L'outil SOC 2 qui part de vos contrôles existants

Non, et la nuance compte face à un client. SOC 2 produit un rapport d'attestation rédigé par un cabinet de CPA indépendant, selon les normes d'attestation de l'AICPA : l'auditeur exprime une opinion sur vos contrôles, il ne délivre pas de certificat. Il n'existe donc ni certificat ni numéro d'enregistrement SOC 2 à afficher, seulement un rapport daté, à diffusion restreinte, que vous transmettez généralement sous accord de confidentialité. Aucun logiciel, Vailor compris, ne peut vous rendre conforme : il vous prépare à l'examen.

Les trois viennent du même cadre AICPA mais ne répondent pas à la même question. SOC 1 porte sur les contrôles qui ont un impact sur l'information financière de vos clients, et intéresse surtout leurs auditeurs financiers. SOC 2 porte sur les critères de confiance : sécurité, disponibilité, intégrité du traitement, confidentialité et protection des données personnelles. SOC 3 est une version publiable d'un examen SOC 2 Type 2, sans le détail des tests ni des exceptions : utile sur votre site web, insuffisant pour un questionnaire fournisseur.

Non. Seul le critère sécurité, dont les exigences forment les critères communs, est obligatoire dans tout examen SOC 2. Les quatre autres (disponibilité, intégrité du traitement, confidentialité, protection des données personnelles) se retiennent selon les engagements que vous prenez réellement auprès de vos clients : un engagement contractuel de niveau de service plaide pour la disponibilité, un traitement de données personnelles pour le critère qui les couvre. Un périmètre plus large allonge l'audit : arrêtez-le avec votre auditeur avant le début de la période.

Une période d'observation, pas une date. En pratique elle va de trois à douze mois : beaucoup d'organisations commencent par une fenêtre courte pour obtenir un premier rapport, puis passent à douze mois glissants. Le rapport se renouvelle ensuite chaque année, car un client regarde d'abord la date de fin de période. Pour couvrir l'écart entre cette date et sa demande, l'usage est de fournir une lettre de continuité (bridge letter) signée par la direction, qui atteste qu'aucun changement significatif n'est intervenu.

SOC 2 n'est pas une réglementation : aucune loi européenne ne l'impose. La demande vient des clients, en particulier des grands comptes nord-américains et des directions achats qui réclament un rapport avant de signer avec un éditeur SaaS, un hébergeur ou un prestataire de services managés. Un point à ne pas confondre : le critère de protection des données personnelles de SOC 2 ne vaut pas conformité au RGPD. Les deux se recoupent sur les preuves, pas sur les obligations juridiques, qui restent distinctes.

Non, et beaucoup d'organisations portent les deux. L'ISO/IEC 27001 est certifiable : un organisme accrédité délivre un certificat, sur un cycle de trois ans ponctué d'audits de surveillance. SOC 2 produit un rapport annuel et détaillé, attendu surtout sur le marché nord-américain. Le choix est donc commercial avant d'être technique : regardez ce que vos clients demandent. Le point utile, c'est que les contrôles se recoupent largement et qu'une preuve collectée une fois sert aux deux référentiels.

Parce qu'un Type 2 ne se prouve pas avec une capture d'écran. L'auditeur échantillonne des dates réparties sur toute la période : il veut voir que la revue des accès a bien eu lieu chaque trimestre, pas qu'elle existait la veille de ses travaux. Un tableur donne une photo, jamais un historique daté et rattaché au contrôle concerné. Un outil SOC 2 collecte la preuve au fil de l'eau, la relie au critère et la retrouve à la demande. La différence tient là : reconstituer douze mois de preuves, ou les avoir déjà.