Receber o primeiro relatório SOC 2 não é a meta — é o início de um ciclo. Um relatório Type 2 cobre um período de observação definido e, no dia seguinte ao fim desse período, os clientes começam a perguntar: “e os vossos controlos agora?”. É para isso que servem as bridge letters, as renovações anuais do relatório e a conformidade contínua. Eis como gerir o ciclo para que não se transforme numa corrida anual contra o tempo.
Porque é que um relatório SOC 2 “envelhece”
Um relatório SOC 2 Type 2 descreve como os controlos funcionaram durante o período de observação — digamos, de 1 de janeiro a 31 de dezembro. Depois disso, o relatório continua válido como documento histórico, mas nada diz sobre o estado atual. A prática de mercado considera um relatório atual durante cerca de 12 meses após o fim do período. Um relatório Type 1 descreve uma única data, pelo que a sua vida útil é ainda mais curta.
Há sempre um intervalo entre o fim do período e a emissão do relatório seguinte: o auditor precisa de 4–8 semanas para o trabalho de campo e a redação. Acrescente o tempo de revisão e fica 2–3 meses sem um relatório atual. A bridge letter cobre esse intervalo.
O que é uma bridge letter (gap letter)
Uma bridge letter é uma carta que a organização prestadora de serviços — a sua empresa, não o auditor — emite aos seus clientes. Nela, a gestão confirma que, desde a data de fim do último período de observação até à data da carta:
- os controlos descritos no relatório SOC 2 continuam a funcionar;
- não houve alterações materiais no ambiente de controlo (ou enumera as alterações, se as houve);
- não ocorreram incidentes que afetem as conclusões do relatório (ou descreve-os).
Três pontos são importantes. Primeiro, uma bridge letter é uma asserção da gestão, não uma opinião do auditor; a firma de CPA não a emite nem a assina. Segundo, não substitui o relatório — apenas faz a ponte entre dois relatórios. Terceiro, normalmente não cobre mais de três meses; um intervalo maior leva os clientes a perguntar porque é que a auditoria seguinte está atrasada.
O que uma bridge letter contém normalmente
- Referência ao relatório mais recente: tipo, período de observação, firma de CPA, data da opinião.
- O período que a carta cobre (da data de fim do período até à data da carta).
- Uma declaração de que não houve alterações materiais nos controlos, sistemas, pessoal-chave ou organizações subcontratadas.
- Uma declaração sobre incidentes (ou a sua ausência).
- A data prevista do relatório seguinte.
- Assinatura de um responsável autorizado — normalmente o responsável pela segurança ou o CFO.
Disponibilizamos um modelo de bridge letter como parte do apoio contínuo e ajudamos a formular com honestidade as alterações quando ocorreram: ocultar alterações prejudica a confiança muito mais do que as próprias alterações.
Como planear os períodos de observação
Para minimizar os intervalos, os períodos de observação devem ser consecutivos: o primeiro relatório cobre, digamos, 1 de julho – 31 de dezembro (seis meses), o segundo 1 de janeiro – 31 de dezembro do ano seguinte, e assim anualmente. Cada novo relatório surge então por volta de fevereiro–março, com uma bridge letter a cobrir janeiro–fevereiro.
| Cenário | Período de observação | Intervalo sem relatório | Solução |
|---|---|---|---|
| Primeiro Type 2 | 3–6 meses | Tempo de auditoria mais redação | Type 1 primeiro, bridge letter depois |
| Renovação anual | 12 meses consecutivos | 2–3 meses | Bridge letter para o intervalo |
| Pausa entre períodos | Intervalo superior a 3 meses | Uma verdadeira falha de cobertura | Evitar; os clientes podem exigir um novo Type 1 |
Conformidade contínua: o que fazer entre auditorias
O erro mais caro é esquecer o SOC 2 depois do relatório e lembrar-se dele um mês antes da auditoria seguinte. Os controlos do Type 2 têm de funcionar e deixar evidências durante todo o período; não podem ser reconstruídos retroativamente. Este é o ritmo mínimo que recomendamos:
Mensalmente
- rever registos e alertas, encerrar incidentes;
- verificar que os patches de segurança estão aplicados;
- confirmar que as cópias de segurança são concluídas e restauráveis.
Trimestralmente
- revisões de acessos com resultados documentados;
- análises de vulnerabilidades e acompanhamento da correção;
- revisão de novos fornecedores e subcontratantes;
- revisão do registo de riscos.
Anualmente
- revisão e aprovação das políticas e tomada de conhecimento pelos colaboradores;
- formação em sensibilização para a segurança;
- teste de continuidade do negócio e de recuperação de desastres;
- teste de intrusão;
- avaliação de riscos e revisão do âmbito.
As plataformas de automatização de conformidade ajudam, recolhendo automaticamente evidências dos serviços cloud e lembrando os responsáveis das tarefas manuais. Mas a responsabilidade por cada controlo tem de estar atribuída a uma pessoa concreta, não a uma ferramenta.
Quando alterar o âmbito do relatório
Os negócios mudam: novos produtos, regiões de alojamento, categorias de dados, clientes com novos requisitos. Antes de cada novo período de observação, reveja:
- se deve acrescentar categorias TSC (por exemplo, Disponibilidade ou Confidencialidade);
- se os sistemas no âmbito e as organizações subcontratadas mudaram;
- se deve combinar o ciclo seguinte com a ISO 27001, a NIS2 ou o RGPD — veja SOC 2 e RGPD em conjunto.
As alterações de âmbito devem ser feitas nos limites dos períodos, não a meio; caso contrário, o auditor tem de descrever dois estados diferentes do sistema num só relatório.
O que fazer quanto às exceções no relatório
As exceções num relatório Type 2 não são um desastre — a maioria dos relatórios tem algumas. O que importa é documentar um plano de correção, executá-lo e mostrar no período seguinte que o problema está encerrado. Os clientes reagem com muito mais tranquilidade a “uma exceção com correção documentada” do que a um fornecedor sem qualquer Type 2.
O papel do consultor depois do primeiro relatório
Emitido o relatório, a equipa de consultoria da BALTUM oferece apoio contínuo à conformidade: verificações periódicas dos controlos, preparação da bridge letter, atualização das políticas, preparação das evidências para a auditoria seguinte e calendarização com a firma de CPA norte-americana do grupo, que se mantém uma equipa de auditoria independente. É mais barato do que repetir a preparação do zero todos os anos e permite à equipa concentrar-se no produto. Os passos de preparação subjacentes estão na nossa checklist de preparação SOC 2, e o contexto do mercado europeu em SOC 2 para empresas europeias de software que vendem para os EUA.
Já tem um relatório SOC 2 e quer que o ciclo seguinte decorra sem sobressaltos? Ou um cliente está a pedir uma bridge letter e não sabe por onde começar? Peça um orçamento — avaliaremos o estado atual dos seus controlos e proporemos um plano de apoio até à auditoria seguinte.