SOC 2 Type II — controlos operacionais auditados
Relatório SOC 2 Type II anual cobre Security, Availability e Confidentiality para clientes em Portugal.
Trust Service Criteria em âmbito
Security (obrigatório) + Availability + Confidentiality. Privacy como âmbito separado a pedido. Cada TSC tem objetivos de controlo definidos — o auditor testa design e effectiveness operacional no período.
Type II vs Type I
Type II testa controlos ao longo de um período (tipicamente 12 meses) — não apenas um ponto no tempo. Isto é o que o procurement enterprise pede. Fazemos Type II com cobertura de 12 meses; bridge letter cobre o gap até ao próximo relatório.
Cadência de relatório e acesso
Novo relatório publicado anualmente, substituído quando superado. Bridge letter a cada trimestre cobre a continuidade até à próxima auditoria. Ambos partilhados sob NDA com prospects e clientes.
Portugal — relevância local
Os buyers enterprise portugueses (bancos, seguradoras, setor público) cada vez mais pedem SOC 2 como parte dos questionários de vendor. Antecipamos o questionário — relatório partilhado com o primeiro NDA. Equipa de vendas em Lisboa formada em vocabulário SOC 2.
FAQ
Type II ou Type I?
Type II — cobre um período. Type I é point-in-time, menos útil para confiança contínua.
Nome do auditor?
Afiliada Big-4 — nome divulgado sob NDA. Independência confirmada anualmente.
Sub-service organizations?
Providers de cloud e data centre são sub-service organizations — geridos por método inclusivo com carve-out dos seus controlos.
Findings / exceções?
O relatório divulga quaisquer exceções encontradas. Respondemos a cada uma com management response no relatório.
Privacy em âmbito?
Privacy TSC disponível a pedido — adiciona cobertura de controlos alinhados com GDPR.