Evidencia independiente y certificaciones

Un informe de aseguramiento sobre los controles de un proveedor de servicios lo emite un auditor independiente. Uno que se pide mucho a los proveedores de servicios en la nube es el conocido como SOC 2, y viene en dos tipos. El de tipo 1 opina sobre si los controles estaban bien diseñados en una fecha. El de tipo 2 opina además sobre si funcionaron durante un periodo de varios meses, y para eso el auditor prueba muestras y anota las excepciones que encuentra.

Al leer uno, lo que importa está en cuatro sitios: el periodo (y cuánto hace que terminó), el sistema dentro del alcance (si incluye el servicio que usas), los subservicios (si el informe incluye los controles de los subencargados o los deja fuera) y los controles complementarios del usuario, que son los que el informe da por hechos en el lado del cliente. Si el cliente no los opera, la opinión del auditor no lo cubre.

Cuando un proveedor depende de otros, el informe puede incluir los controles de esos subservicios (el auditor los examina) o excluirlos (el informe solo describe cómo el proveedor los vigila). Un subservicio excluido que recibe contenido de clientes es un hueco: nadie independiente miró lo que hace con los datos.

Una opinión favorable puede convivir con excepciones. No anulan el informe, pero dicen dónde mirar: una excepción en el borrado de datos, por ejemplo, choca de frente con lo que el contrato promete sobre retención.

Los controles complementarios son la letra pequeña que más se olvida. El informe dice «el cliente rota sus claves» o «el cliente revisa sus registros» y, si el cliente no lo hace, un fallo en ese punto no es culpa del proveedor ni lo cubre la opinión. Revisa el estado de la empresa contra cada uno.

Compras quiere archivar la revisión con «tiene informe, carta puente, ISO/IEC 27001 y va por ISO/IEC 42001». Una carta puente cubre el tiempo entre el fin del periodo del informe y hoy, pero la firma el propio proveedor. Un certificado vale lo que cubre su alcance. Y una certificación de un sistema de gestión de IA en curso, con solo la primera etapa de auditoría hecha, todavía no es un certificado.