Cómo elegir un auditor SOC 2 desde España o América Latina

Quién puede emitir un informe SOC 2

Una auditoría SOC 2 es un encargo de atestiguamiento regido por las normas del AICPA (SSAE 18), no una certificación: no hay organismo certificador ni certificado, sino un informe con la opinión del auditor, la descripción del sistema y los controles probados. Verifique dos requisitos:

• Firma CPA con licencia de una junta estatal de contabilidad (state board of accountancy) de Estados Unidos: solo estas firmas emiten informes SOC 2.
• Inscripción en el programa Peer Review del AICPA: una evaluación de calidad periódica e independiente por otras firmas CPA; el estado de cada firma es público.

Todo se comprueba en línea desde Madrid, Ciudad de México o Bogotá: la base de datos pública del programa Peer Review del AICPA (con los hallazgos de la última revisión), la licencia ante la junta estatal que la expidió, el propio informe SOC 2 o SOC 3 de la firma y referencias de su sector.

Auditsuisse Assurance NA PC es una firma CPA con licencia en Estados Unidos, con sede en Kalispell (Montana) e inscrita en el programa Peer Review del AICPA; Auditsuisse Assurance AG, en Zúrich, es un auditor experto autorizado en Suiza (ASR).

Comparación de tipos de firma

Tres categorías; a las tres, pregúnteles qué entidad firmará el informe, con qué licencia y cómo trabajarán a distancia.

Diez preguntas que debe hacer a un auditor SOC 2

Pida las respuestas por escrito antes de firmar la carta de encargo.

1. ¿Qué entidad firmará el informe y con qué licencia CPA?: verifíquela en el AICPA y ante la junta estatal.
2. ¿Quién dirigirá mi encargo y qué experiencia tiene en SOC 2?: exija un auditor sénior como interlocutor.
3. ¿Han auditado empresas de mi sector y con mi stack tecnológico?: pida referencias comparables.
4. ¿En qué idioma se desarrollará el encargo?: reuniones, evidencia y pruebas de recorrido (walkthroughs) en español evitan malentendidos.
5. ¿Cómo se hace el trabajo de campo a distancia y en qué huso horario trabaja el equipo?: evidencia, reuniones y frecuencia de actualizaciones.
6. ¿Cuál es el honorario, en qué moneda y qué incluye?: evaluación de preparación, categorías adicionales de los criterios de servicios de confianza (Trust Services Criteria, TSC) y revisiones del informe, ¿incluidas o aparte?
7. ¿Exigen una plataforma GRC concreta?: ¿cambia el precio con Vanta, Drata, Secureframe, Sprinto, otra plataforma o ninguna?
8. ¿Cómo gestionan los cambios de alcance durante el encargo?: proceso y consecuencias económicas.
9. ¿Cuál es el calendario habitual hasta el informe?: tipo I, unas 4 a 8 semanas de trabajo de campo y redacción (3 a 6 meses en total); tipo II, de 6 a 15 meses, con 3 a 12 meses de observación. Desconfíe de plazos garantizados.
10. Si mis clientes europeos piden un informe ISAE 3402, ¿pueden emitirlo en el mismo encargo?: la emisión dual entrega SOC 1 (SSAE 18) e ISAE 3402 con un único trabajo de campo.

Señales de alerta

La distancia dificulta detectar problemas a tiempo. Señales para descartar a una firma:

• Sin inscripción en el programa Peer Review del AICPA: si la firma no aparece en la base de datos, descártela.
• Le venden una «certificación SOC 2»: un certificado o sello sin informe de una firma CPA no es lo que su cliente pide.
• Solo personal júnior: insista en saber quién dirigirá la auditoría.
• Precios imprecisos o variables: una propuesta seria fija honorario y moneda; los «honorarios adicionales» o los cambios de precio tras el inicio indican una mala definición del alcance o un presupuesto deliberadamente bajo.
• Resultados garantizados: ningún auditor serio garantiza una opinión sin salvedades antes de examinar sus controles, ni una fecha de emisión antes de conocer su alcance.

Cómo funciona una auditoría SOC 2 a distancia

Una llamada de definición del alcance de 30 minutos confirma alcance, calendario y honorario; como firma CPA con licencia, cada encargo requiere aprobación individual y confirmación de la independencia del auditor antes de la carta de encargo. Siguen diagnóstico, preparación, trabajo de campo y entrega. El trabajo de campo (evidencia, pruebas de recorrido y de controles) puede ser presencial o remoto, con las mismas normas. En Auditsuisse los encargos se desarrollan en español, inglés o portugués, con un auditor sénior desde el primer día. Nuestra sede de Zúrich comparte huso horario con Madrid; nuestras oficinas administrativas de Nueva York, Boston y Richmond están a entre cero y dos horas de Ciudad de México, Bogotá, Lima, Santiago o Buenos Aires.

Por qué Auditsuisse

Auditsuisse es una firma de auditoría suiza y estadounidense. Su director de auditorías, Sébastien Ruosch, es auditor experto autorizado en Suiza (licencia RAB n.º 114662) y CPA en Estados Unidos (licencia n.º 034634), con casi cinco años en una firma Big Four y especializado en SOC 2 y ciberseguridad. Para quien evalúa a distancia, esto significa:

• Honorarios fijos publicados en dólares estadounidenses (USD), impuestos no incluidos: de tipo I entre 3000 y 10 000 USD; de tipo II entre 5000 y 15 000 USD; combinado entre 7000 y 20 000 USD, según el número de empleados. Precios base para encargos estándar, confirmados en la definición del alcance y en la carta de encargo: tabla completa de precios SOC 2.
• Independencia de la plataforma GRC: el mismo honorario con Vanta, Drata, Secureframe, Sprinto, otra plataforma o ninguna, incluso a partir de hojas de cálculo.
• Emisión dual SOC 1 e ISAE 3402 para clientes en Estados Unidos y Europa: informe SOC e ISAE 3402 en un mismo encargo.
• El informe que su cliente espera, emitido por una firma CPA estadounidense conforme a las normas del AICPA. Conozca al equipo en sobre nosotros.

«La relación entre auditor y cliente es una colaboración, no una transacción. La firma adecuada aporta experiencia sectorial, comunicación clara y un interés genuino en mejorar su entorno de control, no solo en marcar casillas».

— Sébastien Ruosch, CPA, director de Auditsuisse Assurance