SOC 2 n'est pas une certification. C'est un rapport d'attestation, délivré par un cabinet de CPA agréé selon les normes d'audit de l'AICPA, qui décrit quels contrôles une organisation de services a mis en place face aux Trust Services Criteria et, pour l'un des deux types de rapport, si ces contrôles ont fonctionné sur une période.
La différence entre les deux types est la question la plus fréquente que nous entendons de la part d'entreprises qui préparent leur premier SOC 2. La voici, avec une réponse complète.
Ce que dit chaque rapport
Le Type I porte sur la conception des contrôles à une date donnée. L'auditeur confirme que les contrôles décrits existent, sont conçus de façon adaptée aux critères et étaient mis en place ce jour-là. Il ne dit pas s'ils ont continué à fonctionner la semaine suivante.
Le Type II porte sur la conception et l'efficacité sur une période, la période d'observation ou d'audit. L'auditeur échantillonne sur toute la période : des revues d'accès qui ont réellement eu lieu chaque trimestre, des tickets réellement approuvés avant déploiement, des alertes réellement traitées. Six ou douze mois sont courants ; trois mois sont le minimum pratique que la plupart des cabinets acceptent pour un premier rapport.
Les deux rapports couvrent les Trust Services Criteria que vous mettez dans le périmètre. La sécurité (les critères communs) est obligatoire. Disponibilité, intégrité du traitement, confidentialité et vie privée sont des ajouts facultatifs, et chacun apporte davantage de contrôles à tester.
Ce que les acheteurs acceptent vraiment
Les équipes sécurité et les services achats des grands comptes veulent un Type II. Un Type I leur dit que vos contrôles avaient l'air corrects un jour donné ; il ne dit pas que les contrôles sont devenus une habitude. Beaucoup de programmes de risque fournisseur n'acceptent pas du tout un Type I, ou seulement avec l'engagement de fournir un Type II sous un certain nombre de mois.
Cela ne rend pas le Type I inutile. Il a trois usages légitimes.
Un premier jalon pour une jeune entreprise. Si vous venez de construire votre environnement de contrôle, vous ne pouvez pas présenter de Type II avant que la période d'observation ait couru. Un Type I vous permet de montrer dès maintenant à un prospect quelque chose de signé par un auditeur, pendant que l'horloge du Type II tourne.
Une revue de conception avant de vous engager. Un Type I vous oblige à écrire les descriptions de contrôles, la description du système et les décisions de périmètre, et à les faire vérifier. Les problèmes trouvés ici coûtent peu à corriger. Les problèmes trouvés six mois après le début d'une période d'observation Type II vous coûtent la période.
Un pont contractuel. Certaines affaires se concluent avec un Type I plus un engagement daté. Que cela fonctionne dépend de l'acheteur, alors demandez plutôt que de supposer.
Contre le Type I jouent le coût et le temps. Vous payez un audit dont la plupart des acheteurs dévaluent le rapport, et la période d'observation du Type II ne raccourcit pas parce que vous en avez fait un. Si vous pouvez démarrer la période d'observation aujourd'hui et que vos acheteurs attendent, sautez le Type I et allez directement au Type II.
La période d'observation en pratique
La période commence quand vos contrôles sont en place et fonctionnent. Pas quand vous avez décidé de faire un SOC 2, pas quand vous avez acheté une plateforme de conformité, et pas quand vous avez commencé à collecter des preuves, mais quand les contrôles tournent tels que décrits. Si un contrôle est ajouté en cours de route, l'auditeur note la date et ne le teste peut-être qu'à partir de là, ce qui apparaît comme une restriction dans le rapport.
Pendant la période, la discipline s'appelle : preuves. Chaque contrôle qui dit « trimestriel » a besoin d'un élément trimestriel. Chaque contrôle qui dit « tous les changements sont approuvés » a besoin d'une population de changements dans laquelle l'auditeur peut échantillonner, et d'une piste d'approbation sur chacun. L'échec typique n'est généralement pas un contrôle qui n'existe pas ; c'est un contrôle qui a tourné mais n'a laissé aucune trace, et pour un auditeur c'est la même chose.
À la fin de la période, l'audit lui-même prend plusieurs semaines. L'auditeur demande les populations, choisit des échantillons, examine les preuves et pose des questions sur les écarts. Les écarts ne sont pas la fin du monde : un rapport Type II peut être sans réserve et lister quand même des écarts, tant que la réponse de la direction est crédible et que les écarts ne sapent pas les critères. Un schéma d'écarts dans un domaine peut mener à une opinion avec réserve sur ce critère, et les acheteurs le remarquent.
Les bridge letters
Un rapport Type II est daté. Son utilité décroît à mesure que la période du rapport s'éloigne, et un acheteur qui lit un rapport dont la période remonte à neuf mois demande ce qui s'est passé depuis. La bridge letter (ou gap letter) est une courte déclaration de la direction, pas de l'auditeur, indiquant que rien de significatif n'a changé dans l'environnement de contrôle entre la fin de la période du rapport et la date de la lettre. La plupart des entreprises en délivrent une sur demande, et la plupart des acheteurs en acceptent une qui couvre environ trois mois. Au-delà, ils veulent le rapport suivant.
C'est pourquoi la plupart des organisations passent à un Type II annuel glissant sur une période de douze mois : le rapport est toujours raisonnablement récent, et la bridge letter couvre l'intervalle jusqu'à l'audit suivant.
Qui peut délivrer le rapport
Seul un cabinet de CPA agréé aux États-Unis peut délivrer un rapport SOC 2, parce qu'il s'agit d'une attestation selon les normes de l'AICPA. Des cabinets hors des États-Unis peuvent réaliser les travaux d'audit, et le font, mais le rapport est signé par le cabinet de CPA. Quand vous engagez un auditeur, demandez qui signe. Les plateformes d'automatisation de la conformité que beaucoup d'entreprises utilisent pour collecter les preuves ne délivrent pas de rapports ; elles vous orientent vers un cabinet qui le fait.
Les règles d'indépendance s'appliquent. Le cabinet qui délivre votre rapport ne peut pas avoir conçu vos contrôles ni rédigé vos politiques à votre place, et c'est pourquoi le conseil de préparation et l'audit lui-même sont généralement des missions distinctes avec des personnes distinctes.
Un ordre raisonnable
Pour une entreprise qui part de zéro avec un acheteur qui attend : du travail de préparation pour concevoir et mettre en place les contrôles, un Type I dès que les contrôles sont en place si l'acheteur a besoin d'un document maintenant, puis un Type II sur les trois à six mois suivants, puis des rapports Type II annuels sur douze mois à partir de là.
Pour une entreprise avec un environnement de contrôle correct et des acheteurs patients : démarrer la période d'observation, sauter le Type I et aller directement au Type II après six mois.
Pour une entreprise qui a déjà ISO 27001 : les contrôles se recouvrent largement, et une mission combinée, où une seule équipe d'audit livre à la fois le résultat de surveillance ISO et le SOC 2 Type II, est souvent la voie la plus efficace. Tous les cabinets ne peuvent pas faire les deux, c'est donc une question pour le cadrage de la mission tout au début.