.png&w=3840&q=75&dpl=dpl_4WWtFHEr9P8wkcdWCGky2WYKjEiM)
Qu’est-ce qu’un rapport SOC 2 et qui le consulte ?
Réponse directe
Un rapport SOC 2 est le document issu d’une mission d’attestation : un cabinet d’experts-comptables indépendant examine les contrôles d’une organisation de services au regard des critères de services fiduciaires de l’AICPA et émet une opinion formelle. Le rapport est un document privé : contrairement à un certificat ISO 27001, il n’est pas vérifiable publiquement.
Il est communiqué sous NDA aux clients entreprises et prospects qui le demandent lors de la due diligence fournisseur. Les équipes achats et sécurité examinent trois éléments dans un rapport SOC 2 : l’opinion de l’auditeur (sans réserve ou avec exceptions), la description du système (quels services et systèmes étaient dans le périmètre), et le tableau des exceptions (contrôles en échec ou en déviation pendant la période d’audit). Un périmètre trop étroit ou une opinion avec réserve soulève des questions que l’acheteur posera. Un rapport Type II avec une opinion sans réserve et un périmètre adapté est l’artefact qui conclut des contrats entreprises là où un questionnaire sécurité fournisseur seul ne suffirait pas. Le rapport est généralement renouvelé chaque année, d’où le caractère continu de la période d’observation plutôt qu’un exercice ponctuel.
Que contient un rapport SOC 2 ?
Un rapport SOC 2 est le résultat d’une mission d’examen menée selon les normes d’attestation de l’AICPA (sections AT-C 105 et 205, issues du SSAE n° 18, en vigueur pour les rapports datés du 1er mai 2017 ou après). Dans un examen, l’expert-comptable, appelé practitioner, exprime une opinion sur l’objet examiné, ou sur l’assertion de la direction à son sujet, au regard d’un ensemble de critères identifié. Pour le SOC 2, ce sont les critères de services fiduciaires des catégories retenues.
Le rapport s’articule autour de la description du système rédigée par la direction de l’organisation de services. Cette description est préparée et évaluée au regard d’un référentiel distinct de l’AICPA, les SOC 2 Description Criteria de 2018. Les objectifs au regard desquels les contrôles sont jugés sont les engagements de l’organisation envers ses clients et les exigences de son système.
Le reste du contenu dépend du type. Selon l’AICPA, un rapport Type II comporte une opinion sur l’efficacité du fonctionnement des contrôles tout au long d’une période définie, ainsi qu’une description détaillée des tests de l’auditeur et de leurs résultats. Un rapport Type I porte sur le même système mais ne contient ni l’une ni l’autre. Voir SOC 2 Type I ou Type II.
En quoi le SOC 2 diffère-t-il du SOC 1 et du SOC 3 ?
- Le SOC 1 examine les contrôles d’une organisation de services susceptibles d’intéresser le contrôle interne de l’information financière de ses clients. Il s’adresse à ces clients (user entities) et aux experts-comptables qui auditent leurs états financiers (user auditors).
- Le SOC 2 examine les contrôles liés à la sécurité, à la disponibilité, à l’intégrité du traitement, à la confidentialité ou à la vie privée. C’est le rapport que demandent les équipes sécurité et achats.
- Le SOC 3 couvre les mêmes catégories. L’AICPA le présente comme un rapport à usage général, librement diffusable, qui contient une opinion sur l’efficacité du fonctionnement des contrôles mais pas la description détaillée des tests et de leurs résultats.
Un prestataire de paie ou de facturation peut avoir besoin d’un SOC 1 pour les auditeurs financiers de ses clients et d’un SOC 2 pour leurs équipes sécurité. Une entreprise qui veut publier un document sur son site utilise le SOC 3.
Que vérifier avant de s’appuyer sur un rapport ?
Un rapport n’a de valeur que s’il couvre ce dont vous dépendez réellement :
- Les services et systèmes de la description correspondent à ceux que vous achetez. Un rapport sur un produit ne dit rien d’un autre.
- Les catégories retenues correspondent à vos enjeux. Si vous dépendez de la disponibilité du service, un rapport limité à la Sécurité ne teste pas la Disponibilité.
- La période recouvre celle pendant laquelle vous utilisez le service, et le rapport est récent.
- L’opinion et, pour un Type II, les tests et leurs résultats ne montrent pas d’exception sur les contrôles qui comptent pour vous.
- Le cabinet d’experts-comptables signataire est identifiable et vérifiable.
Les équipes sécurité classent en général le résultat avec le reste de l’évaluation du fournisseur : le rapport est lu une fois, dans son contexte, et non à chaque nouvelle demande. Voir comment fonctionne la notation de sécurité des fournisseurs.
Comment Acuna GRC s’en charge
- Solution
SOC 2
Gardez les preuves SOC 2 de toute la période au fil du travail, réutilisez vos contrôles ISO 27001, branchez vos outils et partagez le rapport sous NDA.
- Espace de travail
Assure
KPI et mesures, rapports, enregistrements, audits, constats et actions correctives.
- Module
Trust Center
Répondez aux appels d’offres et questionnaires de sécurité à partir d’une bibliothèque de réponses approuvées et d’une bibliothèque d’exposition, et publiez une page de confiance avec documents sur demande.
Sources
- AICPA, 2017 Trust Services Criteria (With Revised Points of Focus, 2022), TSP section 100, paragraphes .11, .14 et .20
- AICPA, 2018 SOC 2 Description Criteria (With Revised Implementation Guidance, 2022)
- AICPA & CIMA, SOC 1 (contrôle interne de l’information financière)
- AICPA & CIMA, SOC 3, rapport à usage général
Cette page explique les règles en termes généraux et ne constitue pas un conseil juridique.
Questions fréquentes
Qui peut émettre un rapport SOC 2 ?
Un expert-comptable (CPA) qui mène une mission d’attestation selon les normes d’attestation de l’AICPA. L’AICPA fixe les normes professionnelles des missions SOC et a indiqué qu’elle agit contre ses membres dont les travaux SOC ne les respectent pas.
Un rapport SOC 2 est-il la même chose qu’un rapport SOC for Cybersecurity ?
Non. Le SOC for Cybersecurity porte sur l’efficacité du programme de gestion des risques cyber d’une entité, avec les critères de sécurité, de disponibilité et de confidentialité. Le SOC 2 porte sur le système d’une organisation de services et sur les contrôles qui l’encadrent.
Peut-on publier son rapport SOC 2 ?
Les rapports SOC 2 sont en général communiqués sous accord de confidentialité. Pour publier un document, les organisations utilisent un rapport SOC 3, que l’AICPA présente comme un rapport à usage général librement diffusable.
Découvrez comment Acuna GRC le pilote.
Dites-nous vos référentiels et votre équipe. Nous vous montrons comment Acuna GRC pilote le programme.
Hébergé en Suisse, dans l'UE ou aux États-Unis