Comment obtenir un rapport SOC 2

Par Paul Gillet · Mis à jour le 2026-10-17

Si un client vous demande « êtes-vous conformes à SOC 2 ? », il demande en réalité un rapport SOC 2 : l'avis indépendant d'un cabinet CPA sur vos contrôles, émis selon les normes d'attestation de l'AICPA. Il n'existe ni certificat SOC 2 ni seuil de réussite. Le rapport décrit votre système, vos contrôles et les tests de l'auditeur, et l'équipe sécurité du client le lit pour décider si elle peut vous confier ses données.

Ce que couvre le rapport

SOC 2 évalue vos contrôles au regard des Trust Services Criteria de l'AICPA (2017, avec des points d'attention révisés en 2022). Il existe cinq catégories :

• Sécurité (les critères communs, CC1 à CC9) : toujours incluse. Elle couvre la gouvernance, l'évaluation des risques, la surveillance, les accès logiques et physiques, l'exploitation, la gestion des changements et le risque fournisseurs.
• Disponibilité (A1) : capacité, sauvegardes et reprise. À ajouter si vos clients dépendent de votre disponibilité.
• Confidentialité (C1) : identification et destruction des informations confidentielles. Fréquente pour les produits B2B qui hébergent des données clients.
• Intégrité du traitement (PI1) : traitements complets, exacts et réalisés dans les délais. Pertinente pour les services de paiement, de paie et de traitement de données.
• Confidentialité des données personnelles (P1 à P8) : information, consentement, conservation et communication des données personnelles. Peu de référentiels de sécurité la couvrent ; le RGPD (GDPR) s'en approche le plus.

La plupart des premiers rapports portent sur la seule Sécurité, ou sur la Sécurité avec la Disponibilité et la Confidentialité. Ajoutez des catégories lorsque les clients les demandent, et non par défaut : chacune ajoute des contrôles à faire fonctionner et des preuves à collecter.

Type I ou Type II ?

• Un rapport Type I atteste que vos contrôles étaient correctement conçus et en place à une date donnée. Il est plus rapide et utile comme première étape lorsqu'une transaction ne peut pas attendre.
• Un rapport Type II atteste que vos contrôles étaient conçus et ont fonctionné efficacement sur une période, généralement de 3 à 12 mois. C'est ce que demandent le plus souvent les équipes de gestion des risques fournisseurs, car il montre que les contrôles fonctionnent en pratique.

Un parcours courant consiste à obtenir un Type I dès que vous êtes prêts, puis un premier Type II couvrant une période de 3 à 6 mois, puis des rapports Type II annuels couvrant 12 mois.

Les étapes

1. Définir le système dans le périmètre : le produit ou service acheté par les clients, ainsi que l'infrastructure, les personnes, les processus et les données qui le sous-tendent. Limitez-le à ce sur quoi les clients s'appuient ; un périmètre resserré coûte moins cher à faire vivre et s'explique plus facilement.
2. Choisir les critères : la Sécurité, plus les catégories éventuelles demandées par vos clients.
3. Réaliser une évaluation de préparation au regard des critères. Utilisez l'analyse d'écarts si vous suivez déjà un autre référentiel, puis faites-la valider par le cabinet CPA ou un consultant.
4. Combler les écarts et tout consigner par écrit : politiques, évaluation des risques, revues des accès, gestion des changements, revues des fournisseurs, réponse aux incidents, arrivées et départs, sauvegardes. Les auditeurs comparent ce que vous faites à ce que vous dites faire ; les documents doivent donc refléter la réalité.
5. Choisir un cabinet CPA. Seuls les cabinets CPA agréés peuvent émettre des rapports SOC 2. Comparez leur expérience auprès d'entreprises comparables à la vôtre, la profondeur technique des auditeurs et la manière dont les preuves seront collectées.
6. Type I facultatif : l'auditeur vérifie la conception et la mise en œuvre à un instant donné.
7. Mener la période d'observation pour un Type II : faites fonctionner chaque contrôle et conservez les preuves au fil de l'eau.
8. Travaux de terrain et rapport : l'auditeur prélève des échantillons de preuves sur la période, discute avec vous des exceptions éventuelles et émet le rapport, généralement quelques semaines après la fin de la période.
9. Assurer la continuité : un rapport SOC 2 porte sur le passé ; les clients attendent donc un nouveau rapport chaque année, sans rupture entre les périodes.

Délais habituels

Pour une petite entreprise logicielle dotée d'une hygiène de sécurité correcte, la préparation et la remédiation prennent généralement un à trois mois, un Type I peut suivre immédiatement, et un premier Type II arrive trois à six mois plus tard. Des périmètres plus larges, davantage de catégories ou des processus peu matures allongent chaque étape. Considérez toute promesse de fournisseur « SOC 2 en quelques semaines » comme une promesse portant sur le Type I.

Preuves demandées par les auditeurs

Les tests de Type II reposent principalement sur des échantillons. Attendez-vous à des demandes de ce type, tirées de la période d'observation :

• arrivées et départs de collaborateurs, avec la preuve que les accès ont été accordés après approbation et retirés dans les délais ;
• revues périodiques des accès utilisateurs pour les systèmes clés ;
• tickets de changement attestant de la revue, des tests et de l'approbation avant la mise en production ;
• résultats d'analyses de vulnérabilités et de tests d'intrusion, avec leur remédiation ;
• l'évaluation des risques et sa revue par la direction ;
• dossiers de vérification préalable (due diligence) des fournisseurs critiques ;
• tickets d'incidents, et preuves des tests de réponse aux incidents ;
• tests de sauvegarde et de restauration, et alertes de surveillance avec leur suivi ;
• registres de formation à la sensibilisation à la sécurité et politiques signées.

Les pièges fréquents

• Organisations sous-traitantes : les contrôles de votre fournisseur cloud ne sont pas les vôtres. La plupart des rapports utilisent la méthode d'exclusion (carve-out) : vous identifiez le fournisseur, vous vous appuyez sur son propre rapport SOC 2 et vous démontrez que vous le revoyez.
• Contrôles complémentaires à la charge des entités utilisatrices : le rapport liste les contrôles que vos clients doivent exploiter eux-mêmes, comme la gestion de leurs propres utilisateurs. Rendez-les réalistes.
• Exceptions : un rapport Type II peut comporter des exceptions (échantillons en échec) et rester utile. Expliquez-les clairement dans votre réponse de la direction plutôt que de les dissimuler.
• Dérive du périmètre : chaque système inclus doit respecter chaque contrôle, chaque jour de la période.

Comment ce site vous aide

ControlMapping associe chaque critère SOC 2 aux autres référentiels qu'il couvre, afin de voir ce que vos travaux existants peuvent reprendre. Le texte des critères est protégé par le droit d'auteur de l'AICPA ; nous présentons donc nos propres résumés d'une ligne. Chaque lien vers SOC 2 relève du jugement éditorial de ControlMapping, dont nous indiquons la raison : les correspondances publiées par l'AICPA ne sont pas sous licence ouverte. Utilisez-le pour planifier, et non comme preuve d'audit.

Vous avez déjà un autre référentiel ?

Nombre d'exigences SOC 2 auxquelles chaque référentiel que vous suivez peut-être déjà correspond. Ouvrez un rapport d'écarts pour la liste exigence par exigence.

Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · Faiblement liés partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Les décomptes proviennent des mêmes données que le analyse des écarts ; une correspondance signifie que les exigences sont liées, et non qu'une exigence en satisfait une autre.

Questions

SOC 2 est-il une certification ?

Non. Un rapport SOC 2 est une attestation : l'avis d'un cabinet CPA sur vos contrôles. Personne n'est « certifié SOC 2 », bien que l'expression soit courante.

Faut-il un SOC 2 Type I ou Type II ?

La plupart des clients demandent un Type II, car il vérifie que les contrôles ont fonctionné sur une période. Un Type I constitue une première étape raisonnable lorsqu'un client l'accepte pendant que la période du Type II se déroule.

SOC 2 est-il imposé par la loi ?

Non. Il s'agit d'une attente du marché, principalement issue des processus de gestion des risques fournisseurs des clients américains. Les contrats peuvent le rendre obligatoire pour vous.

Ceci ne constitue pas un conseil juridique ou en conformité. Consultez le texte officiel ainsi que votre auditeur, évaluateur ou régulateur avant de vous y fier.