¿Qué es la sección 5 de SOC 2?

La sección 5 de SOC 2 suele referirse a la parte opcional de un informe SOC 2 que contiene información adicional proporcionada por la organización de servicios. Habitualmente lleva el título «Otra información proporcionada por la organización de servicios» y queda fuera del alcance de la opinión del auditor de la organización de servicios.

Esta distinción es importante cuando una empresa explica cómo ha abordado una excepción en un control. La dirección puede describir las acciones correctivas en la sección 5, pero esa explicación no elimina el hallazgo del auditor ni demuestra automáticamente que el control modificado funciona de manera eficaz.

Para las empresas tecnológicas que preparan un informe, la sección 5 puede aportar contexto útil. Para los clientes que revisan a un proveedor, requiere un grado de confianza distinto del que ofrecen los hallazgos comprobados por el auditor.

Los puntos clave que conviene comprender son:

1. La sección 5 generalmente contiene información complementaria de la dirección.
2. Es opcional y la numeración de los informes puede variar.
3. Su contenido no está cubierto por la opinión del auditor.
4. Las declaraciones sobre medidas correctoras deben distinguir las acciones completadas de los planes futuros.
5. Los lectores deben contrastar la explicación con el alcance, los hallazgos y las fechas del informe.

En PrivaLex, ayudamos a las organizaciones a vincular esas explicaciones con acciones correctivas y evidencias, en lugar de tratar la sección 5 como una forma de mejorar la presentación de problemas pendientes de resolver.

¿Qué significa la sección 5 de SOC 2?

La sección 5 ofrece a la dirección un espacio para comunicar información que queda fuera de la materia objeto del examen. Esto puede incluir respuestas a excepciones detectadas en las pruebas, mejoras previstas o información sobre servicios ajenos al alcance evaluado.

La característica que la define no es el número de la sección. Es la declaración que identifica la información como ajena a la opinión del auditor.

La redacción ilustrativa de informes de la AICPA distingue la información complementaria de la dirección de la descripción del sistema sometida a examen y explica que no se expresa una opinión sobre esa información adicional.

Por tanto, las organizaciones deben evitar describir las declaraciones de la sección 5 como conclusiones verificadas de forma independiente, salvo que una evaluación separada respalde esa afirmación.

Dónde encaja la sección 5 en un informe SOC 2

Una estructura habitual de un informe SOC 2 de tipo 2 es la siguiente:

Sección	Contenido habitual	Qué deben comprender los lectores
Sección 1	Informe del auditor independiente de la organización de servicios	Explica el alcance, las responsabilidades y la opinión del auditor.
Sección 2	Declaración de la dirección	Expone la responsabilidad de la dirección y su declaración sobre el sistema y los controles evaluados.
Sección 3	Descripción del sistema	Define los servicios, los límites y el entorno de control pertinente.
Sección 4	Controles, pruebas del auditor y resultados	Muestra las pruebas realizadas y las desviaciones comunicadas.
Sección 5	Otra información proporcionada por la dirección	Aporta contexto complementario que queda fuera de la opinión del auditor.

Esta es una presentación habitual, no un esquema de numeración obligatorio. El recurso de la AICPA con un informe SOC 2 ilustrativo reconoce que la información requerida puede organizarse en diferentes formatos.

Los lectores deben comprobar los títulos y las declaraciones de alcance, en lugar de asumir que todos los informes siguen una numeración idéntica.

Las empresas que gestionan varios requisitos de aseguramiento también deben distinguir un informe SOC 2 de una certificación ISO. Las diferencias entre ISO 27001 y SOC 2 afectan a la evaluación, al documento resultante y a la forma en que debe interpretarse la información de respaldo.

¿Qué puede incluirse en la sección 5 de SOC 2?

El contenido debe ser pertinente para los usuarios del informe, estar claramente atribuido y ser coherente con el resto del informe. Los siguientes son ejemplos habituales, sujetos a su revisión con el auditor de la organización de servicios.

Respuestas de la dirección a excepciones en los controles

La dirección puede explicar las circunstancias que originaron una desviación, el proceso afectado y la acción correctiva adoptada o prevista.

Una respuesta útil distingue el problema original de las acciones posteriores de la organización. No debe sugerir que una excepción carecía de importancia simplemente porque la dirección ya la haya abordado.

Avances en la corrección de deficiencias

La dirección puede describir las mejoras implementadas después de identificar un problema.

Las fechas importan. Un control introducido después del período examinado no debe presentarse como si hubiera funcionado durante todo ese período. Del mismo modo, completar un cambio de configuración no equivale a demostrar que un proceso recurrente funciona ahora de forma constante.

Cambios previstos y servicios adicionales

La organización puede aportar contexto sobre futuros cambios del sistema o servicios ajenos al alcance evaluado.

Esa información no incorpora dichos servicios al examen. Los lectores deben seguir identificando qué sistemas y actividades evaluó realmente el auditor.

Otros acontecimientos relevantes

Algunos acontecimientos ajenos al período o al alcance examinado pueden ayudar a los lectores a comprender la situación actual de la organización.

Sin embargo, la sección 5 no es un espacio al que trasladar información que debe figurar en la descripción del sistema sometida a examen o que afecta al informe del auditor. Los cambios significativos y los hechos posteriores deben tratarse con el auditor para determinar cómo corresponde abordarlos.

Preparación de respuestas claras de la dirección para SOC 2 con PrivaLex

La parte difícil de la sección 5 rara vez consiste en redactar el párrafo. Consiste en confirmar que la explicación refleja con precisión el hallazgo, el trabajo correctivo y las evidencias disponibles.

En PrivaLex, ayudamos a empresas tecnológicas, plataformas digitales y otras organizaciones basadas en datos a preparar respuestas de la dirección que sean coherentes con sus procesos operativos y su programa de cumplimiento más amplio.

Comenzamos revisando el hallazgo pertinente, el objetivo de control, los sistemas afectados y el período examinado. Trabajamos con los equipos responsables para establecer qué ocurrió, por qué ocurrió y si el problema fue aislado o indica una deficiencia más amplia en el proceso. Esto proporciona a la dirección una base factual para su respuesta.

A partir de ahí, ayudamos a estructurar el registro de acciones correctivas. Cada acción debe tener un responsable, una fecha objetivo, un estado de implementación y un método claro para comprobar su eficacia. Cuando el trabajo sigue incompleto, ayudamos a distinguir las medidas previstas de los cambios ya implantados.

Nuestro apoyo también incluye organizar los registros que respaldan la respuesta: aprobaciones de revisiones de acceso, cambios de configuración, constancias de finalización de formación, evaluaciones de proveedores u otras evidencias pertinentes para el problema. El objetivo es garantizar que las preguntas posteriores de los clientes puedan responderse sin tener que reconstruir el historial de corrección a partir de mensajes dispersos.

Cuando un hallazgo afecta a las responsabilidades del personal, la acción correctiva puede requerir algo más que un procedimiento revisado. Ayudamos a conectar el cambio con un programa de formación basado en funciones, de modo que las personas que ejecutan el control comprendan el nuevo proceso y sus requisitos de evidencia.

PrivaLex también puede ayudar a alinear las comunicaciones a los clientes con el informe. Los cuestionarios de seguridad, las declaraciones del centro de confianza y las respuestas comerciales deben distinguir la situación examinada de las mejoras posteriores comunicadas por la dirección.

Nuestra función se centra en el asesoramiento y la implementación. La firma independiente de contadores públicos certificados (CPA) sigue siendo responsable del examen SOC 2, la presentación del informe y la opinión de auditoría. Ayudamos a la dirección a preparar información precisa y registros de respaldo; no convertimos las declaraciones complementarias en aseguramiento derivado de una auditoría.

6 pasos para preparar una respuesta creíble en la sección 5 de SOC 2

Estos pasos proporcionan una estructura práctica para preparar información complementaria de la dirección. Son recomendaciones de redacción, no una plantilla obligatoria de la AICPA.

1. Identificar el hallazgo con precisión

Haga referencia al control o a la excepción pertinente para que el lector pueda relacionar la respuesta con los resultados de las pruebas del auditor.

Describa el proceso y el período afectados sin alterar el significado del hallazgo. Evite declaraciones generales como «problema administrativo menor» cuando no expliquen qué falló o por qué era importante el control.

2. Establecer la causa y evaluar la exposición

Determine si el problema se debió a una asignación de responsabilidades poco clara, una cobertura incompleta, un fallo técnico, la falta de evidencias u otra causa.

La evaluación debe considerar qué sistemas o personas se vieron afectados y si podrían existir deficiencias similares en otros ámbitos. Un proceso de evaluación de riesgos coherente ayuda a la dirección a priorizar el trabajo correctivo, en lugar de apoyarse en afirmaciones sin fundamento de que un problema no generó «ningún riesgo».

3. Describir la acción correctiva

Explique qué cambió en términos prácticos. Esto puede incluir revisar un flujo de aprobación, configurar una alerta, contrastar un inventario de cuentas o introducir un paso de revisión.

Mantenga la respuesta vinculada al problema original. El rigor utilizado al documentar controles de seguridad resulta útil aquí: describa el proceso, identifique a su responsable y conserve registros que demuestren que se llevó a cabo.

4. Distinguir la implementación de la verificación

Una tarea completada no demuestra necesariamente que un control sea eficaz.

Por ejemplo, asignar una formación pendiente cuyo plazo ya ha vencido no equivale a confirmar su finalización y mejorar el proceso para las futuras incorporaciones. Los registros necesarios para demostrar la formación del personal durante una auditoría ilustran esa distinción entre ejecutar una acción y demostrar su resultado.

Indique si la verificación está completada, en curso o programada.

5. Utilizar las fechas y las etiquetas de estado con cuidado

Separe las acciones completadas durante el período examinado, los cambios implementados después y el trabajo que sigue previsto.

Incluya las fechas pertinentes y evite expresiones vagas como «resuelto recientemente». Si una medida todavía se está probando, describa ese estado con precisión en lugar de presentarla como plenamente eficaz.

6. Revisar la redacción con la dirección y el auditor

El responsable del control debe validar los detalles operativos y la dirección debe aprobar la explicación.

Revise la redacción propuesta con el auditor de la organización de servicios, incluida su ubicación y coherencia con el informe. La otra información está sujeta a responsabilidades relativas a la coherencia conforme a las normas de encargos de atestiguamiento de la AICPA; quedar fuera de la opinión no significa que puedan incluirse declaraciones engañosas sin revisión.

Ejemplo de una respuesta de la dirección en la sección 5 de SOC 2

Supongamos que el auditor identifica que dos retiradas de acceso de usuarios incluidas en la muestra superaron el plazo documentado por la organización.

Una respuesta débil sería:

El problema se ha resuelto y nuestros controles de acceso ahora cumplen plenamente los requisitos.

Esto no aporta al lector información útil sobre la causa, el momento de la corrección ni la base de la conclusión.

Una respuesta hipotética más informativa sería:

La dirección identificó que dos solicitudes de retirada de acceso no se tramitaron con prontitud porque la responsabilidad entre RR. HH. y TI no estaba clara. El 15 de julio, la dirección introdujo un flujo de trabajo compartido para las bajas de personal, con un responsable de TI designado y un mecanismo de escalado para las solicitudes cuyo plazo hubiera vencido. Se desactivaron las cuentas afectadas y se contrastó el inventario de usuarios activos con los registros de RR. HH. Se ha programado una revisión de seguimiento de las bajas posteriores para el 30 de septiembre, con el fin de evaluar si el flujo de trabajo revisado funciona de manera constante. Estas acciones tuvieron lugar después del período examinado y no han sido evaluadas en el marco de este examen SOC 2.

La respuesta más sólida explica el problema, la acción correctiva y la verificación pendiente. No afirma que el auditor haya confirmado el nuevo proceso ni que la corrección posterior haya cambiado el resultado original de las pruebas.

Cómo deben revisar los clientes la sección 5 de un proveedor

Los clientes deben leer la sección 5 junto con la opinión del auditor, la descripción del sistema y los resultados de las pruebas.

Para cada declaración pertinente de la dirección, pregúntese:

• ¿Qué hallazgo o limitación aborda?
• ¿Se refiere al servicio que vamos a utilizar realmente?
• ¿Se completó la acción durante el período examinado o después?
• ¿Qué registros respaldan la declaración?
• ¿Se ha comprobado la eficacia o la verificación sigue pendiente?
• ¿Qué riesgo residual persiste para nuestra organización?

Una respuesta debe contribuir a la decisión del cliente sobre el riesgo del proveedor, no sustituirla. Un marco de gestión de riesgos estructurado ayuda a vincular los hallazgos con acciones de seguimiento, decisiones de aceptación y fechas de revisión.

Ni una excepción comunicada ni una respuesta tranquilizadora deben determinar por sí solas la decisión. Considere el control afectado, la dependencia del negocio y las consecuencias de un fallo.

4 Errores frecuentes al utilizar la sección 5 de SOC 2

1. Tratar las medidas correctoras como una corrección retrospectiva

Las mejoras posteriores no cambian lo que funcionó durante el período original del examen.

Mantenga visible el hallazgo histórico y explique por separado las acciones posteriores. Los lectores necesitan ambas informaciones para comprender la situación actual.

2. Utilizar afirmaciones generales sin registros de respaldo

Declaraciones como «se han eliminado todos los riesgos» son difíciles de justificar y pueden generar expectativas innecesarias en los clientes.

Describa, en su lugar, la acción concreta, la cobertura, la verificación y la incertidumbre restante.

3. Trasladar información requerida fuera del examen

La sección 5 no debe utilizarse para evitar la divulgación o el examen adecuados de sistemas, incidentes o cambios de controles pertinentes.

Trate con el auditor cómo deben abordarse estas cuestiones, en lugar de decidir que basta con incluirlas como información complementaria.

4. Suponer que SOC 2 acredita todas las formas de cumplimiento

Un informe SOC 2 no demuestra automáticamente el cumplimiento del RGPD ni de otros regímenes legales.

Por ejemplo, una auditoría del RGPD examina cuestiones de responsabilidad proactiva como los registros de actividades de tratamiento, las bases jurídicas, la transparencia y los acuerdos con encargados del tratamiento. Estas cuestiones requieren su propia evaluación, incluso cuando algunas evidencias de seguridad se solapan.

Conclusión

La sección 5 de SOC 2 debe entenderse como contexto complementario proporcionado por la dirección, no como una ampliación de la opinión del auditor.

Utilizada con cuidado, ayuda a los lectores a comprender las acciones correctivas y los acontecimientos ajenos al alcance o al período examinado. Su credibilidad depende de una redacción precisa, fechas claras y evidencias que respalden la explicación.

Para las organizaciones que preparan un informe, la prioridad es abordar el problema subyacente y explicar el resultado con honestidad. Para los clientes, es distinguir las declaraciones de la dirección del aseguramiento independiente.

Reserve una sesión estratégica con PrivaLex o solicite una evaluación de riesgos gratuita para revisar sus deficiencias de control, sus registros de acciones correctivas y sus prioridades de preparación.

Preguntas Frecuentes (FAQs)