SOC 1 vs SOC 2 au Canada : CSAE 3416, CSAE 3000 et ce dont vos clients ont réellement besoin

Les organisations de services au Canada sont souvent sollicitées pour un « rapport SOC » sans qu’il leur soit précisé lequel. Les gestionnaires de paie, les fournisseurs de services de paiement, les sociétés d’hébergement, les administrateurs de sinistres et les centres d’appels reçoivent toutes ces demandes. Choisir le bon type de rapport permet d’éviter de payer pour un rapport qui ne répond pas à la question de votre client.

En bref

• Le SOC 1 couvre les contrôles d’une organisation de services qui sont pertinents pour le contrôle interne des entités utilisatrices sur les rapports financiers. Ses principaux lecteurs sont les équipes financières de vos clients et leurs auditeurs externes.
• Le SOC 2 couvre les contrôles pertinents pour la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée. Ses principaux lecteurs sont les équipes de sécurité, de gestion des risques et d’approvisionnement de vos clients.

Les deux descriptions proviennent du guide non normatif de FRAS Canada sur les missions SOC, qui énonce également les normes canadiennes applicables.

Comment les normes canadiennes s’alignent

Les désignations SOC 1, SOC 2 et SOC 3 proviennent de la suite SOC for Service Organizations de l’AICPA. Au Canada, les professionnels réalisent ces missions selon les normes d’assurance canadiennes :

• SOC 1 : CSAE 3416, Rapports sur les contrôles d’une organisation de services, conjointement avec la CSAE 3000. La FAQ du CPABC sur les rapports sur les contrôles des organisations de services indique qu’un rapport SOC 1 est largement similaire à un rapport CSAE 3416.
• SOC 2 et SOC 3 : CSAE 3000 seule, selon le guide de FRAS Canada. CPA Canada publie également un guide SOC 2 adapté aux normes canadiennes.

Le même guide de FRAS Canada indique que les missions SOC ne permettent pas de rapports d’assurance limitée, seule l’assurance raisonnable s’applique.

Type 1 ou Type 2 ?

Les rapports SOC 1 et SOC 2 se présentent sous deux formes. Comme le décrit la FAQ du CPABC pour la CSAE 3416, un rapport de Type 1 traite de la conception des contrôles à une date précise, tandis qu’un rapport de Type 2 traite de la conception et de l’efficacité opérationnelle sur une période.

Un rapport de Type 1 est utile comme première étape ou lorsqu’un client a besoin de quelque chose rapidement. La plupart des auditeurs et des équipes de gestion des risques demanderont finalement un rapport de Type 2, car il démontre que les contrôles ont réellement fonctionné au fil du temps.

De quel type de rapport vos clients ont-ils besoin ?

Choisissez le SOC 1 lorsque

• Votre service affecte directement les registres financiers de vos clients : paie, traitement des paiements, facturation, administration des investissements, traitement des transactions.
• Les auditeurs externes de vos clients le demandent. Conformément à la NCA 402, que la FAQ du CPABC identifie comme la norme d’audit connexe, les auditeurs des utilisateurs examinent les contrôles des organisations de services, et un rapport SOC 1 est la preuve sur laquelle ils s’appuient généralement.

Choisissez le SOC 2 lorsque

• Les clients posent des questions sur la protection des données, la disponibilité ou la confidentialité plutôt que sur la comptabilité.
• La demande provient de questionnaires de sécurité, d’examens des risques fournisseurs ou de l’approvisionnement.
• Vous hébergez ou traitez des données sensibles mais n’influencez pas les chiffres financiers de vos clients.

Considérez les deux lorsque

Un fournisseur de services de paiement ou une plateforme fintech peut avoir besoin des deux : SOC 1 pour les auditeurs des clients, SOC 2 pour leurs équipes de sécurité. De nombreux contrôles se chevauchent, en particulier les contrôles généraux informatiques tels que l’accès, la gestion des changements et les opérations, de sorte que le travail peut être planifié conjointement.

N’oubliez pas les contrôles complémentaires

Chaque rapport SOC décrit les contrôles que vos clients doivent opérer eux-mêmes, souvent appelés contrôles complémentaires de l’entité utilisatrice. Si un client ne révise pas son propre accès utilisateur sur votre plateforme, votre rapport ne peut pas couvrir cette lacune. Rédigez-les clairement et assurez-vous que vos documents d’intégration les répètent.

Préparation d’un premier rapport

1. Confirmez avec deux ou trois clients clés le rapport dont ils ont besoin et pourquoi.
2. Définissez la portée du système : services, emplacements, infrastructure et organisations de sous-services.
3. Rédigez les objectifs de contrôle (SOC 1) ou faites la correspondance avec les critères (SOC 2), puis effectuez une évaluation de préparation.
4. Corrigez les lacunes avant le début de la période et recueillez des preuves de manière cohérente tout au long de celle-ci.

Comment nous pouvons vous aider : Ubitrak réalise les travaux de préparation aux rapports SOC 1 et SOC 2 et coordonne avec les cabinets d’experts-comptables partenaires qui émettent les rapports, tandis qu’Accel GRC organise les contrôles et les preuves. Consultez notre page SOC 2, notre offre d’audit financier, nos exemples de documents, ou contactez-nous.

Sources

• FRAS Canada – Guide non normatif sur les missions SOC
• CPABC – FAQ sur les rapports sur les contrôles des organisations de services
• CPA Canada – Guide SOC 2
• AICPA & CIMA – Aperçu des SOC pour les organisations de services