Que sont les critères de services fiduciaires SOC 2 ?

Le document de l’AICPA qui fixe les critères définit chaque catégorie en une phrase :

• Sécurité. Les informations et les systèmes sont protégés contre les accès non autorisés, la divulgation non autorisée d’informations et les dommages aux systèmes qui pourraient compromettre la disponibilité, l’intégrité, la confidentialité et la vie privée des informations ou des systèmes.
• Disponibilité. Les informations et les systèmes sont disponibles pour fonctionner et être utilisés conformément aux objectifs de l’entité. L’AICPA précise que cette catégorie ne fixe pas à elle seule un niveau de performance minimal : elle vérifie que les systèmes comportent des contrôles qui permettent leur exploitation, leur surveillance et leur maintenance.
• Intégrité du traitement. Le traitement est complet, valide, exact, effectué dans les délais et autorisé.
• Confidentialité. Les informations désignées comme confidentielles sont protégées, de leur collecte ou création jusqu’à leur élimination.
• Vie privée. Les données personnelles sont collectées, utilisées, conservées, communiquées et éliminées conformément aux objectifs de l’entité.

On confond souvent Confidentialité et Vie privée. La Confidentialité vise toute information sensible, par exemple des secrets d’affaires ou de la propriété intellectuelle. La Vie privée ne vise que les données personnelles et ajoute des exigences sur l’information des personnes, le choix et le consentement, la collecte, l’utilisation et la conservation, l’accès, la communication, la qualité des données et le suivi.

Les critères sont alignés sur les 17 principes du référentiel de contrôle interne COSO, révisé en 2013. Ces principes forment les cinq premières séries des critères communs :

• CC1, environnement de contrôle
• CC2, communication et information
• CC3, évaluation des risques
• CC4, pilotage des contrôles
• CC5, activités de contrôle

L’AICPA y ajoute des critères complémentaires, rattachés au principe COSO 12 sur les politiques et procédures : CC6 pour les contrôles d’accès logiques et physiques, CC7 pour l’exploitation des systèmes, CC8 pour la gestion des changements et CC9 pour l’atténuation des risques, qui couvre les interruptions d’activité (CC9.1) ainsi que les fournisseurs et partenaires commerciaux (CC9.2).

Les critères communs suffisent pour évaluer la Sécurité, sans critère supplémentaire. Chaque catégorie optionnelle ajoute sa propre série : A1.1 à A1.3 pour la Disponibilité (capacité, protections environnementales, sauvegarde et reprise, tests des procédures du plan de reprise), PI1.1 à PI1.5 pour l’Intégrité du traitement, C1.1 et C1.2 pour la Confidentialité, et la série P pour la Vie privée. Une catégorie n’est couverte que si tous ses critères le sont. Dans des cas limités, un critère isolé peut être non applicable, par exemple P3.1 sur la collecte pour une organisation de services qui ne collecte pas elle-même de données personnelles auprès des personnes concernées.

Chaque critère est accompagné de points of focus (points d’attention), que l’AICPA décrit, à la suite du COSO, comme des caractéristiques importantes du critère. Ils aident la direction à concevoir et à faire fonctionner les contrôles, et l’auditeur à juger si les contrôles étaient conçus de manière appropriée et ont fonctionné efficacement.

Ce n’est pas une liste de contrôle. L’AICPA indique que l’utilisation des critères n’exige pas de vérifier chaque point d’attention, et que certains peuvent ne pas convenir à une entité donnée. L’opinion de l’auditeur porte sur les critères. L’édition actuelle de l’AICPA est celle des critères de 2017 avec les points d’attention révisés publiés en 2022.

Partez de ce que vous avez promis. Dans un examen SOC 2, l’AICPA rattache les objectifs de l’entité à ses engagements envers ses clients et aux exigences de son système. Les engagements sont ce que la direction déclare sur la performance de ses systèmes, en général dans les contrats, les accords de niveau de service ou des déclarations publiques comme une politique de confidentialité.

• Un engagement de disponibilité dans vos contrats renvoie à la Disponibilité.
• Des clauses qui limitent l’usage ou la conservation des données clients renvoient à la Confidentialité.
• Une politique de confidentialité et des données personnelles au cœur du service renvoient à la Vie privée.
• Des transactions ou des calculs sur lesquels vos clients s’appuient renvoient à l’Intégrité du traitement.

L’erreur la plus fréquente consiste à ajouter des catégories pour étoffer le rapport. Chaque catégorie ajoutée fait entrer tous ses critères dans le périmètre, et chacun exige des contrôles assortis de preuves sur toute la période. Rapprochez d’abord les critères retenus de vos contrôles existants, voir la cartographie des contrôles entre référentiels.