Pourquoi SOC 2
Vos clients nord-américains vous le demandent.
SOC 2 est un cadre défini par l'AICPA, l'organisation américaine des experts-comptables. Il est très attendu des entreprises nord-américaines qui confient des données à un éditeur SaaS.
Ce n'est pas une certification : un cabinet d'audit indépendant examine vos contrôles et émet un rapport d'attestation, que vous partagez ensuite avec vos clients.
Type I ou Type II
Deux rapports, deux niveaux d'exigence.
Le critère Sécurité est toujours inclus. Disponibilité, intégrité du traitement, confidentialité et vie privée s'ajoutent selon vos engagements envers vos clients.
SOC 2 Type I
L'auditeur évalue la conception de vos contrôles à un instant précis. C'est souvent une première étape, plus rapide à obtenir.
SOC 2 Type II
L'auditeur vérifie que vos contrôles ont fonctionné sur plusieurs mois. Les preuves doivent être produites et conservées tout au long de la période.
Avec ISO 27001
Un travail en grande partie partagé.
Une grande partie des contrôles et des preuves servent aux deux démarches. Le socle commun de Nayru évite de refaire le même travail.
Avec Nayru
Votre démarche SOC 2, de bout en bout.
Dans la plateforme
- Les critères SOC 2, contrôle par contrôle
- Le diagnostic et l'analyse des écarts
- La documentation assistée par l'IA
- Les preuves rattachées à chaque critère
- L'audit simulé avant le passage du cabinet
Le partage des rôles
- Nayru prépare vos contrôles, vos documents et vos preuves
- Vos équipes valident et mettent en œuvre les mesures
- Un cabinet d'audit indépendant émet le rapport SOC 2
Pour un Type II, les 30 jours couvrent la préparation. Vient ensuite la période d'observation, pendant laquelle vos contrôles doivent fonctionner et laisser des preuves.
FAQ SOC 2
Vos questions sur SOC 2.
SOC 2, c'est une certification ?
Non. C'est un rapport d'attestation émis par un cabinet d'audit indépendant, à partir de l'examen de vos contrôles. Vous le partagez ensuite avec vos clients.
Faut-il commencer par le Type I ?
C'est souvent le plus simple : le Type I vérifie la conception de vos contrôles à une date donnée. Le Type II, plus exigeant, vient ensuite sur une période d'observation.
Peut-on mener ISO 27001 et SOC 2 en même temps ?
Oui. Une grande partie des contrôles et des preuves sont communs. Nayru les mutualise pour éviter de refaire le travail.
Nayru émet-il le rapport SOC 2 ?
Non. Seul un cabinet d'audit indépendant peut émettre le rapport. Nayru prépare vos contrôles, vos documents et vos preuves.
Parlons de votre projet SOC 2.
Un client vous demande un rapport SOC 2 ? Présentez-nous votre situation et découvrez comment Nayru vous aide à le préparer.