Un seul jeu de contrôles pour SOC 2 et ISO 27001 : faire tourner les deux sans tout faire deux fois

Les entreprises qui vendent des logiciels à l'international finissent souvent par avoir les deux : un rapport SOC 2 pour les clients américains et un certificat ISO 27001 pour les autres. Si vous les menez comme deux projets, vous rédigez deux jeux de politiques, collectez deux fois les mêmes preuves et subissez des audits qui se chevauchent. Si vous les pilotez à partir d'un seul jeu de contrôles, le second référentiel ne coûte qu'une fraction du premier.

Voici comment mettre cela en place.

Quelle est la part de recoupement

Direction	Mis en correspondance	Faiblement liés	Aucune correspondance
Avoir ISO 27001 → viser SOC 2	41 sur 61 (67%)	0	20	rapport →
Avoir SOC 2 → viser ISO 27001	98 sur 123 (80%)	21	4	rapport →

En passant de SOC 2 à ISO 27001, presque chaque contrôle de l'Annexe A et chaque clause du SMSI correspondent à un critère SOC 2. Les rares éléments sans correspondance relèvent de la mécanique du système de management propre à ISO : la définition du SMSI lui-même et la maîtrise des informations documentées. Dans l'autre sens, les critères SOC 2 sans équivalent ISO sont les catégories facultatives Confidentialité et Intégrité du traitement ; les critères de sécurité, eux, ont tous une correspondance.

Le recoupement porte donc sur les contrôles de sécurité. Les différences tiennent à la structure : ISO attend un système de management autour des contrôles, tandis que SOC 2 demande la preuve qu'ils ont fonctionné sur une période.

Étape 1 : choisir une colonne vertébrale

Un jeu de contrôles commun a besoin d'une structure principale à laquelle tout se rattache. Utilisez l'Annexe A de l'ISO 27001 comme colonne vertébrale si vous détenez ou visez la certification, car la Déclaration d'applicabilité liste déjà chaque contrôle avec une justification. Utilisez les critères SOC 2 si le rapport est votre livrable principal. Les deux approches conviennent ; l'essentiel est que chaque contrôle ait un seul point d'ancrage.

Étape 2 : rédiger chaque contrôle une seule fois

Pour chaque contrôle, conservez une seule fiche comportant :

• Un énoncé clair de ce que vous faites (« L'accès à la production est accordé au moyen d'un ticket approuvé par le propriétaire du système et revu chaque trimestre »).
• Un responsable et une fréquence.
• Les références aux référentiels qu'il satisfait, par exemple ISO A.5.15 et A.5.18, SOC 2 CC6.1–CC6.3.
• La preuve qu'il produit, et l'endroit où cette preuve est conservée.

Les références proviennent d'une correspondance comme la nôtre. Pour le contrôle d'accès, cela donne :

Référentiel	Contrôle d'accès	Lien
NIST CSF 2.0	PR.AA-01PR.AA-05	Définition du sujet
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Correspondance
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Correspondance
SOC 2	CC6.1CC6.2CC6.3	Éditorial
PCI DSS	7.2.17.2.27.2.48.2.1	Correspondance
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Correspondance
800-53	AC-2AC-3	Correspondance
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Correspondance
GDPR	Art.25(2)Art.32(1)(b)	Éditorial
NIS2	11.111.211.5	Correspondance
Essential Eight	—	Aucune correspondance dans nos données

Détail complet et raison de chaque lien : Contrôle d'accès dans les référentiels →

Étape 3 : collecter les preuves une fois, les étiqueter deux fois

Les auditeurs SOC 2 de type II échantillonnent les preuves sur toute la période d'observation : tickets, revues, analyses, comptes rendus de formation. Les auditeurs de surveillance ISO demandent les mêmes types d'enregistrements. Collectez chaque élément une seule fois, à un seul endroit, et étiquetez-le avec chaque référence de référentiel rattachée à son contrôle.

Étape 4 : aligner les calendriers

• Démarrez la période d'observation SOC 2 lorsque vos contrôles ont fonctionné pendant quelques semaines, et non le jour de leur mise en place.
• Planifiez les audits internes ISO et les revues de direction de manière à produire des enregistrements pendant la période SOC 2 : ce sont aussi de bonnes preuves de gouvernance pour les critères communs SOC 2.
• Demandez si vos auditeurs peuvent coordonner leurs travaux de terrain. Même s'ils ne le peuvent pas, rapprocher les deux audits signifie un seul cycle de demandes de preuves.

Étape 5 : combler les lacunes que chaque référentiel laisse

Lancez le rapport d'écarts SOC 2 → ISO 27001 ainsi que le sens inverse. Attendez-vous à deux types de nouveaux travaux :

• Pour ISO : le système de management. Périmètre, objectifs, appréciation et traitement des risques, Déclaration d'applicabilité, audit interne, revue de direction et actions correctives.
• Pour SOC 2 : les catégories facultatives que vous incluez, et l'habitude de conserver les preuves en continu pendant une période complète.

Notre comparatif ISO 27001 vs SOC 2 recense chaque exigence dans les deux sens, et les guides SOC 2 et ISO 27001 traitent des audits eux-mêmes.

Note sur les correspondances

Aucune correspondance SOC 2 sous licence ouverte n'existe ; chaque lien SOC 2 de ce site relève donc du jugement éditorial de ControlMapping, et la raison est indiquée. Utilisez la correspondance pour concevoir le jeu de contrôles, puis faites confirmer les détails par vos auditeurs avant de vous y fier.

Questions

Un même auditeur peut-il réaliser SOC 2 et ISO 27001 ensemble ?

Certains cabinets disposent à la fois d'une activité d'expert-comptable (CPA) et d'un organisme de certification accrédité, et coordonnent les audits, mais il s'agit toujours de deux missions distinctes avec deux livrables : un rapport SOC 2 et un certificat ISO 27001.

Lequel faut-il obtenir en premier, SOC 2 ou ISO 27001 ?

Celui que vos clients demandent en premier. Si vous construisez le jeu de contrôles commun décrit ici, le second ajoute surtout les clauses du système de management (pour ISO) ou la période de preuves et les critères facultatifs (pour SOC 2).