Kerson Wallaw
400-3 Place Ville Marie, Montréal QC H3B 2E3
Ph: (514) 312-1555
Réserver une consultation gratuite
Pick a time · Demander un rappel

SOC 2, la preuve pour vos clients.

Un rapport SOC 2 est la manière dont un fournisseur de services démontre à ses clients que ses contrôles fonctionnent. Il s’agit d’une attestation d’un cabinet d’experts-comptables, et non d’un certificat, et il est motivé par la demande des clients plutôt que par la loi.

Parler à un expertInformations connexes

SOC 2 en bref.

Type
Rapport d’attestation par un cabinet d’experts-comptables
Critères
Critères des services de confiance de l’AICPA (2017, points d’attention révisés en 2022)
Émis au Canada en vertu de
la NCAE 3000 (le SOC 1 utilise la NCAE 3416)
Types de rapports
Type I (conception) et Type II (fonctionnement sur une période)
Utilisateurs typiques
SaaS, cloud, hébergement, services gérés, processeurs
Organisme de réglementation
Aucun ; motivé par le client et le contrat

Quoi, pourquoi et qui.

Ce que c’est

Un cabinet d’experts-comptables indépendant examine la description de votre système et les contrôles pertinents par rapport aux critères des services de confiance : Sécurité (toujours incluse), et éventuellement Disponibilité, Intégrité du traitement, Confidentialité et Vie privée. Un rapport de Type I couvre la conception à un moment donné ; un rapport de Type II couvre la conception et l’efficacité opérationnelle sur une période, généralement de six à douze mois.

Pourquoi il existe

Vos clients restent responsables de leurs données lorsqu’ils vous les sous-traitent. Un rapport SOC 2 leur fournit une preuve indépendante que vos contrôles sont conçus et fonctionnent, sans que chaque client n’ait à vous auditer séparément.

À qui il s’applique

Aux organisations de services dont les clients ont besoin d’une assurance concernant la sécurité et les contrôles associés. Le SOC 1 est le rapport distinct pour les contrôles pertinents aux rapports financiers des clients. Le SOC 3 est un bref résumé à usage général.

Autorité et application

L’AICPA est propriétaire des critères des services de confiance et des critères de description. Au Canada, le Conseil des normes d’audit et de certification établit les normes d’assurance : les rapports SOC 2 et SOC 3 sont émis en vertu de la NCAE 3000, appliquant les critères de l’AICPA ; le SOC 1 est émis en vertu de la NCAE 3416. Seuls les cabinets d’expertise comptable agréés peuvent émettre le rapport.

Comment il est arrivé là.

  1. Années 1990–2010

    L’ère SAS 70 des rapports d’auditeur de services.

  2. 2010–2011

    La SSAE 16 (États-Unis), l’ISAE 3402 (international) et la NCAE 3416 (Canada) la remplacent ; les noms SOC 1, 2 et 3 sont introduits.

  3. 2017

    Critères des services de confiance restructurés sur le cadre COSO 2013.

  4. 2018

    Critères de description (DC 200) publiés.

  5. 2022-10

    Points d’attention et guide de mise en œuvre révisés ; les critères eux-mêmes ne changent pas.

Ce qu’il change.

Systèmes et outils

  • Contrôles d’accès logiques et physiques avec MFA
  • Surveillance, gestion des vulnérabilités et sauvegardes
  • Outils de gestion des changements

Processus

  • Examens d’accès et intégration ou désintégration
  • Tests de réponse aux incidents et de récupération
  • Collecte de preuves sur toute la période d’examen pour le Type II

Gouvernance

  • Évaluation des risques et environnement de contrôle basés sur COSO
  • Gestion des fournisseurs et des partenaires commerciaux
  • Une description du système qui correspond à la réalité

Si vous ne vous conformez pas

  • Une opinion avec réserve ou des exceptions dans le rapport
  • Échec de la diligence raisonnable des fournisseurs et cycles de vente bloqués
  • Rupture de contrat lorsqu’un rapport sans réserve est requis
  • Perte de confiance des clients

Changements à venir.

Changements annoncés et à venir

  • Aucun annoncéAucune révision des critères des services de confiance de 2017 n’avait été annoncée par l’AICPA au 03/10/2026.

Statut vérifié le 03/10/2026. Les dates peuvent changer ; confirmez avec les sources officielles ci-dessous.

Ce site enregistre des témoins sur votre ordinateur. Politique sur les témoins