O comprador exige SOC 2. Não dispõe do relatório.

As condições que sustentam a resposta

Declare com precisão a falta do comprovativo SOC 2, distinga um plano de auditoria de um relatório emitido e determine se o comprador admite uma alternativa antes de assumir um compromisso.

• Identifique o que falta, não apenas a sigla

  Leia o requisito quanto ao tipo de relatório, entidade identificada, serviço, categorias de garantia, período de reporte e antiguidade admissível. Um relatório existente pode não responder ao pedido por excluir o serviço proposto ou abranger outro período. A lista de revisão da AICPA orienta a análise da cobertura do sistema, período, opinião, exceções e exclusões de organizações de subserviços. Trate estes aspetos como verificações distintas, não como uma resposta Sim/Não baseada num logótipo.

• Não transforme uma fase do projeto em garantia

  Uma carta de contratação comprova a contratação dos trabalhos, não o resultado de um exame emitido. Uma avaliação de preparação descreve a preparação. Nenhum destes documentos comprova a eficácia operacional no período solicitado pelo comprador. Se a auditoria estiver em curso, identifique a fase efetiva e o responsável; não prometa uma opinião favorável nem uma data de entrega com que o auditor não se tenha comprometido. Mantenha documentação futura especulativa fora da coluna de conformidade atual.

• Separe a falta de documentação dos controlos subjacentes

  A falta de garantia independente não revela, por si só, quais os controlos ausentes. Explique apenas controlos que pode comprovar. Da mesma forma, possuir controlos ou um certificado ISO não estabelece a existência da documentação SOC 2 solicitada. O relatório do fornecedor de alojamento pode apoiar a análise desse fornecedor; anexá-lo não o transforma no relatório da sua organização prestadora do serviço. O comprador determina o que pode aceitar no seu procedimento.

Os comprovativos a reunir

• O requisito do comprador e o percurso de exceção

  Conserve a cláusula exata, a versão do documento, a classificação como obrigatório ou pontuável, o prazo para perguntas e o canal aprovado de submissão. Obtenha os esclarecimentos publicados ou a decisão escrita autorizada que permita documentação alternativa. Uma garantia informal de um contacto do comprador não deve sobrepor-se silenciosamente às instruções publicadas; o responsável pela proposta deve estabelecer quem tem autoridade e como a decisão é incorporada.

• Um inventário que o responsável de segurança possa validar

  Liste relatórios emitidos, âmbito, entidade, período, restrições de partilha e responsável. Para cada alternativa, indique que questão de controlo pode ajudar a responder e o que não demonstra. Exclua conteúdos confidenciais dos relatórios do material público; acorde com o comprador um meio seguro de partilha. Peça um conjunto de documentação controlado para análise, não todas as políticas internas que a equipa possui.

• Uma declaração delimitada e aprovada do estado da auditoria

  Quando relevante, obtenha o âmbito aplicável do trabalho contratado, os trabalhos concluídos confirmados e uma declaração de estado aprovada pelo responsável de segurança. Mantenha as estimativas expressamente condicionais. Se existir um relatório cujo período deixe uma lacuna, procure documentação atual relevante e analise as instruções do comprador; não use uma atualização da administração para sugerir que foi examinado um novo período.

A decisão a aprovar

Responsáveis pela aprovação

O responsável de segurança ou de garantia valida os comprovativos; o responsável pela proposta controla a elegibilidade e os esclarecimentos; o responsável comercial e o jurídico aprovam os compromissos propostos.

Prosseguir

Avance apenas quando a documentação solicitada satisfizer efetivamente o requisito ou o procedimento autorizado do comprador admitir expressamente a alternativa ou exceção declarada. Transponha para a resposta o âmbito e as condições exatos.

Não prosseguir

Se o relatório for uma condição obrigatória de submissão que permanece inalterada e não estiver disponível, registe o requisito como não cumprido. Uma redação melhor não torna a proposta elegível; não a marque como conforme para manter a oportunidade em curso.

Solicitar uma decisão

Encaminhe para decisão as dúvidas sobre antiguidade admissível do relatório, cobertura do serviço, restrições de divulgação ou autoridade para aceitar exceções antes da submissão. Um pedido de esclarecimento sem resposta não equivale a aprovação.

Preservar a decisão nos ficheiros a apresentar

Antes de autorizar a entrega, compare a célula de conformidade, o texto sobre segurança, o mapa de exceções e os anexos de documentação. Devem descrever o mesmo estado do relatório e a mesma decisão do comprador. O posicionamento de REQVERA no controlo final diz respeito à coerência entre requisitos, comprovativos aprovados, respostas e ficheiros finais; este exemplo editorial não certifica controlos nem decide a elegibilidade num procedimento.

Âmbito e fontes de referência

Orientação ilustrativa para respostas de fornecedores, não uma afirmação sobre o estado de garantia de REQVERA. As referências de reporte SOC são fontes AICPA; a aceitação do comprador e o procedimento de contratação dependem do concurso concreto. Não é uma opinião de auditoria nem aconselhamento jurídico. Substitua todos os campos entre parênteses retos por informação verificada ou elimine a frase condicional.

• AICPA & CIMA — System and Organization Controls

  Autoridade primária sobre serviços de garantia SOC e alertas atuais relativos à credibilidade de trabalhos executados de forma inadequada; revista em 11 de outubro de 2026.

• AICPA — Illustrative SOC 2 Report Review checklist

  Ferramenta ilustrativa de revisão que abrange tipo e período do relatório, âmbito relevante do sistema, opinião, exceções aos controlos e exclusões de organizações de subserviços. Não é uma regra de aceitação do comprador.