itopsi
Tarifs
À propos
Contact
EnglishRappelez-moi
Normes et certification

Préparation à l’audit SOC 2 pour les sociétés de logiciels et de services

La préparation SOC 2 confronte vos contrôles aux critères de services Trust avant que le cabinet de CPA ne les examine, pour que l’audit commence sans mauvaise surprise.4 Nous vous aidons à choisir les critères et le type de rapport, à corriger les écarts et à classer les preuves. Le rapport SOC 2 lui-même vient uniquement d’un cabinet de CPA indépendant.1

Demandez un rappelRéservez l’audit gratuit
Le fondateur d’une petite entreprise de logiciels, dans la fin cinquantaine, debout à la fenêtre d’un bureau-loft en brique, une tasse de café à la main, des bureaux libres avec des portables fermés derrière lui
La préparation SOC 2 est un travail discret : des contrôles en place, des preuves conservées, et rien que l’auditeur découvre par surprise.

Une personne ici vous rappelle le jour même, habituellement en moins d’une heure.

  • D’abord l’autorisation écrite
  • Un rapport en mots simples
  • Vérifié de nouveau après la correction

Le rapport SOC 2 : ce qu’il contient et qui le délivre

Le rapport SOC 2 est le rapport d’un professionnel CPA indépendant sur les contrôles d’une société de services pertinents pour la sécurité, l’accessibilité, l’intégrité du traitement, la confidentialité ou la protection des renseignements personnels.4 Vos clients et partenaires s’en servent pour mesurer le risque de vous confier une fonction ou des données, et c’est pourquoi ils le demandent souvent.1

Le sigle SOC désigne les System and Organization Controls, une gamme de services que les CPA offrent selon les normes de l’AICPA.3 Le guide de l’AICPA pour les examens SOC 2, à jour au 15 octobre 2022, intègre les normes SSAE No. 20 et No. 21; il applique les critères de services Trust de 2017, avec points d’attention révisés en 2022, ainsi que les critères de description de 2018.12

Au Canada, CPA Canada propose un guide SOC 2 adapté de la version de l’AICPA et révisé en 2024 (offert en anglais seulement). La mission qu’il décrit repose sur la Norme canadienne de missions de certification (NCMC) 3000, et il donne des exemples de rapports conformes à la fois aux normes canadiennes et américaines.4 Le résultat est donc un rapport assorti d’une opinion; le mot « certification », fréquent dans les recherches, le désigne de façon approximative.

Qui fait quoi dans un examen SOC 2
ActeurRôleSource
AICPAÉtablit les critères de services Trust, les critères de description et les normes d’attestation SOC 221
CPA CanadaPublie un guide SOC 2 qui ne fait pas autorité, adapté à la NCMC 30004
Cabinet de CPA indépendant (auditeur de la société de services)Examine la description du système et les contrôles, puis délivre le rapport SOC 245
Votre entreprise (société de services)Possède les contrôles, rédige la description du système et choisit le cabinet1
itopsi (INNOVA CONSULT LTD.)Préparation avant et pendant l’examen; ne délivre ni rapport ni opinion2

Conformité SOC 2 au Canada : volontaire, mais souvent exigée par les clients

La conformité SOC 2 au Canada découle des contrats : un client, souvent une grande entreprise ou une société américaine, réclame le rapport lors d’un appel d’offres ou d’un renouvellement. CPABC rappelle que les normes canadiennes ne prévoient pas expressément de rapports semblables au SOC 2, et qu’une mission selon la NCMC 3000 permet d’arriver au même résultat.5

Pour une société SaaS canadienne, la question est concrète. Vous pouvez retenir un cabinet canadien, un cabinet américain ou un cabinet qui fait rapport selon les deux ensembles de normes, comme l’illustre le guide de CPA Canada.4 Le bon choix dépend des lecteurs du rapport; demandez à votre client quel rapport il attend avant de signer avec un auditeur.

Celui qui cherche une « certification SOC 2 » a besoin de ce rapport et du travail qui mène à une opinion favorable. Un rapport SOC 2 vise un système défini, à une date ou sur une période, et un nouveau rapport montre ensuite que les contrôles ont continué de fonctionner.

Choisir les critères de services Trust et les limites du système

Le périmètre d’un examen SOC 2 tient à deux choix : les catégories de critères de services Trust couvertes par le rapport, et le système décrit. Selon le guide de CPA Canada, une mission SOC 2 porte sur un ou plusieurs des aspects ci-dessous; la sélection suit donc ce que vos clients vous confient.4

  • Sécurité de votre système.4
  • Accessibilité de votre système.4
  • Intégrité du traitement de votre système.4
  • Confidentialité des renseignements que votre système traite ou conserve pour vos clients.4
  • Protection des renseignements personnels que vous recueillez, utilisez, conservez, communiquez et supprimez pour vos clients.4

Tracer les limites du système

Le système, c’est le produit ou le service que vos clients achètent, avec les plateformes, les personnes, les processus et les données qui le soutiennent. Nous dressons la liste de ce qui est inclus, des fournisseurs infonuagiques et sous-traitants qui l’appuient, et de ce qui reste à l’extérieur, afin que la description concorde avec les contrôles.

Type 1 ou type 2 : par quel rapport SOC 2 commencer

Le rapport de type 1 porte sur la présentation fidèle de la description du système par la direction et sur la conception adéquate des contrôles à une date précise; le rapport de type 2 ajoute l’efficacité du fonctionnement de ces contrôles tout au long d’une période précise.5 Le guide de CPA Canada explique la différence entre les deux types pour les missions SOC 2.4

Le type 1 exige des contrôles conçus et en place à une date donnée; le type 2 exige qu’ils fonctionnent pendant toute une période, ce qui demande plus de temps. Si votre client exige d’emblée le type 2, la préparation vise le début de la période. Notre article en anglais, SOC 2 Type 1 vs Type 2, détaille ce choix pour une petite entreprise.

Préparation avec nous Choisir les critères et le système Catégories, limites, type Analyser les écarts Chaque critère, chaque contrôle Corriger les écarts Accès, journaux, changements Preuves et description du système Classées pour l’auditeur Revue de préparation Prêts pour le cabinet? Cabinet de CPA indépendant Rapport de type 1 Conception, à une date Période d’observation Les contrôles fonctionnent Rapport de type 2 Efficacité du fonctionnement
Le chemin vers un rapport SOC 2 : cinq étapes de préparation avec nous, puis les examens de type 1 et de type 2 du cabinet de CPA.

Ce que comprend notre préparation SOC 2

Notre préparation SOC 2 compare vos contrôles actuels aux critères retenus, corrige les écarts avec vous et laisse une piste de preuves qu’un cabinet de CPA peut tester. Elle commence par un appel de 30 minutes et une lettre de mandat qui précise le système, les dates et ce que nous pouvons toucher.

Critères, type de rapport et périmètre

Nous vous aidons à fixer les catégories, le type 1 ou 2 et les limites du système, selon la demande de votre client et ce que vous pouvez soutenir.

Analyse des écarts par critère

Pour chaque critère, nous notons si un contrôle y répond entièrement, en partie ou pas du tout, avec un classement selon l’effort et les questions que posera l’auditeur.

Correction des écarts

Nous travaillons sur la revue des accès, l’authentification multifacteur, la journalisation, la gestion des changements, les sauvegardes, la réponse aux incidents et le suivi des fournisseurs. Les politiques sont rédigées pour votre organisation; voir politiques de sécurité et risques liés aux fournisseurs.

Preuves et description du système

Nous classons le dossier de preuves par critère et rédigeons une ébauche de description du système, que la direction complète et approuve selon les critères de description.

Pendant l’examen

Nous vous aidons à répondre aux demandes du cabinet et à traiter les exceptions. Un test d’intrusion de votre application, que certains clients attendent en parallèle du SOC 2, s’organise sur demande et fait l’objet d’un mandat distinct.

Choisir le cabinet de CPA pour l’audit SOC 2

L’audit SOC 2 est réalisé par des CPA en exercice, et c’est vous qui choisissez le cabinet et signez avec lui.1 Informez-vous sur son permis et son inspection professionnelle : l’AICPA a indiqué qu’elle interviendrait lorsque des auditeurs n’ont pas suivi les normes professionnelles, ne participent pas à l’inspection par les pairs ou exercent sans permis.3 En Colombie-Britannique, CPABC précise que les professionnels qui délivrent des rapports selon la NCMC 3416 doivent détenir un permis d’exercice public de catégorie audit.5

La préparation et l’examen restent distincts. Nous préparons, le cabinet teste et forme son opinion, et le résultat dépend du fonctionnement réel de vos contrôles. Cette séparation donne au rapport sa valeur aux yeux de vos clients.

Ce que vous avez en main avant l’examen

Avant l’examen, vous disposez d’un rapport de préparation et de documents qui appartiennent à votre entreprise, rédigés simplement pour la direction, avec une annexe technique pour l’équipe de développement.

  • Un rapport de préparation avec écarts, priorités et responsables
  • Un plan de travail daté jusqu’au début de l’examen
  • Des politiques et descriptions de processus au nom de votre entreprise
  • Un dossier de preuves classé par critère
  • Une ébauche de description du système à faire valider par la direction

Pourquoi une équipe sous contrat : les risques d’une préparation SOC 2 menée seul, avec un robot conversationnel ou un pigiste

Les fondateurs qui se préparent seuls achètent souvent un outil de conformité, adoptent ses politiques par défaut et découvrent pendant les travaux de l’auditeur que les documents décrivent des contrôles que personne n’applique. Les exceptions d’un rapport de type 2 restent dans le rapport que lit votre client.

Un robot conversationnel rédige une politique d’accès en quelques secondes, sans savoir qui détient l’accès à la production, si les journaux sont conservés ni comment les changements arrivent chez les clients, soit exactement ce que le cabinet teste. Un pigiste peut configurer l’outil puis partir avant la fin de la période d’observation, sans personne pour répondre aux questions de suivi de l’auditeur.

Une équipe sous contrat travaille selon une lettre de mandat, date chaque correction, vous remet tout et reste joignable pendant l’examen. INNOVA CONSULT LTD. détient une assurance responsabilité civile générale, et le prix est fixé avant le début des travaux.

Cinq raisons simples de nous confier ce travail

  • Une société canadienne enregistrée

    INNOVA CONSULT LTD., société fédérale 1522612-1, établie à Ottawa. itopsi est sa marque.

  • En activité depuis 2013

    Le groupe derrière itopsi exerce en droit et en marketing depuis 2013. Son fondateur travaille en droit et en conformité depuis plus de 14 ans.

  • Nous exploitons nos propres serveurs

    Nos propres serveurs et plus de 80 sites Web sont vérifiés chaque jour pour les vulnérabilités connues.

  • Assurés

    Une assurance responsabilité civile générale de 1 million de dollars canadiens est en vigueur.

  • Votre portée, votre rapport

    Une portée fixe dans une lettre signée avant le début du travail. Licences et équipement au prix coûtant, sans commission de fournisseur. Le rapport vous appartient.

Comment se déroule le travail

Cinq étapes, toujours dans le même ordre.

Avant tout test, vous signez une lettre d’autorisation : ce que nous testons, à quelles dates, qui appeler, et ce à quoi nous ne devons pas toucher.

Votre signature vient en premier

  1. Étape 1

    Nous convenons de ce qu’il faut vérifier

    Un court appel, ou le formulaire au bas de cette page. Ensemble, nous choisissons le site Web, le serveur ou les systèmes de bureau à examiner.

  2. Étape 2

    Vous signez la lettre d’autorisation

    Elle fixe les cibles, les dates, les personnes-ressources et ce à quoi nous ne devons pas toucher. Le travail commence seulement une fois la lettre signée.

  3. Étape 3

    Nous vérifions et mettons tout par écrit

    Un rapport en mots simples pour vous, avec le détail technique en annexe pour la personne qui s’occupe de vos systèmes.

  4. Étape 4

    Nous corrigeons

    Nous faisons les réparations nous-mêmes, ou avec votre fournisseur informatique ou votre développeur Web actuel.

  5. Étape 5

    Nous vérifions de nouveau

    Une deuxième vérification confirme que chaque problème est réglé.

Ce que ça coûte

Chaque mandat est de taille différente, alors chacun reçoit une soumission à prix fixe une fois la portée convenue. Vous voyez le prix par écrit avant que le travail commence.

  • Une soumission à prix fixe une fois la portée convenue
  • Le prix par écrit avant le début du travail
  • Une deuxième vérification après les corrections
Questions

Les questions qu’on nous pose

Votre question n’y est pas? Laissez votre numéro et posez-la dans vos mots.

SOC 2 est-il obligatoire au Canada?
SOC 2 est volontaire au Canada : il découle des contrats et des questionnaires d’approvisionnement des clients. CPABC note que les normes canadiennes ne prévoient pas expressément de rapports de type SOC 2, alors qu’une mission selon la NCMC 3000 permet d’obtenir le même résultat. Si un client l’exige, confirmez le type de rapport, les critères attendus et s’il accepte un rapport canadien ou américain.
Combien de temps faut-il pour obtenir un rapport SOC 2?
Tout dépend des contrôles déjà en place, du type de rapport et du calendrier du cabinet de CPA. Un rapport de type 1 peut suivre dès que les contrôles sont conçus et en place. Un rapport de type 2 couvre une période fixée avec le cabinet, et il arrive après la fin de cette période et des tests. Après notre analyse des écarts, l’échéancier figure dans la lettre de mandat.
Combien coûte la conformité SOC 2?
Deux montants s’additionnent : la préparation et les honoraires d’examen du cabinet de CPA, qui fait sa propre soumission. Notre part dépend du nombre de critères visés, de la taille du système, de la documentation existante et de la correction éventuelle d’écarts techniques. Après un appel de 30 minutes, vous recevez une lettre de mandat à prix fixe; le travail commence à la signature.
Qui réalise l’audit SOC 2?
Un cabinet de CPA indépendant, à titre d’auditeur de la société de services, examine la description de votre système et vos contrôles, puis délivre le rapport SOC 2 et son opinion. Vous choisissez le cabinet et signez avec lui. INNOVA CONSULT LTD. est une partie distincte : nous préparons votre entreprise avant l’examen et l’aidons pendant celui-ci; l’opinion appartient au seul cabinet.
Faut-il commencer par le type 1 ou le type 2?
Le type 1 porte sur la conception des contrôles à une seule date et convient à un premier rapport quand un client attend une réponse rapide. Le type 2 ajoute l’efficacité du fonctionnement sur une période, et c’est souvent ce que les grands clients finissent par demander. Le plus simple est de poser la question au client; sa réponse fixe souvent l’ordre.
SOC 2 est-il une certification?
SOC 2 est un rapport d’attestation délivré par un cabinet de CPA, que l’on appelle souvent certification dans le langage courant. Le rapport décrit votre système, donne l’opinion du cabinet et, pour le type 2, présente les tests effectués et leurs résultats. Les clients le lisent selon les conditions qu’il prévoit, et chaque nouvelle période donne lieu à un nouveau rapport.
SOC 2 ou ISO 27001 en premier?
Suivez ce que vos clients demandent par écrit. Un rapport SOC 2 répond à une demande d’attestation par un cabinet de CPA, alors qu’ISO/IEC 27001 répond à une demande de certificat délivré par un organisme de certification accrédité. Politiques, appréciation des risques et contrôles d’accès bâtis pour l’un servent à l’autre; si les deux sont exigés, une même série de preuves peut servir aux deux.

À lire ensuite

Dites-nous ce qui vous inquiète.

Laissez votre nom et un numéro. Une personne ici vous rappelle le jour même, habituellement en moins d’une heure, et vous demande ce que vous voulez faire vérifier. Vous préférez commencer seul ? L’audit gratuit prend environ trois minutes.

  • Rappel le jour même
  • D’abord l’autorisation écrite
  • Soumission à prix fixe

Demandez qu’on vous rappelle

Laissez votre nom et votre numéro. Une personne réelle vous rappelle le jour même, habituellement en moins d’une heure.

Nous utilisons votre numéro pour vous rappeler au sujet de votre demande. Rien d’autre.

Rappelez-moi