Quando um cliente enterprise exige SOC 2, a primeira pergunta é sempre a mesma: quanto tempo leva? A resposta honesta depende de três fatores, e nenhum deles se resolve em 90 dias.
Type I e Type II não são a mesma coisa
O relatório Type I avalia se os controles estão desenhados corretamente em uma data específica. O Type II avalia se esses controles funcionaram ao longo de um período de observação, que costuma variar de 3 a 12 meses. A maioria dos clientes enterprise pede o Type II.
Os três fatores que definem o prazo
- Maturidade inicial: políticas, gestão de acessos, logs e gestão de mudanças já existem e são seguidos?
- Escopo: quais sistemas, times e fornecedores entram na auditoria.
- Capacidade do time interno: quem implementa os controles e coleta evidências enquanto o produto continua evoluindo.
Uma rota realista
| Fase | Duração típica | Entregável |
|---|---|---|
| Diagnóstico e gap analysis | 3 a 4 semanas | Mapa de controles e lacunas |
| Implementação de controles | 3 a 5 meses | Controles operando e evidenciados |
| Auditoria Type I | 4 a 6 semanas | Relatório Type I |
| Período de observação | 3 a 12 meses | Base para o Type II |
Com maturidade intermediária e escopo bem definido, chegar ao relatório Type I em cerca de 9 meses é viável. Prometer menos do que isso costuma significar controles no papel, evidências frágeis e ressalvas na auditoria.
Ferramenta sem governança não fecha auditoria.
Como ganhar tempo sem pular etapas
- Comece pelo escopo mínimo que atende ao contrato do cliente.
- Priorize controles por risco: acessos, gestão de mudanças e resposta a incidentes primeiro.
- Automatize a coleta de evidências desde o início, e não na véspera da auditoria.
- Negocie com o cliente um marco intermediário, como o Type I ou uma carta de compromisso com o plano.
A certificação é emitida por auditores independentes. O trabalho da consultoria é deixar a empresa pronta e reduzir as surpresas da auditoria.