Empresas de tecnologia e serviços
Seus maiores clientes pedem o SOC 2, um relatório independente sobre a segurança dos seus sistemas, antes de assinar. A DM11 prepara a sua empresa para chegar à auditoria com os controles funcionando e as provas prontas, e sair de lá com o relatório que fecha o negócio.
A DM11 prepara a sua empresa. O relatório SOC 2 é assinado por uma firma de CPA independente (o contador público certificado dos Estados Unidos), contratada por você. Uma regra de independência impede que quem monta os controles audite o mesmo cliente.
Quem conduz a preparação
Como funciona na prática
Você recebe um documento que responde sozinho às perguntas de segurança dos seus clientes: um relatório com os seus controles testados um a um por um auditor independente. O mercado chama isso de certificação e nós entendemos o pedido, mas o nome técnico é outro, e ele explica o formato. É um relatório de atestação, assinado seguindo as regras do American Institute of Certified Public Accountants (o instituto dos contadores dos Estados Unidos, o AICPA) por uma firma de CPA licenciada. Saber disso muda o que você contrata, de quem, e o que espera receber no fim.
O resultado é um documento com cinco seções. Entre elas estão a descrição do sistema, escrita pela sua empresa, e o resultado dos testes do auditor, controle por controle. Seu cliente vai ler, principalmente a parte que mostra as falhas encontradas. Não é um PDF de uma página com um logotipo.
Consultoria não assina relatório SOC 2, e nós também não. A firma de auditoria é contratada à parte, por você. A regra de independência do AICPA explica o porquê: quem montou os controles fica impedido de auditar o mesmo cliente. Na prática, isso quer dizer dois contratos e dois orçamentos, e é melhor saber disso ao planejar do que descobrir no meio do caminho.
O relatório mais pedido não avalia como a sua empresa está hoje: avalia como ela funcionou ao longo de meses. Ou seja, a preparação não termina quando o controle é montado, e sim quando ele gerou provas consistentes durante todo o período observado.
A primeira decisão
É a escolha que define custo, prazo e o que você vai conseguir mostrar ao cliente. E é onde circula o erro mais caro do mercado.
Como os controles foram desenhados
Verifica se os controles estão bem desenhados e montados numa data determinada. É uma fotografia. Serve para mostrar seriedade rápido e costuma destravar contrato enquanto o Tipo II ainda está em andamento. Não diz nada sobre o controle ter funcionado ao longo do tempo, e o comprador experiente sabe disso.
Como foram desenhados e como funcionaram
Verifica se os controles estavam bem desenhados e se funcionaram de verdade ao longo de um período. É o relatório que a maioria dos grandes clientes exige. O período é combinado entre você e o auditor, e o mercado costuma tratar três meses como o mínimo, sendo de seis a doze meses o mais aceito por comprador exigente.
Anda por aí a ideia de que o Tipo I é pré-requisito do Tipo II. Não é. Sua empresa pode ir direto ao Tipo II, e muitas vão, para poupar tempo e um projeto inteiro. Fazer o Tipo I antes é decisão comercial, e boa: quando existe contrato esperando e não dá para aguardar o período de observação terminar, ele destrava a assinatura.
Escopo
Segurança, o grupo de critérios comuns, entra em qualquer SOC 2. As outras quatro são elegíveis: você escolhe conforme o que promete em contrato e o que o mercado onde você vende vai exigir. Elegível não quer dizer dispensável. É decisão sua, e ela tem prazo de validade, porque cada categoria incluída depois precisa do seu próprio período de observação. Por isso, a hora mais barata de incluir é agora, junto com o resto.
| Categoria | Elegibilidade | Por que vale incluir |
|---|---|---|
| Segurança | Obrigatória | É o grupo de critérios comuns, organizado em nove blocos que vão do ambiente de controle à gestão de fornecedores. É a espinha dorsal de qualquer relatório SOC 2, e sozinha já atende boa parte das exigências de cliente. |
| Disponibilidade | Elegível | Você já promete disponibilidade em contrato: o acordo de nível de serviço (o SLA) está assinado com ou sem SOC 2. Esta categoria é o que prova que o compromisso se sustenta, cobrindo capacidade, recuperação e teste do plano. Deixá-la de fora costuma durar até a primeira renovação com uma conta grande, que pergunta justamente por ela. |
| Confidencialidade | Elegível | Vale sempre que o cliente marca alguma informação como confidencial e espera vê-la protegida por acordo, o que na prática é quase todo contrato corporativo. Cobre identificar, guardar e descartar essa informação. É a categoria de menor esforço extra para quem já fez Segurança, porque reaproveita boa parte dos mesmos controles. |
| Integridade de processamento | Elegível | Necessária quando o seu serviço processa transação ou cálculo em nome do cliente e o resultado precisa ser completo, exato e autorizado. Em pagamento, folha, faturamento e logística, é o que responde à pergunta que o cliente realmente tem: o número que sai daqui está certo? Segurança sozinha não responde isso. |
| Privacidade | Elegível | Entra quando você trata dado pessoal, e o comprador brasileiro pergunta por ela cada vez mais por causa da LGPD. Cobre uma parte do que a lei exige e não substitui o programa de privacidade, mas mostra ao cliente, com a chancela de um terceiro, justamente o que ele mais cobra na hora de avaliar você. |
A conta que costuma sair errada: acrescentar uma categoria no ciclo seguinte não custa um pouco mais, custa um período de observação inteiro só para ela, e até lá você responde ao cliente que aquilo não está coberto. Vale pedir ao cliente, por escrito, o que ele espera receber, e decidir o escopo olhando também para os contratos que você quer fechar nos próximos dois anos.
Cronograma real
Quase nunca se publica o cronograma somado, e é justamente ele que importa quando existe um contrato esperando. As fases abaixo acontecem uma depois da outra, e é a soma delas que você precisa combinar com o seu cliente.
Comparação da sua situação com os critérios, definição de categorias, sistemas e ambientes, e a decisão entre Tipo I e Tipo II. Termina com um plano e com o escopo no papel.
A fase de duração mais imprevisível, e o maior risco de estourar o prazo. Depende inteiramente de quanto já existe. Empresa com governança em pé anda rápido; empresa que nunca formalizou nada tem trabalho de base a fazer.
Só existe no Tipo II, e é tempo de calendário que não dá para encurtar. Os controles precisam funcionar e gerar provas ao longo de todo o período combinado com o auditor.
A firma de CPA testa os controles, examina as provas e conversa com o time. Aqui aparece a diferença entre o processo que está no papel e o que é feito de verdade.
Redação, resposta da sua empresa às eventuais falhas encontradas e entrega. O documento sai em inglês quando a firma é americana, o que costuma ser o caso.
Não publicamos prazo padrão porque ele seria chute: as correções variam demais de uma empresa para outra e o período de observação é escolha de escopo. O que dá para dizer com segurança é que um Tipo II não sai em semanas, porque o período de observação é tempo de calendário que não dá para encurtar. Depois do diagnóstico, conseguimos colocar datas no seu caso com precisão suficiente para você se comprometer com o cliente.
Quem faz o quê
Um projeto de SOC 2 envolve quatro partes, cada uma assinando uma coisa diferente. Deixamos a divisão clara antes da proposta para que não haja surpresa de escopo nem de honorário depois.
Autodiagnóstico
Dezoito perguntas sobre os grupos de controle que o relatório examina. O resultado aparece inteiro na tela, com a nota de cada grupo e o que fecha as maiores falhas. Não pedimos e-mail para mostrar.
O relatório começa pelo ambiente de controle, e é onde a auditoria testa cultura com documento na mão.
Como conduzimos
Cada fase termina com uma entrega. Você sabe o que recebe antes de começar.
Traduzimos a exigência do seu cliente em tipo de relatório, categorias, sistemas e período. É a decisão que mais mexe em custo e prazo, e a que mais se erra por pressa.
Você recebe
Avaliamos a situação atual controle por controle, no mesmo checklist que usamos em auditoria, para mostrar a distância real em vez de uma impressão.
Você recebe
Implantamos junto com o seu time o que falta: políticas, processos de acesso, mudanças, monitoramento, resposta a incidentes e gestão de fornecedores.
Você recebe
No Tipo II o auditor testa o período inteiro, então a prova precisa nascer da operação. Definimos o que é gerado, por quem e com que frequência, antes de o período começar.
Você recebe
Ajudamos a redigir a seção do relatório que é responsabilidade da sua empresa, incluindo os limites do sistema, os compromissos assumidos e o papel dos parceiros.
Você recebe
Simulamos a auditoria com o mesmo rigor do auditor antes que ele chegue, e acompanhamos o trabalho de campo da firma de CPA, incluindo a resposta da sua empresa se houver alguma falha.
Você recebe
Histórias
Escondemos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, e o padrão dos problemas se repete.
Levantamento
Doze perguntas sobre o que define o tamanho de um projeto de SOC 2. No fim você revê o que respondeu, corrige o que quiser e recebe uma proposta feita em cima disso, sem precisar de uma reunião só para descobrir o básico.
Se o pedido não especifica, vale confirmar com ele antes de orçar.
Dúvidas frequentes
Respostas baseadas nas normas do AICPA (o instituto dos contadores dos Estados Unidos). Onde não existe número oficial, dizemos que não existe.
Pode, e praticamente todo mundo chama. Quando o seu cliente pede a certificação SOC 2, nós entendemos exatamente o que ele quer. O nome técnico, porém, é relatório de atestação, assinado seguindo as normas do American Institute of Certified Public Accountants (o instituto dos contadores dos Estados Unidos), e a diferença importa em três pontos práticos. Quem assina: só firma de CPA licenciada, nunca consultoria. O que você recebe: um relatório de várias seções que o cliente vai ler, incluindo os testes controle por controle, e não um certificado de uma página. E o prazo: como o relatório mais pedido cobre um período de funcionamento, ele não encurta como uma auditoria de certificação tradicional. Saber disso muda o que você contrata e de quem.
Mais dúvidas? Fale com a DM11
Uma conversa de trinta minutos costuma bastar para definir tipo de relatório, categorias e uma ideia do esforço envolvido. Sem compromisso.