Combien de temps prend une certification SOC 2 ?

La préparation, c’est le travail qui précède l’examen formel : fixer le périmètre et s’assurer que les contrôles existent et laissent des preuves.

• Définir le système. Nommez les services, l’infrastructure, les logiciels, les personnes, les procédures et les données que le rapport couvrira. Cette description du système sera évaluée au regard des SOC 2 Description Criteria de l’AICPA : la rédiger tôt fait apparaître les questions de périmètre.
• Choisir les catégories. La Sécurité est toujours incluse ; n’ajoutez la Disponibilité, la Confidentialité, l’Intégrité du traitement ou la Vie privée que si vos engagements clients l’exigent. Voir que sont les critères de services fiduciaires SOC 2 ?
• Combler les écarts. Rattachez chaque critère à un contrôle avec un responsable, une fréquence et la preuve qu’il produit.

Beaucoup d’organisations demandent une évaluation de préparation (readiness assessment) à un cabinet d’experts-comptables. L’AICPA indique que ces travaux relèvent en général des normes de conseil : le professionnel formule des constats et des recommandations pour la direction, sans exprimer d’opinion. Lorsqu’un cabinet aide à concevoir ou à mettre en place des systèmes chez un client qu’il examinera ensuite, l’AICPA signale que son indépendance peut être menacée, et son code de déontologie guide l’évaluation de ce risque : convenez tôt de qui prépare et de qui signe le rapport.

Un rapport Type I examine la conception des contrôles à une date donnée : il n’a pas de période d’observation. Un rapport Type II donne une opinion sur l’efficacité du fonctionnement des contrôles tout au long d’une période définie, et l’auditeur teste des échantillons répartis sur toute cette période.

Convenez des dates avec l’auditeur avant le début de la période. Comme indiqué plus haut, celle-ci dure au moins six mois pour un premier Type II, et elle n’a de sens qu’une fois tous les contrôles du périmètre en fonctionnement. Un contrôle qui démarre en cours de fenêtre laisse une partie de la période sans rien à tester. Les contrôles peu fréquents méritent une attention particulière : une revue trimestrielle des accès doit avoir lieu au moins deux fois dans une fenêtre de six mois pour que l’auditeur la voie se répéter.

• Trop de catégories. Chaque catégorie ajoutée fait entrer tous ses critères dans le périmètre. La Disponibilité, par exemple, comprend le critère A1.3 sur les tests des procédures du plan de reprise, ce qui suppose un test réellement mené pendant la période.
• Une description du système tardive. Si elle est rédigée à la fin, les désaccords sur le périmètre apparaissent à l’arrivée de l’auditeur.
• Les fournisseurs et la gestion des changements traités en dernier. CC9.2 demande comment vous évaluez et gérez les risques liés aux fournisseurs et partenaires, et CC8.1 couvre l’autorisation, le test et l’approbation des changements. Les deux exigent des enregistrements répartis sur toute la période.
• Des preuves rassemblées à la main juste avant l’échéance. Des enregistrements reconstitués après coup se rattachent mal à la date d’exécution du contrôle. Voir comment fonctionne le cycle de vie des preuves.

Un rapport SOC 2 est généralement renouvelé chaque année : la période d’observation suivante prend le relais de la première. Maintenez les contrôles récurrents à leur rythme entre deux rapports plutôt que de les relancer juste avant l’audit suivant, et suivez les exceptions du rapport précédent jusqu’à leur clôture : c’est la première chose que l’auditeur et vos clients regarderont à nouveau. Des tâches planifiées qui produisent une preuve à chaque exécution gardent le cycle régulier, voir comment fonctionnent les tâches récurrentes.