Preciso fazer o Tipo 1 antes do Tipo 2?

Não é obrigatório. Se os seus controles já rodam de forma consistente há alguns meses, você pode ir direto ao Tipo 2 e economizar uma auditoria. O Tipo 1 faz sentido quando existe um negócio travado agora e você ainda não acumulou histórico suficiente para o período de observação.

O SOC 2 dá um certificado?

Não. O SOC 2 gera um relatório de auditoria assinado por uma firma de contadores independente, não um certificado como o da ISO 27001. É um documento longo, que descreve o sistema, os controles, os testes aplicados e as exceções encontradas. Você compartilha esse relatório com clientes, normalmente sob acordo de confidencialidade.

Quanto tempo leva para sair um Tipo 2?

Depende do período de observação que você escolher. O mais curto costuma ser de três meses, e muitas empresas começam por aí para ter o primeiro relatório mais cedo, ampliando para doze meses nas renovações seguintes. Some a esse período o tempo de preparação antes e o de emissão do relatório depois.

O que fazer entre o fim do período e a data de hoje?

Existe um documento chamado carta ponte, emitido pela sua empresa, que declara que nada relevante mudou nos controles desde o fim do período coberto pelo relatório. Ela é a prática aceita para cobrir esse intervalo enquanto o próximo relatório não sai, e costuma ser suficiente para a diligência do cliente.

Confiança e auditoria

SOC 2 Tipo 1 vs Tipo 2

A diferença é o tempo. O Tipo 1 mostra que seus controles estavam bem desenhados num dia específico, como uma foto. O Tipo 2 acompanha esses mesmos controles funcionando ao longo de um período, normalmente de três a doze meses, e prova que eles operam de verdade no dia a dia. Por isso o comprador quase sempre pede o Tipo 2, e trata o Tipo 1 como etapa de passagem.

Ver preparação para SOC 2 Ir para a comparação

Em resumo

O Tipo 1 avalia o desenho dos controles numa data. O Tipo 2 avalia desenho e funcionamento ao longo de um período.
O SOC 2 não é certificado: é um relatório de auditoria assinado por uma firma de contadores independente.
O Tipo 1 sai mais rápido e mais barato, mas raramente é o que o cliente aceita como resposta final.
Ficar anos no Tipo 1 chama atenção negativa: passa a impressão de programa que existe no papel e não na prática.

Lado a lado

Uma foto contra um filme

O que comparar	SOC 2 Tipo 1	SOC 2 Tipo 2
O que o auditor avalia	Se os controles estavam bem desenhados numa data específica.	Se os controles estavam bem desenhados e funcionaram durante um período.
Período coberto	Um único dia, a data de corte.	Em geral de três a doze meses de operação.
Que evidência exige	Políticas, configurações e desenho dos processos.	Amostras de execução ao longo de todo o período, mês a mês.
Prazo típico	Mais curto, porque não exige janela de observação.	Mais longo: soma o período observado ao tempo de auditoria.
Custo	Menor, com menos horas de auditoria.	Maior, porque o auditor testa amostras do período inteiro.
O que o comprador pensa	Aceita como etapa, e pergunta quando sai o Tipo 2.	Encerra a conversa na diligência.
Renovação	Faz sentido uma vez só, como ponto de partida.	Anual, para não haver buraco entre um relatório e outro.
Serve para	Mostrar progresso e destravar negócio enquanto o Tipo 2 amadurece.	Ser a prova definitiva de que a segurança funciona na rotina.

Os dois relatórios avaliam os mesmos critérios de confiança. A obrigatória é Segurança; disponibilidade, integridade do processamento, confidencialidade e privacidade entram conforme o que você promete ao cliente.

A foto de um dia

SOC 2 Tipo 1

O auditor olha para os seus controles numa data determinada e responde uma pergunta: eles estão desenhados de um jeito que funcionaria? Não testa se funcionaram no mês passado, porque não existe período observado. Sai mais rápido, custa menos e serve bem para uma empresa que precisa mostrar algo concreto agora, enquanto acumula o histórico que o Tipo 2 vai exigir depois.

Avalia o desenho dos controles numa data
Prazo e custo menores
Bom para destravar negócio no curto prazo
Ponto de partida, não ponto de chegada

O filme do período

SOC 2 Tipo 2

O auditor acompanha os mesmos controles ao longo de meses e testa amostras: aquele acesso foi mesmo revisado no trimestre? aquele alerta foi mesmo tratado? aquele backup foi mesmo restaurado no teste? O relatório mostra o que funcionou e também o que falhou, com a explicação. É esse detalhe que dá peso ao documento e que faz o time de compras do seu cliente parar de perguntar.

Avalia desenho e funcionamento ao longo do período
Testa amostras reais de execução, mês a mês
Mostra também as exceções, com contexto
É o que a diligência do comprador espera

Como se completam

O Tipo 1 é degrau, não destino

Muita empresa faz o Tipo 1 primeiro para ter algo em mãos enquanto o histórico se acumula, e emenda o Tipo 2 logo em seguida, cobrindo o período que veio depois. Essa sequência é legítima e funciona bem. O problema aparece quando o Tipo 1 vira endereço fixo: o comprador percebe que já se passaram dois ou três anos sem Tipo 2 e conclui que os controles nunca foram testados na prática. Se o plano é ficar só no Tipo 1, é melhor assumir isso e discutir outro caminho de prova.

Tipo 1 primeiro, Tipo 2 no período seguinte, é sequência normal
Um relatório anual de Tipo 2 evita buraco entre um período e outro
Entre o fim do período e a data de hoje, uma carta ponte cobre a lacuna

Qual é o seu caso

Por onde começar

Um contrato está travado agora e você não tem histórico

Faça o Tipo 1 e já agende o Tipo 2

Você mostra algo concreto rápido e sinaliza ao cliente que o Tipo 2 tem data marcada.

Seus controles já rodam há alguns meses

Vá direto ao Tipo 2

Se o histórico existe, pular o Tipo 1 economiza uma auditoria inteira.

Seu cliente é uma empresa grande ou regulada

Só o Tipo 2 resolve

A diligência dessas empresas pergunta pelo período coberto. Um relatório sem período não passa.

Números que importam

1 dia

é o que o Tipo 1 cobre

3 a 12 meses

período típico observado no Tipo 2

Anual

cadência esperada do Tipo 2, sem lacuna

Como a DM11 resolve

Do primeiro relatório ao Tipo 2 sem sobressalto

A gente organiza os controles, prepara a evidência do jeito que o auditor pede e acompanha o período de observação para nada faltar na hora do teste. Você chega na auditoria sem correria e sem descobrir buraco no último mês.

A evidência é coletada durante o período, não no desespero da véspera
A gente escolhe com você quais critérios entram, para não pagar por escopo que ninguém pediu
Ensaio antes da auditoria: você sabe onde está frágil enquanto ainda dá tempo
Ficamos junto na renovação anual, para não abrir lacuna entre relatórios

Ver preparação para SOC 2

Dúvidas frequentes

O que perguntam antes de decidir

Respostas conferidas contra os critérios de confiança do AICPA e a prática de auditoria em SOC 2.

O Tipo 1 avalia se os controles estavam bem desenhados numa data específica, como uma foto. O Tipo 2 avalia se esses mesmos controles funcionaram ao longo de um período, em geral de três a doze meses, testando amostras reais de execução. O Tipo 2 vale mais porque prova rotina, não intenção.

Mais dúvidas? Fale com a DM11

Saia do Tipo 1 e entregue ao cliente o relatório que ele pede

Uma conversa curta mostra qual período faz sentido para o seu caso e o que precisa estar pronto antes.

Falar com um especialista Ver preparação para SOC 2

SOC 2 Tipo 1 vs Tipo 2

O que comparar

SOC 2 Tipo 1

SOC 2 Tipo 2

O que o auditor avalia

Se os controles estavam bem desenhados numa data específica.

Se os controles estavam bem desenhados e funcionaram durante um período.

Período coberto

Um único dia, a data de corte.

Em geral de três a doze meses de operação.

Que evidência exige

Políticas, configurações e desenho dos processos.

Amostras de execução ao longo de todo o período, mês a mês.

Prazo típico

Mais curto, porque não exige janela de observação.

Mais longo: soma o período observado ao tempo de auditoria.

Custo

Menor, com menos horas de auditoria.

Maior, porque o auditor testa amostras do período inteiro.

O que o comprador pensa

Aceita como etapa, e pergunta quando sai o Tipo 2.

Encerra a conversa na diligência.

Renovação

Faz sentido uma vez só, como ponto de partida.

Anual, para não haver buraco entre um relatório e outro.

Serve para

Mostrar progresso e destravar negócio enquanto o Tipo 2 amadurece.

Ser a prova definitiva de que a segurança funciona na rotina.

SOC 2 Tipo 1

Avalia o desenho dos controles numa data

Prazo e custo menores

Bom para destravar negócio no curto prazo

Ponto de partida, não ponto de chegada

SOC 2 Tipo 2

Avalia desenho e funcionamento ao longo do período

Testa amostras reais de execução, mês a mês

Mostra também as exceções, com contexto

É o que a diligência do comprador espera

O Tipo 1 é degrau, não destino

Tipo 1 primeiro, Tipo 2 no período seguinte, é sequência normal

Um relatório anual de Tipo 2 evita buraco entre um período e outro

Entre o fim do período e a data de hoje, uma carta ponte cobre a lacuna

Do primeiro relatório ao Tipo 2 sem sobressalto

A evidência é coletada durante o período, não no desespero da véspera

A gente escolhe com você quais critérios entram, para não pagar por escopo que ninguém pediu

Ensaio antes da auditoria: você sabe onde está frágil enquanto ainda dá tempo

Ficamos junto na renovação anual, para não abrir lacuna entre relatórios