Pruebas SOC 2 y exportaciones

Por qué importa

Para CC1.4 («la entidad demuestra un compromiso con atraer, desarrollar y retener a personas competentes») y CC1.5 («la entidad exige responsabilidades a las personas»), un auditor de Type II quiere tres piezas: una política escrita con una periodicidad definida, un control de finalización que cubra al 100 % de los empleados del que pueda muestrear nombres, y un acta de evaluación completada y fechada por cada nombre muestreado, con evaluador, periodo y valoración contra expectativas del rol documentadas. También comprueba lo que los equipos esperan que no compruebe: los registros rellenados la semana antes de la auditoría se delatan solos por sus marcas temporales creadas en lote.

Kit guarda el registro y las instantáneas de evaluación por persona al finalizar un ciclo; la política de evaluaciones la define tu equipo aparte. La aplicación bloquea la edición y el borrado posteriores de las actas probatorias. Sus fechas de creación muestran cuándo se guardaron las instantáneas, pero no verifican por sí solas la veracidad de una evaluación ni cuándo tuvo lugar el trabajo descrito.

El registro de evaluaciones

Cada ciclo tiene un registro en Register dentro de la página del ciclo: una fila por participante, con las siete columnas que Vanta y los auditores esperan:

Columna	Origen
Empleado	Nombre, congelado al finalizar
Correo	Congelado al finalizar
Evaluador(es)	Todos los evaluadores asignados, con sus roles
Ciclo de evaluación	Nombre del ciclo
Puntuación	La puntuación global de la evaluación del responsable
Fecha de evaluación	La marca temporal de emisión del acta probatoria
Estado	Completed / Pending

Mientras el ciclo está activo, el registro es un control de finalización en vivo: un participante figura como completado solo cuando todas sus evaluaciones asignadas están enviadas, con una línea de progreso del tipo «12 de 15 completadas» para perseguir a los rezagados. Una vez finalizado el ciclo, todos los valores salen de las instantáneas congeladas: los hechos tal como se finalizaron, nunca filas en vivo.

Actas de evaluación inmutables

Finalizar un ciclo emite un acta de evaluación por participante en una única transacción. No puede existir un registro emitido a medias, y una doble finalización se rechaza en lugar de duplicar pruebas. Cada acta congela todo lo que un auditor muestrea, desacoplado de los datos en vivo:

• Nombre y correo de la persona evaluada; cada evaluador con su rol
• Nombre del ciclo, periodicidad y periodo evaluado; las expectativas del rol tal como se documentaron para ese participante
• El nombre de la plantilla, su versión y el conjunto completo de preguntas vigente
• Cada evaluación enviada: respuestas, puntuaciones, resumen, marca temporal de envío y su marca de asistencia por IA
• Si la autoevaluación se completó, y la puntuación global del responsable

Las actas son de solo adición: una vez escritas, las modificaciones se rechazan en la capa del modelo y los borrados se abortan. No existe ruta de edición, ni siquiera para administradores. Las instantáneas se cifran en reposo. Si un empleado deja la empresa, su acta probatoria sobrevive: la evaluación de un empleado que ya no está es exactamente lo que un auditor muestrea.

Verificación de integridad

Una comprobación nocturna busca participantes sin acta probatoria en un ciclo finalizado, actas en ciclos que nunca se finalizaron y fechas de envío congeladas posteriores a la creación del acta. Las violaciones llegan a la monitorización de Kit. Estas comprobaciones detectan errores de coherencia concretos; no verifican la veracidad del contenido de las evaluaciones.

Exportaciones

Desde el registro, tres piezas:

Pieza	Botón	Contenido
CSV con formato Vanta	Export CSV	Las siete columnas del registro, una fila por empleado; súbelo a Vanta/Drata o entrégaselo al auditor directamente
PDF del registro	Export PDF	La misma tabla, con tu marca, fechada y legible
Documento de evaluación	Document (por fila)	Las pruebas completas de una persona: expectativas del rol, cada evaluación con respuestas y puntuaciones, y la marca de asistencia por IA

Las exportaciones se generan de forma asíncrona y aparecen en la página del registro cuando están listas; los enlaces de descarga son temporales y los archivos caducan a los 7 días. Se regeneran bajo demanda, y las actas de origen no caducan nunca. Cada celda del CSV se sanea contra la inyección de fórmulas, así que el archivo es seguro de abrir en Excel o Sheets. Los valores de estado del CSV son literales estables en inglés («Completed»/«Pending») sea cual sea el idioma de tu interfaz: es una especificación orientada al auditor.

Cómo lo muestrea un auditor

Compara los ciclos completados con la periodicidad de tu política. Antes de entregar el CSV, comprueba sus participantes: la exportación tiene una fila por participante, así que la cobertura del 100 % exige añadir a todos los empleados dentro del alcance. Si el auditor muestrea cinco nombres, abre el PDF Document de cada uno para ver los evaluadores, el periodo, los criterios, el contenido de la evaluación y las fechas. Estas actas respaldan la valoración de competencia y responsabilidad; la auditoría determina el alcance y la suficiencia de las pruebas.

En resumen

• Escribe una política de evaluaciones de una página que declare tu periodicidad: Kit aporta las pruebas, la política es tuya
• Asegúrate de que todos los empleados son participantes antes de finalizar (los auditores muestrean la población completa)
• Finaliza a tiempo: la marca temporal de emisión es la fecha de la prueba
• Exporta el CSV del registro en cada ciclo a tu carpeta de cumplimiento o tu herramienta de GRC
• Revisa por muestreo un documento de evaluación por ciclo: expectativas del rol y evaluadores con nombre

Y ahora qué

• Ciclos de evaluación: la barrera de finalización que emite estas actas
• Agente de IA y herramientas MCP: extrae el registro por programa cuando llegue la auditoría