SOC 2 en clair : pour les entreprises qui vendent aux États-Unis
Les clients américains demandent souvent un rapport SOC 2 avant de signer. Ce que c'est, la différence entre Type 1 et Type 2, qui peut le délivrer et ce qu'il faut avoir en place, que vous soyez à Lyon, Munich ou Leeds.
En 30 secondes
- Quoi
- Un examen des contrôles d'un prestataire de services sur la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité ou la vie privée. Le résultat est un rapport avec l'opinion de l'auditeur.
- Critères
- Les Trust Services Criteria 2017 de l'AICPA, avec des points of focus révisés en 2022. Vous choisissez avec l'auditeur les catégories couvertes par le rapport.
- Deux types
- Type 1 : la description de votre système et la conception de vos contrôles, à une date. Type 2 : la même chose, plus leur fonctionnement effectif sur une période.
- Qui le délivre
- Un cabinet CPA agréé, selon les normes d'attestation de l'AICPA. Vous recevez un rapport d'attestation avec l'opinion du cabinet.
- Qui le lit
- Diffusion restreinte : vos clients et ceux qui comprennent votre système, en général sous accord de confidentialité. Le SOC 3 en est la version publique, plus courte.
- Votre part
- La direction décrit le système et atteste de son exactitude. Votre équipe fait fonctionner les contrôles et garde les preuves sur toute la période.
Ce qu’est SOC 2
SOC 2 est un rapport d’attestation américain. Un cabinet CPA, l’équivalent américain d’un cabinet d’expertise comptable et d’audit, examine comment un prestataire protège les systèmes qui servent ses clients, selon les Trust Services Criteria fixés par l’AICPA, l’organisation professionnelle des comptables américains. Le résultat est un rapport : la description de votre système, vos contrôles, l’opinion de l’auditeur et, pour un Type 2, les tests qu’il a menés.
Les entreprises américaines s’en servent pour évaluer leurs fournisseurs. Si vous hébergez des données, exploitez une plateforme ou fournissez des services informatiques à des clients américains, attendez-vous à le voir dans leur évaluation fournisseur, à côté de leur questionnaire de sécurité.
Les Trust Services Criteria
Les critères sont regroupés en cinq catégories. Vous choisissez avec l’auditeur celles que couvre le rapport, selon votre service et ce dont vos clients ont besoin.
La vie privée au sens de SOC 2 est un sujet distinct du RGPD. Un rapport SOC 2 avec la catégorie Vie privée ne prouve pas la conformité au RGPD, et le RGPD ne demande pas de SOC 2. Si vous vendez aux États-Unis depuis l’Europe, vous aurez souvent les deux à traiter.
Type 1 ou Type 2
Type 1
La description de votre système et la conception de vos contrôles, à une date donnée.
- Question posée
- Les bons contrôles sont-ils en place ?
- Preuves
- À une date
Type 2
Les mêmes opinions, plus une sur le fonctionnement effectif des contrôles tout au long d'une période donnée.
- Question posée
- Ont-ils fonctionné, mois après mois ?
- Preuves
- Sur toute la période
Qui délivre le rapport
Seul un cabinet CPA peut mener un examen SOC 2 et émettre le rapport, selon les normes d’attestation de l’AICPA (la norme SSAE 21 s’applique aux rapports datés du 15 juin 2022 ou après). Un logiciel ne le peut pas. Si vous choisissez un cabinet établi hors des États-Unis, demandez-lui à quel titre il est habilité à émettre des rapports SOC 2.
Le rapport va à des destinataires désignés qui comprennent votre système : vos clients, leurs auditeurs, parfois des prospects sous accord de confidentialité. Pour une version courte que vous pouvez publier, l’auditeur émet un rapport SOC 3.
Ce qu’il faut avoir en place
- Un périmètre définiLe service, les systèmes derrière lui, les critères couverts.
- Une description du systèmeCe que fait le service, et les systèmes, personnes et procédures derrière lui, rédigée par la direction.
- Une analyse de risquesLes risques de ce service, et les contrôles qui y répondent.
- Des politiques appliquéesSécurité, accès, gestion des changements, incidents, fournisseurs.
- Le contrôle des accèsArrivées, départs, double authentification, revues d'accès régulières.
- La gestion des changementsChangements demandés, revus, approuvés et tracés.
- Surveillance et incidentsJournaux revus, incidents enregistrés et traités.
- Des preuves dans la duréePour un Type 2 : des traces pour chaque mois de la période.
- D'abordPréparationPérimètre, analyse d'écarts, contrôles et politiques manquants.
- Une dateType 1L'auditeur vérifie la conception à une date.
- Une périodeType 2Les contrôles fonctionnent et les preuves s'accumulent sur la période convenue.
- EnsuiteRenouvellementLes clients demandent un rapport récent : le cycle recommence.
SOC 2 et ISO 27001
Les deux couvrent une grande partie du même terrain : analyse de risques, contrôle des accès, gestion des changements, incidents, fournisseurs, surveillance. L’AICPA a publié une correspondance entre les Trust Services Criteria et ISO 27001 (publiée en 2018, avant l’édition 2022 d’ISO 27001) : un même socle de contrôles peut servir aux deux.
Les livrables diffèrent. ISO 27001 vous donne un certificat d’un organisme de certification accrédité, sur un système de management, valable trois ans avec des audits de surveillance. SOC 2 vous donne un rapport d’attestation d’un cabinet CPA, qui décrit votre système et, pour un Type 2, le résultat des contrôles sur une période. Demandez à chaque client ce qu’il accepte avant de lancer le second.
Se préparer à SOC 2 : qui fait quoi
Ce que fait QoBot
- Vous aide à fixer le périmètre : quel service, quels systèmes, quels critères le client attend.
- Rédige le projet de description du système à partir de ce qui est vrai chez vous aujourd'hui.
- Fait le lien entre vos contrôles existants, ISO 27001 compris, et les Trust Services Criteria, et liste les écarts.
- Rédige les politiques et procédures manquantes, et la liste des preuves pour chaque contrôle.
- Suit les preuves pendant la période du Type 2 et vous dit ce qui manque avant que l'auditeur ne le voie.
Ce que fait votre équipe
- La direction approuve le périmètre, la description du système et l'attestation.
- Votre équipe fait fonctionner les contrôles et garde les traces, chaque mois de la période.
- Vous choisissez le cabinet CPA et convenez de la période avec lui.
- Vous répondez aux demandes et aux tests par échantillon de l'auditeur.
Périmètre proposé pour Northwind Logistics : la plateforme de suivi des expéditions, critères Sécurité et Disponibilité, un Type 1 d'abord. 31 contrôles repris de votre système ISO 27001, 6 écarts. Cette semaine :
- Claire (DG adjointe): approuver le périmètre et le plan de la description du système · ~20 minVotre accord
- Tom (informatique): exporter les revues d'accès et les tickets de changement du dernier trimestre · guide prêt · ~30 minÀ vous
Questions fréquentes
Une entreprise européenne ou britannique peut-elle obtenir un rapport SOC 2 ?
Oui. SOC 2 porte sur votre service et vos contrôles, où que vous soyez établi. Le rapport est émis par un cabinet CPA ; demandez-lui à quel titre il est habilité à émettre des rapports SOC 2, car l'AICPA signale les cabinets non agréés aux autorités comptables des États américains.
Type 1 ou Type 2 d'abord ?
Un Type 1 montre la conception de vos contrôles à une date, il peut donc arriver plus tôt. Un Type 2 montre aussi qu'ils ont fonctionné sur une période, ce que beaucoup de clients attendent. Demandez à votre client ce qu'il accepte, et si un Type 1 maintenant avec un Type 2 prévu suffit pour le contrat.
Combien de temps faut-il ?
Tout dépend du périmètre et de ce qui est déjà en place. Pour un Type 2, vos contrôles doivent fonctionner pendant toute la période avant que le rapport puisse les couvrir, et cette période se décide avec l'auditeur. Comptez en mois.
Nous sommes certifiés ISO 27001. Faut-il aussi SOC 2 ?
Si un client le demande, en général oui : ce sont deux livrables différents. Le travail se recoupe beaucoup, et l'AICPA a publié une correspondance entre les Trust Services Criteria et ISO 27001 : vos contrôles ISO vous donnent une bonne avance. Voir ISO 27001 en clair.
Pouvons-nous publier notre rapport SOC 2 ?
Non. Un rapport SOC 2 s'adresse à des destinataires désignés qui comprennent votre système : on le partage en général sous accord de confidentialité. Pour une version publique, l'auditeur émet un rapport SOC 3.
QoBot peut-il émettre ou signer notre rapport SOC 2 ?
Non. Seul un cabinet CPA peut mener l'examen et émettre le rapport. QoBot vous prépare : périmètre, projet de description du système, contrôles reliés aux critères, liste des preuves et suivi.
Sources
- 2017 Trust Services Criteria (with revised points of focus, 2022)AICPA · sécurité, disponibilité, intégrité du traitement, confidentialité, vie privéeTexte officiel
- SOC 2 guide: reporting on an examination of controls at a service organizationAICPA · ce que couvre un examen SOC 2 ; normes SSAE 20 et 21Texte officiel
- System and Organization Controls: SOC suite of servicesAICPA · examens menés par des CPA ; cabinets non agréés signalés aux autorités des ÉtatsPage officielle
- SOC 3: SOC for service organizations, general useAICPA · rapports à diffusion librePage officielle
- Mapping of the 2017 Trust Services Criteria to ISO 27001AICPA · mai 2018, mise à jour en mars 2020, avant ISO/IEC 27001:2022Page officielle
- Explaining the 3 faces of SOCJournal of Accountancy (AICPA) · rapports de type 1 et de type 2Page officielle
- Promises of fast and easy threaten SOC credibilityJournal of Accountancy (AICPA), février 2026 · réservé aux CPA ; SOC 2 à diffusion restreintePage officielle
Cette page explique les règles simplement. Ce n'est pas un conseil juridique : pour un cas limite, demandez à un avocat. Signaler une erreur