Una lista de verificación paso a paso para la documentación SOC 2 Tipo I y Tipo II. Cubre políticas, narrativas de control, evidencias y la Descripción del Sistema que los auditores esperan.
Si tu empresa SaaS busca SOC 2, la carga documental sorprende a los equipos. Los auditores no solo quieren evidencia: quieren una narrativa coherente que demuestre que tus controles operan efectivamente.
Esta lista ofrece un punto de partida; tu firma CPA y los Trust Services Criteria incluidos determinan el alcance final.
SOC 2 no es un solo documento. Es un sistema de artefactos que documenta tu seguridad. Necesitas:
Antes de escribir políticas, mapea tu entorno. Comienzo con una matriz de controles que vincula cada TSC con un responsable específico, una fuente de evidencia y una frecuencia de revisión.
ID de control: CC6.1
TSC: Controles lógicos y físicos de acceso
Responsable: Gerente de Ingeniería
Evidencia: Logs de auditoría IAM (mensual)
Revisión: Revisiones trimestrales de acceso
Esta matriz es la columna vertebral de tu auditoría. Sin ella, la evidencia dispersa y los auditores pierden confianza.
Una narrativa de control no es una política. Es una historia: “Aquí está el riesgo, esto es lo que hacemos al respecto, y así es como sabemos que funciona.”
Cada narrativa debe incluir:
Los fracasos en SOC 2 rara vez ocurren por controles faltantes. Suceden por evidencia incompleta. Capturas de pantalla sin fecha, logs sin contexto y políticas sin historial de versiones alertan a los auditores.
Usa una estructura de carpetas organizada por criterios de los Trust Services Criteria, con un README que vincule cada carpeta con la matriz de controles.
Si la documentación está frenando la entrega de tu equipo, agenda una llamada. GoGoSoto puede apoyar un paquete definido bajo la dirección de tu socio de cumplimiento, sin garantizar el resultado de una auditoría.