SOC 2,
preuves en continu.

Préparer un rapport SOC 2 qui correspond à vos engagements de service

Le premier livrable utile n’est pas une liste de mesures : c’est un périmètre compréhensible. Quel service sera examiné ? Quelles équipes l’exploitent ? Quels prestataires interviennent dans sa fourniture ? Ces décisions conditionnent les preuves à conserver et la portée du rapport remis aux acheteurs. Un dispositif solide commence donc par le service réellement vendu, pas par un catalogue de contrôles déconnecté des opérations.

Quelles organisations sont concernées ?

SOC 2 s’adresse aux organisations de services dont les clients souhaitent une assurance indépendante sur les systèmes et les informations confiés. Cela concerne notamment les éditeurs SaaS, les prestataires cloud et les services managés. Une entreprise européenne peut être sollicitée au même titre qu’un fournisseur américain.

Il n’existe pas de seuil général d’effectif ou de chiffre d’affaires rendant SOC 2 obligatoire. La demande vient généralement d’un processus d’achat, d’un contrat ou d’une revue des fournisseurs. Avant de lancer le chantier, demandez quel produit, quelle période et quel type de rapport sont attendus. Un rapport portant sur une autre offre ne répondra pas nécessairement au besoin.

SOC 2 relève d’une mission d’attestation indépendante, et non d’une certification réglementaire. La direction reste responsable de la description du système et des contrôles. Un cabinet indépendant de CPA réalise l’examen et émet le rapport ; l’outil de préparation ne se substitue pas à lui.

Transformer les critères en pratiques vérifiables

Les Trust Services Criteria de l’AICPA couvrent la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la protection des données personnelles. Le choix des catégories doit refléter les engagements du service. La disponibilité répond, par exemple, à des engagements de fonctionnement ; l’intégrité du traitement concerne notamment son caractère complet, valide, exact, effectué à temps et autorisé.

Pour chaque critère pertinent, identifiez un contrôle, un responsable, une fréquence et une preuve exploitable. Les sujets opérationnels à examiner comprennent :

• les habilitations, les comptes privilégiés et les départs de collaborateurs ;
• les changements applicatifs, leurs validations et les mises en production urgentes ;
• la surveillance, les incidents, les vulnérabilités et les exercices de restauration ;
• les risques, les fournisseurs et les responsabilités internes ;
• les règles de conservation, de manipulation et de suppression des informations.

Une procédure décrit une intention ; elle ne prouve pas son exécution. Pour une revue des accès, conservez la population examinée, la date, le valideur, les écarts et les corrections. Même sans anomalie, la décision de revue doit être traçable.

Les ressources officielles de l’AICPA distinguent les critères de confiance des critères utilisés pour décrire le système. Cette description mérite son propre travail : flux, dépendances, limites et engagements doivent correspondre au fonctionnement réel.

Construire le calendrier Type I et Type II

Pour un Type I, l’examen porte sur la description du système et l’adéquation de la conception des contrôles à une date donnée. Cette date suppose des mesures déjà mises en place et des responsabilités effectives. Ce n’est pas simplement la date de validation d’un dossier documentaire.

Le Type II ajoute l’examen de l’efficacité opérationnelle sur une période définie. Prévoyez trois séquences distinctes : préparation, période examinée, puis travaux de finalisation du cabinet et émission du rapport. La durée et les attentes de preuve se fixent avec l’auditeur ; aucun délai de préparation unique ne convient à toutes les organisations.

Le Type I n’est pas un préalable obligatoire au Type II. Le choix dépend de la maturité et des demandes des clients. En revanche, une photographie à une date ne remplace pas l’historique attendu lorsque l’acheteur exige un Type II.

Ne démarrez pas la période avec des contrôles récurrents encore théoriques. Une revue trimestrielle lancée en cours de période ne permet pas de reconstituer les revues antérieures. Signalez au cabinet les changements et les preuves manquantes plutôt que de produire des documents antidatés.

Les enjeux : contrats, confiance et constats d’audit

SOC 2 ne prévoit pas d’amende réglementaire pour l’absence de rapport. Les conséquences relèvent surtout des contrats et des achats : qualification fournisseur bloquée, demandes d’explication ou engagement non tenu. Un incident ou une déclaration trompeuse peut toutefois relever d’autres obligations juridiques.

Des exceptions aux tests ou une opinion modifiée demandent une lecture contextualisée. Identifiez le contrôle concerné, la période, le résultat et la réponse de la direction. Résumer le rapport à « réussi » ou « échoué » masque sa portée réelle.

Organisez également sa diffusion. Un rapport SOC 2 comporte des informations sensibles et vise des utilisateurs déterminés disposant des connaissances nécessaires, plutôt qu’une publication ouverte. Définissez qui autorise les transmissions et quelles informations accompagnent le document.

Une démarche opérationnelle en sept étapes

1. Clarifier la demande. Confirmez le service, les catégories, le type de rapport, la période souhaitée et les destinataires. Vérifiez que les promesses commerciales correspondent au périmètre envisagé.
2. Décrire les limites du système. Recensez infrastructure, logiciels, personnes, procédures et données. Rendez explicites les services exclus et les dépendances essentielles.
3. Évaluer les écarts. Comparez les pratiques aux critères pertinents et aux engagements. Traitez en priorité ce qui empêcherait un fonctionnement continu des contrôles.
4. Rendre chaque contrôle exécutable. Nommez un propriétaire, une fréquence, un circuit d’escalade et une preuve attendue. Évitez les engagements impossibles à tenir dans l’exploitation quotidienne.
5. Tester la collecte. Retrouvez une validation de changement, une revue d’accès et un dossier d’incident. Vérifiez les dates, les populations et les droits d’accès aux pièces.
6. Piloter la période. Suivez les activités manquées et les corrections. Conservez l’historique lors d’un changement d’outil, de responsable ou de prestataire.
7. Accompagner l’examen. Répondez aux demandes du cabinet et analysez les constats. Transformez les suites du rapport en actions attribuées avant le cycle suivant.

Les responsabilités des clients doivent rester visibles. Si l’activation d’une fonction de sécurité leur revient, précisez-le. De même, le rapport d’un hébergeur ne démontre pas automatiquement la maîtrise des contrôles propres à votre application.

L’appui de Domyno dans la durée

Domyno associe une plateforme SaaS à un expert humain dédié : les agents préparent le travail, l’humain le valide. Le module Contrôles & conformité réunit une bibliothèque commune couvrant plus de 28 référentiels, les preuves et les plans d’action. Cette structure aide à coordonner les travaux sans confondre les exigences de chaque cadre.

La Documentation permet de gérer politiques et versions. La cartographie des actifs et le suivi des fournisseurs apportent le contexte opérationnel. Les plus de 300 connecteurs, dont Active Directory sur site, permettent de relier les environnements existants. L’hébergement peut se faire dans tout cloud, toute région ou sur site.

Domyno soutient la préparation et le maintien du dispositif ; le cabinet indépendant conserve la responsabilité de ses tests et de son opinion. Aucun outil ne garantit le résultat ni ne remplace un historique réel.

Présentez votre périmètre et vos échéances lors d’une démo Domyno pour structurer la prochaine étape.