A certificação SOC 2 que destrava seus contratos com grandes clientes

Pode, e praticamente todo mundo chama. Quando o seu cliente pede a certificação SOC 2, nós entendemos exatamente o que ele quer. O nome técnico, porém, é relatório de atestação, assinado seguindo as normas do American Institute of Certified Public Accountants (o instituto dos contadores dos Estados Unidos), e a diferença importa em três pontos práticos. Quem assina: só uma firma de auditoria independente e licenciada, nunca consultoria. O que você recebe: um relatório de várias seções que o cliente vai ler, incluindo os testes controle por controle, e não um certificado de uma página. E o prazo: como o relatório mais pedido cobre um período de funcionamento, ele não encurta como uma auditoria de certificação tradicional. Saber disso muda o que você contrata e de quem.

Não, e nenhuma consultoria assina. O relatório é assinado por uma firma de auditoria independente e licenciada. Existe uma regra de independência que reforça essa separação: quem montou os controles fica impedido de auditar o mesmo cliente. Nós preparamos a sua empresa e acompanhamos o trabalho de campo, e a auditoria entra em um segundo momento, quando você já está pronto para passar.

Não. Isso é um erro comum e caro, porque leva a empresa a comprar um projeto a mais. Você pode ir direto ao Tipo II, e muitas empresas vão. O Tipo I faz sentido quando existe um contrato esperando e não dá para aguardar o período de observação: ele destrava a conversa comercial enquanto o Tipo II amadurece. É decisão de negócio, não exigência da norma.

O Tipo I verifica se os controles estão bem desenhados e montados numa data específica. É uma fotografia. O Tipo II verifica se estavam bem desenhados e se funcionaram de verdade ao longo de um período. O Tipo II é o que a maioria dos grandes clientes exige, justamente porque um controle pode estar bem desenhado e não funcionar na prática. O período é combinado entre você e o auditor, e o mercado costuma tratar três meses como o mínimo, sendo de seis a doze meses o mais aceito por comprador exigente.

Depende de duas coisas que só ficam claras no diagnóstico: quanto já existe, o que determina o tempo de correção, e qual período de observação você vai adotar. Não publicamos prazo padrão porque seria chute. O que dá para afirmar é que um Tipo II não sai em semanas, porque o período de observação é tempo de calendário que não dá para encurtar. Se o prazo do seu cliente é curto, existe caminho: o Tipo I destrava a assinatura enquanto o Tipo II amadurece. Depois do diagnóstico, conseguimos colocar datas no seu caso.

Só Segurança, o grupo de critérios comuns, é obrigatória. Disponibilidade, Confidencialidade, Integridade de processamento e Privacidade são opcionais: você escolhe conforme o que promete em contrato e o que o seu mercado exige. Vale decidir isso com cuidado, porque a escolha tem prazo: categoria incluída depois exige um período de observação próprio, e até o relatório seguinte sair você responde ao cliente que aquilo não está coberto. Na prática, quem vende software com acordo de nível de serviço quase sempre precisa de Disponibilidade, quem processa transação em nome do cliente precisa de Integridade de processamento, e Confidencialidade costuma ser a de menor esforço extra, porque reaproveita os controles de Segurança. No diagnóstico olhamos os seus contratos assinados, e não só o pedido do cliente da vez.

Bastante, e o projeto encolhe de verdade. Boa parte das políticas, dos controles de acesso, da gestão de fornecedores e da estrutura de governança serve para os dois. A diferença principal não está nos controles, está no que cada um avalia: a ISO certifica o sistema de gestão, enquanto o SOC 2 atesta como os controles funcionaram durante um período. Na prática, isso quer dizer que a rotina de gerar provas o tempo todo costuma ser a maior falha de quem vem da ISO, junto com a descrição do sistema, que não tem equivalente na norma.

Não, embora ajude bastante. A categoria de Privacidade cobre uma parte do que a LGPD exige, e o relatório pode servir como prova das medidas técnicas e administrativas que a lei pede. Mas ele não substitui o registro das operações de tratamento, a definição de base legal, o atendimento a titulares nem o encarregado. São coisas que se completam: quem já organizou o programa de privacidade chega com vantagem no SOC 2, e o contrário também vale.

Falha apontada não é reprovação, e essa é a maior confusão de quem chega ao SOC 2 esperando um resultado de aprovado ou reprovado. Relatórios trazem falhas com frequência. O que importa é a opinião do auditor, que pode ser sem ressalva ou com ressalva, e a resposta da sua empresa a cada ponto. Um relatório com uma falha bem descrita, com a causa e o plano de correção, continua sendo um documento que fecha negócio. O que assusta cliente é falha sem explicação, ou um padrão de problemas se repetindo de um ciclo para o outro. É por isso que fazemos um ensaio antes de o auditor chegar: para os problemas aparecerem para você primeiro.

É a carta que a sua empresa emite para cobrir o intervalo entre o fim do período do último relatório e a data em que um cliente está avaliando você. Como o relatório cobre um período passado, sempre existe uma janela descoberta, e clientes que estão te avaliando perguntam sobre ela. A carta declara que nada mudou de relevante nos controles nesse intervalo. É documento seu, não do auditor, e é a dúvida prática mais comum de quem já tem o relatório e recebe uma avaliação fora de ciclo.

São os controles que o seu relatório vai listar como responsabilidade de quem contrata você. Nenhum serviço funciona sozinho: se o seu cliente configura mal as permissões dentro do seu produto, o controle falha do lado dele, e o relatório precisa dizer isso. Deixar essa lista bem definida protege você e evita discussão depois de um incidente. Do outro lado, quando é a sua empresa que lê o SOC 2 de um fornecedor, essa é exatamente a seção que diz o que ainda sobra para você fazer, e quase ninguém lê.

Sim, e é aí que muita gente se surpreende. SOC 2 Tipo II é uma rotina contínua, não um projeto com fim. O relatório seguinte precisa cobrir o período logo em seguida, sem deixar buraco, senão o cliente pergunta o que aconteceu nos meses que ficaram de fora. O segundo ciclo costuma dar menos trabalho que o primeiro, porque a estrutura já existe, mas não é zero: o que pesa é gerar provas ao longo do ano inteiro, e não a auditoria em si.

O SOC 1 trata de controles que afetam as demonstrações financeiras dos clientes, e costuma ser pedido por quem tem auditoria financeira envolvida. O SOC 2 trata de segurança e das demais categorias de confiança, e é o pedido mais comum de cliente de tecnologia. O SOC 3 é uma versão pública e resumida do SOC 2, sem os detalhes de teste, que pode ir no seu site sem acordo de confidencialidade. Se o seu cliente pediu apenas o SOC, vale confirmar qual, porque são projetos diferentes.

Ele é confidencial e circula sob acordo de confidencialidade, então não vai no site. O uso prático é responder às avaliações dos clientes: em vez de preencher um questionário de segurança diferente para cada um, você entrega o relatório e a conversa encurta. Ele também sustenta cláusula de contrato e costuma acelerar a venda para grandes contas. Se você quiser algo público, o caminho é o SOC 3.

Normalmente sim, porque a firma que assina costuma ser americana e o documento segue as normas do AICPA. Isso raramente é um problema, já que quem exige o relatório em geral é justamente um cliente ou investidor de fora. A preparação, a documentação interna e as políticas podem estar em português, e nós trabalhamos nos dois idiomas.