Firma CPA · Estados Unidos y Latinoamérica
Next Assurance es una firma CPA especializada en la emisión de informes SOC 1, SOC 2 y SOC 3 bajo los estándares de atestiguamiento de la AICPA (SSAE 18) para empresas de Estados Unidos y Latinoamérica.
Next Assurance es una firma CPA licenciada. Evaluamos controles internos de organizaciones en Estados Unidos y Latinoamérica para que demuestren confiabilidad, seguridad y cumplimiento.
Auditoría de atestiguamiento que evalúa el diseño y operación de controles internos sobre información financiera (ICFR) en organizaciones de servicios durante un período determinado. Proporciona a tus clientes y sus auditores externos la confianza de que tus procesos protegen la integridad de los datos financieros que gestionas.Ideal para: BPO contable, procesadores de nómina, SaaS financiero, fintechs, servicios de cobranza.
Ver reporte SOC 1 →
Auditoría de atestiguamiento que evalúa los controles internos sobre Trust Services Criteria (seguridad, disponibilidad, integridad del procesamiento, confidencialidad, privacidad) durante un período determinado. Comunica a tus clientes que proteges sus datos con controles confiables alineados con estándares internacionales.Ideal para: Proveedores SaaS, data centers, empresas de ciberseguridad, servicios en nube, software as a service.
Ver reporte SOC 2 →
Versión pública simplificada de SOC 2. Auditoría de atestiguamiento que evalúa controles internos sobre Trust Services Criteria, apta para ser divulgada públicamente sin exponer detalles técnicos sensibles. Permite que comuniques tu compromiso con la seguridad y privacidad sin revelar información sensibleIdeal para: Empresas que desean comunicar públicamente su postura de seguridad a clientes potenciales y mercado general.
Ver reporte SOC 3 →Te pidieron un SOC y no sabes cuál. Nosotros sí. Te indicamos el reporte, el alcance y si estás listo para auditarte.
Solicita una consulta inicial →Desde que tu cliente te pide un reporte hasta que lo tienes en la mano. Toca cada etapa para ver el detalle.
Definimos qué reporte necesitas y si ya estás listo
Revisamos qué te está pidiendo tu cliente y por qué. Determinamos si corresponde SOC 1 (controles con impacto financiero), SOC 2 (seguridad y datos) o SOC 3 (informe público), y si necesitas Tipo I o Tipo II.
Antes de firmar, verificamos si tus controles están documentados y operando. Si aún no lo están, te lo decimos con franqueza: necesitas un proceso de preparación previo.
AICPA ET §1.295 — Nonattest ServicesVerificamos independencia y formalizamos el encargo
Evaluamos que no existan conflictos que comprometan nuestra independencia y confirmamos que contamos con la competencia y los recursos para el encargo. Es un requisito profesional, no un trámite.
SQMS No. 1 — Quality ManagementFormalizamos por escrito el alcance, las responsabilidades de cada parte, el período de cobertura y los entregables. Todo queda claro antes de empezar.
AT-C Section 105Evaluamos el diseño y la operación de tus controles
Tu organización prepara la descripción del sistema y la afirmación escrita sobre sus controles. Nosotros evaluamos si la descripción es razonable y si los criterios son adecuados, pero la afirmación es tuya: así lo exige la norma.
AT-C Section 320Planeamos el encargo con base en riesgos y evaluamos el diseño e implementación de tus controles frente a los criterios aplicables: ICFR para SOC 1, Trust Services Criteria para SOC 2 y SOC 3.
Evaluamos si los controles operaron efectivamente durante el período acordado (comúnmente de 6 a 12 meses), recopilando evidencia suficiente y apropiada. Si encontramos desviaciones, las documentamos y evaluamos su impacto.
Control de calidad y entrega del reporte final
El encargo pasa por nuestro proceso interno de control de calidad antes de emitirse. Recibes el reporte con nuestra opinión independiente, listo para compartir con tus clientes y sus auditores externos.
Los reportes SOC tienen vigencia anual y se renuevan alineados a tu período fiscal.
A quién atendemos
Una organización de servicios es una empresa o entidad que ofrece servicios especializados a clientes que requieren asistencia en áreas en las que no son expertos. Algunos de los tipos de empresas para las cuales un reporte SOC pudiera ser clave serían:
Administración de sistemas e infraestructura, soporte a servicios de TI, soporte de BI y desarrollo de software.
Operaciones inbound y outbound: servicio al cliente, ventas, cobros y soporte técnico.
Soluciones de software ERP, CRM, HRM, operativas, de seguridad, BI y automatización, además de almacenamiento, plataforma e infraestructura como servicio.
Servicios de monitoreo de ciberseguridad y centros de operaciones de seguridad (SOC).
Recursos humanos, transacciones financieras, contabilidad, marketing, legal y logística ejecutados en nombre de otras organizaciones.
Hosting, colocation, servicios de red y virtualización.
No somos una firma generalista. Nos dedicamos exclusivamente a auditorías SOC, lo que nos permite ofrecer un nivel de especialización que aporta valor a su organización.
100% enfocados en SOC 1, SOC 2 y SOC 3. No hacemos auditorías fiscales, financieras ni de otra índole, solo SOC.
Licencia activa del State Board of Accountancy en cumplimiento con los estándares del AICPA. Requisito indispensable para emitir reportes SOC válidos.
Atendemos en español e inglés empresas en USA, Colombia, México, Chile, Perú, Argentina y más países.
Emitimos reportes que cumplen simultáneamente SSAE 18 e ISAE 3402, cubriendo requisitos de clientes en EE.UU. y fuera de EE.UU. en una sola auditoría.
Contamos con metodologías ágiles de evaluación e integración con plataformas de cumplimiento altamente reconocidas.
Cumplimos estrictamente los requisitos de independencia del AICPA, condición esencial para la validez y credibilidad de todo reporte SOC.
Tus solicitudes de propuesta son atendidas por un auditor CPA o especialista de seguridad e IT en menos de 48 horas, dando orientación técnica real desde el primer contacto.
Entendemos tu modelo de servicio antes de definir el alcance. Auditorías verdaderamente alineadas con tu realidad operativa.
La diferencia está en los profesionales, la metodología, la participación de los socios y la agilidad del servicio.
| Aspecto | otras Firmas | Next Assurance |
|---|---|---|
| Nuestros profesionales | ||
| Experiencia del equipo asignado | Sí. Amplia experiencia profesional | Sí. Profesionales con experiencia en cada encargo SOC |
| Formación académica | Sí. Profesionales con estudios de posgrado | Sí. Profesionales, especialistas y magísteres en auditoría, TI y seguridad |
| Certificaciones | Sí. Títulos y credenciales globales | Sí. Certificaciones en auditoría de sistemas, seguridad de la información y gestión de proyectos |
| Perfiles del equipo | Sí. Equipos de auditoría, TI y seguridad | Sí. Auditores CPA y especialistas en seguridad e IT en el mismo equipo |
| Experiencia por industria | Sí. Experiencia en múltiples industrias | Sí. SaaS, fintech, BPO, call centers, data centers, nube y salud |
| Gestión del proyecto | Sí. Gestión formal del encargo | Sí. Cronograma, responsables y entregables definidos desde el inicio |
| Personal en formación en el trabajo de campo | Parcial. Es común que el trabajo lo ejecuten equipos junior | Sí. El trabajo lo ejecutan profesionales con experiencia en SOC |
| Nuestra firma | ||
| Foco de la práctica | No. SOC es una de muchas líneas de servicio | Sí. Práctica 100% dedicada a SOC 1, SOC 2 y SOC 3 |
| Firma CPA y estándares | Sí. SSAE 18 del AICPA | Sí. Firma CPA licenciada: SSAE 18 y opción dual‑use ISAE 3402 |
| Metodología | Sí. Metodologías propias globales | Sí. Metodología propia de evaluación SOC basada en riesgos |
| Servicio personalizado | No. Metodología global igual para todos | Sí. Alcance construido sobre tu modelo de servicio real |
| Participación de los socios | Parcial. El socio suele intervenir en la revisión final | Sí. El Engagement Partner participa en todas las fases |
| Comunicación directa | Sí. Canales formales con socios y directores | Sí. Acceso directo al socio y al equipo durante todo el encargo |
| Agilidad en decisiones | No. Procesos internos de aprobación extensos | Sí. Decisiones rápidas, sin capas intermedias |
| Entrega de propuestas | Sí. Propuestas formales en plazos estándar | Sí. Propuesta y orientación técnica en menos de 48 horas |
| Flexibilidad en honorarios | No. Tarifas corporativas poco flexibles | Sí. Honorarios ajustados al alcance y al tamaño de tu organización |
| Apoyo a la gerencia | No. Limitado fuera del trabajo de auditoría | Sí. Te apoyamos antes, durante y después del informe |
| Contratación | Parcial. Varias áreas y contratos según el servicio | Sí. Un solo contrato y un punto de contacto |
| Cobertura EE. UU. y LATAM | Sí. Presencia global con equipos por país | Sí. Presencia global con equipos por país |
| Metodología y herramientas | ||
| Evaluación de preparación | Parcial. Disponible como servicio separado | Sí. Práctica 100% dedicada a la ejecución de auditorias SOC 1, SOC 2 y SOC 3 |
| Seguimiento del encargo | Parcial. Según el plan del encargo | Sí. Reuniones de seguimiento semanales |
| Pruebas de controles | Sí. Pruebas con herramientas propias | Sí. Pruebas manuales y automatizadas según cada control |
| Entornos en la nube | Sí. Experiencia en nubes públicas | Sí. Auditoría de entornos en Azure, AWS, Microsoft 365 y Google Cloud |
| Tecnología en el encargo | Sí. Herramientas propias de auditoría | Sí. Integración con plataformas de cumplimiento y gestión digital de evidencia(vanta,TrustArc,OneTrust,LogicGate,MetricStream,Compliance360,Qualys,Netskope,CyberGRX,SailPoint,Rapid7,Enveedo,A-SCEND,Secureframe y Monkey ,entre otras |
| Soporte después del informe | Parcial. La relación se retoma en el siguiente ciclo | Sí. Soporte para resolver las dudas de tus clientes sobre el informe |
Nuestro equipo
En Next Assurance cada encargo pasa por cinco niveles de responsabilidad, desde el Socio CPA, que firma la conclusión final, hasta el Staff, que ejecuta las pruebas en campo. Ningún hallazgo llega al reporte sin que otra persona del equipo lo haya revisado antes. Certificaciones como CISA, CISSP, CISM, ISO 27001, COSO y CRISC están presentes en los distintos niveles del equipo, no concentradas en un solo rol.
Dirigen el encargo y responden por la conclusión que emite la firma. Cuentan con licencia CPA activa y membresía AICPA, y participan directamente en las decisiones técnicas más importantes del proyecto.
Se suman al equipo cuando hay un tema técnico puntual que resolver: arquitectura cloud, seguridad de la información , gestión de accesos o revisión de estrategias.
Definen el enfoque del encargo, dirigen al equipo que trabaja en campo y hacen seguimiento al cronograma. Revisan los hallazgos antes de que avancen a la siguiente etapa.
Diseñan la estrategia de pruebas, coordinan al staff en campo y evalúan la evidencia recolectada. Son quienes deciden, con criterio propio, si un control cumple o no con el criterio aplicable.
Ejecutan las pruebas que define el Auditor Senior, siempre bajo su supervisión directa.
Preparación del equipo
El equipo de Next Assurance combina formación profesional en distintas disciplinas con experiencia directa en los estándares que rigen un encargo SOC, desde la planeación hasta la emisión del reporte.
Con énfasis en las industrias donde más se solicitan reportes SOC:
Y experiencia adicional en otros sectores: financiero, seguros y telecomunicaciones, entre otros.
Estudios de educación superior:
Especializaciones y maestrías en seguridad de la información, auditoría y gestión de riesgo.
Conocimiento de regulaciones de privacidad: HIPAA, GDPR y CCPA.
Estándares y marcos de atestiguamiento:
Plataformas cloud donde operan la mayoría de nuestros clientes:
Atendemos en español e inglés a organizaciones que operan entre Estados Unidos, América Latina y España.
Lo que más nos preguntan sobre la firma, los reportes SOC 1, SOC 2 y SOC 3, el proceso y el trabajo con empresas de Latinoamérica. Toca cada pregunta para ver la respuesta.
Solo una de contaduría pública con licencia vigente y autorizada a ejercer como practicante independiente puede emitir un reporte SOC 1, SOC 2 o SOC 3 Una consultora, una plataforma de cumplimiento o un profesional sin esa licencia no pueden firmar la opinión.
Cada encargo es supervisado y firmado por un Engagement Partner CPA, que participa desde la aceptación del cliente hasta la emisión del informe, no solo en la revisión final.
Porque la especialización permite concentrar metodología, equipo y conocimiento en un solo tipo de encargo. No hacemos auditoría financiera, impuestos ni consultoría general: solo SOC 1, SOC 2 y SOC 3.
No. Las reglas de independencia del AICPA impiden que el auditor diseñe o implemente los controles que después evalúa. Podemos identificar brechas en una evaluación de preparación, pero la implementación es responsabilidad de tu organización.
AICPA ET §1.295 — Nonattest Services| Reporte | Qué evalúa | Distribución |
|---|---|---|
| SOC 1 | Controles con impacto en la información financiera de tus clientes (ICFR) | Restringida |
| SOC 2 | Trust Services Criteria: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad | Restringida, bajo NDA |
| SOC 3 | Resumen público de la misma evaluación del SOC 2 | Pública |
Un Tipo I evalúa si los controles están diseñados adecuadamente en una fecha determinada. Un Tipo II evalúa, además, si esos controles operaron con efectividad durante un período de observación, normalmente de tres a doce meses.
El mercado generalmente prefiere o exige un Tipo II.
No. Los reportes SOC son informes de atestiguamiento con la opinión independiente de un auditor CPA, no certificaciones otorgadas por un organismo. Lo correcto es decir «obtener un reporte SOC 2», no «certificarse en SOC 2».
Bajo SSAE 18 del AICPA: AT-C Section 320 para SOC 1, y los Trust Services Criteria para SOC 2 y SOC 3. Cuando el alcance lo requiere, emitimos SOC 1 en formato dual-use con ISAE 3402.
SSAE 18 · AT-C 320 · Trust Services Criteria · ISAE 3402ISAE 3402 es el estándar internacional del IAASB equivalente al SOC 1. Evalúa los mismos controles sobre información financiera, pero bajo el marco de la IFAC en lugar del AICPA. Un encargo dual-use emite un solo informe que cumple SSAE 18 (para clientes en EE. UU.) e ISAE 3402 (para otras jurisdicciones).
No. SOC 2 e ISO 27001 son marcos independientes. Tener ISO 27001 facilita el trabajo porque la organización suele contar con controles documentados, pero no es un requisito para obtener un SOC 2.
Depende del tipo de informe, el alcance y la madurez de los controles. Un Tipo I suele requerir menos tiempo que un Tipo II, que además incluye un período de observación de seis a doce meses. sin embargo el tiempo promedio entre 1 y 2 meses.
El costo depende del tipo de reporte (SOC 1, SOC 2 o SOC 3), si es Tipo I o Tipo II, los criterios incluidos, la cantidad de sistemas y ubicaciones, y la madurez de los controles. Por eso cada propuesta se arma sobre el alcance real de tu organización.
Puedes solicitar una cotización describiendo tu servicio y el reporte que te piden.
Para la primera conversación basta con:
Con eso definimos juntos el alcance y el tipo de informe que corresponde.
Los reportes SOC tienen vigencia anual. La mayoría de las organizaciones los renuevan cada año, alineados a su período fiscal o a los compromisos con sus clientes, para mantener la cobertura sin brechas.
Sí. Los reportes SOC no exigen que la organización esté incorporada en Estados Unidos; lo que importa es que preste servicios que afecten los controles de sus clientes. Trabajamos con empresas en Colombia, México, Chile, Perú, Argentina y otros países de la región.
Realizamos auditorías con equipos en español o en inglés según lo que necesite tu organización, y el reporte final se entrega en el idioma que elijas.
Sí. La validez depende de que lo emita una firma CPA licenciada bajo SSAE 18, no del país donde opera la empresa auditada. Por eso es el formato que piden los clientes estadounidenses a sus proveedores en la región.
Imprescindibles para el funcionamiento del sitio. Siempre activas.
Recuerdan tus ajustes y elecciones.
Nos ayudan a entender cómo usan el sitio los visitantes.
Se usan para mostrarte anuncios relevantes.
