¿Cambiaron los Criterios de SOC 2 en 2022? Lo que Realmente Modificó AICPA
Última actualización: 24 de julio de 2026. Contenido verificado directamente contra el documento oficial AICPA TSP Section 100.
Resumen ejecutivo
En septiembre de 2022, AICPA publicó una versión revisada del Trust Services Criteria (TSC) 2017, la norma base que sustenta todo reporte SOC 2. Esa revisión generó una pregunta recurrente entre compradores y proveedores de SOC 2: ¿cambiaron los criterios en sí? La respuesta, verificada directamente en el documento fuente (AICPA, TSP Section 100, página 3), es no. Lo que se modificó fueron los points of focus —la guía de aplicación de cada criterio— y, en un documento complementario, la guía de implementación de los SOC 2 Description Criteria. Los cinco criterios (Security, Availability, Processing Integrity, Confidentiality y Privacy) permanecen exactamente igual a como se establecieron en 2017.
Introducción
Si tu organización está evaluando contratar o renovar un reporte SOC 2, es probable que hayas encontrado referencias a «los cambios de SOC 2 en 2022» en distintos blogs de proveedores de compliance. La mayoría de ese contenido generaliza o simplifica lo que ocurrió, y en algunos casos sugiere —incorrectamente— que los criterios de evaluación cambiaron. Este artículo se basa exclusivamente en el documento oficial emitido por AICPA para responder con precisión qué se modificó, por qué, y qué implicaciones tiene para el diseño de tus controles y la descripción de tu sistema en un reporte SOC 2.
Contexto: de dónde viene la confusión
El Trust Services Criteria vigente hoy se llama formalmente 2017 Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy (With Revised Points of Focus — 2022), publicado como TSP Section 100 por el Assurance Services Executive Committee (ASEC) de AICPA. El hecho de que el título del documento incluya el año 2022 —sin dejar de referenciar 2017 como año base— es precisamente lo que genera ambigüedad en el mercado: el documento es, a la vez, «el TSC de 2017» y «la versión 2022». Son la misma norma, con una capa de guía de aplicación actualizada.
Base normativa aplicable
| Documento | Emisor | Qué establece |
|---|---|---|
| TSP Section 100 — 2017 TSC (With Revised Points of Focus — 2022) | AICPA / ASEC | Los cinco criterios de evaluación de controles (Security, Availability, Processing Integrity, Confidentiality, Privacy) y sus points of focus. |
| 2018 SOC 2 Description Criteria (With Revised Implementation Guidance – 2022) | AICPA | Los criterios que rigen cómo la administración de la entidad describe su sistema dentro del reporte SOC 2. |
| SSAE 18 | AICPA / Auditing Standards Board | El estándar de atestiguamiento bajo el cual se ejecutan los exámenes SOC 2 (AT-C sections). |
Qué cambió realmente en 2022
La sección «Revisions in This Version» del propio documento AICPA lo establece sin ambigüedad. Cito textualmente, con atribución directa a la fuente primaria:
— AICPA, TSP Section 100, «2017 Trust Services Criteria (With Revised Points of Focus — 2022)», p. 3.
En español: los cambios a los points of focus en la revisión 2022 no alteran, de ninguna manera, los criterios del TSC 2017. Esos criterios siguen siendo criterios idóneos para evaluar controles en cualquier trabajo de trust services.
Según el mismo documento, la revisión fue desarrollada por el SOC 2 Working Group y el Data Privacy Working Group de ASEC, y aprobada por la presidencia de ASEC. AICPA identifica cuatro razones oficiales para la actualización de los points of focus:
- Un entorno de tecnologías, amenazas y vulnerabilidades en constante cambio, y otros factores que pueden generar riesgos adicionales para las organizaciones.
- Requisitos legales y regulatorios cambiantes, y las expectativas culturales relacionadas, en materia de privacidad.
- Gestión de datos (por ejemplo, almacenamiento, respaldo y retención de datos), particularmente en lo relacionado con confidencialidad.
- Diferenciación de los points of focus de privacidad que aplican solo a una organización que actúa como data controller, o solo a una que actúa como data processor, según se definen en el glosario del propio TSC.
En paralelo, AICPA publicó el 2018 SOC 2 Description Criteria (With Revised Implementation Guidance – 2022), que actualiza la guía de implementación de los criterios que rigen cómo la administración describe su sistema en la Sección III de un reporte SOC 2. Este es un documento distinto del TSC, y es el que más directamente puede requerir ajustes en el texto de la descripción del sistema.
Ejemplos de aplicación práctica
Para ilustrar la diferencia entre «criterio» y «point of focus», considera el criterio CC6.1 del set de Common Criteria de Security, cuyo texto exacto en AICPA TSP Section 100 es: «The entity implements logical access security software, infrastructure, and architectures over protected information assets to protect them from security events to meet the entity’s objectives.» Ese enunciado —el criterio en sí— no cambió en 2022. Lo que la revisión pudo actualizar son los points of focus asociados a ese criterio: por ejemplo, mayor especificidad frente a la gestión de identidades en arquitecturas de nube híbrida, o la distinción de puntos de enfoque de privacidad según la organización actúe como data controller o data processor. El auditor sigue evaluando el mismo criterio CC6.1, pero con una guía de aplicación más específica frente a riesgos tecnológicos y de privacidad actuales.
Según el análisis técnico de EY (AccountingLink, 2 nov 2022), las organizaciones de servicios «pueden necesitar hacer cambios a sus controles y a las descripciones de su sistema en los reportes SOC 2» como resultado de esta guía revisada — no porque el criterio cambió, sino porque la forma de demostrar su cumplimiento se volvió más específica.
Errores frecuentes
Buenas prácticas recomendadas
Nota: lo siguiente son recomendaciones de mercado, no requisitos normativos obligatorios. Ninguna de estas prácticas está mandatada explícitamente por AICPA como un requisito de cumplimiento; se presentan como orientación práctica razonable a la luz de la revisión 2022.
- Revisar, junto con tu auditor de servicio, si la descripción de tu sistema (System Description) refleja adecuadamente los points of focus revisados relevantes para tu perfil de riesgo.
- Si tu organización procesa datos personales, evaluar si opera como data controller, data processor, o ambos, dado que la revisión 2022 diferencia points of focus de privacidad según ese rol.
- Confirmar con el equipo de auditoría cuál versión del TSC y del SOC 2 Description Criteria se está utilizando en el engagement, dado que ambos documentos fueron revisados de forma independiente en 2022.
Preguntas frecuentes
¿Cambiaron los cinco criterios de SOC 2 (Security, Availability, Processing Integrity, Confidentiality, Privacy) en 2022?
No. AICPA declara textualmente en TSP Section 100 (p. 3) que los cambios de 2022 no alteran, de ninguna manera, los criterios del TSC 2017.
¿Qué es un «point of focus» en el Trust Services Criteria?
Es una característica relevante de un criterio que ayuda a la administración y al auditor a evaluar si los controles fueron diseñados y operan de manera efectiva para lograr los objetivos de ese criterio, según AICPA TSP Section 100.
¿Quién emite el Trust Services Criteria?
El Assurance Services Executive Committee (ASEC) de AICPA, comité técnico con autoridad para emitir pronunciamientos públicos sin necesidad de aprobación adicional del Council o la junta directiva de AICPA.
¿La revisión 2022 también afectó al SOC 2 Description Criteria?
Sí. AICPA publicó en paralelo el «2018 SOC 2 Description Criteria (With Revised Implementation Guidance – 2022)», que actualiza la guía de implementación usada para redactar la descripción del sistema en un reporte SOC 2.
Conclusiones
La revisión 2022 de AICPA no introdujo nuevos criterios de evaluación para SOC 2: actualizó la guía de aplicación (points of focus) del TSC 2017 y, por separado, la guía de implementación del SOC 2 Description Criteria. La distinción es técnica pero relevante: determina si tu organización necesita rediseñar controles (no) o si necesita revisar cómo documenta y describe esos controles frente a riesgos actuales de tecnología, privacidad y gestión de datos (probablemente sí, en algún grado). Cualquier decisión concreta sobre ajustes a tu programa SOC 2 debe validarse con tu auditor de servicio, no con contenido de terceros no oficiales.
¿Tu organización necesita confirmar si su programa SOC 2 refleja correctamente la guía revisada de AICPA?
Agenda una conversación con nuestro equipo de auditoría SOC 2
Referencias oficiales
- AICPA & CIMA. 2017 Trust Services Criteria for Security, Availability, Processing Integrity, Confidentiality, and Privacy (With Revised Points of Focus — 2022), TSP Section 100. aicpa-cima.com
- AICPA & CIMA. 2018 SOC 2 Description Criteria (With Revised Implementation Guidance – 2022). aicpa-cima.com
- AICPA & CIMA. SOC 2® – SOC for Service Organizations: Trust Services Criteria. us.aicpa.org
Further reading
- EY AccountingLink. To the Point — AICPA revises guidance on applying its Trust Services Criteria and SOC 2 Description Criteria (2 nov 2022). ey.com
