Excepciones en un SOC 2: cuáles te tienen que preocupar y cuáles son ruido
Un reporte SOC 2 Tipo II sin ninguna excepción es menos común de lo que parece — y un reporte con excepciones no es automáticamente un proveedor descartable. El trabajo real de evaluación está en el medio: distinguir la excepción administrativa sin impacto de la que revela una falla estructural. Este es un método concreto para hacer esa clasificación de forma consistente, en lugar de decidir por intuición.
Dónde viven las excepciones en el reporte
Las excepciones aparecen en la Sección 4, dentro de la matriz de pruebas: para cada control, el auditor describe la prueba realizada y el resultado. Cuando el resultado no es limpio, se documenta como deviation o exception, con el detalle de la muestra (por ejemplo, "en 2 de 25 casos muestreados, la revisión de accesos trimestral no se completó en plazo"). Además, si las excepciones son suficientemente graves o extendidas, escalan a la opinión del auditor en la Sección 1 como salvedad (qualified opinion). Primera regla de lectura: una excepción que llegó a calificar la opinión ya fue evaluada como material por el auditor — ese es el nivel máximo de alerta y no requiere interpretación tuya.
Eje 1 — Criticidad del dominio de control
No todos los controles protegen lo mismo. Como criterio de clasificación práctico, el nivel alto de preocupación corresponde a excepciones en: gestión de accesos (altas, bajas, revisiones, privilegios administrativos), autenticación (MFA, políticas de credenciales), gestión de vulnerabilidades y parcheo, respuesta a incidentes, y cifrado de datos. El nivel medio: backups y recuperación, gestión de cambios, monitoreo y logging. El nivel bajo suele ser lo administrativo: capacitaciones de seguridad completadas fuera de plazo, revisiones documentales de políticas atrasadas, evaluaciones de desempeño pendientes. Una excepción en revocación de accesos de personal desvinculado es un problema de seguridad directo; una capacitación anual completada con dos meses de atraso, no.
Eje 2 — Extensión y patrón de la falla
El segundo eje es cuantitativo: sobre qué proporción de la muestra falló el control y si hay patrón entre controles. Una falla en 1 de 25 casos muestreados es un desvío puntual; fallas en 10 de 25 indican que el control no opera de forma confiable. Y el patrón entre controles pesa más que cualquier excepción individual: tres excepciones distintas, todas en el dominio de gestión de accesos, describen un proceso que no funciona — aunque cada una por separado parezca menor. Al revés, cinco excepciones administrativas dispersas en dominios distintos suelen indicar una organización desprolija con la evidencia, no una insegura. La lectura correcta es por dominio, no por cantidad total.
Eje 3 — La respuesta de la gerencia
Muchos reportes incluyen una sección (habitualmente la 5) con la respuesta de la gerencia a cada excepción. Es información no auditada — el auditor no verifica esas afirmaciones — pero es diagnóstica igual. Una respuesta útil identifica la causa raíz, describe la remediación concreta y le pone fecha. Una respuesta del tipo "la gerencia considera que el riesgo es bajo y ha reforzado el proceso" no dice nada. Para excepciones de dominio crítico, la respuesta de la gerencia define tu siguiente paso: si hay plan con fecha, el seguimiento va al próximo reporte o a una consulta directa de estado; si no hay plan, la consulta directa es ahora, antes de renovar el contrato.
Qué hacer con el veredicto: las cuatro salidas
La clasificación tiene que terminar en una decisión, no en un archivo. Las cuatro salidas estándar: aceptar (excepciones de dominio bajo, sin patrón — se documenta y sigue), aceptar con seguimiento (dominio medio o crítico con plan de remediación creíble — se agenda verificación), escalar al proveedor (dominio crítico sin plan claro — pedido formal de estado de remediación y, si aplica, controles compensatorios de tu lado), y rechazar o condicionar la renovación (opinión calificada sobre dominios críticos, o patrón sistemático sin respuesta). Documentar cuál salida se aplicó a cada reporte y por qué es, además, exactamente la evidencia que un auditor tuyo (ISO 27001, clientes enterprise) te va a pedir sobre tu propio proceso de gestión de terceros.
El cuello de botella es el volumen, no el método
El método de tres ejes no es complicado: dominio, extensión, respuesta. Lo que lo hace inviable manualmente es el volumen: extraer cada excepción de reportes de 100+ páginas, clasificarla, cruzarla con la opinión, documentar la decisión, y repetirlo con cada renovación anual de cada proveedor. Es trabajo mecánico sobre documentos no estructurados — el tipo exacto de tarea donde el análisis humano aporta en la decisión final y pierde el tiempo en la extracción. La consecuencia práctica en la mayoría de las organizaciones es conocida: el método existe en la política y no se ejecuta en la realidad.
Del PDF al veredicto en minutos
CompliProof extrae cada excepción del reporte, la clasifica por dominio y extensión, cruza la respuesta de la gerencia y te propone una de las cuatro salidas — con la evidencia documentada para tu propia auditoría.
Conocer CompliProof →