A associação profissional norte-americana de auditores AICPA publicou, a 28 de outubro de 2026, uma proposta de Trust Services Criteria revistos. Estes critérios são a base de qualquer relatório SOC 2. A proposta reorganiza os critérios e acrescenta pontos de verificação relativos à inteligência artificial. É possível enviar comentários até 15 de janeiro de 2027. Se os critérios forem aprovados, aplicar-se-ão a exames cujo período comece em ou após 31 de dezembro de 2027.
O que é o SOC 2
Um relatório SOC 2 é o resultado de um exame realizado por um auditor independente. Confirma a forma como um prestador de serviços assegura a segurança e a disponibilidade dos seus sistemas, bem como a confidencialidade e a integridade dos dados tratados. No Tipo 1 avalia-se a conceção dos controlos numa data de referência; no Tipo 2 avalia-se também a sua eficácia ao longo de um período.
O SOC 2 tem origem nos EUA, mas há muito que é procurado também na Europa. Sobretudo fornecedores de software e serviços cloud que vendem a empresas norte-americanas são questionados sobre ele em concursos e avaliações de fornecedores. Não existe um certificado no sentido das normas ISO, mas sim um relatório que o cliente recebe sob confidencialidade.
O que deverá mudar
Os critérios atuais datam de 2017 e os pontos de verificação explicativos foram revistos em 2022. A nova proposta mantém as cinco áreas conhecidas: segurança, disponibilidade, integridade do processamento, confidencialidade e privacidade. Dentro dessas áreas, porém, procede a uma reestruturação significativa. Segundo o AICPA, critérios sobrepostos são fundidos, alguns critérios são eliminados, outros são acrescentados para clarificação e as formulações existentes são reescritas para que o seu propósito seja mais fácil de identificar. O objetivo é tornar os relatórios SOC 2 mais compreensíveis e úteis para os leitores.
Quem tem hoje um relatório SOC 2 deve, por isso, contar com alterações no mapeamento dos seus controlos para os critérios. Isto afeta sobretudo a documentação, não necessariamente as próprias medidas.
Novos pontos de verificação sobre IA
São novos os pontos de verificação sobre inteligência artificial e outras tecnologias emergentes. A proposta refere, entre outros:
- a governação e a responsabilidade pelos sistemas de IA na empresa,
- a monitorização contínua de modelos,
- a proteção contra entradas manipuladas,
- a proteção contra dados de treino envenenados,
- a rastreabilidade dos resultados gerados por uma IA,
- a gestão dos dados de treino,
- os riscos de decisões automatizadas.
Os pontos de verificação não são critérios obrigatórios adicionais. Ajudam empresas e auditores a avaliar se um critério é cumprido. Contudo, quem utiliza IA no seu produto ou em processos internos terá de explicar estes temas no exame.
Calendário
| Etapa | Data |
|---|---|
| Publicação da proposta | 28 de outubro de 2026 |
| Fim do prazo de comentários | 15 de janeiro de 2027 |
| Aplicação após aprovação | Exames a partir de 31 de dezembro de 2027 |
Segundo a proposta, é permitida a aplicação antecipada dos novos critérios. Até à aprovação, mantêm-se em vigor os critérios de 2017 com os pontos de verificação de 2022. Não se sabe ainda se os conteúdos ou as datas mudarão após os comentários.
Relação com a ISO 42001 e o EU AI Act
Os novos pontos de verificação sobre IA coincidem, em grande medida, com o que a ISO 42001 exige de um sistema de gestão de inteligência artificial: responsabilidades, avaliação de riscos, gestão de dados e monitorização em operação. Quem implementa um sistema de gestão de IA segundo a ISO 42001 ou se prepara para as obrigações do EU AI Act cria evidências que também servem para o exame SOC 2. Inversamente, um relatório SOC 2 não substitui uma certificação ISO 42001 nem o cumprimento de obrigações legais.
O que isto significa para a sua organização
Para os exames SOC 2 em curso, nada muda por agora. Mas quem planeia o seu período de exame para 2028 deve considerar já os novos critérios:
- Leia a proposta e compare-a com o seu mapeamento atual de controlos para critérios.
- Identifique onde utiliza IA, tanto no seu produto como em processos internos, e quem é responsável.
- Defina como monitoriza os modelos e gere os dados de treino, e documente-o.
- Fale cedo com o seu auditor sobre se uma aplicação antecipada faz sentido.
- Aproveite o prazo de comentários se alguns pontos não forem claros para o seu modelo de negócio.
O Sightadel guia-o numa avaliação guiada, controlo a controlo, pelo SOC 2, regista tarefas em planos de ação e guarda as evidências na biblioteca de evidências, à qual o seu auditor pode aceder em modo de leitura. Saiba mais na página sobre SOC 2 e na página sobre ISO 42001. Pode testar a plataforma gratuitamente durante 14 dias.
Situação em: 5 de novembro de 2026 · Não constitui aconselhamento jurídico. Prevalece a norma ou a lei na versão em vigor.
