SOC 2.
Convenir du périmètre, du type de rapport et des preuves pour permettre aux clients d’évaluer le service effectivement utilisé.
- AICPA TSC 2017 · Points of Focus 2022
- Par Derya Altinay
- À jour au 22/10/2026
- Temps de lecture : 8 min
Réponse courte.
SOC 2 est un rapport d’examen des contrôles d’un système de prestation de services délimité, fondé sur les Trust Services Criteria de l’AICPA. Un cabinet CPA indépendant évalue la description du système et la conception des contrôles. Le type 2 couvre aussi leur efficacité opérationnelle sur une période définie ; le type 1 porte sur une date donnée.
SOC 2 et les Trust Services Criteria.
SOC 2 appartient à la gamme System and Organization Controls de l’AICPA. Les prestataires font examiner les contrôles de leur système par un auditeur de services indépendant. L’AICPA présente ces rapports comme une base d’information sur les risques des prestations externalisées. Il est donc essentiel de savoir quel service et quels engagements ont été examinés, ainsi que les affirmations couvertes par la mission concrète.
Les Trust Services Criteria organisent les thèmes de sécurité, disponibilité, intégrité du traitement, confidentialité et protection de la vie privée. La base proposée publiquement est intitulée 2017 Trust Services Criteria, avec des Points of Focus révisés en 2022. Les critères communs et les catégories supplémentaires sont considérés ensemble dans la mission ; leurs noms ne signifient pas cinq ensembles identiques d’obligations pour chaque service. Le contenu d’une catégorie ne prescrit pas non plus un logiciel.
La description du système possède sa propre référence : les 2018 SOC 2 Description Criteria, avec des conseils d’application révisés en 2022. Elle explique ce qui appartient au système et comment il fonctionne. L’évaluation des contrôles examine ensuite les dispositions correspondantes. Un rapport complet relie ces perspectives ; un logo seul ne montre ni le périmètre ni l’opinion de l’auditeur.
À qui s’adresse un rapport SOC 2.
Un rapport SOC 2 s’adresse aux prestataires et aux clients souhaitant évaluer leurs services. Selon la présentation publique du guide d’examen par l’AICPA, les clients ont besoin d’informations sur la conception, le fonctionnement et l’efficacité des contrôles lorsqu’ils externalisent des fonctions. Cela concerne par exemple la gestion des informations ou la dépendance à un système fourni ; aucune taille précise d’entreprise n’en découle.
Le besoin client contribue à déterminer un périmètre d’examen utile. Avant la commande, clarifiez le produit, l’environnement opérationnel et les engagements essentiels aux destinataires. Comparez les exigences contractuelles de preuve au rapport réellement prévu. SOC 2 ne crée pas d’obligation légale générale d’examen pour tous les fournisseurs SaaS.
La préparation SOC 2 en six domaines.
La préparation associe une mission convenue à des contrôles opérationnels traçables. Les domaines suivants constituent une organisation pratique ; ils ne forment pas une nouvelle liste officielle de critères. Les Trust Services Criteria et Description Criteria applicables restent la base.
Décrire les limites du système et les engagements.
Nommez le service proposé et les personnes, processus, systèmes et dépendances pertinents. La description doit correspondre à la prestation réellement achetée par les clients. Selon la ressource de l’AICPA destinée à la direction, la description du système et la déclaration de la direction sont des éléments propres du rapport ; un inventaire technique seul n’explique pas ces liens.
Convenir des catégories et des risques.
Les engagements de service et les besoins d’information des utilisateurs prévus aident à choisir les catégories pertinentes. Consignez pourquoi une question entre dans le périmètre et quels risques doivent être examinés. La liste de revue de l’AICPA demande d’examiner si les catégories et engagements couverts suffisent à son propre usage.
Faire fonctionner des contrôles sous une responsabilité définie.
Décrivez les dispositions opérationnelles concrètes et les personnes qui les exécutent ou les surveillent. Différents services peuvent nécessiter différents contrôles. Une politique générale contribue à la preuve seulement si ses règles sont appliquées dans les processus pertinents et si leur exécution réelle est traçable.
Recueillir les preuves au bon moment.
Les preuves doivent étayer temporellement l’affirmation examinée. Pour le type 1, la date convenue est déterminante ; pour le type 2, la période d’examen définie. Une capture d’écran nouvellement créée ne prouve pas aisément un fonctionnement antérieur. L’AICPA souligne explicitement le jugement professionnel de l’auditeur dans l’appréciation temporelle.
Clarifier les prestations externalisées et les tâches clients.
Expliquez comment les organisations sous-prestataires importantes sont traitées dans le rapport et quelles tâches restent au client. La liste de revue distingue les contrôles complémentaires des clients des autres tâches utilisateurs. Pour la préparation interne, une attribution claire est recommandée, plutôt qu’un regroupement de toutes les activités dans une liste générale de fournisseurs.
Évaluer les changements et les exceptions.
Les résultats d’examen doivent être replacés dans le contexte du service concerné. Documentez les corrections et changements majeurs pour permettre d’évaluer leur effet. Une exception isolée dans un test et une opinion avec réserve sont deux affirmations différentes. La ressource de l’AICPA destinée à la direction aide à distinguer opinion, tests, résultats et autres informations.
Le parcours vers le rapport SOC 2.
Clarifier les destinataires et le besoin.
Pour commencer concrètement, consignez quel client souhaite évaluer quelle prestation et à quelle décision le rapport doit servir.
Délimiter la mission d’examen.
Convenez de la description du système, des catégories pertinentes, du type de rapport et de la date ou période prévue avec un cabinet CPA indépendant adapté.
Relier les contrôles et les responsabilités.
Vérifiez avec les métiers compétents que les processus décrits fonctionnent réellement et identifiez les enregistrements qui rendent leur fonctionnement traçable.
Garder les preuves opérationnelles disponibles.
Organisez la collecte des justificatifs adaptés pendant la période convenue et clarifiez tôt les preuves relatives aux dépendances externes majeures.
Traiter les constats.
Discutez des questions ouvertes et exceptions à partir de preuves concrètes, puis consignez les corrections et la responsabilité des risques résiduels.
Évaluer le rapport dans son contexte d’utilisation.
Après émission, lisez ensemble le périmètre, l’opinion, la période et les tâches clients, puis prévoyez l’évaluation des changements majeurs ultérieurs.
Bien lire SOC 2 type 2 et type 1.
Les types 1 et 2 répondent à des questions temporelles différentes. Le type 1 concerne la description du système et la conception des contrôles à une date donnée. SOC 2 type 2 couvre aussi leur efficacité opérationnelle sur la période indiquée. La liste de revue de l’AICPA reprend cette distinction dès les données générales du rapport.
Un cabinet CPA agréé émet le rapport SOC 2. Vérifiez le cabinet responsable, son agrément pertinent et la mission effectivement décrite. La préparation par un consultant ou un fournisseur d’outils se distingue de l’examen indépendant. L’organisation reste responsable de ses contrôles.
Le rapport n’a pas de durée générale de validité comparable à un certificat. Son utilité dépend de l’adéquation entre le système, la période, les conclusions et le besoin client actuel. Une migration ultérieure ou un autre changement majeur peut soulever des questions supplémentaires. L’examen du document reste donc une partie de la décision relative au prestataire.
Situer les autres référentiels.
ISO 27001 concerne un système de management de la sécurité de l’information et sa certification possible. BSI C5 suit son propre modèle d’examen des services cloud. Le RGPD régit le traitement des données personnelles ; un rapport SOC 2 ne remplace pas l’examen de ces obligations légales.
Dans Secani.
Secani propose un catalogue de travail éditorial relatif aux Trust Services Criteria de l’AICPA, avec ses propres conseils de mise en œuvre. Les informations de profil distinguent la mission convenue et les catégories supplémentaires. Les mesures et les preuves peuvent être traitées dans leur contexte de travail ; cet outil original ne remplace ni le référentiel de critères protégé ni l’examen indépendant.
Commencer par le besoin client.
Choisissez un service effectivement proposé et consignez les destinataires prévus du rapport. Décrivez les conclusions dont ils ont besoin sur le service et les limites opérationnelles pertinentes. Vous pourrez alors discuter du type de rapport, du périmètre et de la préparation nécessaire avec un cabinet d’examen adapté.
Sources.
Questions fréquentes.
Non. SOC 2 est un rapport d’examen d’un auditeur de services indépendant sur un système décrit et ses contrôles ; ce n’est ni un certificat ISO ni un label général de produit.
Le type 1 porte sur la conception des contrôles à une date donnée. Le type 2 couvre aussi leur efficacité opérationnelle pendant la période d’examen convenue.
Il n’en découle aucune obligation générale fixe ni fréquence imposée. Les risques, les contrôles décrits et la mission convenue déterminent les preuves appropriées ; les contrats clients peuvent comporter des attentes supplémentaires.
Le rapport décrit sa date de référence ou sa période d’examen. Son caractère suffisant pour une décision actuelle dépend aussi du service couvert, des changements intervenus et des exigences du destinataire.
Clarifier le périmètre d’examen.
Discutons de la manière d’organiser les mesures et les preuves de votre service dans Secani.
Cette page explique SOC 2 dans ses propres termes. Les normes AICPA applicables et la mission concrète font foi ; cette présentation ne remplace pas une évaluation spécialisée.