L’audit SOC 2 désigne couramment l’examen qui aboutit au rapport d’attestation d’un cabinet CPA. Le contrat doit préciser le système, les catégories retenues, le Type de rapport et les responsabilités de chacun. La mission de préparation, la collecte de preuves et l’examen externe méritent des lignes distinctes.
Audit SOC 2 : vérifier le cabinet et son indépendance
Demandez le nom légal du cabinet émetteur, sa juridiction de licence et les informations permettant de la contrôler. Identifiez aussi la personne responsable de la mission, le dispositif de revue qualité et les liens commerciaux éventuels avec votre outil de conformité. La page officielle SOC de l’AICPA insiste sur l’évaluation des cabinets, leur licence et la revue par les pairs.
- Faire distinguer la marque commerciale de la personne morale signataire.
- Vérifier la licence dans le registre de l’autorité concernée et conserver la date de contrôle.
- Demander comment sont prévenus les conflits liés au conseil ou aux outils de collecte.
- Faire expliquer qui réalise les tests et qui relit le rapport.
Le guide de préparation SOC 2 depuis la France approfondit les vérifications utiles. Une présentation commerciale ou une intégration dans une plateforme ne remplace pas la lecture du contrat du cabinet.
La lettre de mission, point par point
| Point à convenir | Question à poser | Pièce à conserver |
|---|---|---|
| Système | Quel service, quelles interfaces et quels fournisseurs sont couverts ? | Description et diagramme approuvés |
| Type et période | Une date ou une période de fonctionnement ? | Dates et couverture convenues |
| Critères | Quelles catégories répondent à la demande du client ? | Engagements et objectifs retenus |
| Travaux | Qui teste, qui répond et qui traite les exceptions ? | Rôles et circuit de réponse |
| Diffusion | À qui le rapport peut-il être remis ? | Conditions d’utilisation et canal de partage |
Les Description Criteria de l’AICPA servent à préparer et évaluer la description du système. Pour la partie temporelle, le guide SOC 2 Type 2 et preuves sur la periode montre comment organiser les preuves pendant la période retenue.
Demandez une liste des informations nécessaires à l’ouverture de la mission. Rapprochez-la de vos outils existants : tickets, annuaire, pipelines et journaux. Si certaines preuves exigent un export spécifique, vérifiez avant de contractualiser que votre équipe sait le produire avec le niveau de détail demandé.
Répondre aux demandes de tests sans perdre le contexte
- Centraliser les demandes du cabinet dans un registre avec un identifiant et un responsable.
- Conserver la population de départ et l’origine des exports avant de sélectionner des pièces.
- Joindre à chaque pièce le produit, l’environnement et la période qui la rendent pertinente.
- Consigner les difficultés ou exceptions et faire confirmer le traitement par le cabinet.
- Relire les réponses avec les propriétaires des pratiques avant de les considérer closes.
Le cabinet détermine ses procédures et ses échantillons. L’équipe de préparation organise les pièces et les échanges ; elle ne décide pas du résultat des tests. Le guide des preuves à préparer pour SOC 2 aide à retrouver les traces dans l’exploitation.
À la restitution, organisez une lecture du rapport SOC 2 et de ses conclusions. Vérifiez les limites, les exceptions et les contrôles complémentaires attendus des clients avant d’en tirer une réponse commerciale.
Questions avant de signer
C’est quoi la certification SOC 2 ?
La recherche emploie souvent « certification », mais le document est un rapport d’attestation du cabinet CPA. La préparation et l’examen externe ont des responsabilités différentes.
Quelle est la différence entre SOC 1 et SOC 2 ?
SOC 1 porte sur le contrôle interne lié au reporting financier des utilisateurs. SOC 2 traite les critères de services de confiance retenus pour le système. Faites préciser le besoin de votre acheteur.
Quels sont les différents types de SOC ?
SOC 1, SOC 2 et SOC 3 ont des usages distincts. Type I et Type II indiquent une autre distinction, relative à la date ou à la période examinée. Ne choisissez pas l’un à partir du seul numéro.
Le devis de préparation inclut-il l’audit du CPA ?
Demandez une réponse écrite. Les offres doivent identifier le cabinet émetteur, le périmètre de ses honoraires et la mission de préparation. Les frais et responsabilités qui ne figurent pas au devis restent à clarifier.