StartupsArtigo
SOC 2 e ISO 27001: o que a startup mostra para vender software a empresa grande
Em resumo
SOC 2 é um relatório de exame dos controles de uma empresa que presta serviços a outras, feito por contadores segundo padrões da AICPA, associação americana da categoria. ISO/IEC 27001 é uma norma internacional de gestão de segurança da informação, com certificado emitido por organismos de certificação, e não pela ISO. Veja a diferença entre os dois e o que perguntar ao cliente que pede um deles.
SOC 2 e ISO/IEC 27001 são os nomes de dois documentos de segurança da informação que uma empresa grande pode pedir à startup antes de contratar um software. O SOC 2 é um relatório de exame feito por contadores, segundo padrões da AICPA, a associação americana desses profissionais. A ISO/IEC 27001 é uma norma internacional, e a startup que a cumpre pode obter um certificado de um organismo de certificação. Um é relatório, o outro é certificado, e cada um é emitido por um tipo de entidade.
O ConnectWeek leu por inteiro, em 13 de outubro de 2026, nove páginas de acesso livre: quatro da AICPA, três do Journal of Accountancy e duas da ISO, a organização internacional de normalização. O Journal of Accountancy é a revista da Association of International Certified Professional Accountants, associação fundada pela AICPA e pelo CIMA (The Chartered Institute of Management Accountants). De outras duas páginas da AICPA, as dos critérios do SOC 2, leu só o resumo aberto. O guia de SOC 2 da AICPA e o texto da norma ISO/IEC 27001 são vendidos e não foram lidos: este artigo não cita controle, cláusula nem requisito de nenhum dos dois. As explicações de termos entre parênteses ou logo depois do termo são do ConnectWeek. O texto também não recomenda firma de auditoria, organismo de certificação nem ferramenta.
O que é o relatório SOC 2 e quem define as regras dele
SOC é a sigla de System and Organization Controls, controles de sistema e de organização. A página da AICPA sobre o conjunto de serviços SOC o apresenta como um grupo de serviços que os CPAs podem prestar sobre os controles de sistema de uma prestadora de serviços ou os controles de entidade de outras organizações. CPA é como a AICPA chama o contador licenciado; a explicação é do ConnectWeek. A página não diz por extenso o que significa CPA. Ela fala em auditores e firmas sem licença e em conselhos estaduais de contabilidade, e o rodapé cita o American Institute of CPAs como um dos dois fundadores da associação que mantém o site. A mesma página diz que a AICPA edita os padrões profissionais desses trabalhos.
O SOC 2 é um dos relatórios do conjunto. A página do guia de SOC 2 descreve o exame como a avaliação dos controles de uma prestadora de serviços ligados a cinco temas: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Ela explica também de onde vem o pedido: quem terceiriza uma função passa a correr riscos que dependem do sistema do fornecedor, precisa de informação sobre os controles dele e, por isso, costuma pedir o relatório SOC 2.
Uma reportagem do Journal of Accountancy de fevereiro de 2026, sobre a credibilidade dos relatórios SOC, resume a origem do serviço. Os relatórios SOC foram criados em 2011 e são exames feitos por CPAs de acordo com as normas de atestação da AICPA (Statements on Standards for Attestation Engagements). Eles avaliam os controles que prestadoras como provedores de nuvem e processadoras de folha de pagamento mantêm sobre os dados dos clientes. O texto cita os mesmos cinco temas.
Dois documentos servem de referência nesse exame, e a AICPA mantém uma página para cada um. Os critérios de serviços de confiança (Trust Services Criteria), de 2017, em documento revisado em 2022, são usados para avaliar os controles. Os critérios de descrição, de 2018, orientam o texto em que a prestadora descreve o próprio sistema. As duas páginas oferecem o arquivo para quem cria uma conta gratuita no site.
Tipo 1 e tipo 2: uma data ou um período
O relatório SOC 2 existe em duas versões. A explicação aberta mais direta que o ConnectWeek encontrou está em um texto do Journal of Accountancy de junho de 2016, que a revista mantém no arquivo com o aviso de que o conteúdo pode estar desatualizado. O texto define os dois tipos ao tratar do SOC 1, relatório sobre os controles da prestadora relevantes para o controle interno do cliente sobre os relatórios financeiros. Segundo ele, o tipo 1 se concentra na descrição do sistema e na adequação do desenho dos controles em uma data especificada. O tipo 2 traz as mesmas opiniões do auditor e acrescenta uma sobre a efetividade operacional dos controles ao longo de um período especificado, com a descrição dos testes feitos pelo auditor e dos resultados. Sobre o SOC 2, o texto afirma que ele é semelhante ao SOC 1 por também ter os tipos 1 e 2.
Uma fonte mais recente confirma a parte da data. No resumo de um painel da conferência de SOC da AICPA de 2023, publicado em dezembro daquele ano, a contadora Neha Patel, da firma Weaver and Tidwell, afirma que, no tipo 1, o auditor avalia os controles em uma data específica.
Na prática, e esta leitura é do ConnectWeek, o tipo 1 mostra como os controles estavam desenhados em um dia, e o tipo 2 mostra se eles funcionaram durante um intervalo. As páginas lidas não dizem qual dos dois o cliente deve exigir nem que duração o período do tipo 2 precisa ter. Para o ConnectWeek, quem responde é o cliente, no contrato ou no questionário de segurança que ele envia.
SOC 2 é relatório de exame, e o uso dele é restrito
As páginas da AICPA e os textos do Journal of Accountancy tratam o SOC 2 como exame e como relatório. Nenhum deles chama o resultado de certificado ou de certificação. A reportagem de fevereiro de 2026 registra que fornecedores de ferramentas de SOC chegam a prometer "compliance" (conformidade) em semanas, ou até em horas, e observa que esse termo nunca é usado em exames SOC 2.
O mesmo texto informa que o uso do relatório SOC 2 é restrito a partes especificadas, que conheçam o sistema da prestadora e os serviços dela. Para divulgação ampla existe outro relatório. A página da AICPA sobre o SOC 3 diz que ele trata dos mesmos temas do SOC 2, com menos detalhe, e que por isso é de uso geral e pode ser distribuído livremente.
Quem emite é uma firma de CPAs. A reportagem afirma que a maioria dos novos fornecedores de ferramentas de SOC não é firma de CPAs e, por isso, não pode atestar que os controles são efetivos e adequados; parte deles encaminha o cliente a firmas de contabilidade que fazem o exame. As páginas lidas não explicam como uma empresa brasileira contrata esse trabalho. A pergunta deve ser feita à firma que vai assinar o relatório.
ISO/IEC 27001: uma norma de gestão que admite certificação
A página da ISO sobre a ISO/IEC 27001 a apresenta como a norma mais conhecida do mundo para sistemas de gestão de segurança da informação, publicada em conjunto pela ISO e pela Comissão Eletrotécnica Internacional (IEC). A edição em vigor é a terceira, ISO/IEC 27001:2022, de outubro de 2022, com 19 páginas e uma emenda de 2024. Em 13 de outubro de 2026, a página exibia o preço de 155 francos suíços para o texto, sem contar o frete.
Segundo a página, a norma define os requisitos que um sistema de gestão de segurança da informação deve cumprir e serve a empresas de qualquer porte e de todos os setores. Estar em conformidade com ela significa, nas palavras da página, ter implantado um sistema para gerir os riscos ligados à segurança dos dados que a empresa possui ou trata.
A certificação é opcional. A página diz que a empresa que implanta a norma decide se quer passar pelo processo de certificação: algumas adotam a norma só pelas práticas, outras buscam o certificado para dar segurança a clientes. Ela cita o levantamento ISO Survey 2022, com mais de 70 mil certificados informados em 150 países, e o ISO Survey 2021, em que a tecnologia da informação era o setor com mais empresas certificadas, quase um quinto dos certificados válidos.
A página de certificação da ISO afirma que a organização não faz certificação nem emite certificados, e que uma empresa não pode ser "certificada pela ISO". O trabalho é de organismos de certificação externos. A página define certificação como a garantia escrita, dada por um organismo independente, de que um produto, serviço ou sistema atende a requisitos específicos. Acreditação é o reconhecimento formal, por outro organismo independente, de que o organismo de certificação opera segundo normas internacionais.
A mesma página orienta a escolha do organismo de certificação: avaliar mais de um e verificar se é acreditado. Ela ressalva que a acreditação não é obrigatória e que a falta dela não significa, por si só, que o organismo não seja idôneo. Para achar um organismo acreditado, indica o organismo nacional de acreditação do país e a base de dados IAF CertSearch, do International Accreditation Forum (fórum internacional de acreditação), que também serve para conferir se um certificado é válido. A mesma página informa que a Global Accreditation Cooperation Incorporated (Global ACI) assumiu as funções que eram do International Accreditation Forum. Já a página da norma pede que a empresa, ao divulgar a certificação, use a referência completa, como "certificada conforme a ISO/IEC 27001:2022".
O que perguntar ao cliente e a quem vai fazer o exame
Nenhuma das páginas lidas informa quanto custa um exame SOC 2 ou uma certificação ISO/IEC 27001, nem quanto tempo cada um leva. Os valores que aparecem nelas são de outra coisa: o preço de guias da AICPA, de cursos, do texto da norma e de um manual da ISO. Preço e prazo, na avaliação do ConnectWeek, só aparecem na proposta de cada firma ou organismo.
Sobre prazo, há um alerta. A reportagem de fevereiro de 2026 ouviu contadores do grupo de trabalho de SOC 2 da AICPA, que criticam ofertas de relatório rápido, barato e fácil. Um deles, Jeff Cook, diz que um relatório SOC 2 recusado pelo parceiro de negócios não vale o papel em que está impresso. A página do conjunto SOC traz um aviso na mesma linha: os serviços SOC devem ser avaliados a fundo pelas prestadoras e pelas firmas de CPAs.
A reportagem lista o que a empresa que vai contratar o exame deve fazer antes de fechar com uma firma. Dois exemplos: verificar a firma de CPAs que fará o trabalho, inclusive porte, capacidade e referências de clientes, e perguntar sobre o escopo do exame, os procedimentos de amostragem e a forma como a firma mantém a independência. A lista completa está no texto original.
Na avaliação do ConnectWeek, a startup que recebe o pedido de um cliente grande ganha tempo se fizer três perguntas antes de pedir propostas:
- Qual documento o cliente aceita: relatório SOC 2, certificado ISO/IEC 27001, qualquer um dos dois ou as respostas a um questionário próprio.
- No caso do SOC 2, se o cliente quer o tipo 1 ou o tipo 2, quais dos cinco temas devem estar no exame e que período o relatório precisa cobrir.
- No caso da ISO/IEC 27001, se o cliente exige certificado emitido por organismo acreditado.
O lado de quem compra tem texto próprio no ConnectWeek: os sinais a verificar em um fornecedor de tecnologia estão em como avaliar um fornecedor de inteligência artificial antes de contratar, e as cláusulas sobre dados, em contrato com fornecedor de IA. As páginas da AICPA e da ISO lidas não tratam da Lei Geral de Proteção de Dados (LGPD). O que a lei brasileira pede quando há vazamento, como a comunicação do incidente, está resumido no checklist de segurança da loja virtual.
Fonte: AICPA
Perguntas frequentes
O que é um relatório SOC 2?
É o resultado de um exame dos controles de uma empresa prestadora de serviços, feito por CPAs (contadores licenciados, na explicação do ConnectWeek), segundo padrões da AICPA, associação americana desses profissionais. O exame trata de até cinco temas: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Clientes e parceiros pedem o documento para avaliar o risco de depender do sistema do fornecedor.
Qual a diferença entre SOC 2 tipo 1 e tipo 2?
O tipo 1 olha a descrição do sistema e o desenho dos controles em uma data. O tipo 2 repete as opiniões do auditor e inclui outra, sobre a efetividade operacional dos controles durante um período, com os testes do auditor e os resultados. A definição é de um texto de 2016 do Journal of Accountancy, mantido em arquivo com aviso de que pode estar desatualizado; ele define os tipos ao tratar do SOC 1, outro relatório do conjunto, e diz que o SOC 2 é semelhante por também ter tipo 1 e tipo 2. Em um painel da AICPA de 2023, uma das participantes afirma que o tipo 1 avalia os controles em uma data específica.
SOC 2 é certificação?
As páginas da AICPA e os textos do Journal of Accountancy lidos em 13 de outubro de 2026 falam em exame e em relatório, sem chamar o resultado de certificado. Uma reportagem de fevereiro de 2026 da revista observa que a palavra compliance (conformidade) nunca é usada em exames SOC 2. Certificado, com esse nome, é o que organismos de certificação emitem para a norma ISO/IEC 27001.
Quem pode emitir um relatório SOC 2?
Uma firma de CPAs. CPA, na explicação do ConnectWeek, é o contador licenciado. A AICPA, associação americana de contadores, edita os padrões profissionais desse trabalho. Segundo o Journal of Accountancy, fornecedores de ferramentas de SOC que não são firmas de CPAs não podem atestar os controles e, em parte dos casos, indicam ao cliente uma firma de contabilidade. As páginas lidas não explicam como uma empresa brasileira contrata o exame.
A ISO emite o certificado da ISO/IEC 27001?
Não. A página de certificação da ISO afirma que a organização não certifica nem emite certificados; isso cabe a organismos de certificação externos. A ISO orienta a comparar mais de um e a checar se são acreditados, isto é, reconhecidos formalmente por outro organismo independente, com a ressalva de que a acreditação não é obrigatória. A certificação também é opcional: a empresa pode implantar a norma sem buscar o certificado.