Lo esencial desde el principio: antes de firmar con un 3PL, consigue el informe SOC 2 real — no la diapositiva, el informe — y dedica dos horas a revisarlo con la lista de verificación de abajo. Al terminar, sabrás si la postura de seguridad de este 3PL es real o solo papeleo.
No te fíes de la frase «tenemos certificación SOC 2» del folleto comercial. Dos problemas con ella. Primero, SOC 2 no es una certificación. Es un informe de atestación emitido por una firma de contadores públicos (CPA) licenciada bajo el marco del AICPA — no hay certificado, ni sello de aprobado/suspenso. Segundo, un informe Tipo I de hace tres años y un informe Tipo II actual están a años luz en lo que demuestran. Si te saltas la revisión, firmas a ciegas.
Primero, entiende Tipo I frente a Tipo II
| Tipo I | Tipo II | |
|---|---|---|
| Pruebas | Si los controles están diseñados correctamente | Si los controles operaron eficazmente durante el tiempo |
| Período | Un solo punto en el tiempo | Un período de observación, normalmente de 3–12 meses (comúnmente 6–12) |
| Qué demuestra | La casa modelo | Cómo es vivir en la casa de verdad |
| ¿Suficiente antes de firmar? | No | Este es el que quieres |
Una frase para recordar: Tipo I demuestra que el 3PL sabe cómo son los controles correctos. Tipo II demuestra que realmente los aplicó durante la mayor parte de un año. Estás a punto de entregarle cientos de miles de unidades y todos tus datos de pedidos — obviamente quieres el segundo. He visto este mismo fracaso tres veces: un cliente lleva un Tipo I al cuestionario de seguridad de proveedores de su propio cliente empresarial y lo rechazan en el acto.
La lista de verificación de 7 pasos para revisar un informe SOC 2
En orden. Sin saltarse pasos.
1. Comprueba el período de auditoría. Está en la portada. Si el período terminó hace más de 12 meses, el informe está caducado — pide una carta puente de la dirección (una declaración firmada de que los controles no han cambiado materialmente durante el intervalo), o simplemente exige el informe más reciente.
2. Lee la descripción del sistema — el alcance. Esta es la sección más importante de todo el informe, más importante que la opinión del auditor. Comprueba qué sistemas están dentro del alcance: ¿está el WMS? ¿El sistema de gestión de pedidos? Hay muchos informes de 3PL que cubren solo el «IT corporativo» mientras los sistemas de almacén que de verdad te importan quedan fuera del perímetro de la auditoría. El informe nunca mencionará un problema en un sistema que no examinó.
3. Comprueba qué Trust Services Criteria se seleccionaron. SOC 2 tiene cinco: Security (obligatorio en todos los informes), Availability, Processing Integrity, Confidentiality y Privacy. Lo que importa es lo que el 3PL seleccionó más allá de Security. Para un proveedor de fulfillment, Availability debería estar (los sistemas no pueden caerse), y Confidentiality también (tu inventario y tus datos de pedidos están en sus manos). Un informe solo con Security significa que solo respondieron la pregunta obligatoria.
4. Lee la opinión del auditor. El mínimo es una opinión no calificada (limpia). Una opinión calificada o adversa es una señal de alerta inmediata — puedes dejar de leer ahí.
5. Cuenta las excepciones. Son los casos en que las pruebas del auditor encontraron un control que no operó según lo diseñado. Evalúa en tres dimensiones: cuántas, si se concentran en el mismo control y si el mismo control muestra excepciones año tras año. Una excepción aislada con un plan de remediación de la dirección y un calendario es aceptable. El mismo control fallando cada año significa que la remediación solo existe en el papel.
6. Lee los Complementary User Entity Controls (CUEC). Cada informe tiene una sección que lista los controles que el 3PL asume que tú realizarás — cosas como revisiones periódicas de acceso, cifrar los datos en tránsito, dar de baja puntualmente a los usuarios que se van. Después de firmar, todo eso es tu trabajo. Repasa cada uno: ¿puedes hacerlo de verdad? Si no, negocíalo ahora en el contrato como responsabilidad del 3PL, o elige otro proveedor.
7. Revisa las organizaciones de subservicio. ¿En qué nube opera el 3PL? ¿El auditor incluyó al proveedor de nube en el alcance (método inclusivo), o lo excluyó con una nota de que «tienen su propio SOC 2» (método de exclusión)? La exclusión está bien, pero entonces consigue tú mismo el informe de ese proveedor de nube. No dejes huecos en la cadena.
Señales de alerta: si ves una, pausa la firma
- El informe no se ha actualizado en más de 18 meses, y no hay carta puente disponible
- Presentan un Tipo I como si fuera suficiente
- El WMS o los sistemas de pedidos quedan fuera del alcance de la auditoría
- El mismo control con excepciones dos años seguidos, la remediación perpetuamente «planificada»
- CUEC que listan cosas que no puedes hacer de forma realista
- Informe emitido por alguien que no es una firma de CPA licenciada (solo una firma de CPA licenciada puede emitir un informe SOC 2 — la autoevaluación de una consultora no cuenta)
Dos fracasos reales
En 2024, un cliente DTC de belleza mío firmó con un 3PL cuyo folleto decía «SOC 2 auditado». Después de firmar, antes del go-live, les hice pedir el informe real. Era un Tipo I — con un período de auditoría de tres años atrás. Su propio cliente empresarial los bloqueó en el cuestionario de proveedores, y pasaron tres meses superando un período de observación Tipo II. Todo el proyecto se retrasó. He visto este mismo guion repetirse tres veces.
El informe de otro 3PL mostraba cuatro excepciones en Availability, todas con la lectura «pruebas de restauración de copias de seguridad no realizadas según lo programado». No matamos el trato. En su lugar escribimos dos cláusulas en el contrato: evidencia trimestral de simulacros de recuperación ante desastres, con penalizaciones de SLA activadas por un simulacro perdido. Un informe es papel; un contrato tiene dientes. Ese 3PL no se ha perdido un simulacro desde entonces.
La parte contraintuitiva: un informe «limpio» no significa seguro
La mayoría revisa un informe SOC 2 comprobando si la opinión es no calificada. Es al revés. La opinión solo cubre lo que está dentro del alcance declarado. Un informe de alcance estrecho obviamente saldrá limpio — un informe que solo examinó el correo corporativo no puede descubrir problemas del WMS.
Así que el orden correcto es: primero el alcance, luego los criterios, luego las excepciones, y la opinión al final. Invierte ese orden y estarás leyendo la conclusión antes del examen.
Aquí tienes la lista comprimida de la víspera del go-live: Tipo II + período vigente + WMS en alcance + Availability y Confidentiality seleccionados + opinión no calificada + excepciones aceptables + CUEC que puedes realizar de verdad. Los siete en verde, firma. Uno en rojo, negocia términos. Dos o más en rojo, vete.
Una última nota sobre por qué valen la pena esas dos horas: el informe Cost of a Data Breach 2025 de IBM sitúa el coste medio global de una brecha en $4.44 million. Tus datos de inventario, tus datos de pedidos, tus datos de clientes — todo está en manos de tu 3PL. Dos horas por esa tranquilidad es un trato barato.
Por Lin Xiao, consultor de implementación de WMS
Traducido del inglés. En caso de discrepancia, prevalece la versión en inglés.
