SOC 2 Type II — controles operativos auditados
Informe SOC 2 Type II anual cubre Security, Availability y Confidentiality para clientes en España.
Trust Service Criteria en alcance
Security (obligatorio) + Availability + Confidentiality. Privacy como alcance separado bajo petición. Cada TSC tiene objetivos de control definidos — el auditor testa diseño y effectiveness operativa en el período.
Type II vs Type I
Type II testa controles a lo largo de un período (típicamente 12 meses) — no solo en un punto en el tiempo. Esto es lo que pide procurement enterprise. Hacemos Type II con cobertura de 12 meses; bridge letter cubre el gap hasta el próximo informe.
Cadencia de reporte y acceso
Nuevo informe publicado anualmente, reemplazado cuando superado. Bridge letter cada trimestre cubre la continuidad hasta la próxima auditoría. Ambos compartidos bajo NDA con prospects y clientes.
España — relevancia local
Los buyers enterprise españoles (bancos, aseguradoras, sector público) piden cada vez más SOC 2 como parte de los cuestionarios de vendor. Anticipamos el cuestionario — informe compartido con el primer NDA. Equipo de ventas en Madrid formado en vocabulario SOC 2.
FAQ
¿Type II o Type I?
Type II — cubre un período. Type I es point-in-time, menos útil para confianza continua.
¿Nombre del auditor?
Filial Big-4 — nombre divulgado bajo NDA. Independencia confirmada anualmente.
¿Sub-service organizations?
Proveedores de cloud y data centre son sub-service organizations — gestionados por método inclusive con carve-out de sus controles.
¿Findings / excepciones?
El informe divulga cualquier excepción encontrada. Respondemos a cada una con management response en el informe.
¿Privacy en alcance?
Privacy TSC disponible bajo petición — añade cobertura de controles alineados con RGPD.