ISAE 3402 vs SOC 2 : quelle est la différence ?
La différence entre ISAE 3402 et SOC 2 réside principalement dans l’objectif du rapport d’assurance. ISAE 3402 porte sur les contrôles pertinents pour l’information financière des clients. SOC 2 porte sur la sécurité de l’information et les autres catégories des Trust Services Criteria comprises dans le périmètre convenu.
Cet article présente les deux référentiels, leurs principales différences et les situations dans lesquelles une approche combinée peut être pertinente. Le choix dépend de vos services et des exigences de vos clients.
ISAE 3402 vs SOC 2 : tableau comparatif
Comparez les objectifs, les utilisateurs visés et les différents types de rapports.
| Critère | ISAE 3402 | SOC 2 |
|---|---|---|
| Objet principal | Les contrôles pertinents pour l’information financière de vos clients. | La sécurité de l’information et les autres catégories des Trust Services Criteria comprises dans le périmètre. |
| Exemples d’application | Les activités externalisées telles que la gestion de la paie, la gestion comptable et le traitement des transactions. | Les services SaaS, l’hébergement cloud et le traitement des données des clients. |
| Référentiel | La norme internationale d’assurance ISAE 3402, avec des objectifs de contrôle pertinents pour l’information financière. | Les normes d’attestation de l’AICPA et les Trust Services Criteria applicables. |
| Utilisateurs visés | Les organisations clientes et les auditeurs de leurs états financiers. | Les clients et les autres utilisateurs désignés ayant besoin d’une assurance détaillée sur les contrôles du système. |
| Type I | Évaluation de la description du système et du caractère approprié de la conception des contrôles à une date donnée. | Évaluation de la description du système et du caractère approprié de la conception des contrôles à une date donnée. |
| Type II | Évaluation complémentaire de l’efficacité du fonctionnement des contrôles sur une période définie. | Évaluation complémentaire de l’efficacité du fonctionnement des contrôles sur une période définie. |
| Résultat | Un rapport d’assurance indépendant portant sur les objectifs de contrôle convenus en matière d’information financière. | Un rapport d’assurance indépendant portant sur les catégories des Trust Services Criteria comprises dans le périmètre. |
Les exigences de votre client constituent le point de départ. Ces exemples sont indicatifs. Votre secteur d’activité ne détermine pas à lui seul le rapport nécessaire. Pour SOC 2, le périmètre précise les catégories des Trust Services Criteria couvertes.
Quel rapport votre client demande-t-il ?
Présentez vos services et les exigences de votre client à Brand Compliance. Lors d’un premier échange, vous pouvez discuter du périmètre et du déroulement d’une mission d’assurance indépendante.
Discuter de vos besoins d’assurance
Découvrez le déroulement d’un premier échange et demandez un rendez-vous.
Qu’est-ce qu’ISAE 3402 ?
ISAE 3402 est une norme internationale d’assurance destinée aux organisations prestataires de services dont les activités peuvent avoir une incidence sur l’information financière de leurs clients. Un rapport ISAE 3402 permet de démontrer que les contrôles internes pertinents sont conçus de manière appropriée et, selon le type de rapport, fonctionnent efficacement sur une période définie.
ISAE 3402 concerne notamment :
- les prestataires de gestion de la paie
- les prestataires de services financiers
- les partenaires d’externalisation de processus financiers
- les organisations fournissant des services de gestion fiduciaire ou d’administration de placements
ISAE 3402 Type I et Type II
- ISAE 3402 Type I : évaluation de la description du système et du caractère approprié de la conception des contrôles à une date donnée.
- ISAE 3402 Type II : évaluation portant également sur l’efficacité du fonctionnement des contrôles sur une période définie.
Qu’est-ce que SOC 2 ?
SOC 2 est un cadre de reporting d’assurance développé par l’American Institute of Certified Public Accountants (AICPA). Il s’adresse aux organisations prestataires de services qui souhaitent fournir une assurance sur la sécurité de l’information et les autres catégories des Trust Services Criteria comprises dans le périmètre convenu.
SOC 2 concerne notamment :
- les prestataires de services informatiques et cloud
- les entreprises proposant des logiciels en tant que service (SaaS)
- les hébergeurs et les centres de données
- les organisations qui traitent les données de leurs clients
Les Trust Services Criteria
Un rapport SOC 2 s’appuie sur les Trust Services Criteria de l’AICPA. Ces critères permettent d’évaluer les contrôles relatifs à la fiabilité des systèmes et au traitement de l’information.
Ils comprennent cinq catégories :
- Sécurité : protection des informations et des systèmes contre les accès et les divulgations non autorisés.
- Disponibilité : disponibilité des informations et des systèmes pour leur exploitation et leur utilisation conformément aux exigences définies.
- Intégrité du traitement : caractère complet, valide, exact, réalisé en temps voulu et autorisé des traitements effectués par le système.
- Confidentialité : protection des informations désignées comme confidentielles.
- Protection de la vie privée : maîtrise de la collecte, de l’utilisation, de la conservation, de la communication et de la suppression des données à caractère personnel.
Le rapport précise les catégories couvertes. Tous les rapports SOC 2 ne portent pas sur les cinq catégories. Les critères communs s’appliquent à l’ensemble des catégories sélectionnées pour la mission.
SOC 2 Type I et Type II
- Type I : évaluation de la description du système et du caractère approprié de la conception des contrôles à une date donnée.
- Type II : évaluation portant également sur l’efficacité du fonctionnement des contrôles sur une période définie. Le rapport présente les tests effectués par l’auditeur et leurs résultats.
Votre client demande-t-il des preuves que les contrôles ont fonctionné efficacement sur une période donnée ? Un rapport de Type I seul ne répondra pas à cette exigence.
En quoi SOC 1 et SOC 3 diffèrent-ils de SOC 2 ?
SOC 1 porte sur les contrôles internes pertinents pour l’information financière des clients. Il peut notamment concerner la gestion de la paie, le traitement des sinistres ou les transactions financières. Comme ISAE 3402, SOC 1 répond à un objectif d’assurance lié à l’information financière, mais il utilise les normes d’attestation américaines. Les rapports SOC 1 peuvent être de Type I ou de Type II.
SOC 3 est un rapport destiné à une utilisation générale, fondé sur les Trust Services Criteria applicables. Moins détaillé qu’un rapport SOC 2, il peut être diffusé publiquement.
Quelle est la différence entre ISAE 3402 et SOC 2 ?
La différence réside principalement dans l’objectif du rapport. ISAE 3402 porte sur les contrôles pertinents pour l’information financière des clients. SOC 2 porte sur les contrôles évalués selon les Trust Services Criteria applicables, dans le périmètre convenu.
Les deux rapports peuvent couvrir certains contrôles identiques, comme la gestion des accès ou la gestion des changements. Ces contrôles sont toutefois évalués au regard d’objectifs différents.
ISAE 3402 est-il équivalent à SOC 2 ?
Non. Un rapport ISAE 3402 ne remplace pas un rapport SOC 2, et inversement. Vérifiez le rapport demandé par votre client, le périmètre concerné et le type de rapport attendu : Type I ou Type II.
Quand choisir ISAE 3402 ou SOC 2 ?
Commencez par identifier l’assurance dont vos clients ont besoin. Quelles activités confient-ils à votre organisation et qu’attendent-ils du rapport ?
Choisissez ISAE 3402 si…
Vos services ont une incidence sur l’information financière de vos clients et leurs auditeurs ont besoin d’une assurance sur les contrôles pertinents.
Exemples : gestion de la paie, gestion comptable et traitement des transactions.
Découvrir ISAE 3402 Page en anglais.
Choisissez SOC 2 si…
Vos clients demandent une assurance sur la sécurité de l’information et les autres catégories des Trust Services Criteria comprises dans le périmètre de votre rapport.
Exemples : plateformes SaaS, hébergement cloud et services de traitement des données des clients.
Découvrir SOC 2 Page en anglais.
Vos clients demandent-ils une assurance à la fois sur l’information financière et sur la sécurité de l’information ? Les deux rapports peuvent être pertinents. La section suivante présente les possibilités d’une approche d’audit combinée.
Peut-on combiner ISAE 3402 et SOC 2 ?
Oui, dans certaines situations, les deux rapports peuvent être pertinents. C’est notamment le cas des prestataires qui gèrent à la fois des processus liés à l’information financière et des processus informatiques.
Par exemple, lorsque votre organisation :
- traite des données financières dans un environnement cloud
- fournit à la fois des services administratifs et numériques
- doit répondre à différentes exigences de reporting de ses clients
- doit fournir une assurance sur les contrôles financiers et sur la sécurité de l’information
Une approche d’audit combinée ou coordonnée peut alors être plus efficace que deux missions entièrement distinctes. Le périmètre et les critères d’évaluation doivent toutefois être définis et coordonnés avec soin. Chaque rapport doit continuer à répondre à son propre objectif d’assurance.
Sources officielles : IAASB : présentation d’ISAE 3402 et AICPA : Trust Services Criteria. Ces sources sont en anglais.
Discutons de vos besoins d’assurance
Vous avez une question sur les différences entre ISAE 3402 et SOC 2 ou sur le déroulement d’une mission d’assurance indépendante ? Posez votre question à Brand Compliance à l’aide du formulaire ci-dessous.
Décrivez vos services et précisez le rapport demandé par votre client. Ces informations nous permettront de répondre à votre question concernant le périmètre et le déroulement de l’audit.
