Quelle est la différence entre SOC 2 Type I et Type II ?

Les deux rapports sont issus d’un examen mené par un cabinet d’experts-comptables indépendant au regard des critères de services fiduciaires de l’AICPA, où la sécurité est obligatoire et la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée sont facultatives. Tous deux contiennent l’opinion de l’auditeur et une description du système qui précise les services et systèmes inclus dans le périmètre. Voir que sont les critères de services fiduciaires SOC 2 ?

La différence tient à ce que l’auditeur a testé. Un rapport Type I examine la conception des contrôles à une date donnée : il ne dit rien sur la tenue effective d’une revue trimestrielle des accès. Un rapport Type II couvre une période d’observation définie et consigne les contrôles qui ont échoué ou dévié pendant cette période, avec la réponse de la direction. Ce relevé des exceptions est la partie que les acheteurs lisent avec le plus d’attention.

Cela dépend du délai dans lequel vos clients attendent un rapport et de la maturité de vos contrôles.

• Commencez par le Type I lorsqu’une affaire exige rapidement un rapport et que vos contrôles sont conçus mais sans historique de fonctionnement. Le Type I n’a pas de période d’observation : il s’obtient plus vite et peut servir d’étape pendant que les preuves du Type II s’accumulent.
• Visez directement le Type II lorsque vos contrôles tournent déjà selon un calendrier et laissent des preuves. Les équipes sécurité des grands comptes savent ce que signifie un Type I, et elles demanderont de toute façon le Type II.

Dans les deux cas, la période d’observation du Type II ne commence qu’une fois les contrôles en fonctionnement. Collecter les preuves en continu dès le départ, avant l’ouverture formelle de la fenêtre, est le moyen concret d’éviter un premier Type II trop long. Voir combien de temps prend une certification SOC 2 ?

Rarement les contrôles eux-mêmes. La plupart des constats viennent de trous dans leur fonctionnement :

• Un contrôle récurrent qui a sauté un cycle. Si les revues d’accès sont trimestrielles et qu’un trimestre a été manqué, l’auditeur le relève et le rapport le mentionne.
• Une procédure documentée mais non suivie. Une procédure de gestion des changements rédigée en janvier mais pas appliquée en mars constitue une déviation.
• Des preuves reconstituées après coup. Des captures d’écran et des tickets rassemblés dans l’urgence se rattachent mal à la date à laquelle le contrôle a été exécuté.
• Un périmètre trop étroit. Un rapport qui ne couvre qu’un module peut ne pas suffire à un acheteur dont les données transitent par des systèmes hors périmètre.

Comme chaque mois de la fenêtre compte, le SOC 2 Type II est un rythme de fonctionnement à tenir, pas un projet que l’on termine.

L’AICPA présente les rapports SOC comme une information qui aide les utilisateurs à évaluer et à traiter les risques liés à l’externalisation de services, et elle fixe les normes professionnelles des missions SOC. Elle a indiqué qu’elle agirait contre ses membres dont les audits SOC ne respectent pas les normes professionnelles, qui ne sont pas inscrits au contrôle de qualité par les pairs (peer review) ou qui n’ont pas de licence. À la réception d’un rapport, vérifiez :

• le type et, pour un Type II, les dates de la période, par rapport à la durée pendant laquelle vous vous appuyez sur le service ;
• l’opinion de l’auditeur, sans réserve ou avec réserve ;
• la description du système, pour confirmer que les services que vous utilisez sont dans le périmètre ;
• les exceptions et la réponse de la direction ;
• le cabinet d’experts-comptables signataire.

Voir qu’est-ce qu’un rapport SOC 2 et qui le consulte ?