Ce que contient le modèle
Presque toutes les questions de délai sur un SOC 2 portent en réalité sur la période d’observation. Un Type I est une opinion à un instant donné ; un Type II couvre une période pendant laquelle vos contrôles doivent réellement fonctionner. Le modèle en fait une barre visible, pour que personne ne promette un rapport que l’arithmétique interdit :
- Cadrage et critères, Définition du périmètre du système, choix des Trust Services Criteria, contractualisation avec le cabinet et arbitrage entre Type I et Type II. Jalon : périmètre arrêté.
- Conception des contrôles, Analyse de risques, mise en correspondance des contrôles avec les critères retenus, rédaction du corpus de politiques et désignation des responsables de contrôle. Jalon : matrice de contrôles validée.
- Remédiation, Gestion et revue des accès, points de contrôle sur les changements, journalisation et supervision, risque fournisseurs, sensibilisation à la sécurité et test du plan de réponse aux incidents, le travail d’ingénierie proprement dit.
- Preuves et préparation, Outillage de collecte des preuves, alimentation du référentiel, évaluation de préparation et clôture des écarts qu’elle révèle. Jalon : préparation validée.
- Rapport Type I (facultatif), Travaux à un instant donné et rapport Type I, utile quand un client a besoin d’un document pendant que la période d’observation court.
- Période d’observation, La période couverte par l’opinion Type II, contrôles fonctionnant en continu, points de contrôle mensuels sur les preuves et revues d’accès trimestrielles. De trois à douze mois, et non compressible.
- Travaux d’audit et rapport, Demandes d’échantillons, transmission des preuves, tests, exceptions et réponses de la direction, revue du projet de rapport et émission. Jalon : rapport Type II émis.
Qui utilise ce modèle
Les responsables sécurité et conformité, les responsables GRC et les fondateurs de startup visant SOC 2 s'en servent pour planifier un audit. Il parcourt le cadrage, la conception des mesures, la remédiation, la collecte de preuves et la préparation, puis cartographie la fenêtre d'observation Type II jusqu'aux travaux de terrain et au rapport final, pour que les équipes sachent exactement quand les auditeurs ont besoin de quoi.
Comment l’adapter
- Choisir d’abord la longueur de la période d’observation, trois mois pour un premier rapport, six à douze une fois dans un cycle annuel, et dimensionner la barre en conséquence.
- Retirer entièrement la phase Type I si aucun client n’a besoin d’un rapport intermédiaire : beaucoup d’organisations vont directement au Type II.
- Ajouter une ligne par catégorie de critères retenue au-delà de la sécurité : disponibilité, confidentialité, intégrité des traitements et vie privée ajoutent chacune des contrôles et des preuves.
- Détailler la remédiation en une ligne par écart dès que l’évaluation de préparation est rendue, pour suivre le travail d’ingénierie au lieu de l’agréger.
- Poser les points de contrôle mensuels sur les preuves en lignes récurrentes pendant toute la période : les mois manquants sont la première source d’exceptions.
- Marquer le périmètre arrêté, la préparation validée, le début et la fin de la période d’observation, et l’émission du rapport en jalons.
Conseils de planification
- N’ouvrez pas la période d’observation avant que la remédiation soit réellement terminée. Un contrôle défaillant au premier mois devient une exception dans le rapport : décaler de deux semaines coûte deux semaines, démarrer trop tôt peut coûter le rapport.
- Automatisez la collecte des preuves avant l’ouverture de la période, pas pendant. Reconstituer après coup trois mois de revues d’accès est la tâche la plus pénible d’un SOC 2, et l’auditeur s’en aperçoit généralement.
- Restez étroit sur le premier rapport. La seule catégorie sécurité est un périmètre valide que la plupart des clients acceptent ; ajouter des catégories multiplie les contrôles et allonge chaque phase.
- Engagez le cabinet tôt. Sa disponibilité pour les travaux est une contrainte réelle, et un cabinet retenu à la fin de la période ne commencera pas la semaine où elle se referme.
- Considérez les exceptions comme normales. Presque tous les rapports en comportent ; ce qui compte est la réponse de la direction, qui a besoin de place sur le planning avant la finalisation du projet de rapport.
- Posez la référence à la validation de la préparation. Tout ce qui précède est de la remédiation ; après, le planning n’est plus que de l’arithmétique et le calendrier du cabinet.
Modèles associés
- Plan de certification ISO 9001
- Plan d’audit interne
- Plan de projet de migration vers le cloud
- Voir tous les modèles de diagramme de Gantt
Ce modèle est en français. Les pages associées non encore traduites s’ouvrent en anglais.
Questions fréquentes
Combien de temps prend une démarche SOC 2 ?
Pour un premier Type II, couramment 8 à 12 mois au total : trois à six mois de préparation et de remédiation, puis une période d’observation de trois à douze mois, puis les travaux et le rapport. Le modèle propose environ seize mois avec une période de six mois.
Quelle différence entre SOC 2 Type I et Type II ?
Le Type I est une opinion sur la conception des contrôles à un instant donné ; le Type II est une opinion sur leur efficacité opérationnelle sur une période. Le Type II impose la période d’observation, d’où sa durée bien plus longue et sa phase dédiée ici.
Quelle durée retenir pour la période d’observation ?
Trois mois est le minimum usuel pour un premier Type II, et six à douze mois la norme une fois installé dans un cycle annuel. Les périodes courtes vont plus vite, mais certains clients leur accordent moins de valeur.
Peut-on obtenir un rapport SOC 2 plus vite ?
Vous pouvez raccourcir la préparation, et émettre un Type I pendant que la période court. Vous ne pouvez pas raccourcir la période elle-même : c’est la part du planning que personne ne maîtrise.
Le modèle de planning SOC 2 est-il gratuit ?
Oui. Téléchargements Excel, PowerPoint et CSV gratuits, et édition en ligne gratuite, sans compte.