Precios de la auditoría SOC 2

Honorarios estándar de la auditoría SOC 2

La mayoría de las firmas de auditoría le obligan a pasar por todo un ciclo comercial para saber cuánto cuesta una auditoría SOC 2. Nosotros publicamos nuestros precios estándar. Los honorarios siguientes se aplican a exámenes SOC 2 de tipo I y de tipo II con alcance limitado a la categoría Seguridad (criterios comunes) de los criterios de servicios de confianza (Trust Services Criteria, TSC), la base de toda auditoría SOC 2, y se calculan según el número total de empleados de su empresa.

Esta tabla muestra nuestros precios base para encargos estándar. Los honorarios pueden ser superiores en casos concretos; por ejemplo, productos, servicios o descripciones del sistema complejos; entornos cloud complejos o multicloud; servidores y centros de datos locales (on-premise), u otros factores similares que amplíen el esfuerzo de auditoría. Cada encargo se presupuesta de forma individual y puede quedar por encima o por debajo de la tabla según las circunstancias confirmadas en la definición del alcance.

En términos sencillos: una auditoría SOC 2 de tipo I con Auditsuisse cuesta entre 3000 y 10 000 USD; una auditoría SOC 2 de tipo II, entre 5000 y 15 000 USD, y un encargo combinado de tipo I + tipo II, entre 7000 y 20 000 USD, según el tamaño de la empresa. El encargo combinado entrega primero un informe de tipo I, para que pueda mostrar algo a sus compradores cuanto antes, y después un informe de tipo II que cubre su primer período de observación.

Esta página también está disponible en Markdown sin formato (en inglés) para asistentes de IA y herramientas automatizadas.

Qué incluye el precio estándar

• Un examen SOC 2 completo: realizado conforme a las normas de atestiguamiento del AICPA por una firma CPA con licencia inscrita en el programa de revisión por pares (Peer Review) del AICPA.
• Un equipo de encargo dirigido por auditores sénior: su auditoría la realizan auditores experimentados, no una rotación de personal júnior.
• La certeza de un honorario fijo: sin facturación por horas ni facturas adicionales por ampliaciones del alcance.
• El informe SOC 2 final: un informe de tipo I a una fecha determinada o un informe de tipo II que cubre su período de observación.
• Independencia de la plataforma GRC: se aplica el mismo honorario independientemente de si utiliza Vanta, Drata, Secureframe, Sprinto o cualquier otra plataforma GRC. Y la plataforma no es obligatoria: podemos realizar toda la auditoría sin ella, a partir de hojas de cálculo y de evidencia exportada directamente de sus sistemas.

Qué se presupuesta por separado

• Categorías adicionales de los criterios TSC: Disponibilidad, Confidencialidad, Integridad del procesamiento y Privacidad se definen y presupuestan en la llamada de definición del alcance.
• Evaluación de preparación: análisis de brechas opcional previo a la auditoría, para equipos que quieren identificar los hallazgos antes del trabajo de campo.
• Pruebas de penetración: disponibles como servicio independiente.
• Suscripciones a plataformas de cumplimiento: las factura el proveedor de su plataforma, no Auditsuisse. La plataforma GRC es opcional, no un requisito de la auditoría.

Condiciones del encargo

Estos son nuestros honorarios base estándar, no un proceso de compra en autoservicio. Como firma CPA con licencia, todo encargo requiere una aprobación individual y la confirmación de la independencia del auditor antes de emitir la carta de encargo. El precio se confirma en su carta de encargo tras una llamada de definición del alcance, presupone un encargo limitado a la categoría Seguridad de los criterios TSC y puede ajustarse al alza o a la baja según las circunstancias de su entorno. Entre los factores que habitualmente sitúan un honorario por encima de la tabla base se encuentran:

• Productos, servicios o descripciones del sistema complejos: varios productos dentro del alcance, o una descripción del sistema que abarca numerosos servicios y límites.
• Entornos cloud complejos: infraestructura multicloud, híbrida o muy personalizada.
• Servidores y centros de datos locales (on-premise): la infraestructura física exige un esfuerzo de pruebas mayor que el de los entornos cloud nativos.
• Complejidad estructural: estructuras con varias entidades, límites del sistema poco habituales o 1000 empleados o más (estos casos reciben una propuesta a medida con honorario fijo).

«Publicar nuestros honorarios estándar es una decisión deliberada. El precio de una auditoría debería ser el resultado de una conversación sobre el alcance, no de una negociación: usted debería saber cuánto cuesta la auditoría antes incluso de hablar con nosotros».

— Sébastien Ruosch, CPA, director de Auditsuisse Assurance

Comparación con el mercado

Los estudios del sector y nuestra propia hoja de ruta de cumplimiento para startups (en inglés) sitúan los precios habituales de las firmas tradicionales entre 30 000 y 60 000 USD, aproximadamente, para una auditoría SOC 2 de tipo I y entre 60 000 y 120 000 USD para una de tipo II, y los encargos de las Big Four son aún más caros. Auditsuisse se sitúa por debajo de estos rangos porque nuestra metodología, dirigida por auditores sénior y concebida en torno a la automatización, elimina las horas de personal júnior que encarecen los encargos tradicionales, no porque el examen sea menos exigente. El informe lo emite una firma CPA estadounidense con licencia y tiene la misma validez ante sus compradores, tanto en Estados Unidos como en Europa. Para conocer los factores que hacen subir o bajar cualquier presupuesto SOC 2, consulte nuestra guía sobre el costo de una auditoría SOC 2.