Se préparer à l'audit SOC 2 quand un client américain demande le rapport

L'AICPA décrit le SOC comme une suite de services que les CPA fournissent sur les contrôles d'une organisation de services. Un rapport SOC 2 porte sur les contrôles liés à cinq catégories : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée.

Qui lit le rapport chez le client

Les équipes sécurité, juridique et achats. L'usage d'un rapport SOC 2 est en général restreint, il circule donc sous accord de confidentialité ; le SOC 3 de l'AICPA en est la version d'usage général, moins détaillée.

En attendant le rapport, un plan de préparation daté garde l'affaire en mouvement.

Choisir l'ordre des rapports

Si le client accepte un rapport sur la conception des contrôles, le type 1 règle plus vite la question commerciale. Certains clients exigent le type 2 d'emblée. La date de début de la période d'observation devient alors décisive : dès ce jour, chaque contrôle doit laisser une trace dans les journaux, les tickets et les comptes rendus. Avant son début, nous organisons les processus pour que les preuves s'accumulent d'elles-mêmes.

Nous fixons d'abord la frontière du système : produit, environnements, clouds, fournisseurs et données couverts par le rapport, et catégories retenues parmi les cinq selon ce que vous promettez à vos clients. Puis nous passons en revue les zones où les jeunes équipes ont le plus souvent des écarts :

• Accès. MFA, attribution et retrait des droits, revues d'accès.
• Gestion des changements. Comment le code arrive en production et qui l'approuve.
• Journalisation. Ce qui est journalisé, qui suit les alertes, combien de temps les traces sont gardées.
• Fournisseurs. Clouds et outils SaaS qui traitent les données clients.
• Incidents et continuité. Procédure de réponse, sauvegardes, restaurations testées.
• Personnes. Arrivées, départs, formation.

Description du système et assertion de la direction

Le rapport illustratif de l'AICPA contient l'assertion de la direction, la description du système, le rapport de l'auditeur de services et les tests des contrôles avec leurs résultats. Les deux premiers sont rédigés par l'entreprise ; nous les préparons à partir de vos processus réels, selon les critères de description DC 200.

Beaucoup de contrôles se recoupent : accès, journalisation, fournisseurs, réponse aux incidents. Une seule base de politiques et de preuves sert donc les deux voies. Si vous vendez aux États-Unis et en Europe, prévoyez les deux référentiels dès le départ.

Comment nous menons une startup jusqu'à l'audit

1. Une consultation payante de 30 minutes et une lettre de cadrage : systèmes, dates, prix forfaitaire.
2. Évaluation de préparation avec un rapport d'écarts en langage clair et une annexe technique.
3. Correction par nous ou avec vos développeurs ; une personne vérifie chaque constat.
4. Documents : politiques, description du système, projet d'assertion de la direction.
5. Revérification et remise du dossier au cabinet de CPA que vous choisissez.

S'il vous faut encore la société américaine qui signera le contrat, notre équipe création de société aux États-Unis s'en charge. Les travaux d'infrastructure au Canada sont assurés par la marque informatique du groupe, itopsi.com.