Type 1 : photographie
Le rapport porte sur la description du système et la conception des contrôles à une date donnée. Il est adapté à un premier exercice mais ne démontre pas leur fonctionnement effectif pendant plusieurs mois.
Type 2 : fonctionnement dans le temps
L’évaluation couvre également l’efficacité opérationnelle des contrôles pendant une période déterminée. Les preuves doivent être collectées et conservées régulièrement, pas produites à la dernière minute.
Critères Trust Services
Sécurité obligatoire dans l’architecture des critères SOC 2, puis disponibilité, intégrité du traitement, confidentialité ou vie privée selon la portée retenue. Un questionnaire client ne devrait pas être confondu avec l’examen indépendant.
Préparation pratique
Définir le périmètre système, propriétaires, accès, journaux, incidents, changements, sauvegardes, fournisseurs et preuves par période. Faire vérifier les écarts avant l’entrée en fenêtre d’audit.
En un tableau
| Dimension | Type 1 | Type 2 |
|---|---|---|
| Période | Une date | Une période |
| Démonstration | Conception des contrôles | Conception + fonctionnement |
| Travail préparatoire | Périmètre et contrôle | Collecte récurrente des preuves |
Ce que SFERE peut accompagner
SFERE peut préparer la matrice de preuves ; le rapport SOC 2 doit être établi par le professionnel indépendant compétent.
Textes officiels, normes & ressources éditeurs
Cette fiche est une synthèse documentaire. Le texte légal consolidé, les normes applicables et leur interprétation doivent être vérifiés pour votre activité, pays et date. Les normes complètes peuvent être soumises à licence.