SOC 2 en clair : pour les entreprises qui vendent aux États-Unis
Les clients américains demandent souvent un rapport SOC 2 avant de signer. Voici ce que c'est, la différence entre Type 1 et Type 2, qui peut le délivrer et ce qu'il faut mettre en place, que vous soyez à Lyon, Munich ou Leeds.
En 30 secondes
- Quoi
- Un auditeur examine les contrôles d'un prestataire de services liés à la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité ou la vie privée. Il rend un rapport avec son opinion.
- Critères
- Les Trust Services Criteria 2017 de l'AICPA, avec des points of focus révisés en 2022. Vous choisissez avec l'auditeur les catégories couvertes par le rapport.
- Deux types
- Type 1 : la description de votre système et la conception de vos contrôles, à une date donnée. Type 2 : la même chose, plus le fonctionnement effectif des contrôles sur toute une période.
- Qui le délivre
- Un cabinet CPA agréé, selon les normes d'attestation de l'AICPA. Vous recevez un rapport d'attestation avec l'opinion du cabinet.
- Qui le lit
- Diffusion restreinte : vos clients et d'autres destinataires qui connaissent votre système, en général sous accord de confidentialité. Le SOC 3 en est la version publique, plus courte.
- Votre part
- La direction décrit le système et atteste que cette description est exacte. Votre équipe applique les contrôles et garde les preuves sur toute la période.
Ce qu’est SOC 2
SOC 2 est un rapport d’attestation américain. Un cabinet CPA (l’équivalent américain d’un cabinet d’expertise comptable et d’audit) examine comment un prestataire protège les systèmes qu’il utilise pour servir ses clients. Il s’appuie sur les Trust Services Criteria, fixés par l’AICPA, l’organisation professionnelle des comptables américains. Le rapport contient la description de votre système, vos contrôles, l’opinion de l’auditeur et, pour un Type 2, les tests qu’il a menés.
Les entreprises américaines s’en servent pour évaluer leurs fournisseurs. Si vous hébergez des données, exploitez une plateforme ou fournissez des services informatiques à des clients américains, attendez-vous à ce qu’ils vous le demandent lors de leur évaluation fournisseur, en plus de leur questionnaire de sécurité.
Les Trust Services Criteria
Les critères sont regroupés en cinq catégories. Vous choisissez avec l’auditeur celles que couvre le rapport, selon votre service et ce dont vos clients ont besoin.
La catégorie Vie privée de SOC 2 et le RGPD sont deux sujets distincts. Un rapport SOC 2 avec la catégorie Vie privée ne prouve pas la conformité au RGPD, et le RGPD ne demande pas de SOC 2. Si vous vendez aux États-Unis depuis l’Europe, vous devrez souvent traiter les deux.
Type 1 ou Type 2
Type 1
La description de votre système et la conception de vos contrôles, à une date donnée.
- Question posée
- Les bons contrôles sont-ils en place ?
- Preuves
- À une date
Type 2
Les mêmes opinions que le Type 1, plus une opinion sur le fonctionnement effectif des contrôles pendant toute une période donnée.
- Question posée
- Ont-ils fonctionné, mois après mois ?
- Preuves
- Sur toute la période
Qui délivre le rapport
Seul un cabinet CPA peut mener un examen SOC 2 et émettre le rapport, selon les normes d’attestation de l’AICPA (la norme SSAE 21 s’applique aux rapports datés à partir du 15 juin 2022). Aucun logiciel ne peut le faire. Si vous choisissez un cabinet établi hors des États-Unis, demandez-lui à quel titre il est habilité à émettre des rapports SOC 2.
Le rapport est réservé à des destinataires désignés qui connaissent votre système : vos clients, leurs auditeurs, parfois des prospects sous accord de confidentialité. Si vous voulez une version courte à publier, l’auditeur émet un rapport SOC 3.
Ce qu’il faut mettre en place
- Un périmètre définiLe service, les systèmes qui le font tourner, les critères couverts.
- Une description du systèmeCe que fait le service et ce qui le fait tourner : systèmes, personnes, procédures. La direction la rédige.
- Une analyse de risquesLes risques de ce service et les contrôles qui y répondent.
- Des politiques que l'équipe suitSécurité, accès, gestion des changements, incidents, fournisseurs.
- Le contrôle des accèsArrivées, départs, double authentification, revues d'accès régulières.
- La gestion des changementsChaque changement est demandé, revu, approuvé et tracé.
- Surveillance et incidentsLes journaux sont revus, les incidents enregistrés et traités.
- Des preuves dans la duréePour un Type 2 : des traces pour chaque mois de la période.
- D'abordPréparationPérimètre, analyse d'écarts, contrôles et politiques manquants.
- Une dateType 1L'auditeur vérifie la conception des contrôles à une date donnée.
- Une périodeType 2Les contrôles fonctionnent et les preuves s'accumulent sur la période convenue.
- EnsuiteRenouvellementLes clients demandent un rapport récent, donc le cycle recommence.
SOC 2 et ISO 27001
Les deux se recoupent largement : analyse de risques, contrôle des accès, gestion des changements, incidents, fournisseurs, surveillance. L’AICPA a publié en 2018 une correspondance entre les Trust Services Criteria et ISO 27001, avant l’édition 2022 de la norme. Un même socle de contrôles peut donc servir aux deux.
Les livrables diffèrent. ISO 27001 donne lieu à un certificat sur votre système de management, délivré par un organisme de certification accrédité et valable trois ans avec des audits de surveillance. SOC 2 donne lieu à un rapport d’attestation d’un cabinet CPA, qui décrit votre système et, pour un Type 2, le résultat des contrôles sur une période. Demandez à chaque client lequel il accepte avant de lancer le second.
Se préparer à SOC 2 : qui fait quoi
Ce que fait QoBot
- Vous aide à fixer le périmètre : quel service, quels systèmes, quels critères le client attend.
- Rédige un premier jet de la description du système, à partir de ce qui existe vraiment chez vous aujourd'hui.
- Relie vos contrôles existants, ISO 27001 compris, aux Trust Services Criteria et liste les écarts.
- Rédige les politiques et procédures manquantes, et dresse la liste des preuves à fournir pour chaque contrôle.
- Suit les preuves pendant la période du Type 2 et vous signale ce qui manque avant que l'auditeur ne le remarque.
Ce que fait votre équipe
- La direction approuve le périmètre, la description du système et sa propre attestation.
- Votre équipe applique les contrôles et garde les traces, chaque mois de la période.
- Vous choisissez le cabinet CPA et fixez la période avec lui.
- Vous répondez aux demandes de l'auditeur et à ses tests sur échantillon.
Périmètre proposé pour Northwind Logistics : la plateforme de suivi des expéditions, critères Sécurité et Disponibilité, un Type 1 d'abord. 31 contrôles repris de votre système ISO 27001, 6 écarts. Cette semaine :
- Claire (DG adjointe): approuver le périmètre et le plan de la description du système · ~20 minVotre accord
- Tom (informatique): exporter les revues d'accès et les tickets de changement du dernier trimestre · guide prêt · ~30 minÀ vous
Questions fréquentes
Une entreprise européenne ou britannique peut-elle obtenir un rapport SOC 2 ?
Oui. SOC 2 porte sur votre service et vos contrôles, où que vous soyez établi. Le rapport est émis par un cabinet CPA. Demandez au cabinet à quel titre il est habilité à émettre des rapports SOC 2, car l'AICPA signale les cabinets non agréés aux autorités comptables des États américains.
Type 1 ou Type 2 d'abord ?
Un Type 1 montre la conception de vos contrôles à une date : vous pouvez donc l'obtenir plus tôt. Un Type 2 montre aussi qu'ils ont fonctionné sur une période, ce que beaucoup de clients attendent. Demandez à votre client lequel il accepte, et si un Type 1 tout de suite, puis un Type 2 planifié, lui suffit pour signer.
Combien de temps faut-il ?
Tout dépend du périmètre et de ce qui est déjà en place. Pour un Type 2, vos contrôles doivent fonctionner pendant toute la période avant que le rapport puisse les couvrir, et cette période se fixe avec l'auditeur. Comptez plusieurs mois.
Nous sommes certifiés ISO 27001. Faut-il aussi SOC 2 ?
Si un client le demande, en général oui : ce sont deux livrables différents. Le travail se recoupe beaucoup, et l'AICPA a publié une correspondance entre les Trust Services Criteria et ISO 27001. Vos contrôles ISO vous donnent donc une bonne avance. Voir ISO 27001 en clair.
Pouvons-nous publier notre rapport SOC 2 ?
Non. Un rapport SOC 2 s'adresse à des destinataires désignés qui connaissent votre système : on le partage en général sous accord de confidentialité. Pour une version publique, l'auditeur émet un rapport SOC 3.
QoBot peut-il émettre ou signer notre rapport SOC 2 ?
Non. Seul un cabinet CPA peut mener l'examen et émettre le rapport. QoBot vous prépare : périmètre, projet de description du système, contrôles reliés aux critères, liste des preuves et suivi.
Sources
- 2017 Trust Services Criteria (with revised points of focus, 2022)AICPA · sécurité, disponibilité, intégrité du traitement, confidentialité, vie privéeTexte officiel
- SOC 2 guide: reporting on an examination of controls at a service organizationAICPA · ce que couvre un examen SOC 2 ; normes SSAE 20 et 21Texte officiel
- System and Organization Controls: SOC suite of servicesAICPA · examens menés par des CPA ; cabinets non agréés signalés aux autorités des ÉtatsPage officielle
- SOC 3: SOC for service organizations, general useAICPA · rapports à diffusion librePage officielle
- Mapping of the 2017 Trust Services Criteria to ISO 27001AICPA · mai 2018, mise à jour en mars 2020, avant ISO/IEC 27001:2022Page officielle
- Explaining the 3 faces of SOCJournal of Accountancy (AICPA) · rapports de type 1 et de type 2Page officielle
- Promises of fast and easy threaten SOC credibilityJournal of Accountancy (AICPA), février 2026 · réservé aux CPA ; SOC 2 à diffusion restreintePage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur