SOC 2 est-il une certification ?

Non. C'est une confusion fréquente. SOC 2 produit un rapport d'attestation rédigé par un CPA (comptable professionnel agréé) après audit — pas un certificat délivré par un organisme normatif comme pour ISO 27001. On ne « détient » pas SOC 2, on obtient un rapport, valide pour une période d'examen donnée, qu'on renouvelle.

Quelle est la différence entre Type I et Type II ?

Le Type I évalue si les contrôles sont bien conçus à un moment précis. Le Type II évalue s'ils fonctionnent réellement dans la durée, sur une période d'examen généralement de 6 à 12 mois. La plupart des clients B2B sérieux, en particulier aux États-Unis, exigent un Type II : un Type I démontre l'intention, pas l'exécution.

Une PME de 15 employés peut-elle obtenir un rapport SOC 2 ?

Oui. SOC 2 ne fixe aucun seuil d'effectif ni de chiffre d'affaires — c'est l'exposition aux données des clients qui compte, pas la taille de l'entreprise. De nombreuses PME technologiques obtiennent un premier rapport Type I avec une équipe TI de quelques personnes.

Combien de temps prend une première démarche SOC 2 ?

Pour un Type I, généralement 2 à 4 mois entre le début de la préparation et l'émission du rapport. Pour un Type II, il faut ajouter la période d'examen elle-même (6 à 12 mois) pendant laquelle les contrôles doivent fonctionner sans interruption avant que l'auditeur ne puisse se prononcer.

Faut-il couvrir les cinq critères de confiance ?

Non. Seul le critère Sécurité est obligatoire dans tout rapport SOC 2. Disponibilité, intégrité du traitement, confidentialité et protection de la vie privée sont ajoutés seulement s'ils correspondent à un engagement réel envers les clients — les inclure sans les opérationnaliser fragilise le rapport plutôt que de le renforcer.

SOC 2 : par où commencer pour une PME au Québec

Pour une PME québécoise, la préparation à SOC 2 suit un ordre précis : comprendre qu'il s'agit d'un rapport d'attestation et non d'une certification, choisir entre Type I et Type II, délimiter le périmètre et les critères de confiance visés, mener une évaluation de préparation pour repérer les écarts, corriger ces écarts, puis traverser la période d'examen jusqu'au rapport final. Sauter l'évaluation de préparation pour foncer directement vers l'audit est l'erreur la plus coûteuse en temps qu'on puisse faire.

Ce que SOC 2 est réellement

SOC 2 (System and Organization Controls 2) est un cadre défini par l'AICPA, l'association américaine des CPA. Un auditeur — un CPA indépendant — examine les contrôles internes d'une entreprise et produit un rapport d'attestation, pas un certificat.

Cette distinction n'est pas de la sémantique. Une certification (comme ISO 27001) atteste la conformité à une norme fixe, délivrée par un organisme accrédité, avec un cycle de renouvellement standardisé. Un rapport SOC 2 est une opinion professionnelle sur des contrôles précis, pour une période précise, rédigée par un cabinet comptable. Un client qui demande à voir « votre certification SOC 2 » demande en réalité à voir le rapport — la nuance importe surtout au moment de rédiger ses propres communications marketing, où affirmer une « certification SOC 2 » qu'on ne détient pas constitue une déclaration inexacte.

Type I ou Type II : un choix qui détermine tout le reste

	Type I	Type II
Ce qui est évalué	La conception des contrôles, à un instant donné	Le fonctionnement réel des contrôles, dans la durée
Durée de la démarche	2 à 4 mois	6 à 12 mois de période d'examen, en plus de la préparation
Ce que ça démontre à un client	Les contrôles existent sur papier	Les contrôles ont fonctionné sans interruption
Cas d'usage typique	Premier rapport, pression commerciale immédiate	Renouvellement, ou exigence contractuelle explicite

Beaucoup de PME commencent par un Type I pour répondre rapidement à une demande client, puis enchaînent avec un Type II dans l'année qui suit. C'est une séquence légitime — à condition de le dire clairement au client, qui comprend généralement qu'un Type I est une étape, pas un aboutissement.

Les cinq critères de confiance — un seul est obligatoire

SOC 2 s'organise autour de cinq Trust Services Criteria :

Sécurité — obligatoire dans tout rapport SOC 2, sans exception.
Disponibilité — pertinent si un client dépend de la disponibilité continue du service.
Intégrité du traitement — pertinent pour un service qui transforme ou calcule des données critiques.
Confidentialité — pertinent si l'entreprise traite des données commerciales sensibles au-delà des renseignements personnels.
Protection de la vie privée — pertinent en présence de renseignements personnels identifiables, en complément (pas en remplacement) des obligations de la Loi 25.

L'erreur classique est d'ajouter des critères par prudence plutôt que par nécessité. Chaque critère ajouté exige des contrôles réellement opérationnels et testables — un critère ajouté sans les contrôles qui vont avec n'impressionne pas l'auditeur, il complique l'audit et allonge les délais.

Par où commencer concrètement

1. L'évaluation de préparation (readiness assessment)

C'est l'étape que la plupart des entreprises sautent, à leurs frais. Il s'agit de comparer l'état réel des contrôles au référentiel SOC 2 choisi, avant l'audit formel, pour identifier les écarts pendant qu'ils sont encore faciles à corriger.

Les manques les plus fréquents chez une PME qui n'a jamais fait cet exercice : absence de politique de sécurité écrite, contrôle d'accès non documenté (qui a accès à quoi, et pourquoi), gestion des changements informelle, et absence de registre des fournisseurs critiques.

2. Définir le périmètre

Le périmètre précise quels systèmes, quels services et quelles équipes sont couverts par le rapport. Un périmètre mal défini — trop large, trop vague, ou qui ne correspond pas à ce que le client a réellement besoin de voir — est une source fréquente de délais et de coûts additionnels en cours d'audit.

3. Corriger les écarts

Concrètement : rédiger les politiques manquantes, mettre en place l'authentification multifacteur là où elle manque, formaliser la gestion des accès et des changements, et documenter les contrôles qui existaient déjà mais n'étaient nulle part écrits. Un contrôle qui fonctionne mais n'est pas documenté est, du point de vue d'un auditeur, un contrôle qui n'existe pas.

4. Traverser la période d'examen (Type II seulement)

Pendant cette période, les contrôles doivent fonctionner sans interruption. Une exception ponctuelle — un accès non révoqué à temps, un correctif appliqué en retard — ne fait pas nécessairement échouer l'audit, mais elle apparaît dans le rapport final. Mieux vaut une exception documentée et expliquée qu'une absence de suivi.

5. L'audit et le rapport

L'auditeur teste les contrôles, documente ses constats et émet le rapport. Un rapport SOC 2 contient presque toujours des observations mineures — un rapport parfaitement vierge est rare et n'est pas l'objectif réaliste d'une première démarche.

Ce qui fait dérailler une première démarche

Confondre certification et attestation. Annoncer publiquement une « certification SOC 2 » qu'on ne détient pas expose à une déclaration inexacte, pas seulement à un abus de langage.
Viser un Type II directement. Sans période d'examen déjà maîtrisée en Type I, le risque d'exceptions non gérées est élevé.
Sauter l'évaluation de préparation. C'est systématiquement l'étape qui, sautée, coûte le plus de temps plus loin dans le processus.
Ajouter des critères de confiance non opérationnalisés. Plus de critères ne veut pas dire un meilleur rapport — un critère mal soutenu affaiblit l'ensemble.
Ne rien documenter. Un contrôle réel mais non écrit n'est, pour un auditeur, pas un contrôle.

SOC 2 et Loi 25 : deux démarches distinctes, un chevauchement réel

SOC 2 est un cadre volontaire, orienté clients B2B ; la Loi 25 est une obligation légale québécoise, orientée protection des renseignements personnels. Elles ne se remplacent pas l'une l'autre. Mais le travail de cartographie des données et de contrôle d'accès mené pour la Loi 25 sert directement de base à un rapport SOC 2 — voir Loi 25 : par où commencer quand on est une PME pour la démarche complète.

Et ensuite

Une fois le premier rapport obtenu, SOC 2 devient un cycle plutôt qu'un projet : renouvellement annuel du Type II, mise à jour du périmètre à chaque changement de système important, et suivi continu des contrôles plutôt qu'une préparation ponctuelle avant chaque audit.

La plupart des PME mènent l'évaluation de préparation et la correction des écarts à l'interne, puis font appel à un cabinet spécialisé pour l'audit lui-même — l'auditeur doit être indépendant de l'entreprise auditée, ce n'est pas une option.

Ce texte est informatif et ne constitue pas un avis juridique. Loi25Soumission qualifie votre demande et l'oriente vers des cabinets partenaires ; il n'évalue pas votre conformité.