Sécurité de l’information
SOC 2 — Critères des services de confiance de l’AICPA
Le rapport d’attestation attendu par les clients nord-américains des éditeurs de logiciels et des prestataires de services.
En bref
- Type
- Référentiel d’attestation (rapport, pas certificat)
- Éditeur
- AICPA (États-Unis)
- Version
- Critères 2017, points d’attention révisés en 2022
- Auditeur
- Cabinet CPA indépendant
61 exigences suivies · 178 mesures communes
Qu’est-ce que SOC 2 ?
SOC 2 n’est pas une certification mais un rapport d’attestation : un cabinet d’expertise comptable (CPA) indépendant examine les contrôles d’une organisation de services selon les critères des services de confiance (Trust Services Criteria) de l’AICPA.
Le rapport Type 1 porte sur la conception des contrôles à une date donnée ; le rapport Type 2 porte aussi sur leur efficacité opérationnelle sur une période, souvent de 6 à 12 mois. La catégorie Sécurité (critères communs CC1 à CC9) est obligatoire ; Disponibilité, Confidentialité, Intégrité des traitements et Protection de la vie privée sont optionnelles.
Les exigences clés
- 1
Environnement de contrôle et gouvernance (CC1–CC2)
Intégrité, supervision par la direction, structure, compétences et communication interne et externe.
- 2
Évaluation des risques et surveillance (CC3–CC5)
Identification des risques, y compris de fraude, surveillance des contrôles et activités de contrôle.
- 3
Accès logiques et physiques (CC6)
Gestion des identités et des droits, authentification, protection des données et des locaux.
- 4
Exploitation et changements (CC7–CC8)
Détection des anomalies, gestion des incidents et maîtrise des changements.
- 5
Atténuation des risques (CC9)
Continuité d’activité et gestion des fournisseurs et partenaires.
Synthèse rédigée par OK-GRC. Les textes des normes ISO sont protégés par le droit d’auteur et ne sont pas reproduits.
Comment OK-GRC vous aide
- Critères SOC 2 reliés à 178 mesures communes, avec un score qui profite de votre travail ISO 27001
- Preuves datées et versionnées, avec rappels d’expiration, pour couvrir la période d’un rapport Type 2
- Revues d’accès, gestion des changements et incidents tracés dans le journal d’activité
- Accès lecture seule pour l’auditeur, sans siège facturé
- Exports XLSX et PDF pour constituer le dossier remis au cabinet
Les référentiels voisins
Avec des mesures ISO 27001 en place, votre score de départ SOC 2 est d’environ 47 à 71 %.
Les mesures que vous mettez en place pour SOC 2 comptent aussi pour :
Questions fréquentes sur SOC 2
SOC 2 ou ISO 27001 : lequel choisir ?
En Europe, ISO 27001 est le plus demandé et donne lieu à un certificat. SOC 2 répond surtout aux attentes des clients nord-américains. Beaucoup d’éditeurs commencent par ISO 27001 puis réutilisent leurs mesures et preuves pour un rapport SOC 2.
Qui peut réaliser un audit SOC 2 ?
Uniquement un cabinet d’expertise comptable habilité (CPA) aux États-Unis, ou un cabinet membre d’un réseau habilité. OK-GRC prépare le dossier ; le rapport est émis par le cabinet.
Contenu informatif à jour en octobre 2026 ; il ne constitue pas un avis juridique. Vérifiez toujours les textes officiels en vigueur.
Prêt à simplifier votre conformité ?
Créez votre espace en quelques minutes. L’assistant vous propose les normes et les priorités adaptées à votre entreprise.
14 jours d’essai avec toutes les fonctionnalités Pro · Aucun débit avant la fin de l’essai · Sans engagement