta: si los controles de la organización de servicio, relevantes para el control interno sobre la información financiera de sus clientes, están bien descritos, bien diseñados y, en el tipo II, operaron con eficacia durante un periodo. Cambia la norma que sigue el auditor del proveedor y, a menudo, el país donde se usa.

Ambos existen en dos modalidades. El tipo I mira la descripción y el diseño de los controles a una fecha concreta. El tipo II añade las pruebas de que los controles operaron durante un periodo, con el detalle de cada prueba y sus resultados. Para un auditor externo que quiere apoyarse en los controles del proveedor durante el año, el tipo I casi nunca basta: dice que los controles existían un día, no que funcionaron.

No todos los informes se pueden entregar a cualquiera. Los informes SOC 1, SOC 2 y el ISAE 3402 suelen tener un uso restringido: están escritos para la organización de servicio, sus clientes y los auditores de estos, y se comparten bajo confidencialidad. El SOC 3 es la excepción: está concebido para uso general y se puede publicar, y por eso tiene menos detalle.

En la consola, SELECT * FROM informes muestra los cinco informes de la carpeta de Quebradahonda con la columna de destinatarios permitidos. Hoy es 6 de octubre de 2026.

La columna cubre distingue dos formas de cobertura: un periodo («del … al …») y una fecha única («a la fecha …»). Un informe que cubre una fecha describe cómo estaban diseñados los controles ese día; no puede decir nada de cómo funcionaron antes ni después. Para un auditor que mira un ejercicio completo, es el informe de menor alcance de la carpeta.

Con la tabla necesidades (SELECT * FROM necesidades) a la vista, la primera pide evidencia de que los controles de un proveedor de cobros operaron durante el año. Esa necesidad tiene lector (el auditor externo), tema (información financiera) y tiempo (un periodo). Cuando los tres encajan con la portada de un informe, el informe sirve; cuando falla uno, no sirve aunque esté firmado y vigente.