Construye el rastro de evidencia
Parte de los Trust Services Criteria pertinentes y vincula política, responsable y registros de operación. La ausencia de un documento crea una tarea de revisión; por sí sola no prueba que el control falló.
Usa la lista mapeada
Fencia incluye un mapa de gobernanza SOC 2. Una persona vincula evidencia y registra decisiones. El escáner documental no evalúa controles SOC 2.
El informe corresponde al auditor
Un informe SOC 2 resulta de un examen independiente. Fencia no puede emitirlo ni reemplazar las pruebas del auditor de servicios.
Ejemplo: un comprador pide evidencia de control de acceso
Un posible cliente solicita el último informe SOC 2 y pregunta cómo se controla el acceso del personal a un servicio de IA. Si la empresa no tiene informe, debe decirlo. La responsable de seguridad reúne política de acceso, aprobaciones, revisiones periódicas y procedimiento de incidentes, y vincula la evidencia pertinente al mapa SOC 2 de Fencia. Ese conjunto ordenado ayuda a conversar con un auditor; no debe presentarse como un informe SOC 2 emitido.
Un rastro de evidencia útil
- Identifica responsable del control y sistema dentro del posible alcance del examen.
- Conserva la política aprobada y registros fechados de operación del control.
- Registra excepciones, remediación y decisión revisora sin borrar evidencia anterior.
- Confirma criterios y período del examen con el auditor independiente.
Preguntas frecuentes
- ¿Fencia puede emitir un informe SOC 2 Tipo I o Tipo II?
- No. Ese informe resulta de un examen independiente adecuado. Fencia organiza registros internos para revisión.
- ¿Si falta un archivo, falló el control?
- No necesariamente. Significa que la evidencia de este workspace está incompleta. Hay que revisar el control real, su operación y los registros que puedan estar en otro lugar.
Fuente primaria: AICPA — SOC suite of services ↗
Lleva la pregunta a una revisión
Explora un ejemplo ficticio de Fencia o cuéntanos qué sistema y evidencia necesita revisar tu equipo.