SOC 2: procedimentos prontos para auditoria sem sprint de doc

Quase toda fintech early-stage prepara SOC 2 contratando uma plataforma de conformidade (Vanta, Drata, Secureframe) e gastando seis semanas em políticas. Política é a parte fácil. A plataforma já entrega 90% via template.

O buraco aparece no fieldwork. O auditor pede prova de que um controle específico rodou no período. Não a política. A execução.

Em Revisão de Acesso (CC6.3): "me mostra a última revisão trimestral, a lista de usuários revisados e as ações tomadas". O time fez a revisão. A prova é uma captura jogada num Google Drive que pode ou não bater com o calendário da política.

Em Gestão de Mudanças (CC8.1): "me explica como uma mudança de código é revisada e implantada nesse ambiente". O time tem o processo. A explicação vira um engenheiro sênior no quadro branco por trinta minutos no meio da auditoria.

Em Gestão de Fornecedores (CC9.2): "me mostra como vocês integram um novo subprocessador e a evidência da avaliação". A prova é uma página do Notion com cinco abas, sendo metade descrevendo o fornecedor antigo.

Não são lacunas de política. São lacunas de prova. Custo de tapar na semana da auditoria: cerca de quarenta horas de tempo de liderança sênior por controle. Para um time pequeno preparando SOC 2, é a fatura que pega todo mundo de surpresa.

A reação típica, "reescrever as SOPs", piora a situação. Dezoito SOPs a duas horas cada dão trinta e seis horas de redação para doc que envelhece em dois meses. O SOC 2 Trust Services Criteria da AICPA é direto: a prova é o artefato do trabalho, não a descrição do trabalho.

O padrão que entregou 100% de cobertura na fintech de 38 pessoas roda em uma regra única: o dono do processo grava a SOP, não um time central de doc.

Três motivos pelos quais isso funciona.

1. A gravação captura o processo real. Um redator central entrevistando o dono produz uma descrição. O dono gravando o workflow produz o workflow. A diferença pesa mais do que parece, e o auditor enxerga.

2. A manutenção tem ciclo curto. Quando o processo muda (ferramenta nova, aprovador novo, novo limite), o dono regrava só aquela etapa em dois minutos. Um redator central vira gargalo e quebra a manutenção em um trimestre.

3. A propriedade fica auditável. SOC 2 CC1.4, definido na SOC for Service Organizations da AICPA, exige responsabilidades nomeadas. Uma SOP com dono identificado, que pode ser chamado para demonstrar o processo, satisfaz CC1.4 direto. Página do Notion sem dono, não.

O setup tem quatro etapas.

Etapa 1. Listar os controles do escopo SOC 2. Entre quinze e trinta controles numa auditoria Type 2. Cada controle, um dono e uma SOP.

Etapa 2. Atribuir um dono por controle. O dono é quem executa o processo hoje. Não quem é dono da política. Não quem a escreveu. Quem clica no workflow real. Revisão de Acesso costuma ser o lead de TI, não o CISO. Gestão de Fornecedores costuma ser Operações, não Jurídico.

Etapa 3. Cada dono grava a SOP uma vez. A primeira leva vinte e cinco minutos. A terceira, dez. O dono executa o processo como num dia normal, comenta o raciocínio em voz alta e para quando o processo termina. A saída é um guia com horários, capturas e áudio narrado se o auditor pedir.

Etapa 4. Regravar a etapa que mudou. Mudou uma etapa, regrava aquela etapa. A biblioteca fica viva sem sprint de redação.

A ferramenta usada no caso era uma extensão do Chrome que captura cliques e telas automaticamente. Outras ferramentas funcionam; o modelo de operação pesa mais que a ferramenta. O que nunca funciona são páginas monolíticas no Notion sem dono.

Na semana da auditoria, a biblioteca tem que responder cada pergunta padrão de auditor sem que liderança sênior precise escrever conteúdo novo. A checklist abaixo é o que fecha auditoria duas semanas adiantado.

1. Cada controle tem um dono nomeado nos metadados da SOP. O auditor pergunta "quem roda isso", e a resposta está no artefato, não na cabeça de alguém.
2. Cada SOP foi regravada ou atualizada nos últimos seis meses. Seis meses é a janela de frescor que o auditor espera. Mais que isso e ele empurra de volta.
3. A execução mais recente está com horário e cai no período da auditoria. Revisão de acesso Q1 gravada em Q2, ok. Gravação de janeiro sem atualização Q3, não.
4. A SOP e a prova são o mesmo artefato. O PDF do pacote de evidência é o mesmo guia que o time usa para operar o processo. Sem descompasso entre política e prática.
5. Os metadados de gravação são auditáveis. Contagem de cliques, horários e áudio narrado (quando pedido) são exportáveis. O auditor verifica que a gravação veio do sistema real, não de uma reconstituição.
6. A biblioteca tem uma página índice única. "Comece por aqui" é uma página real com vinte e uma entradas. O auditor pede a lista mestra, o time manda uma URL.

Pelo contrário, a semana de auditoria que não fecha no prazo tem pelo menos quatro desses pontos faltando. Mais comum são os pontos 3 e 4 (frescor e paridade SOP-prova).

O resumo de três linhas que a COO usou para escopar o esforço SOC 2: a propriedade é auditável, a prova de tela é auditável, e regravar uma etapa é mais rápido que reescrever uma página de wiki. Aplicadas a vinte e um controles, essas três linhas fecharam a auditoria duas semanas antes da data prevista. Para os pontos onde SOC 2 e LGPD se cruzam (registro de tratamentos, mapeamento de subprocessadores, base legal de retenção), a ANPD espera o mesmo princípio. As diretrizes de legibilidade da Nielsen Norman Group deixam claro que um guia escaneável fecha auditoria mais rápido que um blocão de texto bem escrito.