Definição
O SOC 2 é um relatório de atestação de uma firma independente de CPA sobre os controles de uma organização de serviços em segurança e, opcionalmente, disponibilidade, integridade do processamento, confidencialidade e privacidade. É um relatório, não um certificado nem um requisito legal.
O que abrange
System and Organization Controls (SOC) é um conjunto de serviços de relatórios do AICPA, o Instituto Americano de Contadores Públicos Certificados. Um relatório SOC 2 cobre controles de uma organização de serviços que são relevantes para uma ou mais de cinco categorias de serviços de confiança: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. A segurança é a base, e as outras quatro são acrescentadas quando importam para o serviço.
O AICPA descreve os trabalhos SOC como serviços que os CPAs prestam, usando normas profissionais que o AICPA define. O relatório é, portanto, obra de um auditor independente, não uma declaração do fornecedor sobre si mesmo. Contém a opinião do auditor, a descrição do sistema pela administração, os controles no escopo e os resultados dos testes, inclusive eventuais exceções.
Há dois tipos. Um relatório Tipo I examina se os controles foram adequadamente desenhados em um único ponto no tempo. Um relatório Tipo II também testa se os controles operaram com eficácia em um período declarado, e por isso os compradores costumam pedir o Tipo II.
O que exige
Nenhuma lei exige um relatório SOC 2. As empresas o obtêm voluntariamente, em geral porque os clientes pedem nas revisões de segurança, e o arcabouço não dá nota de aprovado ou reprovado. O relatório descreve o que foi examinado e o que o auditor encontrou. “Certificado SOC 2” é uma expressão comum, mas imprecisa, porque nenhum certificado é emitido.
O que significa para um agente de voz
Um agente de voz envia a fala, os nomes, os dados de conta e às vezes informações de saúde ou de pagamento de quem liga por vários sistemas. Um relatório SOC 2 é uma das formas mais rápidas de ver como um fornecedor administra controle de acesso, gestão de mudanças, registros e resposta a incidentes. Ao ler um, confira estes pontos:
- Qual sistema e quais serviços estão no escopo. Um relatório sobre o painel web de uma empresa pode não cobrir seu caminho de áudio em tempo real.
- O período testado e se é recente. Uma lacuna entre o fim do período e hoje pode exigir uma carta-ponte.
- Quais categorias de serviços de confiança estão incluídas. Só a segurança diz pouco sobre confidencialidade ou privacidade.
- As exceções e a opinião do auditor, não só a capa.
- Se os próprios subfornecedores do fornecedor, como uma hospedagem em nuvem, ficam de fora do relatório.
- Quem assinou o relatório. Um relatório é tão confiável quanto a firma que o assinou.
Um relatório SOC 2 é evidência, não substituto de outras obrigações. Não substitui um acordo de associado de negócios sob a HIPAA, um acordo de tratamento de dados sob o GDPR, nem uma avaliação PCI quando há dados de cartão (PCI DSS). Também não diz por quanto tempo o áudio é guardado, o que é uma escolha de configuração descrita em retenção zero de dados. Para um checklist de compra, leia o guia sobre IA de voz on-premise.
Perguntas para o jurídico
- Um relatório SOC 2 basta para os nossos contratos com clientes, ou eles pedem outra coisa?
- Quais categorias e quais serviços precisam estar no escopo para o nosso caso de uso?
- O que fazemos quanto ao período entre a data de fim de um relatório e a nossa data de entrada em produção?
- Como devemos tratar as exceções anotadas pelo auditor?
- Podemos compartilhar o relatório do fornecedor com os nossos próprios clientes, e em que termos?
Termos relacionados
Guias
Fontes
Esta página traz informação geral, não aconselhamento jurídico. As regras variam conforme o país, o estado e o caso de uso, e mudam. Consulte as fontes indicadas e peça orientação a um advogado qualificado antes de se basear nela.
Última revisão em 19 de outubro de 2026