Punti chiave
- La SOC 2 non ha un prezzo di listino: è un'attestazione AICPA, quindi si paga l'esame di un revisore CPA e il lavoro per arrivarci, non un certificato.
- Le voci di spesa sono readiness, remediation, piattaforma di compliance, esame del revisore, tempo interno e rinnovo.
- A parità di perimetro il Type II richiede più lavoro del Type I, perché il revisore testa l'efficacia dei controlli lungo un periodo di osservazione.
- Perimetro, metodo con cui si trattano i fornitori (inclusive o carve-out) e Trust Services Criteria scelti definiscono quanto c'è da esaminare.
- La voce più variabile è la remediation: chi ha già la ISO 27001 riusa buona parte di controlli e prove.
- Secondo lo staff etico dell'AICPA il compenso dell'esame lo fissa il revisore: un'offerta molto più bassa delle altre va verificata prima di firmare.
La SOC 2 non ha un prezzo di listino. Il costo dipende da sette fattori: Type I o Type II, durata del periodo di osservazione, perimetro del sistema, Trust Services Criteria inclusi, maturità dei controlli di partenza (la readiness), piattaforma di compliance e revisore CPA. E una precisazione che cambia il modo di leggere i preventivi: la SOC 2 è un'attestazione AICPA, non una certificazione. Si paga un esame, e si riceve un report.
Qui sotto le voci che compongono la spesa, come ciascun fattore la sposta, perché un'offerta molto bassa può costare di più e come chiedere preventivi confrontabili. Cos'è la SOC 2 e come funziona il percorso lo trovi in SOC 2: cos'è, Type I vs Type II: qui ci concentriamo sui soldi.
Si paga un esame, non un certificato
La SOC 2 è un esame svolto da un CPA (il revisore abilitato negli Stati Uniti) secondo gli standard di attestazione dell'AICPA, gli SSAE. Lo ricorda il Journal of Accountancy, la rivista dell'AICPA, in un articolo del 1° febbraio 2026, che aggiunge un dettaglio utile: la parola compliance negli esami SOC 2 non si usa mai. Il risultato è un report con l'opinione del revisore, destinato a parti specificate che conoscono il sistema, come i clienti, non un attestato da esporre.
Per chi compra questo ha una conseguenza pratica. Il preventivo non paga un timbro uguale per tutti: paga le ore che un revisore indipendente dedica al tuo sistema, più il lavoro che serve a te per arrivare all'esame con controlli e prove in ordine.
Le voci che compongono la spesa
Un progetto SOC 2 ha di solito queste voci. Non tutte compaiono in ogni preventivo, ma tutte si pagano, in denaro o in tempo:
- Readiness e gap analysis. Si definisce il perimetro, si scelgono i criteri e si confrontano i controlli che esistono con quelli che servono.
- Remediation. Le policy da scrivere, gli accessi da rivedere, il logging da attivare, i fornitori da valutare. Spesso è la voce più variabile.
- Piattaforma di compliance. Il software che raccoglie le prove dai sistemi e tiene traccia dei controlli. È opzionale, ma cambia il costo delle altre voci.
- Esame del revisore CPA. La parcella della società di revisione che firma il report.
- Tempo interno. Le ore di IT, sviluppo, HR e management per produrre prove, rispondere alle richieste del revisore e firmare l'asserzione del management. Quasi nessun preventivo la scrive, ma c'è.
- Mantenimento e rinnovo. Il report copre un periodo passato: quando i clienti ne chiedono uno aggiornato, l'esame si rifà.
I fattori che spostano il costo
Type I o Type II
Il Type I valuta la descrizione del sistema e il disegno dei controlli a una data precisa. Il Type II aggiunge un'opinione sull'efficacia operativa lungo un periodo, e il report riporta i test svolti dal revisore e i risultati (Journal of Accountancy, giugno 2016). Più test vogliono dire più ore di revisione e più prove da produrre da parte tua: a parità di perimetro il Type II richiede più lavoro del Type I. Chi parte dal Type I per non bloccare una trattativa deve mettere in conto che, se il cliente chiede il Type II, il secondo esame va pagato a parte.
La durata del periodo di osservazione
Quando presentò la SOC 2, nel luglio 2011, il Journal of Accountancy spiegava che per il Type II non c'era una durata minima generalmente accettata: il periodo doveva essere abbastanza lungo da permettere al revisore di esprimersi sull'efficacia dei controlli e da servire a chi avrebbe letto il report. La durata si concorda con il revisore, guardando a cosa chiedono i tuoi clienti. Un periodo più lungo allarga i campioni da testare e prolunga il lavoro di raccolta prove, ma un periodo troppo corto rischia un report che il cliente non accetta.
Il perimetro del sistema
Il report descrive un sistema: quali servizi, quale infrastruttura, quali persone, quali processi. Ogni prodotto, ambiente o sede in più è materia d'esame in più. Il modo più diretto per tenere sotto controllo il costo è un perimetro che coincida con il servizio che i clienti comprano, senza dentro sistemi che nessuno ti ha chiesto di coprire.
Pesano anche i fornitori su cui il servizio si appoggia, come il cloud provider. L'AICPA prevede due metodi per trattarli nel report, inclusive e carve-out, come indica il programma del suo corso SOC 2 Report Walkthrough, che tra le parti del report cita anche i controlli complementari dei subfornitori (complementary subservice organization controls). Il metodo scelto cambia quanto c'è da esaminare, e va deciso con il revisore all'inizio.
Quali Trust Services Criteria includere
I criteri li stabilisce l'Assurance Services Executive Committee dell'AICPA, e la versione di riferimento è quella del 2017 con i points of focus rivisti nel 2022 (aicpa-cima.com). Nella prassi si parte dalla sicurezza e si aggiungono disponibilità, integrità di elaborazione, riservatezza e privacy quando il servizio o il contratto lo richiedono. Ogni categoria in più porta controlli, prove e test in più. Conviene includere quelle che i clienti chiedono davvero, non tutte per prudenza.
Da dove parti: la readiness
Due aziende con lo stesso perimetro possono spendere in modo molto diverso, perché la voce che varia di più è la remediation. Chi ha già accessi gestiti, log centralizzati, gestione dei cambiamenti e valutazione dei fornitori documentate arriva all'esame con poco lavoro; chi parte da zero deve prima costruire i controlli e poi farli funzionare per tutto il periodo di osservazione.
Se hai già la ISO 27001, parti avvantaggiato. L'AICPA pubblica una mappatura tra i Trust Services Criteria e la ISO 27001 (riservata ai soci AICPA), ed è il punto di partenza per capire quali controlli e prove riusare. Il confronto tra le due è in ISO 27001 vs SOC 2, e quali prove servono quando il sistema vive nel cloud è in SOC 2 e ISO 27001 nel cloud.
La piattaforma di compliance
Le piattaforme si collegano ai sistemi (cloud, identità, HR, ticketing) e raccolgono le prove al posto degli screenshot e dei fogli Excel. Il Journal of Accountancy riconosce questo contributo nell'articolo di febbraio 2026: i revisori possono usare questi strumenti per prelevare dati e prove dai sistemi del cliente in un'unica dashboard. Il costo della licenza va messo a confronto con le ore interne e di consulenza che fa risparmiare, soprattutto nel Type II. Vanta e Drata non pubblicano listini: come metterle a confronto è in Vanta vs Drata.
Un punto da tenere fermo: la piattaforma non è il revisore. La stessa rivista osserva che la maggior parte dei fornitori di questi strumenti non sono società di revisione, quindi non possono attestare l'efficacia dei controlli.
Il revisore CPA
La parcella dipende dalle ore che il revisore stima per il tuo perimetro, i criteri scelti e il tipo di report. Lo staff della Professional Ethics Division dell'AICPA, sul Journal of Accountancy del 6 aprile 2026, ricorda che il compenso dell'esame lo fissa il revisore secondo il proprio giudizio professionale, e non può essere influenzato dai servizi del fornitore della piattaforma, salvo quanto consente l'interpretazione del Codice etico sulla determinazione dei compensi (ET 1.230.030). Quando l'esame arriva dentro un pacchetto, chiedi quale parte del prezzo è del revisore e chi l'ha stabilita.
Quando il prezzo più basso è il più caro
Nel 2026 l'AICPA ha preso posizione su un fenomeno che chi chiede preventivi incontra spesso: offerte che promettono report in poche settimane a costi bassi. Sulla pagina SOC 2 dell'AICPA un avviso informa che l'associazione sta esaminando segnalazioni sulle pratiche di un fornitore di servizi SOC, e che agirà se i revisori coinvolti risulteranno non conformi agli standard, non iscritti alla peer review o privi di abilitazione.
A maggio 2026 l'AICPA ha dato indicazioni ai peer reviewer: esami SOC 2 con valutazioni del rischio, campioni e procedure di test identici da un cliente all'altro non rispettano gli standard professionali e vanno classificati come nonconforming (Journal of Accountancy, maggio 2026).
Il costo reale di un report debole è che un cliente attento lo riconosce e lo rifiuta, e a quel punto serve un nuovo esame. Le domande che l'articolo di febbraio 2026 suggerisce di porre prima di firmare:
- Chi è la società di revisione che firma, quanto è grande, quanti esami può seguire, quali clienti puoi sentire come referenza.
- Qual è il perimetro dell'esame, come vengono scelti i campioni, come il revisore mantiene l'indipendenza.
- L'offerta è irrealisticamente veloce, facile o economica? Il commerciale insiste soprattutto sul pacchetto?
Un controllo in più costa cinque minuti: la ricerca pubblica del Peer Review Program dell'AICPA mostra se una società di revisione è iscritta al programma.
Il costo del secondo anno
Un report SOC 2 non ha una scadenza come un certificato, ma copre un periodo che invecchia. I clienti chiedono un report recente, e il contratto può fissare con quale cadenza. Nel bilancio quindi la SOC 2 è una spesa ricorrente: esame del revisore, licenza della piattaforma se la usi, tempo interno per mantenere i controlli. La readiness e la remediation pesano soprattutto il primo anno; dal secondo il costo dipende da quanto i controlli sono rimasti in piedi senza interventi straordinari.
Come chiedere preventivi confrontabili
Due offerte sono confrontabili solo se descrivono lo stesso lavoro. Prima di chiederle, metti per iscritto:
- il tipo di report (Type I, Type II o entrambi in sequenza) e la durata del periodo di osservazione;
- il perimetro: servizi, ambienti, sedi, fornitori e il metodo con cui trattarli;
- i Trust Services Criteria da includere, oltre alla sicurezza;
- chi fa la readiness, chi la remediation e chi il revisore, con le parcelle separate;
- se è inclusa una piattaforma, per quanti framework e quante persone;
- cosa costa il secondo anno.
Con questi sei punti scritti, le differenze di prezzo tornano a essere differenze di lavoro, e si possono discutere.
In sintesi
- La SOC 2 è un'attestazione AICPA: si paga l'esame di un revisore CPA, non un certificato.
- Il costo dipende da tipo di report, periodo di osservazione, perimetro, criteri, readiness, piattaforma e revisore.
- La voce più variabile è la remediation, cioè quanto lavoro serve per arrivare all'esame con i controlli in ordine.
- Un'offerta molto più bassa delle altre va verificata: un report rifiutato dal cliente si paga due volte.
Se vuoi sapere quanto costa nel tuo caso, partiamo dal tuo perimetro e da cosa chiedono i tuoi clienti e ti prepariamo una stima personalizzata: percorso SOC 2 con AmagisTech.