Reporte SOC 3 en Costa Rica
bajo el estándar SSAE 18
Somos una firma CPA licenciada que emite reportes SOC 1, SOC 2 y SOC 3 bajo el estándar SSAE 18 del AICPA. Ayudamos a las empresas costarricenses a convertir su examen SOC 2 en un reporte de uso general que pueden publicar en su sitio web y compartir con cualquier prospecto, sin acuerdo de confidencialidad.
En una línea: ¿puede una empresa costarricense obtener un SOC 3?
Sí. Un reporte SOC 3 no depende del país donde opere tu empresa, sino de que el examen SOC 2 subyacente lo ejecute una firma CPA con licencia activa bajo el estándar SSAE 18 del AICPA. Una empresa constituida en Costa Rica puede obtener un SOC 3 a partir de su SOC 2 Tipo II, con el reporte emitido en español o en inglés, listo para publicarse ante cualquier lector.
- Sector claveServicios compartidos (SSC) y contabilidad
- Protección de datosLey 8968 (PRODHAB)
- Ciudades de referenciaSan José
¿Qué es un reporte SOC 3?
Un SOC 3 es un reporte de uso general: se deriva del mismo examen de atestiguamiento que sustenta un SOC 2 Tipo II, en el que una firma CPA independiente evalúa tus controles frente a los Trust Services Criteria del AICPA. La diferencia es el destinatario: mientras el SOC 2 completo es un documento técnico de distribución restringida, el SOC 3 resume la opinión del auditor sin revelar el detalle operativo de los controles ni las pruebas realizadas, de forma que puedes compartirlo o publicarlo libremente.
El examen subyacente se ejecuta bajo SSAE 18 (AT-C Sección 320), el mismo marco que da lugar al SOC 1 y al SOC 2. No existe un "SOC 3 Tipo I": al derivarse siempre de un SOC 2 Tipo II, el SOC 3 cubre tanto el diseño como la efectividad operativa de los controles durante el periodo de observación.
Qué incluye (y qué no incluye) un SOC 3
El reporte SOC 3 conserva lo esencial para generar confianza pública, sin exponer el detalle que solo necesitan tus clientes bajo confidencialidad:
- Opinión del auditorLa conclusión de la firma CPA sobre tus controles frente a los criterios aplicables.
- Afirmación de la gerenciaTu propia declaración sobre el diseño y funcionamiento de los controles.
- Descripción resumida del sistemaUna visión general del servicio y del entorno de control, sin el detalle técnico completo.
- Sin detalle de pruebasNo incluye la lista de controles individuales ni los resultados de cada prueba —eso permanece solo en el SOC 2.
¿Por qué es importante un SOC 3 en Costa Rica?
Costa Rica es uno de los destinos más consolidados de servicios compartidos y tecnología de América Latina, y las matrices en Estados Unidos y Europa que evalúan proveedores locales suelen buscar primero una señal pública de seguridad antes de pedir el reporte completo. Un SOC 2 completo suele quedar reservado para clientes que ya están en proceso de compra. Un SOC 3, en cambio, puedes ponerlo en tu página de seguridad o adjuntarlo a cualquier propuesta desde el primer contacto, para que un prospecto confíe en ti antes incluso de pedir información adicional.
Confianza que se puede mostrar, no solo entregar bajo NDA
En lugar de esperar a que un prospecto firme un acuerdo de confidencialidad para conocer tu postura de seguridad, un reporte SOC 3 te permite mostrar, de forma pública, la evaluación de una firma CPA independiente sobre tus controles. Eso acorta el ciclo de ventas en las primeras etapas y funciona como sello de confianza en tu sitio web.
Confianza pública
Publícalo en tu sitio web o material comercial sin necesidad de un NDA.
Acelera tu ciclo de ventas
Responde la pregunta de seguridad desde el primer contacto con un prospecto.
Sin costo adicional relevante
Se emite a partir del mismo examen SOC 2 que ya hiciste o vas a hacer.
SOC 1, SOC 2 y SOC 3: cuál necesitas
Los tres reportes se emiten bajo SSAE 18, pero responden preguntas distintas. Esta es la comparación que suele resolver la duda:
| Aspecto | SOC 1 | SOC 2 | SOC 3 |
|---|---|---|---|
| Qué evalúa | Controles que afectan la información financiera de tus clientes (ICFR) | Controles frente a los Trust Services Criteria del AICPA | Los mismos controles del SOC 2, con contenido resumido |
| Para quién es | Clientes y sus auditores externos | Clientes, áreas de riesgo, compras y seguridad | Cualquier lector: mercado, prospectos, sitio web |
| Distribución | Uso restringido | Uso restringido | Uso general (público) |
| Tipos disponibles | Tipo I y Tipo II | Tipo I y Tipo II | No aplica — siempre se deriva de un SOC 2 Tipo II |
| Caso típico | Nómina, procesamiento de pagos, servicios contables, custodia | SaaS, BPO, fintech, nube, healthtech | Comunicar tu postura de seguridad sin entregar el reporte completo |
SOC 3: siempre a partir de un SOC 2 Tipo II
A diferencia del SOC 1 y el SOC 2, el SOC 3 no tiene versión "Tipo I": como se deriva del examen SOC 2 Tipo II, cubre por definición tanto el diseño de los controles como su efectividad operativa durante el periodo de observación. Si todavía no has completado tu primer SOC 2 Tipo II, el camino habitual es planificar ambos reportes juntos: un único examen, dos entregables con distinto nivel de detalle y distinta audiencia.
¿Ya tienes un SOC 2 o vas a hacer el primero? Te decimos cómo planificar el SOC 2 y el SOC 3 juntos en la consulta inicial.
Cotiza tu auditoría SOC →Sectores en Costa Rica que suelen publicar un reporte SOC 3
Estos son los perfiles de empresa costarricense que más usan el SOC 3 como sello público de confianza:
- SaaS y plataformas B2B
- Fintech, pagos y pasarelas
- BPO y tercerización de procesos
- Nube, hosting y centros de datos
- Healthtech y manejo de datos clínicos
- Marketplaces y plataformas de cara al consumidor
- Servicios contables y de nómina
- Proveedores de tecnología para el sector financiero
Cómo es el proceso con Next Assurance
Cinco etapas, en este orden. El SOC 3 se planifica junto con el SOC 2 Tipo II del que se deriva:
Consulta inicial y definición de alcance
Revisamos qué criterios aplican a tu servicio y confirmamos que quieres, además del SOC 2, un reporte SOC 3 para uso público.
Aceptación del cliente y evaluación de riesgo
Como firma CPA aplicamos nuestros procedimientos de aceptación e independencia conforme a SQMS No. 1 antes de comprometer el trabajo.
Evaluación de preparación (readiness)
Identificamos brechas entre tus controles actuales y los criterios aplicables, para que llegues al examen sin sorpresas. Recomendada si es tu primer SOC 2/SOC 3.
Ejecución del examen SOC 2 Tipo II
Solicitamos evidencia y realizamos las pruebas de diseño y de efectividad operativa a lo largo del periodo de observación. Este es el examen del que se deriva el SOC 3.
Emisión de ambos reportes
Entregamos el SOC 2 completo (uso restringido) y el SOC 3 de uso general, listo para publicar en tu sitio web o compartir con cualquier prospecto.
Datos clave
- Norma aplicable
- SSAE 18 del AICPA · AT-C Sección 320
- Reportes que emitimos
- SOC 1, SOC 2 y SOC 3
- Se deriva de
- Un examen SOC 2 Tipo II
- Distribución
- Uso general — se puede publicar libremente
- Idiomas
- Español e inglés
- Cobertura
- Estados Unidos, América Latina y España
Cómo se relaciona el SOC 3 con otros marcos
ISO/IEC 27001: certificación de un sistema de gestión de seguridad de la información, emitida por un organismo de certificación. El SOC 3, como resumen público del SOC 2, es un atestiguamiento con opinión de una firma CPA; muchas organizaciones publican ambos como evidencia complementaria en su página de seguridad.
Sello o logo SOC 3: el AICPA permite mostrar un sello identificativo en tu sitio web cuando el reporte SOC 3 está vigente, siempre que se use conforme a las reglas de uso de la marca.
En Costa Rica, el tratamiento de datos personales también está sujeto a la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales, supervisada por la PRODHAB; un SOC 3 no sustituye ese cumplimiento, pero al derivarse de un examen sobre los Trust Services Criteria sí evidencia, en su versión pública, los controles de seguridad, confidencialidad y privacidad que soportan esas obligaciones frente al mercado. Aun sin ser una certificación legal, muchas organizaciones citan los controles evaluados en su SOC como parte de la evidencia que respalda su programa interno de cumplimiento ante esa normativa y ante sus propios clientes.
Preguntas frecuentes sobre SOC 3 en Costa Rica
¿Una empresa en Costa Rica puede obtener un reporte SOC 3?
Sí. El reporte SOC 3 no depende de dónde esté ubicada tu empresa, sino de que una firma CPA con licencia activa realice el examen SOC 2 subyacente bajo el estándar SSAE 18 del AICPA. Atendemos a empresas costarricenses que quieren un reporte que puedan publicar abiertamente en su sitio web o material comercial.
¿Qué diferencia hay entre un SOC 2 y un SOC 3?
Ambos evalúan los mismos Trust Services Criteria del AICPA y pueden basarse en el mismo examen. La diferencia es la distribución y el nivel de detalle: el SOC 2 es de uso restringido e incluye la descripción completa del sistema y el detalle de las pruebas realizadas; el SOC 3 es de uso general, con un resumen apto para publicarse ante cualquier lector, sin revelar el detalle operativo de los controles.
¿Puedo obtener un SOC 3 sin haber hecho antes un SOC 2?
No. El SOC 3 se deriva del mismo examen que sustenta un SOC 2 Tipo II: no es un reporte independiente ni una versión reducida del proceso. En la práctica, se contratan juntos: el auditor ejecuta un único examen SOC 2 Tipo II y, a partir de esos resultados, emite ambos reportes.
¿Puedo publicar el reporte SOC 3 en mi sitio web?
Sí, para eso existe. A diferencia del SOC 2, que solo puedes compartir bajo acuerdo de confidencialidad con clientes y prospectos calificados, el SOC 3 está diseñado para distribución de uso general: puedes publicarlo en tu sitio web, adjuntarlo a propuestas comerciales o usarlo como sello de confianza frente a cualquier prospecto.
¿Quién puede pedirme un reporte SOC 3?
Cualquier prospecto o cliente que quiera verificar tu postura de seguridad sin firmar un acuerdo de confidencialidad: equipos de compras, áreas de seguridad, o simplemente un visitante de tu sitio web que busca evidencia objetiva antes de confiar en tu producto.
¿Necesito tener operaciones o clientes en Estados Unidos para un SOC 3?
No. El marco SSAE 18 del AICPA es de aplicación internacional y el reporte se emite para tu empresa y cualquier lector, esté donde esté. Muchas empresas costarricenses solicitan un SOC 3 exclusivamente para mostrarlo a clientes locales o regionales.
¿El SOC 3 me sirve para cumplir la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales en Costa Rica?
El SOC 3 no reemplaza el cumplimiento de la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales, supervisada por la PRODHAB. Lo que hace es entregar, en un formato de uso público, la opinión de una firma CPA independiente sobre tus controles frente a los Trust Services Criteria —incluidas confidencialidad y privacidad—, lo que suele respaldar justo lo que tus clientes y sus áreas legales quieren ver documentado.
¿Qué necesito tener listo antes de empezar?
Lo mismo que para un SOC 2: alcance del servicio y sistemas involucrados, políticas de seguridad aprobadas, control de accesos, gestión de cambios, monitoreo y respaldos, evaluación de riesgos y gestión de proveedores críticos. El SOC 3 no exige nada adicional: se emite automáticamente a partir de ese mismo examen si decides publicarlo.
¿Atienden en español a empresas costarricenses?
Sí. Trabajamos en español e inglés, lo que facilita el proceso para tu equipo en Costa Rica. El reporte puede emitirse en el idioma que requiera tu mercado.
Sigue explorando
Muestra tu confianza en público con un reporte SOC 3
Te decimos cómo planificar tu SOC 2 y tu SOC 3 juntos, y si ya estás listo para auditarte. Firma CPA licenciada, atención en español.
Última actualización: 24 de septiembre de 2026 · Next Assurance LLC