SOC 1, SOC 2 e SOC 3: as diferenças e qual relatório pedir

Quando um cliente pede "o seu SOC 2", ele não está perguntando pelo seu centro de operações de segurança. Está pedindo um relatório de auditoria independente, emitido segundo as normas do AICPA, a entidade norte-americana dos contadores públicos certificados. Aqui, SOC significa System and Organization Controls. São três relatórios, com públicos diferentes, e pedir o errado atrasa a contratação sem reduzir risco.

Os três relatórios lado a lado

Relatório	O que avalia	Para quem	Distribuição
SOC 1	Controles do prestador que afetam os relatórios financeiros dos clientes	Clientes e seus auditores contábeis	Restrita
SOC 2	Controles ligados a segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade	Clientes, parceiros e reguladores que precisam de detalhe técnico	Restrita, normalmente sob acordo de confidencialidade
SOC 3	As mesmas categorias do SOC 2, com menos detalhe	Público geral	Livre

SOC 1: quando o serviço afeta o balanço do cliente

O SOC 1 examina controles de um prestador que provavelmente são relevantes para o controle interno sobre relatórios financeiros dos clientes. O caso típico é quem processa folha de pagamento, faturamento ou transações. O relatório atende às empresas contratantes e aos auditores das demonstrações financeiras delas.

Se o serviço não toca em dados que chegam ao balanço, o SOC 1 dificilmente responde à pergunta do cliente. Um relatório financeiro impecável também diz pouco sobre a proteção de dados em uma aplicação SaaS.

SOC 2: o relatório de segurança e confiança

O SOC 2 usa os Trust Services Criteria (Critérios de Serviços de Confiança) e é o pedido mais comum a empresas de tecnologia e SaaS. São cinco categorias:

Segurança: proteção contra acesso não autorizado. É a base obrigatória de todo exame SOC 2.
Disponibilidade: o sistema opera e pode ser usado conforme o compromisso assumido.
Integridade do processamento: o processamento é completo, correto, autorizado e feito no prazo.
Confidencialidade: informação classificada como confidencial permanece protegida.
Privacidade: dados pessoais são coletados, usados, retidos e descartados conforme os compromissos da organização.

Nem todo relatório cobre as cinco categorias. A organização escolhe as que fazem sentido para o serviço. Por isso, "temos SOC 2" não diz muito até você saber quais categorias e qual sistema entraram no escopo.

Tipo I e Tipo II: a diferença que mais pesa

A distinção vale para o SOC 1 e para o SOC 2:

	Tipo I	Tipo II
Pergunta	Os controles foram bem desenhados?	Os controles funcionaram na prática?
Alcance	Uma data específica	Um período
Uso comum	Primeiro relatório, enquanto o período de observação não fecha	Avaliação de fornecedores e renovação anual

Um detalhe costuma ser repetido de forma errada: não há duração mínima obrigatória para o período do Tipo II. Na prática, os relatórios costumam cobrir de três a doze meses, e o período é escolhido pela organização com base no que os clientes precisam. Um relatório de três meses é válido, mas dá menos evidência do que um de doze.

SOC 3: a versão que pode ir para o site

O SOC 3 trata das mesmas categorias do SOC 2, sem o mesmo nível de detalhe. Por ser um relatório de uso geral, pode ser distribuído livremente, inclusive no site da empresa. Ele serve para demonstrar que o exame existe, mas não traz os testes e os resultados de que uma avaliação de fornecedor precisa.

Qual pedir ou produzir

O serviço do fornecedor alimenta seus números financeiros: peça SOC 1 Tipo II.
O fornecedor hospeda ou processa seus dados: peça SOC 2 Tipo II, com as categorias ligadas ao risco do serviço.
O fornecedor ainda não concluiu um período de observação: o SOC 2 Tipo I pode servir por um tempo, com data combinada para receber o Tipo II.
Sua empresa vende para clientes que exigem o relatório: comece por um diagnóstico de prontidão, depois vá para o Tipo I ou direto para o Tipo II.
Você quer mostrar o resultado ao mercado: o SOC 3 complementa o SOC 2, mas não o substitui em uma avaliação de fornecedor.

SOC 2 não é certificado nem substitui a ISO 27001

No SOC 2 não há certificado nem nota de aprovação. Um auditor independente emite uma opinião sobre os controles descritos, e o relatório pode registrar exceções. Já a ISO 27001 certifica um sistema de gestão de segurança da informação. As duas têm controles em comum, mas respondem a perguntas diferentes: a ISO mostra que o sistema de gestão foi auditado; o SOC 2 Tipo II mostra como controles específicos operaram em um período.

O exame é conduzido por contadores públicos certificados (CPAs). Antes de contratar, confirme se a firma está habilitada a emitir esse tipo de relatório.

Como ler o SOC 2 de um fornecedor

Receber o PDF não encerra a avaliação. Confira estes pontos:

Escopo: o sistema descrito é o mesmo que você vai contratar?
Tipo e período: é Tipo II? O período é recente?
Categorias: elas cobrem o risco do serviço? Um serviço crítico sem Disponibilidade merece uma pergunta.
Opinião do auditor: há ressalvas?
Exceções: o que falhou nos testes, qual foi o impacto e o que a gestão fez a respeito?
Controles do cliente: quais controles complementares ficam sob a sua responsabilidade?
Subprestadores: a nuvem e outros terceiros estão incluídos ou excluídos do escopo?
Lacuna de datas: se o período terminou há meses, peça uma carta-ponte (bridge letter), lembrando que ela é uma declaração da gestão, não uma opinião do auditor.

Essa leitura também interessa ao setor regulado. Em serviços de nuvem contratados por instituições financeiras, o acesso a relatórios de auditoria independente faz parte do que a regulação pede.

O que vem em 2027

Em outubro de 2026, o comitê de assurance do AICPA publicou minutas de revisão dos Trust Services Criteria e dos critérios de descrição do SOC 2, com o objetivo declarado de melhorar relevância, clareza e usabilidade. São propostas, e a página oficial não informa a data de vigência. Se o seu exame está sendo planejado agora, pergunte ao auditor qual versão será aplicada.

Onde a Network Secure entra

A Network Secure não emite relatórios SOC 1, SOC 2 ou SOC 3: essa é a função de um auditor independente. Nosso trabalho vem antes e em paralelo. Na frente de GRC, apoiamos a organização de controles, políticas e evidências. A plataforma Eagle, da Futture AI, mapeia controles para frameworks como ISO 27001 e SOC 2, reaproveitando um inventário único. E o SOC 24×7 gera registros de monitoramento e resposta que podem compor as evidências; cabe ao auditor decidir se são suficientes.

Perguntas frequentes

O que é um relatório SOC?

É um relatório de auditoria independente sobre controles de uma organização, emitido segundo as normas do AICPA. Aqui, SOC significa System and Organization Controls, e não Security Operations Center.

Qual é a diferença entre SOC 1 e SOC 2?

O SOC 1 trata de controles que afetam os relatórios financeiros dos clientes. O SOC 2 trata de segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade.

Qual é a diferença entre SOC 2 Tipo I e Tipo II?

O Tipo I avalia o desenho dos controles em uma data específica. O Tipo II avalia também se eles funcionaram ao longo de um período, normalmente de três a doze meses.

SOC 3 substitui o SOC 2?

Não. O SOC 3 cobre as mesmas categorias com menos detalhe e pode ser distribuído livremente. Para avaliar um fornecedor, o SOC 2 traz os testes e os resultados necessários.

SOC 2 é uma certificação?

Não. O resultado é um relatório com a opinião de um auditor independente, que pode registrar exceções. Não há certificado nem nota de aprovação.

Fontes consultadas até 30 de outubro de 2026: páginas do AICPA & CIMA sobre SOC 1, SOC 2 e SOC 3 e as minutas de revisão dos critérios para 2027; artigo publicado pela Cloud Security Alliance sobre o período do Tipo II. Este artigo tem finalidade informativa e não substitui a orientação do auditor responsável pelo exame.