Se familiariser avec les audits SOC

Ce que vous saurez faire

À la fin de ce cours, vous saurez :

• Distinguer une attestation d'une certification, et expliquer pourquoi « certifié SOC 2 » est une formule fausse.
• Choisir entre SOC 1, SOC 2 et SOC 3 selon ce que le fournisseur fait pour vous et selon le lecteur visé.
• Lire le type et les dates d'un rapport, et savoir ce que vaut une lettre de transition.
• Situer les normes de l'AICPA, de CPA Canada et de l'IAASB, et juger une équivalence entre SOC 2 et ISAE 3000.
• Vérifier le permis et l'examen par les pairs d'un cabinet signataire.
• Tracer la frontière entre pré-audit et audit du point de vue de l'indépendance.
• Reconnaître une attestation fondée sur les seules déclarations du client.
• Décrire la structure des critères des services de confiance et les critères obligatoires.
• Conduire un pré-audit et suivre une mission jusqu'à l'opinion.
• Hiérarchiser les preuves selon leur force et apprécier un échantillonnage.
• Estimer le coût d'une attestation au Québec et en France, et en discuter la valeur.
• Comparer une attestation SOC 2 et une certification ISO/IEC 27001, et justifier un audit interne en continu.

À qui s'adresse ce module

Le rapport SOC 2 est devenu en quelques années la pièce que tout client exige de ses fournisseurs infonuagiques. On le demande, on le reçoit, on le classe – et on le lit rarement. Ce cours apprend à le lire, et à juger ce qu'il vaut.

On commence par ce qu'un rapport SOC atteste réellement : une affirmation de la direction d'une organisation de services, sur laquelle un cabinet indépendant exprime une opinion. On distingue les trois rapports de la famille et leurs lecteurs, la photographie du type 1 et le film du type 2, puis les normes qui se cachent derrière le même sigle aux États-Unis, au Canada et à l'international.

On s'intéresse ensuite à ceux qui signent. Un rapport ne vaut que ce que vaut son signataire : permis, indépendance, examen par les pairs, frontière entre le conseil et l'attestation. L'affaire Delve, rendue publique en mars 2026, sert de cas d'étude sur les attestations émises sans véritables tests.

On entre ensuite dans la matière : les critères des services de confiance et leur origine dans le COSO, la conduite d'une mission du pré-audit jusqu'à l'opinion, et la lecture d'un rapport de bout en bout. Un module entier est consacré à la force des preuves – procédés de test, fiabilité, échantillonnage, preuves produites par les plateformes –, parce que c'est d'elle que dépend la valeur de tout le reste.

Le dernier module pose la question que les organisations posent rarement : ce que l'attestation coûte, au Québec et en France, et le niveau de garantie qu'elle apporte réellement, comparée à ISO/IEC 27001 et aux autres voies d'assurance. Il se termine sur ce qu'aucune attestation ne remplace : la vérification que l'organisation mène elle-même, en continu.

Aucun prérequis technique. Le cours GRC00, GRC Cyber 101, offert, donne la vue d'ensemble de la conformité et de l'assurance ; CA07, consacré à PCI DSS, prolonge ce cours sur un référentiel externe imposé par contrat.

Programme

Évaluations