Seu time comercial fechou o discovery com uma empresa em Boston. A conversa foi bem. Aí chega o e-mail do time de segurança do cliente com um questionário de 180 perguntas e uma linha no final: “please attach your most recent SOC 2 Type II report”.
A partir daí você tem duas opções. Responder que está “em processo” e ver o negócio esfriar por seis meses, ou saber exatamente o que precisa fazer, quanto custa, quanto tempo leva e onde a operação brasileira vai travar.
Este guia é a segunda opção. Ele cobre o processo inteiro, do escopo ao relatório assinado, com os números reais de 2026 e os pontos específicos em que a CLT, a LGPD e o câmbio complicam um processo desenhado nos Estados Unidos para empresas americanas.
O que é o SOC 2, e o que ele não é
SOC 2 significa System and Organization Controls 2. É um padrão de relatório criado pelo AICPA, o instituto americano de contadores públicos certificados, executado sob as normas de asseguração SSAE 18 (seções AT-C 105 e AT-C 205).
Três correções antes de continuar, porque quase toda empresa brasileira erra pelo menos uma delas:
Não é uma certificação. É um atestado. Ninguém emite um “certificado SOC 2”, ninguém coloca um selo no rodapé do site com validade de três anos. O que existe é um relatório, geralmente com 60 a 100 páginas, em que uma firma de auditoria descreve seu sistema, lista seus controles, descreve os testes que executou e emite uma opinião. Você entrega esse relatório sob NDA para o cliente que pediu.
Não pode ser emitido por qualquer auditor. Somente uma firma de CPA licenciada nos Estados Unidos e submetida ao programa de peer review do AICPA pode assinar um relatório SOC 2. Uma consultoria brasileira não pode. Um organismo certificador de ISO 27001 não pode. Uma empresa de compliance não pode. Elas podem preparar você, e várias fazem isso muito bem, mas a assinatura no relatório vem de uma firma americana. Se alguém oferece “emitir seu SOC 2” sem licença de CPA, o documento não vai passar pelo time de vendor risk do seu cliente.
Não existe checklist oficial de controles. Diferente da ISO 27001, que tem o Anexo A com controles nomeados, o SOC 2 define critérios e deixa você escolher como atendê-los. Isso é uma vantagem, porque dá espaço para justificar controles compensatórios, e é exatamente o que salva a operação brasileira em vários pontos que veremos adiante.
Tipo I e Tipo II: qual deles pedir
O Tipo I avalia o desenho dos controles em uma data específica. O auditor olha para o dia 30 de setembro e diz se os controles estão desenhados de forma adequada. Sai rápido, custa menos, e serve como sinal de que você está levando o assunto a sério.
O Tipo II avalia a eficácia operacional ao longo de um período, chamado janela de observação. O auditor pega amostras de eventos que ocorreram dentro daquele período e verifica se o controle funcionou todas as vezes. A janela costuma ser de 3 a 12 meses. Para o primeiro relatório, 3 meses é o padrão de mercado.
O cliente americano quer o Tipo II. Sempre. O Tipo I serve para ganhar tempo em uma negociação específica, com uma frase do tipo “temos Tipo I emitido e a janela do Tipo II fecha em março”. Se você tem 6 meses ou mais de pista, pule o Tipo I e vá direto ao Tipo II, porque o dinheiro do Tipo I não abate nada do Tipo II.
Um detalhe que quase ninguém antecipa: o relatório cobre um período que já terminou. Se sua janela fechou em 31 de dezembro e o cliente pede o relatório em maio, existe um vão de cinco meses sem cobertura. Isso se resolve com uma bridge letter, uma carta em que a própria empresa declara que nada relevante mudou desde o fim do período. É documento seu, não do auditor, e vale a pena ter o modelo pronto.
Os cinco critérios e como não estourar o escopo
Os Trust Services Criteria (versão 2017, com pontos de foco revisados em 2022) são cinco:
| Critério | Obrigatório | O que cobre |
|---|---|---|
| Security (Common Criteria, CC1 a CC9) | Sim | Governança, gestão de risco, controle de acesso, operações, gestão de mudanças |
| Availability | Não | Capacidade, monitoramento, recuperação de desastre |
| Processing Integrity | Não | Processamento completo, válido, preciso e autorizado |
| Confidentiality | Não | Proteção e descarte de informação designada como confidencial |
| Privacy | Não | Coleta, uso, retenção e descarte de dados pessoais |
Security é o único obrigatório e responde por cerca de 80% do trabalho. Os nove Common Criteria são organizados sobre o framework COSO, o que explica por que CC1 fala de estrutura organizacional e código de conduta antes de qualquer coisa técnica.
A recomendação prática: faça o primeiro relatório só com Security. Adicione Availability se o seu contrato tem SLA de uptime. Adicione Confidentiality se você processa dados classificados como confidenciais por contrato. Deixe Privacy para o segundo ciclo.
Por que deixar Privacy de fora? Porque o critério Privacy do AICPA foi construído sobre o modelo americano de notice and choice, que não é o modelo da LGPD. Atender Privacy não te deixa em conformidade com a LGPD, e estar em conformidade com a LGPD não te faz passar em Privacy. São dois trabalhos, e o cliente americano quase nunca pede Privacy no primeiro round.
A linha do tempo real
Do zero ao relatório Tipo II na mão, com uma janela de 3 meses, o caminho é este:
| Fase | Duração típica | O que acontece |
|---|---|---|
| Definição de escopo e gap assessment | 3 a 6 semanas | Levantamento de sistemas, escolha dos critérios, lista de lacunas |
| Remediação | 2 a 4 meses | Escrever políticas, implementar MFA e SSO, ligar logging, criar processo de revisão de acesso, contratar pentest |
| Seleção e contratação do auditor | 3 a 6 semanas | Cotações, escopo, contrato em dólar, câmbio |
| Janela de observação | 3 meses (mínimo) | Operar os controles e gerar evidência real, com data e hora |
| Fieldwork | 3 a 6 semanas | Walkthroughs, amostragem, solicitações do auditor |
| Emissão do relatório | 2 a 4 semanas | Redação, revisão interna do auditor, emissão |
Total realista para uma empresa que está começando do zero: 8 a 12 meses. Para uma empresa que já tem ISO 27001 ativa: 4 a 6 meses, porque boa parte da evidência já existe.
O erro clássico é fechar contrato com o auditor e começar a janela de observação antes de os controles estarem operando. A janela não testa se o controle existe, testa se ele funcionou todas as vezes. Se você fez revisão de acesso em dois dos três meses, isso vira exceção no relatório.
Quanto custa, em dólar e em real
Números de mercado para 2026, para uma empresa de 10 a 50 pessoas com escopo de Security apenas:
| Item | Faixa (USD) | Observação |
|---|---|---|
| Auditoria Tipo II, firma especialista | 15.000 a 60.000 | A-LIGN, Schellman, KirkpatrickPrice e similares |
| Auditoria Tipo II, Big Four | 60.000 a 150.000+ | Só faz sentido se o cliente exigir nominalmente |
| Auditoria Tipo I (se fizer) | 30% a 50% menos que o Tipo II | Não abate nada do Tipo II |
| Pentest externo | 8.000 a 30.000 | Linha separada, o escopo define o preço |
| Plataforma de automação de compliance | Anual, varia muito | Ver seção sobre ferramentas |
| Readiness / consultoria | 5.000 a 25.000 | Opcional se você tem alguém interno com experiência |
Custo total de primeiro ano, somando tudo, incluindo horas internas: USD 25.000 a 80.000. Quem promete pacote completo por USD 5.000 está omitindo a taxa da firma de CPA ou o trabalho de engenharia.
Três coisas específicas do lado brasileiro que ninguém coloca na planilha:
O contrato com a firma de CPA é em dólar, com pagamento internacional. Some IOF sobre a operação de câmbio, spread do banco e o tempo de fechar contrato de câmbio. Se você está fazendo o orçamento em real, use uma cotação conservadora e reserve uma folga.
Auditoria não gera crédito tributário e entra como despesa em serviço importado. Vale checar com o contador o tratamento de ISS na importação de serviço e retenções aplicáveis antes de assinar.
Horas internas são o maior custo escondido. Um engenheiro sênior parado durante o fieldwork custa mais que o pentest. Nomeie uma pessoa como ponto único de contato com o auditor e proteja o resto do time.
As evidências que o auditor vai realmente pedir
O auditor de Tipo II não olha a política. Ele pede a população de eventos do período e sorteia uma amostra. Se você tem 40 contratações no trimestre, ele pede a lista completa das 40 e testa 15. Se a lista estiver errada, o teste inteiro cai.
Prepare estas populações desde o primeiro dia da janela:
- Admissões e desligamentos, com data e evidência de revogação de acesso
- Solicitações de acesso concedidas, com aprovação nominal do gestor
- Revisões periódicas de acesso, com data de execução e evidência de remoção do que sobrou
- Mudanças em produção, com aprovação e vínculo ao ticket
- Alertas e incidentes de segurança, com registro de tratamento e fechamento
- Resultados de varredura de vulnerabilidade e prazos de correção por severidade
- Treinamento de segurança, com lista de conclusão por pessoa
- Avaliações de fornecedores críticos, incluindo os relatórios SOC 2 dos seus próprios subprocessadores
- Testes de backup e de plano de continuidade, com relatório de resultado
- Reuniões de comitê ou de gestão de risco, com ata
Evidência precisa ter carimbo de tempo dentro da janela. Print de tela feito no dia da solicitação do auditor, com data posterior ao fim do período, não conta. Essa é a razão prática pela qual coleta automatizada compensa: não é sobre economizar trabalho, é sobre a evidência existir no momento certo.
Onde a operação brasileira trava
Esta é a parte que os guias americanos não cobrem, e é onde a maioria dos projetos brasileiros perde tempo.
Verificação de antecedentes
Praticamente todo template de SOC 2 traz um controle de background check na contratação. No Brasil, isso não é livre. O TST, em julgamento de recurso repetitivo (IRR-243000-58.2013.5.13.0023, Tema 1, 2017), fixou que exigir certidão de antecedentes criminais de candidato só é legítimo quando há previsão legal ou justificativa pela natureza do ofício ou pelo grau especial de fidúcia. Fora dessas hipóteses, a exigência configura dano moral presumido, independentemente de o candidato ter sido contratado.
A tese lista exemplos de cargos em que a exigência é legítima, e um deles é diretamente aplicável a SaaS: trabalhadores que atuam com informações sigilosas.
Como resolver na prática: não aplique background check universal. Defina por cargo, documente o critério, aplique a verificação apenas aos papéis com acesso a dados de clientes ou a ambiente de produção, e escreva a justificativa jurídica na própria política. Para os demais cargos, use controles compensatórios: validação de identidade e documentos, checagem de referências profissionais, período de experiência com acesso restrito. O auditor aceita, desde que o desenho esteja documentado e seja executado de forma consistente. O que ele não aceita é uma política que promete background check para todos e uma população que mostra o contrário.
Desligamento sob CLT
O template americano assume revogação de acesso no mesmo dia da saída. Aviso prévio trabalhado, afastamento pelo INSS e férias longas não existem naquele modelo.
Escreva a política com os cenários brasileiros nomeados: acesso durante aviso prévio trabalhado (reduzido ao mínimo, com registro da decisão), revogação imediata em desligamento sem aviso trabalhado, suspensão de acesso em afastamento superior a 30 dias, tratamento de PJ e de terceiros. Cada cenário precisa de um prazo declarado, e a população de desligamentos precisa bater com o prazo declarado.
Documentação em duas línguas
O auditor lê em inglês. Seu time opera em português. Política que ninguém lê não é executada, e controle não executado vira exceção.
O caminho que funciona: política em português como versão oficial, versão em inglês marcada como tradução de referência, mesmo número de versão e mesma data de aprovação nas duas. Evidência (tickets, logs, atas) pode ficar em português, desde que você forneça um glossário e traduza os itens amostrados. Não traduza tudo. Traduza o que o auditor sortear.
Calendário
Uma janela de observação de dezembro a fevereiro atravessa recesso, festas e carnaval. Revisão trimestral de acesso agendada para a semana do carnaval não acontece, e isso aparece na amostra. Escolha a janela olhando o calendário brasileiro, não o americano. Abril a junho ou agosto a outubro costumam ser as melhores janelas.
Transferência internacional de dados
Aqui a regra mudou recentemente e vale atenção.
A Resolução CD/ANPD nº 19/2024 aprovou o Regulamento de Transferência Internacional de Dados e as Cláusulas-Padrão Contratuais. O prazo de adequação dos contratos existentes terminou em 23 de agosto de 2025.
Em janeiro de 2026, a Resolução CD/ANPD nº 32/2026 reconheceu a União Europeia e o Espaço Econômico Europeu como nível adequado de proteção, dispensando cláusulas adicionais para transferências àqueles 30 países.
Os Estados Unidos não estão cobertos por decisão de adequação. Isso significa que a transferência de dados pessoais para seu cliente americano, para a subsidiária, para o CRM ou para qualquer subprocessador nos EUA continua exigindo mecanismo próprio, tipicamente as cláusulas-padrão da ANPD incorporadas ao contrato sem modificação.
Efeito prático no seu projeto SOC 2: o inventário de subprocessadores que você monta para o critério de gestão de fornecedores é o mesmo insumo do seu mapeamento de transferência internacional sob a LGPD. Monte uma vez, use nos dois. E revise os contratos com os fornecedores americanos antes que o cliente pergunte.
SOC 2 e LGPD não são a mesma coisa
Existe sobreposição real, e existe vão real. Vale saber onde cada um está.
| Tema | SOC 2 | LGPD |
|---|---|---|
| Base para tratar dados | Não exige base legal | Exige base legal do art. 7 ou 11 |
| Encarregado / DPO | Não exige | Exige indicação e divulgação |
| Direitos do titular | Coberto de forma parcial no critério Privacy | Prazos e procedimentos definidos em lei |
| Notificação de incidente | Definida em contrato com o cliente | Comunicação à ANPD e ao titular em prazo razoável |
| Controle de acesso, criptografia, logging | Núcleo do critério Security | Art. 46, medidas de segurança |
| Gestão de fornecedores | Exigido | Exigido, com responsabilidade solidária |
| Transferência internacional | Tratada como risco de terceiro | Regime próprio nos arts. 33 a 36 e na Resolução 19/2024 |
A leitura correta: os controles técnicos servem aos dois. A camada jurídica é distinta e precisa ser construída em separado. Quem trata SOC 2 e LGPD como projetos independentes faz o trabalho técnico duas vezes. Quem trata como se fossem a mesma coisa descobre o buraco no primeiro pedido de titular ou no primeiro incidente reportável.
SOC 2 ou ISO 27001?
Depende de quem compra.
Cliente americano, especialmente SaaS B2B e fintech, pede SOC 2. Cliente europeu, empresa global com política corporativa, licitação pública brasileira e boa parte do mercado latino-americano pedem ISO 27001. Cliente de saúde nos EUA soma HIPAA. Quem processa cartão soma PCI DSS.
A boa notícia é que a sobreposição de controles entre SOC 2 Security e o Anexo A da ISO 27001:2022 é alta. Se você fizer ISO 27001 primeiro, o esforço adicional do SOC 2 fica concentrado na coleta de evidência e no formato de reporte, não em construir controles novos. O contrário também vale, com um pouco mais de trabalho, porque a ISO exige o SGSI formal, análise de risco documentada, objetivos, indicadores e auditoria interna.
Se você tem clientes nos dois mercados, planeje os dois no mesmo projeto e reaproveite o inventário de controles. Fazer em sequência, sem planejar, custa quase o dobro.
Cinco erros que custam caro
- Começar a janela de observação antes de o controle estar rodando. O relatório vai registrar a exceção e o cliente vai perguntar sobre ela.
- Colocar todos os cinco critérios no primeiro relatório. Multiplica o escopo, o preço e o risco de exceção sem que o cliente tenha pedido.
- Escrever política que descreve a empresa ideal em vez da empresa real. O auditor não compara sua política com a de outra empresa, compara sua política com a sua operação. Política mais rígida que a prática gera exceção. Política honesta e cumprida, não.
- Escolher o auditor pelo preço mais baixo sem checar a licença de CPA e o peer review. Relatório emitido por quem não pode emitir é rejeitado na análise de fornecedor do cliente, e você pagou duas vezes.
- Tratar o relatório como ponto de chegada. Ele cobre um período que terminou. O cliente vai pedir o próximo no ano seguinte, e a janela seguinte começa logo depois que a anterior fecha. SOC 2 é um ciclo anual, não um projeto.
Sobre as plataformas de compliance
Vanta, Drata, Secureframe e Sprinto resolvem bem o problema para o qual foram construídas: coletar evidência automaticamente de infraestrutura em nuvem, monitorar controles e organizar o pacote para o auditor. Isso funciona, e negar seria desonesto.
O que elas não fazem é a camada brasileira. O template de background check vem no modelo americano. O fluxo de desligamento assume at-will employment. O mapeamento de transferência internacional não conhece a Resolução 19/2024. Cobrança em dólar e suporte em inglês com fuso de São Francisco também pesam para um time pequeno.
A Imara Trust foi construída para o outro lado dessa equação: controles canônicos que atendem SOC 2, ISO 27001 e LGPD ao mesmo tempo, com os pontos de fricção brasileiros já modelados (a lógica de background check por cargo, os cenários de desligamento CLT, o inventário de transferência internacional alinhado à ANPD), preço em real e suporte em português.
O que a Imara Trust não faz, e nenhuma plataforma faz: emitir o relatório. Isso continua sendo trabalho da firma de CPA, e você vai contratá-la separadamente. Desconfie de quem diz o contrário.