O essencial primeiro: antes de assinar com um 3PL, pegue o relatório SOC 2 real — não o slide, o relatório — e passe duas horas revisando-o com o checklist abaixo. Quando terminar, você saberá se a postura de segurança deste 3PL é real ou apenas papel.

Não confie na frase «temos certificação SOC 2» do material de vendas. Dois problemas com ela. Primeiro, SOC 2 não é uma certificação. É um relatório de atestação emitido por uma firma de contabilidade (CPA) licenciada sob o arcabouço do AICPA — não há certificado, nem carimbo de aprovado/reprovado. Segundo, um relatório Tipo I de três anos atrás e um relatório Tipo II atual estão a anos-luz no que provam. Se você pular a revisão, está assinando às cegas.

Primeiro, entenda Tipo I versus Tipo II

Tipo I Tipo II
Testes Se os controles estão corretamente desenhados Se os controles operaram de forma eficaz ao longo do tempo
Período Um único ponto no tempo Um período de observação, normalmente de 3–12 meses (comumente 6–12)
O que prova A casa modelo Como é realmente morar na casa
Suficiente antes de assinar? Não Este é o que você quer

Uma frase para lembrar: Tipo I prova que o 3PL sabe como são os controles corretos. Tipo II prova que ele realmente os executou durante a maior parte de um ano. Você está prestes a entregar centenas de milhares de unidades e todos os seus dados de pedidos — obviamente você quer o segundo. Já vi esse fracasso exato três vezes: um cliente leva um Tipo I ao questionário de segurança de fornecedores do seu próprio cliente corporativo e é barrado na hora.

O checklist de 7 passos para revisar um relatório SOC 2

Em ordem. Sem pular etapas.

1. Verifique o período de auditoria. Está na capa. Se o período terminou há mais de 12 meses, o relatório está desatualizado — peça uma carta-ponte da gestão (uma declaração assinada de que os controles não mudaram materialmente durante o intervalo), ou simplesmente exija o relatório mais recente.

2. Leia a descrição do sistema — o escopo. Esta é a seção mais importante de todo o relatório, mais importante que a opinião do auditor. Verifique quais sistemas estão no escopo: o WMS está lá? O sistema de gestão de pedidos? Muitos relatórios de 3PL cobrem apenas o «TI corporativo» enquanto os sistemas de armazém que realmente importam para você ficam fora do perímetro da auditoria. O relatório nunca mencionará um problema em um sistema que não examinou.

3. Verifique quais Trust Services Criteria foram selecionados. SOC 2 tem cinco: Security (obrigatório em todo relatório), Availability, Processing Integrity, Confidentiality e Privacy. O que importa é o que o 3PL selecionou além de Security. Para um provedor de fulfillment, Availability deveria estar lá (os sistemas não podem cair), e Confidentiality também (seu estoque e seus dados de pedidos estão nas mãos deles). Um relatório só com Security significa que responderam apenas à pergunta obrigatória.

4. Leia a opinião do auditor. O piso é uma opinião sem ressalva. Uma opinião com ressalva ou adversa é um sinal de alerta imediato — você pode parar de ler ali.

5. Conte as exceções. São os casos em que os testes do auditor encontraram um controle que não operou conforme desenhado. Avalie em três dimensões: quantas, se se concentram no mesmo controle e se o mesmo controle mostra exceções ano após ano. Uma exceção isolada com um plano de remediação da gestão e um cronograma é aceitável. O mesmo controle falhando todo ano significa que a remediação só existe no papel.

6. Leia os Complementary User Entity Controls (CUEC). Todo relatório tem uma seção listando os controles que o 3PL assume que você executará — coisas como revisões periódicas de acesso, criptografar dados em trânsito, desativar prontamente usuários desligados. Depois de assinar, tudo isso é seu trabalho. Percorra cada um: você consegue realmente fazer isso? Se não, negocie agora no contrato como responsabilidade do 3PL, ou escolha outro provedor.

7. Verifique as organizações de subserviço. Em qual nuvem o 3PL opera? O auditor incluiu o provedor de nuvem no escopo (método inclusivo), ou o excluiu com uma nota de que «eles têm seu próprio SOC 2» (método carve-out)? Carve-out é aceitável, mas aí vá buscar você mesmo o relatório desse provedor de nuvem. Não deixe buracos na cadeia.

Sinais de alerta: se vir um, pause a assinatura

  • Relatório não atualizado há mais de 18 meses, e sem carta-ponte disponível
  • Tipo I apresentado como se fosse suficiente
  • WMS ou sistemas de pedidos fora do escopo da auditoria
  • O mesmo controle com exceções dois anos seguidos, remediação perpetuamente «planejada»
  • CUEC listando coisas que você não pode fazer de forma realista
  • Relatório emitido por alguém que não seja uma firma de CPA licenciada (só uma firma de CPA licenciada pode emitir um relatório SOC 2 — a autoavaliação de uma consultoria não conta)

Dois fracassos reais

Em 2024, um cliente meu de beleza DTC assinou com um 3PL cujo material dizia «auditado SOC 2». Depois de assinar, antes do go-live, fiz com que pedissem o relatório real. Era um Tipo I — com um período de auditoria de três anos atrás. O próprio cliente corporativo deles os bloqueou no questionário de fornecedores, e eles passaram três meses atravessando um período de observação Tipo II. O projeto inteiro atrasou. Já vi esse roteiro exato se repetir três vezes.

O relatório de outro 3PL mostrava quatro exceções em Availability, todas com a leitura «teste de restauração de backup não realizado conforme programado». Não matamos o negócio. Em vez disso, escrevemos duas cláusulas no contrato: evidência trimestral de simulações de recuperação de desastres, com penalidades de SLA acionadas por uma simulação perdida. Um relatório é papel; um contrato tem dentes. Esse 3PL não perdeu uma simulação desde então.

A parte contraintuitiva: um relatório «limpo» não significa seguro

A maioria das pessoas revisa um relatório SOC 2 verificando se a opinião é sem ressalva. Isso é ao contrário. A opinião só cobre o que está dentro do escopo declarado. Um relatório de escopo estreito obviamente sairá limpo — um relatório que só examinou o e-mail corporativo não pode descobrir problemas de WMS.

Então a ordem correta é: primeiro o escopo, depois os critérios, depois as exceções, e a opinião por último. Inverta essa ordem e você estará lendo a conclusão antes da prova.

Aqui está o checklist comprimido da véspera do go-live: Tipo II + período atual + WMS no escopo + Availability e Confidentiality selecionados + opinião sem ressalva + exceções aceitáveis + CUEC que você pode realmente executar. Todos os sete em verde, assine. Um em vermelho, negocie os termos. Dois ou mais em vermelho, saia.

Uma última nota sobre por que essas duas horas valem a pena: o relatório Cost of a Data Breach 2025 da IBM coloca o custo médio global de uma violação em $4.44 million. Seus dados de estoque, seus dados de pedidos, seus dados de clientes — tudo está com seu 3PL. Duas horas por essa tranquilidade é uma barganha.

Por Lin Xiao, consultor de implementação de WMS

Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.