# SOC 2 expliqué aux PME : portée, types et préparation > Un rapport SOC 2 est l’opinion d’un auditeur sur vos contrôles, pas une certification. Voyez les cinq catégories, les types I et II, et comment vous préparer. - URL: https://nextit.tech/fr/blogue/soc-2-explique-aux-pme/ - Language: Français - Other language: https://nextit.tech/blog/soc-2-explained-for-smbs/ - Publisher: NextIT (https://nextit.tech/) --- [Blog](https://nextit.tech/fr/blogue/) # SOC 2 expliqué aux PME : ce que couvre le rapport et comment s’y préparer Équipe Sécurité NextIT 27 oct. 2026 7 min de lecture Un grand client vous envoie un questionnaire de sécurité, et une ligne demande votre rapport SOC 2. Votre équipe a de bonnes habitudes de sécurité, mais vous n’avez aucun rapport. Cet article explique ce qu’est un rapport SOC 2, ce qu’il exige d’une petite entreprise et comment vous y préparer. ## Ce qu’est SOC 2 SOC 2 est un rapport sur les contrôles qu’une organisation de services utilise pour protéger ses systèmes et les données de ses clients. SOC signifie System and Organization Controls. Un cabinet de CPA (comptables professionnels agréés) indépendant examine vos contrôles et donne une opinion sur ceux-ci. Le cabinet s’appuie sur les Trust Services Criteria de l’Institut américain des CPA (AICPA). Un rapport SOC 2 est un rapport d’attestation, et non une certification. Il compte trois parties principales : votre description du système, votre affirmation écrite sur vos contrôles, et l’opinion de l’auditeur sur les deux. Pensez à l’inspection d’une maison avant une vente. L’acheteur ne vous croit pas sur parole quand vous dites que la toiture est en bon état. Un inspecteur indépendant la vérifie et consigne ce qu’il constate. Un rapport SOC 2 joue le même rôle entre vous et votre client. Un rapport SOC 3 couvre le même terrain, mais il est rédigé pour un usage général, et vous pouvez donc le publier. L’usage d’un rapport SOC 2 est réservé aux lecteurs qui comprennent votre service, comme vos clients et vos partenaires d’affaires. ## Pourquoi cela compte pour une PME Si vous vendez un service qui touche des données de clients, comme un logiciel, de l’hébergement ou des services TI gérés, vos clients d’affaires portent un risque à travers vous. L’AICPA souligne que les clients et les partenaires d’affaires demandent souvent un rapport SOC 2 à une organisation de services. Des clients potentiels peuvent aussi s’en servir pour choisir un fournisseur. Un questionnaire donne au client vos propres réponses. Un rapport SOC 2 lui donne l’opinion d’un tiers indépendant. Au Canada, il n’existe pas de norme canadienne distincte pour SOC 2. Un cabinet de CPA canadien réalise la mission selon la NCMC 3000 (CSAE 3000), la norme canadienne sur les missions d’attestation, avec les Trust Services Criteria de l’AICPA. Un cabinet peut aussi faire rapport selon les normes canadiennes et américaines à la fois, lorsque les lecteurs se trouvent dans les deux marchés. CPA Canada publie un guide SOC 2 à l’intention des professionnels canadiens. SOC 2 est volontaire. Un rapport SOC 2 ne prouve pas, à lui seul, que vous respectez la Loi 25 ou la LPRPDE. Il montre comment vos contrôles fonctionnent selon un ensemble de critères. ## Ce que SOC 2 exige ### Les cinq catégories Les Trust Services Criteria regroupent les contrôles en cinq catégories : - **Sécurité :** l’information et les systèmes sont protégés contre l’accès non autorisé, la divulgation non autorisée et les dommages. - **Disponibilité :** l’information et les systèmes sont disponibles pour l’exploitation et l’utilisation prévues dans vos objectifs. - **Intégrité du traitement :** le traitement est complet, valide, exact, effectué en temps voulu et autorisé. - **Confidentialité :** l’information désignée comme confidentielle est protégée. - **Protection des renseignements personnels :** les renseignements personnels sont recueillis, utilisés, conservés, communiqués et détruits conformément à vos objectifs. La sécurité fait partie de la plupart des rapports SOC 2. Ses critères, appelés critères communs, s’appliquent aussi à chacune des quatre autres catégories. N’ajoutez une autre catégorie que si un engagement envers vos clients l’exige. Par exemple, ajoutez la disponibilité si vos contrats promettent un temps de disponibilité. Les critères en usage sont les Trust Services Criteria de 2017, avec des points d’attention révisés en 2022. La révision de 2022 a modifié les points d’attention, et non les critères. Les points d’attention décrivent des caractéristiques importantes d’un critère, et vous n’avez pas à répondre à chacun d’eux. ### Type I et type II Un rapport de **type I** porte sur une date précise. Il vérifie que la description de votre système est fidèle et que vos contrôles étaient conçus de façon adéquate à cette date. Un rapport de **type II** couvre une période. Il vérifie aussi que les contrôles ont fonctionné efficacement tout au long de cette période, et il présente les tests de l’auditeur et leurs résultats. Un rapport de type II en dit plus au lecteur, car il montre comment les contrôles ont fonctionné dans le temps. Le guide de l’AICPA ne fixe pas de durée pour la période. Son propre exemple indique qu’une période de moins de deux mois risque de ne pas fournir assez de preuves à l’auditeur. ### La portée et la description du système Vous rédigez la description du système examiné. Elle peut suivre les composantes du système : l’infrastructure, les logiciels, les personnes, les données, ainsi que les processus et les procédures. Ses limites doivent être claires, pour que les lecteurs sachent quels services et quelles équipes le rapport couvre. Si un hébergeur infonuagique exploite une partie de votre système, la description précise si le rapport inclut les contrôles de cet hébergeur ou les exclut. ### Les contrôles que l’auditeur vérifie Les critères communs couvrent votre environnement de contrôle, la communication, l’évaluation des risques, la surveillance et les activités de contrôle. En pratique, une petite entreprise a besoin de : - Politiques et procédures écrites qui mettent les contrôles en œuvre. - Contrôle d’accès : approuvez chaque compte avant de lui donner accès, retirez l’accès quand il n’est plus nécessaire, et ne donnez à chaque personne que l’accès dont son travail a besoin. - Gestion des changements : approuvez, testez et documentez chaque changement avant sa mise en production. - Surveillance : surveillez vos systèmes pour repérer les anomalies et évaluez chaque événement de sécurité. - Réponse aux incidents : un processus défini pour contenir, corriger et communiquer les incidents de sécurité. - Gestion des fournisseurs : évaluez et gérez les risques qui viennent de vos fournisseurs et de vos partenaires d’affaires. - Preuves : des fiches datées qui montrent que chaque contrôle a fonctionné. ## Comment aborder le sujet 1. Demandez au client ce dont il a besoin. Confirmez le rapport, les catégories, le type et l’échéance. 2. Fixez la portée. Choisissez le service que vos clients achètent, et commencez par la catégorie sécurité. 3. Réalisez une évaluation de l’état de préparation. Comparez vos contrôles actuels aux critères et dressez la liste des écarts. 4. Comblez les écarts. Rédigez les politiques manquantes, et donnez un responsable à chaque contrôle. 5. Recueillez les preuves au fur et à mesure. Conservez chaque fiche avec le contrôle qu’elle soutient, et datez-la. 6. Choisissez un cabinet de CPA. Au Canada, demandez si le cabinet fait rapport selon la NCMC 3000, selon les normes américaines, ou selon les deux. 7. Gardez vos contrôles actifs après le rapport. Un rapport porte sur une date ou une période passée, et vos clients pourront en demander un plus récent. ## Erreurs courantes - Qualifier SOC 2 de certification. C’est l’opinion d’un auditeur sur une portée définie. - Ajouter toutes les catégories d’un seul coup. Commencez par ce que vos clients demandent. - Rédiger des politiques que personne ne suit. L’auditeur vérifie ce que les gens font. - Recueillir les preuves à la fin de la période. Une fiche jamais tenue ne peut pas être créée après coup. - Oublier vos fournisseurs. Lisez la portée du propre rapport de votre hébergeur infonuagique. - Considérer un rapport SOC 2 comme une preuve de conformité à la Loi 25. - Laisser tomber les contrôles une fois le rapport reçu. **Bon à savoir :** Cet article présente une information générale, et non un avis professionnel. Pour votre propre examen SOC 2, consultez un cabinet de CPA qualifié. ## Comment NextIT vous aide NextIT vous aide à préparer votre examen SOC 2. Vous ajoutez SOC 2 aux cadres que vous suivez, et l’évaluation de conformité affiche votre score pour chacun. `Gestion des contrôles` et `Référentiel de preuves` relient chaque preuve à ses contrôles et suivent sa date d’expiration. Le module Fournisseurs tient votre registre des fournisseurs, et le Registre des incidents de sécurité suit chaque incident jusqu’à la révision post-incident. Vous pouvez donner à un auditeur externe un accès en lecture seule pour la durée de la revue. Le [rapport de conformité](https://nextit.tech/fr/docs/rapport-de-conformite/) exporte vos résultats SOC 2 en PDF. Pour voir comment cela s’applique à votre entreprise, [réservez une démonstration](https://nextit.tech/fr/reserver-une-demo/). Rapport de posture gratuit ### Votre PME est-elle exposée? Sachez-le en 5 minutes. Entrez votre domaine. Confirmez la propriété par courriel, puis obtenez gratuitement votre rapport de posture de sécurité et de conformité. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) - Aucune carte requise - Hébergé au Canada Équipe Sécurité NextIT Sécurité, conformité à la loi 25 et gouvernance informatique pour les PME. ### À propos de l’auteur L’équipe Sécurité NextIT exécute les analyses de domaine et le calcul de la posture, et écrit sur les correctifs qui font le plus bouger un score de sécurité. ### Plus d’articles de NextIT - [La Loi 25 expliquée : ce que la loi québécoise exige des PME 27 oct. 2026](https://nextit.tech/fr/blogue/la-loi-25-expliquee-ce-que-la-loi-quebecoise-exige-des-pme/) - [Le cadre de cybersécurité 2.0 du NIST expliqué aux PME 27 oct. 2026](https://nextit.tech/fr/blogue/le-nist-csf-2-explique-aux-pme/) - [Le RGPD pour les PME canadiennes : quand il s’applique et ce qu’il exige 27 oct. 2026](https://nextit.tech/fr/blogue/le-rgpd-pour-les-pme-canadiennes-quand-il-s-applique-et-ce-qu-il-exige/) - [Ce que coûte vraiment la non-conformité 15 oct. 2026](https://nextit.tech/fr/blogue/ce-que-coute-vraiment-la-non-conformite/) - [Conformité 101 pour les PME : cadres, contrôles et preuves en termes simples 15 oct. 2026](https://nextit.tech/fr/blogue/conformite-101-cadres-controles-et-preuves/) ## Scannez votre entreprise. Ou parlons stratégie. Obtenez votre rapport de posture gratuit en 5 minutes — ou réservez une rencontre stratégique avec notre équipe. [Réserver une rencontre stratégique](https://nextit.tech/fr/reserver-une-demo/) Aucune carte requise · Bilingue FR / EN · Hébergé au Canada