Prêt avant l’arrivée de l’auditeur.
SOC 2, c’est surtout une affaire de preuves : faire des choses raisonnables, et pouvoir démontrer que vous les avez faites avec constance. Nous mettons les deux en place avant que l’audit commence.
Nous préparons votre entreprise à l’audit SOC 2 que mènera un cabinet d’audit indépendant et habilité : mise en place des contrôles, collecte automatique des preuves, correction des écarts. Nous ne sommes pas auditeurs et ne détenons aucune certification ; c’est justement ce qui nous permet de vous préparer. Le rapport SOC 2 sera le vôtre, délivré par l’auditeur.
Mis à jour novembre 2026
L’essentiel de SOC 2 consiste à prouver ce que vous faites déjà.
Les entreprises ont en général déjà des pratiques raisonnables. Ce qui leur manque, ce sont les preuves : une trace que les accès ont été revus chaque trimestre, que les changements ont été approuvés, que les sauvegardes ont été testées. L’audit demande des preuves, pas des intentions.
La préparation consiste donc surtout à faire en sorte que les preuves se collectent seules. Si prouver un contrôle exige que quelqu’un rassemble des captures d’écran chaque trimestre, cela s’arrêtera au troisième, et l’audit le verra.
Le Type I atteste que les contrôles existent à une date donnée. Le Type II atteste qu’ils ont fonctionné pendant plusieurs mois. La plupart des clients qui demandent SOC 2 veulent un Type II, ce qui veut dire que la période d’observation commence avant l’audit — anticiper fait gagner un temps réel.
Ce que nous faisons.
Analyse des écarts d’abord
Ce qui est en place, ce qui manque, et le travail que représente chaque écart.
Des preuves qui se collectent seules
Le point le plus important. Une collecte manuelle s’arrête au troisième trimestre.
Des politiques que l’on suit
Écrites pour votre entreprise réelle. Les modèles génériques sont ignorés, et les auditeurs le remarquent.
Procédure de revue des accès
Trimestrielle, tracée, et aussi automatisée que vos outils le permettent.
Gestion des changements
Vous l’avez en général déjà dans vos pull requests. Il faut la tracer, pas la reconstruire.
Plan de réponse aux incidents
Écrit, et exercé au moins une fois — les auditeurs demandent s’il a été testé.
Registre des fournisseurs
Qui traite vos données, ce qui a été évalué, et quand cela a été revu pour la dernière fois. Utile aussi pour le RGPD.
Lien avec l’auditeur
Nous vous aidons à en choisir un et à vous préparer, mais nous ne pouvons pas vous auditer nous-mêmes.
Où se trouvent d’habitude les écarts.
À peu près dans l’ordre de fréquence où nous les trouvons totalement absents.
| Domaine de contrôle | Écart courant | Effort pour le combler |
|---|---|---|
| Revue des accès | Jamais faite, ou une seule fois | Faible — trimestrielle, et automatisable |
| Gestion des changements | Des déploiements sans trace d’approbation | Faible, si vous utilisez déjà des pull requests |
| Arrivées et départs | Aucune trace des accès retirés | Faible — une liste de contrôle et des preuves |
| Évaluation des fournisseurs | Personne n’évalue les sous-traitants | Modéré — un registre et une procédure |
| Réponse aux incidents | Pas de plan écrit | Modéré — rédaction et un exercice |
| Analyse de risques | Jamais faite formellement | Modéré — annuelle, documentée |
| Chiffrement et journalisation | En général correct | Faible — surtout le prouver |
Notre façon de l’aborder.
Nous vous préparons ; un cabinet indépendant vous audite. La même partie ne peut pas faire les deux de façon crédible.
Le meilleur indicateur de la survie de la préparation jusqu’à l’audit.
Nous ne détenons ni SOC 2, ni ISO 27001, ni aucune autre certification. Nous préparons la vôtre.
Quand commencer.
Un grand compte vous l’a demandé
Le déclencheur habituel. Commencer quand le contrat attend déjà, c’est stressant et coûteux.
Vous vendez à des clients américains
SOC 2 est un référentiel américain, et c’est surtout outre-Atlantique qu’on vous le demandera. En Europe, on vous parlera plus souvent d’ISO 27001.
Vous traitez les données de vos clients
Si vous traitez quoi que ce soit de sensible pour leur compte, la question viendra tôt ou tard.
Ce n’est pas pour vous si… personne ne vous l’a demandé et vous êtes cinq
Pour une très petite équipe sans demande client, l’argent est mieux employé ailleurs pour l’instant. Et si vos clients sont européens, vérifiez d’abord s’ils attendent plutôt ISO 27001.
Comment nous travaillons.
Nous analysons les écarts
Au regard des critères dont vous avez réellement besoin, ce qui n’est en général pas tous.
Nous priorisons par effort
Les contrôles rapides et automatisables d’abord, pour que les progrès soient réels tôt.
Nous automatisons les preuves
Avant tout le reste. Des preuves qui exigent une personne chaque trimestre ne survivront pas.
Nous rédigeons les politiques
Pour votre entreprise telle qu’elle fonctionne, pas un modèle où l’on a remplacé le nom.
Nous accompagnons la période d’observation
Pour un Type II, les contrôles doivent fonctionner pendant des mois. Nous vérifions qu’ils tiennent.
Nous vous préparons à l’auditeur
Présentation, preuves organisées, et les questions qu’il posera.
Préparation SOC 2
6 questions, avec leurs réponses. Vous en avez une autre ? Écrivez-nous.
Non, et aucun acteur crédible ne proposerait les deux. Un audit SOC 2 doit être mené par un cabinet d’expertise comptable indépendant habilité selon les normes américaines de l’AICPA, et préparer une entreprise puis l’évaluer ôterait tout sens à l’exercice. Nous vous préparons et vous aidons à choisir un auditeur ; c’est lui qui audite.
Sept catégories. Quarante-cinq services.
Décrivez-nous votre projet. Franchement.
Ce que vous voulez construire, ce qui vous bloque, et le budget si vous l’avez. Nous répondons sous un jour ouvré, et nous vous dirons honnêtement si nous ne sommes pas les bonnes personnes.