Controles complementarios del cliente

Los controles complementarios de la entidad usuaria (en inglés, CUEC, de Complementary User Entity Controls) son controles que el proveedor da por supuesto que el cliente opera. Aparecen dentro de la descripción del sistema del informe SOC 2. También se les llama consideraciones del control del usuario.

La idea es la misma que la responsabilidad compartida de la nube: el proveedor puede controlar quién entra a su centro de datos, pero no quién crea usuarios en la cuenta del cliente. Si el cliente no cumple su parte, el informe sigue siendo cierto y aun así el cliente no está cubierto.

Cada expectativa del proveedor debe terminar en un control del cliente y en alguien que responda por él. Cuando la matriz tiene el control escrito pero la columna de responsable vacía, el control existe en papel y no se ejecuta, porque nadie lo hace.

Abre SELECT * FROM cuec y busca la fila donde el responsable falta.

El caso inverso es peor: el informe pide algo al cliente y el cliente no tiene ningún control que lo cumpla. No hay nada que probar y la brecha queda a la vista del auditor, que la leerá en el informe del proveedor aunque la matriz no la mencione.

Un control complementario puede estar definido y aun así no operar: parcialmente aplicado, sin asignar, sin control o con la evidencia vencida. Para el informe a la dirección importa el total de expectativas cuyo estado no es «operando», porque cada una es un punto donde el informe del proveedor no protege a la empresa.

Muchos proveedores se apoyan en terceros. En un informe SOC 2 esos terceros se llaman organizaciones de servicio subcontratadas, y el informe puede tratarlos de dos formas: inclusivo, cuando sus controles se describen y se auditan dentro del informe, o exclusivo (carve-out), cuando el informe los deja fuera y declara qué espera de ellos. En el segundo caso, el cliente que necesite saber de esos controles tiene que pedir el informe del tercero.