SOC 2 Type II : lire un rapport de fournisseur sans se faire raconter d’histoires

Votre fournisseur infonuagique affiche « certifié SOC 2 » sur sa page d’accueil, badge bleu à l’appui. Petit détail : la certification SOC 2 n’existe pas. SOC 2 est un rapport d’attestation encadré par l’AICPA, l’institut américain des comptables professionnels agréés. Un cabinet de CPA indépendant examine les contrôles du fournisseur, puis exprime une opinion professionnelle dans un document qui fait souvent plusieurs dizaines de pages. Personne ne décerne de sceau, personne ne « réussit » SOC 2 : on obtient un rapport, avec ses forces et ses réserves.

La distinction n’est pas un caprice de vocabulaire. Une certification comme ISO 27001 aboutit à un certificat public, valide pour une durée donnée. Un rapport SOC 2, lui, est un document confidentiel que le fournisseur remet sur demande, généralement sous entente de non-divulgation. Il décrit le système audité, les contrôles testés, les résultats des tests et les exceptions relevées. C’est précisément ce niveau de détail qui en fait un outil utile : le badge sur le site web ne vous apprend rien, le rapport complet vous apprend tout. La version publique et résumée existe, elle s’appelle SOC 3, et elle suffit rarement à une décision d’affaires.

Concrètement, si vous dirigez les TI d’une PME de Granby et que vous magasinez un logiciel de paie infonuagique, la bonne question n’est pas « avez-vous SOC 2? », mais « pouvez-vous me transmettre votre rapport SOC 2 Type II le plus récent? ». La réaction est déjà un indicateur : un fournisseur sérieux a un processus établi pour le partager.

Le rapport évalue les contrôles du fournisseur par rapport aux critères de services de confiance (Trust Services Criteria) définis par l’AICPA. Il y en a cinq.

Ce que beaucoup de dirigeants ignorent : seul le critère de sécurité est obligatoire. Les quatre autres sont optionnels, à la discrétion du fournisseur. Un rapport SOC 2 peut donc être parfaitement authentique tout en ne couvrant ni la confidentialité ni la protection de la vie privée. Avant de vous rassurer, vérifiez quels critères figurent dans le périmètre : pour un outil d’IA qui traite des renseignements personnels de vos clients ou de vos employés, un rapport limité à la sécurité laisse de grands angles morts.

Un rapport Type I répond à la question : les contrôles étaient-ils bien conçus à telle date? C’est une photo. L’auditeur constate que les politiques existent, que le chiffrement est configuré et que les accès sont documentés, un jour précis. Un rapport Type II répond à une question beaucoup plus exigeante : ces contrôles ont-ils réellement fonctionné pendant toute la période d’observation, généralement de 3 à 12 mois? C’est un film. L’auditeur teste des échantillons de journaux, de demandes d’accès et de rapports d’incident pour vérifier que chaque contrôle a été exécuté semaine après semaine.

La différence pratique est énorme. Une entreprise peut obtenir un Type I en quelques semaines avec une documentation impeccable et une mise en œuvre embryonnaire. Le Type II, lui, ne se maquille pas : si la revue des accès prévue chaque trimestre n’a pas eu lieu, l’exception apparaît dans le rapport. C’est pourquoi le Type II est le seul rapport qui atteste le fonctionnement réel des contrôles. Quand un fournisseur reste vague sur le type, la prudence commande de supposer qu’il s’agit d’un Type I, ou d’un audit encore en cours.

Recevoir le rapport n’est que la moitié du travail. Un contrôleur financier qui reçoit un PDF de 80 pages a le réflexe de le classer et de cocher la case « fournisseur audité ». Résistez : quatre vérifications prennent moins d’une heure et changent souvent la conclusion.

Ces quatre lectures transforment un badge marketing en information de gestion, et elles documentent votre diligence si un incident survient chez le fournisseur.

Les deux référentiels reviennent constamment dans les appels d’offres, et ils sont souvent confondus. ISO/IEC 27001 certifie un système de gestion de la sécurité de l’information (SMSI) : l’organisation a mis en place une gouvernance, une gestion des risques et une amélioration continue, vérifiées par un organisme de certification accrédité selon un cycle de 3 ans avec audits de surveillance annuels. SOC 2, de son côté, produit une opinion détaillée sur des contrôles précis appliqués aux données confiées par les clients, observés sur une période donnée.

Ni l’un ni l’autre n’est « meilleur » : ils ne répondent pas à la même question. ISO 27001 dit « ce fournisseur gère la sécurité de façon structurée »; un SOC 2 Type II dit « voici la preuve détaillée que ses contrôles ont fonctionné de telle date à telle date ». Les fournisseurs matures détiennent souvent les deux. Pour évaluer un sous-traitant qui hébergera vos données, le rapport SOC 2 Type II est le document le plus riche à lire; le certificat ISO 27001 est le signal le plus simple à vérifier.

Le rapport le plus favorable reste muet sur trois enjeux qui, au Québec, pèsent lourd. D’abord, la juridiction. SOC 2 évalue des contrôles, pas des lois. Un fournisseur de propriété américaine peut détenir un Type II irréprochable et demeurer assujetti au CLOUD Act, cette loi américaine de 2018 qui permet aux autorités des États-Unis d’exiger la remise de données même stockées au Canada. La localisation physique des serveurs ne protège pas : c’est la juridiction du propriétaire qui compte, et aucun audit ne change cette réalité.

Ensuite, l’entraînement des modèles d’IA. Le rapport atteste les contrôles à l’égard des engagements décrits par le fournisseur; si ceux-ci ne disent rien de l’usage de vos données pour entraîner ses modèles, le rapport restera muet. Or, sous la Loi 25, réutiliser des renseignements personnels pour entraîner un modèle constitue une nouvelle finalité qui exige sa propre base légale. La garantie de non-entraînement doit figurer au contrat, noir sur blanc, pas être déduite d’un logo.

Enfin, vos propres obligations légales. La Loi 25 exige d’encadrer contractuellement vos sous-traitants (article 18.3) et de mener une évaluation avant toute communication de renseignements personnels hors Québec (article 17). Un rapport SOC 2 est une excellente pièce à verser au dossier de cette évaluation, mais il ne la remplace pas. L’auditeur n’a jamais prétendu vérifier votre conformité québécoise.

Exigez un SOC 2 Type II récent dès qu’un fournisseur héberge ou traite pour votre compte des renseignements personnels, des données financières ou des secrets commerciaux : plateformes SaaS, outils d’IA, services de paie, hébergeurs, sous-traitants TI. Dans un appel d’offres, précisez « Type II », la période minimale attendue et les critères de services de confiance requis, sinon vous récolterez des réponses ambiguës.

Restez toutefois proportionné. Un audit SOC 2 Type II coûte cher en temps et en honoraires; votre intégrateur régional de 12 employés n’en aura probablement pas, et ce n’est pas nécessairement disqualifiant. Des solutions de rechange existent : questionnaire de sécurité détaillé, clauses contractuelles solides (résidence des données, délais d’avis d’incident, non-entraînement, réversibilité), droit d’audit, ou une architecture qui évite le transfert. C’est la logique de l’hébergement souverain : quand l’IA et les données restent dans votre environnement, la question du rapport d’audit du fournisseur perd beaucoup de son poids.

Par transparence : Cogio ne détient pas de rapport SOC 2 et ne revendique aucune certification. Nous livrons plutôt un registre de preuves horodaté (journaux d’audit, cartographie des flux, décisions documentées) qui appartient au client, et nous appliquons à nos propres fournisseurs la grille de lecture décrite ici.

Dressez la liste des fournisseurs qui touchent à des renseignements personnels ou à des données stratégiques : votre registre exigé par la Loi 25 vous la donne déjà en bonne partie. Pour chacun, demandez le rapport SOC 2 Type II le plus récent, appliquez les quatre vérifications (période, opinion, exceptions, sous-traitants) et consignez le résultat. Les trous que vous découvrirez (rapports périmés, Type I présentés comme des certifications, hébergeurs exclus du périmètre) deviendront des points de négociation au prochain renouvellement.

Si vous préférez un regard externe, notre démarche commence justement par un audit des flux de données et des fournisseurs, avec une grille Loi 25 intégrée. Vous repartez avec un portrait clair et des questions précises à poser à chaque fournisseur. La checklist de conformité en 12 étapes est aussi un bon point de départ pour situer l’évaluation des tiers dans l’ensemble de vos obligations.