Sécurité de l'information
SOC 1
SOC 1 (System and Organization Controls 1)
SOC 1 est une attestation indépendante délivrée par un expert-comptable (CPA) sur les contrôles en place dans votre organisation qui sont pertinents pour le contrôle interne de l'information financière de vos clients. Nous vous accompagnons du premier écart jusqu'à un rapport de Type I ou de Type II sans réserve.
Ce qu'est SOC 1
SOC 1 est un rapport d'attestation produit par un cabinet d'expertise comptable (CPA) indépendant qui décrit les contrôles en place dans une organisation de services susceptibles d'influer sur les états financiers de ses clients. Il existe pour que vos clients et leurs auditeurs puissent se fier aux contrôles que vous exécutez pour leur compte lorsqu'ils rendent compte du contrôle interne de l'information financière (ICFR).
Un rapport de Type I évalue si les contrôles sont conçus de manière appropriée à un moment donné. Un rapport de Type II vérifie si ces contrôles ont fonctionné efficacement sur une période, généralement de six à douze mois, et c'est celui qu'attendent la plupart des auditeurs de vos clients lorsque votre service est important pour leurs chiffres.
La structure du rapport
Section 1 · Opinion de l'auditeur de services indépendant
L'opinion formelle du cabinet CPA sur le fait que la description est présentée fidèlement et, pour un Type II, sur le fait que les contrôles ont fonctionné efficacement.
Section 2 · Affirmation de la direction
Une déclaration écrite de votre direction attestant de l'exactitude de la description du système et de l'adéquation des contrôles.
Section 3 · Description du système
Votre description des services, processus, personnes et technologies qui composent le système pertinent pour l'information financière des clients.
Section 4 · Objectifs de contrôle et contrôles
Les objectifs de contrôle liés au contrôle interne de l'information financière, avec les contrôles spécifiques qui répondent à chaque objectif et, pour un Type II, les tests et résultats de l'auditeur.
Contrôles complémentaires de l'entité utilisatrice
Les contrôles que le rapport suppose que vos clients exploitent eux-mêmes pour que les objectifs globaux soient atteints de leur côté.
Type I par rapport au Type II
Le Type I évalue la conception des contrôles à un instant donné, tandis que le Type II teste en outre l'efficacité opérationnelle sur une période d'examen définie.
Qui en a besoin
- Prestataires de paie, de paiements, de facturation et d'administration de fonds dont le traitement alimente les finances des clients
- Plateformes SaaS qui gèrent des transactions, des revenus ou des registres financiers pour leurs clients
- Organisations de services à qui l'auditeur externe d'un client demande un rapport SOC 1
Ce que vous obtenez
- Une évaluation des écarts et une feuille de route priorisée au regard des objectifs de contrôle pertinents
- Des objectifs de contrôle, des contrôles et un ensemble de preuves documentés
- Une revue interne de préparation et une répétition avant les travaux sur le terrain
- Une préparation à l'audit et un accompagnement jusqu'à un rapport de Type I ou de Type II sans réserve
Les délais dépendent de votre point de départ et du choix entre le Type I et le Type II. Nous en définissons honnêtement le périmètre dès le départ plutôt que de promettre un nombre fixe de semaines.
Version actuelle
SOC 1 est une mission d'attestation réalisée selon le référentiel SSAE 18 de l'AICPA, l'AT-C section 320 énonçant les exigences spécifiques relatives au reporting sur les contrôles d'une organisation de services. SSAE 18 est la norme en vigueur depuis son entrée en application en 2017, consolidant les anciennes normes d'attestation, et l'AT-C 320 est le point de référence actuel pour les nouveaux rapports. Il n'existe pas d'édition numérotée distincte de SOC 1 à adopter ; les orientations sont tenues à jour par l'AICPA et actualisées périodiquement, de sorte que vous planifiez autour de la date de Type I ou de la période d'examen de Type II que vous avez choisie plutôt qu'autour d'un changement de version.
Ce que cela coûte
Deux coûts coexistent ici. tr3labs facture des honoraires de conseil et de mise en œuvre adaptés au périmètre, chiffrés dès le départ une fois que nous comprenons votre taille, votre système et le degré d'avancement de vos contrôles, couvrant le travail sur les écarts, les objectifs de contrôle, les preuves et la préparation. Le cabinet CPA indépendant qui réalise l'examen et émet l'opinion facture séparément selon son propre barème, car tr3labs n'est jamais l'auditeur et n'émet jamais le rapport. Nous préférons en définir le périmètre avec vous au regard de votre point de départ réel plutôt que de chiffrer à l'aveugle.
Comment tr3labs vous y amène
Évaluation du périmètre et des écarts
Nous identifions les objectifs de contrôle pertinents pour l'information financière de vos clients, comparons vos contrôles actuels à ceux-ci et vous remettons une feuille de route priorisée pour combler les écarts.
Mise en place des contrôles
Nous vous aidons à définir les objectifs de contrôle, à mettre en œuvre les contrôles de processus et techniques qui les soutiennent, et à rassembler les preuves que votre auditeur testera.
Audit interne et preuves
Nous menons une revue interne et effectuons une répétition de l'audit afin que les contrôles fonctionnent et soient documentés avant les travaux sur le terrain, sans surprise pour une période de Type II.
Appui à l'attestation
Nous travaillons aux côtés de votre auditeur CPA tout au long des travaux sur le terrain jusqu'à un rapport sans réserve et vous maintenons prêts pour la prochaine période de reporting.
SOC 1 par rapport à SOC 2
Les deux partagent le nom SOC et le même mécanisme d'attestation, si bien qu'on les confond facilement.
| SOC 1 | SOC 2 | |
|---|---|---|
| Couvre | Les contrôles pertinents pour l'information financière | Sécurité, disponibilité, intégrité du traitement, confidentialité, protection de la vie privée |
| Idée centrale | Les auditeurs de vos clients peuvent-ils se fier à vous | Vos clients peuvent-ils faire confiance à la façon dont vous protégez leurs données |
| Qui le demande | Les auditeurs financiers externes des clients | Les équipes de sécurité et d'approvisionnement des clients |
| Mesuré par rapport à | Vos propres objectifs de contrôle pour l'ICFR | Les Trust Services Criteria |
| Modèle d'audit | Type I ou Type II, selon SSAE 18 | Type I ou Type II, selon SSAE 18 |
| Titulaire typique | Paie, paiements et administration de fonds | Plateformes SaaS et d'hébergement |
FAQ SOC 1
- Quelle est la différence entre SOC 1 et SOC 2 ?
- SOC 1 couvre les contrôles pertinents pour l'information financière de vos clients, afin que leurs auditeurs puissent se fier à votre service. SOC 2 couvre la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et la protection de la vie privée au regard des Trust Services Criteria. Celui dont vous avez besoin dépend de ce que demandent vos clients.
- Quelle est la différence entre SOC 1 de Type I et de Type II ?
- Le Type I évalue si vos contrôles sont correctement conçus à un instant donné. Le Type II vérifie s'ils ont fonctionné efficacement sur une période d'examen, généralement de six à douze mois, et c'est ce que demandent habituellement les auditeurs des clients.
- Qui émet le rapport SOC 1 ?
- Un cabinet d'expertise comptable (CPA) indépendant et agréé émet le rapport. tr3labs vous prépare à l'audit, met en place les objectifs de contrôle et les preuves, et vous accompagne tout au long du processus ; nous n'émettons pas nous-mêmes l'attestation.
Normes associées
À lire aussi
Le OWASP LLM Top 10, expliqué : un guide en langage clair pour les équipes qui déploient des fonctionnalités d'IA
Un parcours clair et pratique des dix principaux risques du OWASP pour les applications fondées sur de grands modèles de langage, avec une description en langage simple et une mesure d'atténuation concrète pour chacun, destiné aux équipes qui ajoutent des fonctionnalités d'IA pour la première fois.
9 min de lecture
Comment lire un rapport de test d'intrusion (VAPT) : un guide en langage clair pour les équipes
Une présentation pratique du contenu d'un rapport de test d'intrusion, section par section, afin que les fondateurs et les équipes d'ingénierie puissent le lire en confiance et agir sur ce qu'il indique.
8 min de lecture
SOC 2 ou ISO 27001 : une comparaison honnête pour vous aider à choisir
Un guide en langage clair sur les véritables différences entre SOC 2 et ISO 27001 : ce qu'est chacun, qui réclame lequel, comment se déroulent les audits, ce que vous détenez au bout du compte, et s'il vous faut les deux.
8 min de lecture