Obtenir un rapport SOC 2 pour des clients américains : Type 1 ou Type 2, auditeurs, délais et coûts

L'essentiel en bref

• Un rapport SOC 2 est une attestation, pas une certification : un cabinet CPA indépendant et agréé émet une opinion selon les normes d'attestation de l'AICPA, et vous partagez le rapport avec vos clients sous NDA.
• Un rapport SOC 2 Type 1 évalue la conception de vos contrôles à une date donnée. Un rapport Type 2 vérifie en plus qu'ils ont fonctionné sur une période d'observation, en général trois mois pour un premier rapport et douze mois à partir du deuxième.
• En partant de zéro, un premier rapport SOC 2 Type 2 prend huit à dix mois. Avec un SMSI ISO 27001 déjà en place, la préparation se réduit à deux à trois semaines et le projet complet à environ cinq à six mois.
• SOC 2 n'exige pas de test d'intrusion. Les tests d'intrusion n'apparaissent que comme un exemple dans les points of focus du critère CC4.1, qui sont des repères et non des exigences.
• Security est la seule catégorie obligatoire des Trust Services Criteria. La plupart des entreprises se limitent à Security et n'ajoutent Availability, Confidentiality ou Privacy que lorsqu'un contrat client l'exige.

‍

Pourquoi un éditeur SaaS européen a soudain besoin d'un rapport SOC 2

Un éditeur SaaS européen signe son premier client américain, ou s'en approche, et reçoit un questionnaire de sécurité de la part des achats ou de l'équipe sécurité de l'acheteur. L'une des questions demande un rapport SOC 2 à jour. L'entreprise exploite peut-être déjà un SMSI, parfois avec une certification ISO 27001. Mais le processus de gestion des risques fournisseurs de l'acheteur américain est construit autour de SOC 2, et dans ce processus ISO 27001 ne le remplace pas. Pourquoi les acheteurs américains s'appuient autant sur ce rapport, et ce qu'il apporte au-delà du premier contrat, nous l'expliquons dans notre article sur les avantages d'un rapport SOC 2 pour les entreprises technologiques en croissance.

Dans mes projets, l'entreprise type dans cette situation compte 5 à 50 personnes, le plus souvent autour de 20, tourne sur AWS, Azure ou GCP et n'a jamais travaillé avec les Trust Services Criteria avant de recevoir le questionnaire. Elle n'a pas besoin d'une explication de la norme. Elle doit savoir quel rapport obtenir, qui peut l'émettre, combien de temps le client devra attendre et ce que cela coûte. C'est l'objet de cet article.

SOC 2 Type 1 ou Type 2 : qu'attend le client américain ?

La réponse courte : demandez à l'acheteur. La plupart des clients américains veulent un Type 2, ou acceptent un Type 1 comme solution de transition pour que le contrat avance pendant que le Type 2 est en cours.

La différence porte sur ce sur quoi l'auditeur se prononce. Dans un rapport SOC 2 Type 1, l'auditeur évalue si vos contrôles sont conçus de manière appropriée et en place à une date donnée. Dans un rapport SOC 2 Type 2, il vérifie en plus que ces contrôles ont fonctionné efficacement sur une période, appelée période d'observation ou période de revue. Un rapport Type 2 contient donc une section avec chaque contrôle, le test réalisé par l'auditeur et le résultat. Un Type 1 n'en contient pas.

Ce que je constate chez les clients américains :

• Les services achats des grandes entreprises et tous ceux qui ont un programme formel de gestion des risques tiers exigent un Type 2 et l'inscrivent dans le contrat.
• La plupart acceptent un Type 1 comme transition si la période d'observation du Type 2 a déjà commencé et que vous leur donnez une date ferme pour le rapport Type 2. Certains acceptent à la place un engagement signé indiquant que vous préparez un audit Type 2.

Ma recommandation : avant de décider quoi que ce soit, demandez à l'acheteur quel type de rapport il exige et quels Trust Services Criteria il attend dans le périmètre. Sa réponse détermine le projet. Un Type 1 est une mission distincte avec ses propres honoraires, et il vous fait gagner quelques mois. Si personne n'attend, ces mois sont mieux investis dans la période du Type 2.

Un point de vocabulaire, parce qu'il revient à chaque premier échange : il n'existe pas de « certification SOC 2 » ni de certificat. SOC 2 est une mission d'attestation selon les normes d'attestation de l'AICPA, SSAE No. 18 avec les sections AT-C 105 et 205, comme l'AICPA la décrit. Le livrable est un rapport assorti de l'opinion d'un auditeur, et ce rapport est confidentiel. Vous le partagez avec vos clients sous NDA, en général via un Trust Center ou sur demande.

Qui peut émettre un rapport SOC 2 ?

La réponse courte : un cabinet d'audit agréé. Pour des clients américains, ce qui compte est la norme selon laquelle ce cabinet signe son opinion.

Une opinion selon les normes d'attestation de l'AICPA, établie par rapport aux Trust Services Criteria, ne peut être signée que par un cabinet CPA agréé par un State Board of Accountancy américain, et ce cabinet doit être indépendant de l'entreprise auditée. L'annexe G du guide SOC 2 de l'AICPA permet en outre à des professionnels hors des États-Unis d'examiner les mêmes critères selon la norme internationale d'assurance ISAE 3000 (Revised) et de rendre compte selon cette norme. En pratique, un commissaire aux comptes français, un Wirtschaftsprüfer allemand ou un cabinet britannique de chartered accountants peut émettre un rapport par rapport aux Trust Services Criteria. Au sens strict, ce n'est pas un rapport SOC 2 de l'AICPA, même si le titre indique SOC 2.

Ce que personne d'autre ne peut faire : un cabinet de conseil, un éditeur de solutions de sécurité ou un organisme de certification ISO ne peut signer aucune des deux opinions, et un PDF « certificat SOC 2 » sans rapport d'examen d'un cabinet d'audit derrière n'est en aucun cas un rapport SOC 2.

Pour une entreprise européenne, il reste donc deux voies :

1. Un cabinet CPA agréé aux États-Unis qui travaille à distance. C'est le cas le plus courant. Plusieurs cabinets se sont spécialisés dans SOC 2 pour les petits et moyens éditeurs SaaS, mènent toute la mission en visioconférence et en partage d'écran et n'ont aucun problème avec un client à Paris ou à Munich.
2. Un cabinet d'audit européen qui rend compte selon ISAE 3000 par rapport aux Trust Services Criteria. En général moins cher et plus proche. Convient bien lorsque le rapport vise surtout des clients européens.

Quelle importance a cette différence ? Pour la plupart des acheteurs, aucune. L'analyste sécurité ou l'acheteur voit un rapport SOC 2 Type 2 avec une description du système, une opinion, des tableaux de contrôles et des résultats de tests, et ne vérifie pas si l'opinion cite AT-C 205 ou ISAE 3000. L'exception concerne les grandes entreprises américaines et les secteurs réglementés comme la banque et la santé, dont la politique de gestion des risques fournisseurs exige un rapport « issued by a licensed CPA firm ». Là, un rapport purement ISAE peut être refusé à cause d'un paragraphe que personne ne lit. Ma règle : clarifiez ce point avec le client potentiel avant de vous engager sur un rapport SOC 2.

Ce que je conseille de vérifier avant de signer une lettre de mission :

• Selon quelle norme le cabinet signe-t-il l'opinion : les normes d'attestation de l'AICPA, ISAE 3000 ou les deux ? Demandez un rapport type et lisez la page de l'opinion, pas seulement la couverture.
• Le cabinet a-t-il déjà émis des rapports SOC 2 pour des entreprises de votre taille et avec votre stack technique ? Un auditeur habitué aux banques demandera à un éditeur SaaS de 20 personnes des preuves qui n'existent pas.
• Qui réalise les travaux de terrain ? Certains cabinets vendent sous une marque CPA et sous-traitent les tests. Vous voulez savoir avec qui vous allez échanger pendant douze mois.
• Le cabinet travaille-t-il avec votre outil de conformité ? Les auditeurs qui lisent les preuves directement dans votre plateforme vous épargnent des semaines d'exports.

Une autre chose que l'auditeur ne peut pas faire : construire vos contrôles. Les règles d'indépendance interdisent au même cabinet de concevoir vos contrôles puis de les attester. Préparation et audit sont deux missions distinctes, souvent avec deux interlocuteurs différents.

Quels Trust Services Criteria nous faut-il ?

Security, et dans la plupart des cas uniquement Security, sauf indication contraire du client.

Les Trust Services Criteria comptent cinq catégories : Security, Availability, Processing Integrity, Confidentiality et Privacy. Security est obligatoire dans tout rapport SOC 2. Ses critères s'appellent les Common Criteria, de CC1 à CC9, et les quatre autres catégories ne s'ajoutent que si vous les incluez dans le périmètre. Les missions qui démarrent en 2027 utiliseront en général encore les critères de 2017, avec les points of focus révisés en 2022. Ce que chaque catégorie exige, et ce que le projet de nouveaux critères de l'AICPA changerait à partir du 31 décembre 2027, nous l'expliquons dans notre guide sur les critères SOC 2.

Dans mes projets SOC 2, presque toutes les entreprises se limitent à Security, et c'est ce que je recommande par défaut. Les raisons :

• Les clients américains demandent « un rapport SOC 2 ». Ils précisent rarement les catégories. Quand ils le font, c'est Security.
• Chaque catégorie supplémentaire ajoute des critères, des contrôles et des preuves et allonge l'audit. Availability, par exemple, implique la gestion des capacités, les tests de sauvegarde et des objectifs de reprise que vous devez ensuite démontrer sur toute la période d'observation.
• Vous pouvez ajouter des catégories au cycle suivant, dès qu'un client les exige. Vous ne pouvez pas retirer un critère non satisfait d'un rapport déjà émis.

Quand il est pertinent d'ajouter une catégorie dès le départ :

• Availability, si vos contrats comportent des SLA de disponibilité et que vos clients les contrôlent.
• Confidentiality, si vous traitez des données clients sous des clauses de confidentialité contractuelles strictes, ce qui est courant dans la fintech et la legaltech.
• Privacy, rarement demandée. Mais si votre entreprise a mis en place des processus RGPD, cette catégorie est relativement facile à atteindre ; il s'agit surtout de faire correspondre vos pratiques RGPD aux critères.

Que devons-nous rédiger nous-mêmes ?

Un rapport SOC 2 comporte quatre parties : l'opinion de l'auditeur, la déclaration de la direction (management assertion), la description de votre système et, pour un Type 2, les tests et résultats de l'auditeur. C'est vous, en tant que direction, qui rédigez la description du système, et elle doit respecter les Description Criteria de l'AICPA (DC Section 200). Elle explique ce qu'est le service, sur quelles infrastructures, logiciels, personnes, procédures et données il repose, quels contrôles vous exploitez, quelles parties du service sont assurées par des organisations sous-traitantes (subservice organizations) et ce que vos clients doivent faire de leur côté.

Deux décisions dans la description du système ont un impact sur tout l'audit :

• Organisations sous-traitantes : carve-out ou inclusive. Votre fournisseur cloud est une organisation sous-traitante. Avec la méthode carve-out, vous excluez les contrôles du fournisseur de votre rapport, vous les nommez et vous indiquez que vous vous appuyez sur eux. Avec la méthode inclusive, les contrôles du fournisseur sont testés dans votre rapport, ce qui suppose la coopération du fournisseur et n'est pas réaliste avec un hyperscaler. Dans mes projets, j'utilise systématiquement la méthode carve-out et je demande aux clients de lister les contrôles précis sur lesquels ils s'appuient chez le fournisseur (sécurité physique, mise au rebut du matériel, correctifs de l'hyperviseur), pour que l'auditeur voie qu'il s'agit d'une décision consciente.
• Complementary User Entity Controls (CUEC). Ce sont les contrôles que vos clients doivent exploiter pour que les vôtres fonctionnent, comme la gestion de leurs propres comptes utilisateurs dans votre application. Les lister clairement vous protège si un client vous reproche un problème d'accès qui se situe de son côté.

Je recommande de rédiger la description dans les dernières semaines de la préparation, pas au début. Les politiques sont alors écrites, et l'essentiel de la description peut en être tiré directement. Vous avez aussi une vision claire de vos fournisseurs et de vos systèmes, ce qui facilite nettement les décisions sur les carve-outs et les CUEC.

Combien de temps faut-il pour obtenir un rapport SOC 2 ?

En partant de zéro jusqu'au premier rapport Type 2 en main, huit à dix mois sont réalistes : trois à quatre mois de préparation, une période d'observation de trois mois et l'audit lui-même. Avec un SMSI certifié ISO 27001 déjà en fonctionnement, la préparation se limite à deux à trois semaines de comblement des écarts et le projet complet tient en cinq à six mois environ.

Le projet compte trois phases, et une seule peut être raccourcie.

Ce que j'ai appris sur le calendrier :

• La période d'observation est le coût fixe. Les normes de l'AICPA ne fixent pas de durée minimale pour une période Type 2. Six à douze mois sont la norme du marché, et les auditeurs acceptent une période plus courte pour un premier rapport. Trois mois, c'est ce que nous retenons pour un premier rapport : c'est l'exception admise pour une première fois et elle permet de remettre rapidement un rapport au client. Le deuxième rapport doit couvrir douze ou six mois, sans interruption entre les deux périodes.
• C'est dans la préparation qu'ISO 27001 est rentable. Les politiques, l'analyse des risques, l'inventaire des actifs et les revues d'accès existent déjà. La préparation consiste donc surtout à faire correspondre les contrôles existants aux Common Criteria et à combler les écarts que le périmètre ISO ne couvrait pas. Ils se situent en général autour des critères d'inspiration COSO en CC1 et CC2 (supervision par la direction, structure organisationnelle, communication interne) et autour de CC9 (risques fournisseurs, continuité d'activité, assurances). Sur une plateforme de conformité où les tâches de mise en œuvre sont partagées entre référentiels, une entreprise qui a achevé ISO 27001 a déjà accompli l'essentiel du chemin vers SOC 2 sans rien faire de spécifique à SOC 2. Il reste deux à trois semaines de comblement des écarts, pas un second projet de mise en œuvre. Nous montrons comment rattacher les trois référentiels à un seul jeu de contrôles dans notre comparatif ISO 27001, RGPD et SOC 2.
• Faites un contrôle interne avant le début de la période, pas pendant. C'est facultatif et ce n'est pas une exigence d'audit, mais je réalise un audit interne d'une journée avant le début de la période d'observation : le contrôle est-il en place, la preuve qu'il doit produire existe-t-elle et peut-on l'exporter depuis le système qui la génère ? Tout ce qui ressort est corrigé avant de pouvoir devenir une exception dans le rapport. Découvrir le même problème quatre mois après le début de la période signifie soit une exception documentée, soit une période qui redémarre.
• Les demandes de preuves de l'auditeur sont le risque de calendrier. La liste des travaux de terrain d'un Type 2 est longue, même pour un éditeur SaaS de 20 personnes. Si les preuves ont été collectées en continu pendant la période d'observation, y répondre prend une semaine. S'il faut les reconstituer, cela prend un mois.

Combien coûte un audit SOC 2 ?

Deux budgets : les honoraires de l'auditeur et votre propre temps. Les honoraires varient fortement d'un cabinet à l'autre ; comparez donc des devis pour un même périmètre plutôt que des prix affichés. Un Type 1 seul coûte moins cher qu'un Type 2. Ce qui fait varier les honoraires, c'est le nombre de catégories dans le périmètre, le nombre de contrôles et d'organisations sous-traitantes, la durée de la période d'observation et la qualité des preuves que vous fournissez.

Les facteurs de coût que je rencontre le plus souvent :

• L'élargissement du périmètre. Ajouter Availability ou Confidentiality parce que « ça fait mieux » est la décision évitable la plus coûteuse du projet. Voir plus haut.
• Le redémarrage de la période d'observation. Le résultat le plus coûteux de tous. Il survient lorsqu'un contrôle s'avère manquant ou défaillant au milieu de la période et ne peut pas être documenté comme une exception isolée.

Un test d'intrusion est-il nécessaire ?

Non. SOC 2 n'exige pas de test d'intrusion. Aucun des Trust Services Criteria n'en impose ; les tests d'intrusion n'apparaissent que comme un exemple dans les points of focus de CC4.1, et les points of focus sont des repères, pas des exigences. CC4 et CC7 demandent que vous surveilliez vos contrôles et que vous identifiiez les vulnérabilités. Un pentest est une façon de le démontrer, pas la seule. Les auditeurs demandent régulièrement si vous en avez un, et les clients américains demandent la synthèse dans le même questionnaire que celui qui réclame le rapport SOC 2. Traitez-le comme une décision à part, avec son propre budget : si des clients le demandent, ou si vous voulez une réponse solide aux critères sur les vulnérabilités, réalisez-le avant la fin de la période d'observation et conservez les preuves de remédiation. Si personne ne le demande, ce n'est pas lui qui vous sépare du rapport.

Les questions à poser à votre client avant de lancer un audit SOC 2

Si c'est la demande d'un client qui déclenche votre rapport SOC 2, posez d'abord ces quatre questions à ce client :

1. Quel type de rapport vous faut-il, et pour quand ? Type 1, Type 2, ou un Type 1 maintenant avec un Type 2 confirmé plus tard. La date vous dit si un Type 1 de transition vaut la dépense.
2. Quels Trust Services Criteria attendez-vous dans le périmètre ? La plupart du temps, la réponse est « un rapport SOC 2 » et rien de plus, c'est-à-dire Security. Si le client cite Availability ou Confidentiality, la catégorie entre dans le périmètre dès le départ et non au deuxième cycle.
3. Votre politique de gestion des risques fournisseurs exige-t-elle que l'opinion soit signée par un cabinet CPA agréé ? Cette seule question tranche entre un rapport ISAE 3000 local et un cabinet CPA agréé aux États-Unis, et il coûte moins cher de la poser maintenant que de l'apprendre des achats une fois le rapport émis.
4. Que contient d'autre le questionnaire ? Une synthèse de test d'intrusion, un plan de continuité d'activité ou une politique précise figurent souvent à côté de la demande de rapport SOC 2. Le savoir tôt permet que la période d'observation produise aussi les preuves pour ces points.

Comment Kertos vous accompagne vers votre rapport SOC 2

Kertos gère ISO 27001, le RGPD et SOC 2 à partir d'un seul jeu de contrôles. Les tâches de mise en œuvre sont partagées entre référentiels : une entreprise qui a achevé ISO 27001 avec Kertos a donc déjà fait l'essentiel du travail SOC 2, et la préparation se réduit aux deux à trois semaines de comblement des écarts décrites plus haut au lieu d'un second projet. La plateforme collecte les preuves en continu depuis vos systèmes ; c'est ce qui transforme la liste de demandes Type 2 de l'auditeur en une semaine de travail au lieu d'un mois.

Les experts certifiés de Kertos vous accompagnent dans la préparation d'un Type 1 et d'un Type 2 : le choix des catégories, la description du système avec ses carve-outs et ses CUEC, et le contrôle interne avant le début de la période d'observation. Kaia, l'assistante IA de Kertos, répond à vos questions sur vos contrôles et rédige des projets à partir de vos propres informations. Le rapport lui-même reste émis par un cabinet d'audit indépendant de votre choix, car celui qui vous aide à construire vos contrôles ne peut pas les attester.

Si un client américain vient de vous demander un rapport SOC 2, réservez une démo et nous vous montrerons quelle part du travail votre organisation actuelle couvre déjà.

Questions fréquentes

Pouvons-nous obtenir un rapport SOC 2 en trois mois parce que le client attend ?

Un Type 1, oui, si les contrôles sont déjà en place ou si vous partez d'un SMSI ISO 27001 en fonctionnement, auquel cas le comblement des écarts prend deux à trois semaines. Un Type 2 en trois mois n'est pas possible en partant de zéro, car la période d'observation dure à elle seule ce temps une fois la préparation terminée. Ce qui fonctionne en général : un Type 1 maintenant et une date ferme pour le Type 2 inscrite dans le contrat.

Notre auditeur est aux États-Unis. L'audit se fait-il à distance ?

Oui. Dans mes projets, toute la mission, du lancement au rapport final, se déroule en visioconférence, en partage d'écran et via le portail de preuves. Pour une entreprise cloud native, il n'y a pas de visite sur site. Prévoyez le décalage horaire pendant les semaines de travaux de terrain.

Un rapport SOC 2 expire-t-il ?

Le rapport ne porte pas de date d'expiration, mais les clients américains considèrent un rapport Type 2 comme à jour pendant environ douze mois après la fin de sa période d'observation. La norme est un rapport par an, avec des périodes consécutives et sans interruption. Si votre prochain rapport prend du retard, une bridge letter (aussi appelée gap letter), signée par votre direction, couvre l'intervalle entre la fin de la dernière période et le rapport suivant.

Un rapport SOC 2 avec des exceptions pose-t-il problème ?

Pas forcément. Les exceptions figurent dans la section des tests et résultats, avec la réponse de la direction. Une opinion sans réserve avec quelques exceptions expliquées est normale, et les clients ont l'habitude de les lire. Une opinion avec réserve, dans laquelle l'auditeur constate que les contrôles de tout un domaine n'ont pas fonctionné efficacement, est ce qu'il faut éviter, et c'est précisément le rôle du contrôle interne avant la période d'observation.

Devons-nous partager le rapport complet avec chaque client qui le demande ?

Non. Le rapport est confidentiel et partagé sous NDA. La plupart des entreprises publient une courte synthèse ou un rapport SOC 3 et n'envoient le rapport SOC 2 complet qu'aux clients et prospects qui signent un NDA. En pratique, le rapport est demandé et partagé pendant le processus d'achat de l'acheteur, dans le cadre de la revue de sécurité avant la signature du contrat.

Un rapport ISAE 3000 est-il la même chose qu'un rapport SOC 2 ?

Pas tout à fait. Un cabinet d'audit européen peut examiner vos contrôles selon ISAE 3000 (Revised) par rapport aux Trust Services Criteria, et la plupart des acheteurs liront le résultat comme n'importe quel rapport SOC 2 : description du système, opinion, contrôles et résultats des tests. Mais au sens strict, ce n'est pas un rapport SOC 2 de l'AICPA, et un acheteur dont la politique de gestion des risques fournisseurs exige un cabinet CPA agréé peut le refuser. Posez la question avant de choisir le cabinet.