SOC 1 : plongée approfondie

1. Aperçu

Qu'est-ce que le SOC 1

SOC 1 (Contrôles du système et de l'organisation 1) est un mission d'attestation effectué par un cabinet de CPA agréé sous SSAE 21, section AT-C 320. Contrairement au SOC 2, qui couvre les critères des services de confiance, le SOC 1 rend compte des contrôles d'une organisation de services qui sont pertinent pour le contrôle interne à l’égard de l’information financière (CIIF) des entités utilisatrices. L'auditeur (officiellement le auditeur de services) teste les objectifs de contrôle déclarés par la direction et fournit une opinion sur la question de savoir si les contrôles sont correctement conçus et (pour le type 2) fonctionnent efficacement.

À qui s’applique-t-il

Organismes de services dont le traitement affecte les états financiers de leurs clients. Exemples typiques : prestataires de paie, processeurs de paiement, administrateurs de sinistres, administrateurs de fonds, plateformes de facturation SaaS, plateformes de gestion de prêts et services de fiducie et de garde. Si les auditeurs de vos clients doivent s'appuyer sur vos contrôles lors de l'audit des états financiers de vos clients, vous aurez probablement besoin du SOC 1.

Résultat

Un indépendant rapport du commissaire aux comptes:

• SOC1 Type 1 — avis sur la justesse de la description faite par la direction et sur l'adéquation de la conception des contrôles à un moment donné.
• SOC1 Type 2 — avis sur la sincérité de la description faite par la direction, l'adéquation de la conception des contrôles et l'efficacité du fonctionnement des contrôles sur une période d'observation définie (généralement 6 à 12 mois).

Les rapports SOC 1 sont à usage restreint : ils sont destinés à la gestion de l'organisation de services, des entités utilisatrices et des auditeurs des entités utilisatrices. Ils ne sont pas destinés à une diffusion publique. Clarify Consult Partner n'est pas un cabinet CPA et ne publie pas de rapports SOC 1 ; nous préparons les clients pour la mission, rédigeons la description du système et les objectifs de contrôle, et représentons le programme tout au long de l'audit. Voir notre Page des services SOC 2 si vous avez également besoin d’une assurance basée sur le TSC pour les engagements non liés au CIIF.

Objectifs de haut niveau et domaines de risque

• Fournir l'assurance que les contrôles de la société de services prennent en charge un traitement financier précis pour les entités utilisatrices.
• Soutenir les programmes SOX 404/audit externe des entités utilisatrices
• Réduisez les tests de contrôle dupliqués par les auditeurs de nombreux clients
• Démontrer sa maturité opérationnelle auprès des acheteurs de services financiers et réglementés

2. Portée et applicabilité

Éléments typiques du champ d'application

• Systèmes de traitement des transactions et infrastructure sous-jacente
• Contrôles informatiques généraux (ITGC) : gestion des accès, gestion des changements, opérations informatiques, sauvegarde et restauration
• Contrôles d'application qui préviennent ou détectent les anomalies financières (modifications de saisie, autorisation, contrôles d'exhaustivité, rapprochements)
• Rapports sur lesquels les utilisateurs s'appuient pour prendre des décisions financières
• Processus opérationnels qui produisent des données financières fournies aux clients

Éléments courants hors de portée

• Systèmes de marketing et de vente sans rapport avec le traitement des transactions
• Systèmes RH et financiers internes de l'entreprise non liés aux rapports financiers des clients
• Caractéristiques du produit qui n'ont pas d'impact sur les états financiers des clients

Organisations de sous-services – Méthode d'exclusion ou méthode inclusive

Si votre service dépend d'organisations de sous-services (par exemple, un fournisseur d'hébergement cloud ou un partenaire bancaire), vous devez les divulguer dans la description du système :

• Méthode d'exclusion — les contrôles de l'organisation de sous-services sont exclus de votre champ d'application. Vous documentez le Contrôles complémentaires de l'organisation des sous-services (CSOC) ils sont censés performer.
• Méthode inclusive — les contrôles de l'organisation de sous-services sont testés dans le cadre de votre mission (rare ; nécessite leur coopération).

Contrôles complémentaires des entités utilisateur (CUEC)

Les entités utilisatrices (vos clients) disposent de leurs propres contrôles pour fonctionner parallèlement aux vôtres. La description du système répertorie les CUEC que vos clients doivent mettre en œuvre afin que leurs auditeurs sachent de quoi ils sont responsables – par exemple, examiner les rapports que vous fournissez, rapprocher les soldes ou approuver les transactions avant de les soumettre.

3. Principes fondamentaux — Objectifs de contrôle

SOC 1 est construit autour objectifs de contrôle défini par la direction, et non par un ensemble de critères fixes comme les critères des services de confiance de SOC 2. La société de services est chargée de définir des objectifs de contrôle qui reflètent les risques en matière d'information financière que son service introduit pour les entités utilisatrices. L'auditeur du service évalue si les contrôles décrits sont conçus de manière appropriée (et, pour le type 2, fonctionnent efficacement) pour atteindre ces objectifs.

Les domaines typiques des objectifs de contrôle comprennent :

• Accès logique (approvisionnement, séparation des tâches, accès privilégié)
• Gestion des changements (changements d'application, changements de base de données, changements d'infrastructure)
• Opérations informatiques (planification des travaux, surveillance, gestion des incidents)
• Transmission et intégrité des données
• Exactitude et exhaustivité du traitement des transactions
• Contrôles d'autorisation sur les transactions et les rapports
• Contrôles de rapprochement
• Sauvegarde et récupération

Les objectifs de contrôle doivent être suffisamment spécifiques pour que l'auditeur puisse les tester et qu'une entité utilisatrice puisse s'y fier. Les objectifs vagues (« les transactions sont traitées avec précision ») sont renforcés lors du travail de préparation pour être spécifiques et testables.

4. Répartition du contrôle — Domaines d'objectifs de contrôle typiques

Accès logique

Objectif typique : Les contrôles fournissent une assurance raisonnable que l'accès logique à l'environnement de production et aux données financières est limité au personnel autorisé.
Contrôles : Flux de travail de provisionnement et de déprovisionnement ; examens d'accès trimestriels ; Application de l’AMF ; avis à accès privilégié ; séparation des tâches entre développeurs et opérateurs de production.
Preuve: Tickets de provisionnement, attestations de révision d’accès, rapports d’inscription MFA, journaux d’accès privilégiés.

Gestion du changement

Objectif typique : Les contrôles fournissent une assurance raisonnable que les modifications apportées à l'application et à l'infrastructure de support sont autorisées, testées et approuvées avant le déploiement.
Contrôles : Processus de changement documenté ; révision et approbation du code ; validation de l'environnement de test ; ségrégation entre développement et production ; procédure de changement d'urgence.
Preuve: Modification des tickets, approbations des demandes de tirage, journaux de déploiement, examens post-implémentation.

Opérations informatiques

Objectif typique : Les contrôles fournissent une assurance raisonnable que le traitement planifié, la surveillance et la réponse aux incidents fonctionnent comme prévu.
Contrôles : Planification et suivi des travaux ; rotation de garde; procédures de réponse aux incidents ; opérations de sauvegarde et récupération testée.
Preuve: Journaux d’exécution des tâches, enregistrements d’incidents avec résultats des tests de résolution, de sauvegarde et de récupération.

Transmission et intégrité des données

Objectif typique : Les contrôles fournissent une assurance raisonnable que les données échangées avec les entités utilisatrices sont complètes, exactes et autorisées.
Contrôles : Chiffrement en transit ; journalisation des transmissions ; rapprochement des lots entrants et sortants ; gestion des erreurs et retraitement.
Preuve: Journaux de transmission, rapports de rapprochement, tickets de gestion des exceptions.

Traitement des transactions

Objectif typique : Les contrôles fournissent une assurance raisonnable que les transactions sont traitées de manière complète, précise, en temps opportun et uniquement lorsqu'elles sont autorisées.
Contrôles : Validation des entrées ; détection des doublons ; contrôles d'autorisation; traiter le rapprochement ; surveillance des exceptions.
Preuve: Journaux d'applications, rapports de rapprochement, files d'attente d'exceptions avec résolution.

Rapports et rapprochement

Objectif typique : Les contrôles fournissent une assurance raisonnable que les rapports fournis aux entités utilisatrices sont complets, exacts et reflètent les enregistrements de transactions sous-jacents.
Contrôles : Génération de rapports réconciliés avec les données sources ; contrôle de version de rapport ; accusé de réception de l’entité utilisatrice en cas de contrat.
Preuve: Preuves de rapprochement, journaux de rapports, accusés de réception des clients.

5. Exigences minimales (non négociables)

Documents obligatoires

• Description du système répondant aux critères de description de l'AICPA pour SOC 1
• Déclaration de la direction accompagnant le rapport
• Objectifs de contrôle déclarés, contrôles testés et références de preuves
• Évaluation des risques portant spécifiquement sur les risques pour le CIIF des entités utilisatrices
• Politiques de sécurité de l’information et de gestion des accès
• Procédure de gestion du changement
• Plan de réponse aux incidents
• Divulgations des fournisseurs et des organisations de sous-services (CSOC)
• Contrôles complémentaires des entités utilisateur (CUEC)

Processus obligatoires

• Vérification des antécédents du personnel ayant accès aux données financières
• Intégration / désintégration avec changement d'accès en temps opportun
• Examens d'accès trimestriels avec attestation documentée
• Approbations de la gestion des changements avant le déploiement en production
• Contrôles de rapprochement opérés et constatés dans les délais

Contrôles techniques (référence)

• AMF sur l’accès à la production
• Chiffrement en transit et au repos
• Journalisation centralisée avec rétention suffisante pour la période d'observation
• Séparation des tâches entre les opérations de développement et de production
• Sauvegardes testées au moins une fois par an

Récurrence

• Évaluation annuelle des risques
• Examens d'accès trimestriels
• Rapprochements mensuels ou programmés par objectif de contrôle
• Test annuel de DR et de réponse aux incidents
• Type 2 uniquement : preuve de chaque contrôle récurrent conservé pendant toute la période d'observation (6 à 12 mois)

6. Conseils de mise en œuvre technique

Contrôle d'accès

• SSO et MFA appliqués au niveau du fournisseur d'identité
• Accès basé sur les rôles lié à la fonction professionnelle ; séparation des tâches documentée
• Examens d'accès trimestriels ; révocation immédiate en cas de résiliation

Gestion du changement

• Toutes les modifications de production via une pull request avec révision du code et approbateur nommé
• Preuves de test conservées par changement
• Procédure de modification d'urgence avec approbation rétrospective

Journalisation et surveillance

• Agrégation centralisée des logs avec rétention couvrant la fenêtre d'observation
• Alertes en cas d'élévation de privilèges, d'accès non autorisé, de falsification d'outils de sécurité
• Surveillance de l'exécution des tâches avec réponse sur appel

Réconciliation

• Rapprochement automatisé lorsque le volume le justifie ; manuel où l'automatisation n'est pas encore en place
• Examen documenté et cadence de signature par rapprochement
• Files d'attente d'exceptions avec horodatages et preuves de résolution

Sauvegarde et reprise après sinistre

• Sauvegardes immuables avec conservation documentée
• Objectifs de récupération définis par système
• Test de récupération annuel avec résultats documentés

7. Exigences en matière de politiques et de procédures

Les documents typiques comprennent :

• Politique de sécurité des informations
• Politique de contrôle d'accès
• Politique de gestion du changement
• Plan de réponse aux incidents
• Plan de continuité des activités/reprise après sinistre
• Politique de sauvegarde
• Procédure de réconciliation
• Politique de gestion des fournisseurs
• Politique de cryptage
• Description du système avec objectifs de contrôle, CUEC et CSOC

Pour les organisations poursuivant également SOC 2 ou ISO 27001, la plupart de ces documents peuvent être réutilisés avec des extensions de portée mineures — SOC 1 se concentre plus étroitement (contrôles pertinents au CIIF), tandis que SOC 2 et ISO 27001 couvrent des objectifs plus larges en matière de sécurité de l'information.

8. Éléments probants et vérification

La description du système

La description du système pour SOC 1 reflète la structure de SOC 2 mais avec une perspective de reporting financier :

• Types de services fournis
• Composants du système : infrastructure, logiciels, personnes, procédures, données
• Limites du système
• Organisations de sous-services et méthode utilisée (carve-out / inclusive)
• Objectifs de contrôle (spécifiques aux risques CIIF)
• Contrôles testés par rapport à chaque objectif
• Contrôles complémentaires des entités utilisateur (CUEC)
• Contrôles complémentaires de l'organisation des sous-services (CSOC) pour l'exclusion
• Changements significatifs au cours de la période d'observation (Type 2 uniquement)

Ce que demande l'auditeur de service

• Description du système et assertion de gestion
• Exemples de transactions et de rapprochements
• Accéder à l’approvisionnement et examiner les preuves
• Changer les tickets de gestion avec preuve d’approbation
• Dossiers d'incident et examens post-incident
• Résultats des tests de sauvegarde et de récupération
• Évaluations des risques liés aux fournisseurs et contrats, le cas échéant

Échantillonnage

Les échantillons de type 2 comprennent généralement 25 à 40 éléments par objectif de contrôle tout au long de la période d'observation, avec des échantillons plus importants pour les domaines de contrôle à volume élevé (examens d'accès, gestion des changements, rapprochements).

Éléments de correction courants

• Objectifs de contrôle rédigés de manière trop vague pour être testés
• Preuve de rapprochement manquante (le processus a lieu, les preuves ne sont pas conservées)
• Séparation des tâches non documentée ou non appliquée
• CUEC obsolètes qui ne correspondent pas à ce que font réellement les clients
• Preuves de travail manquantes pour les premiers mois d'une période d'observation

Un examen préalable à l'audit indépendant — généralement un réussite à l'audit interne ou une évaluation de l'état de préparation SOC 1 - détecte ces problèmes avant que l'auditeur du service ne commence le travail sur le terrain.

9. Considérations sur le calendrier de mise en œuvre

Durée typique

• Tapez 1: 4 à 12 semaines entre le lancement et le rapport, en fonction de la maturité du contrôle existant et de la précision des objectifs de contrôle déclarés.
• Tapez 2: la période d'observation ajoute 3 à 12 mois en plus du type 1. Le travail d'audit sur le terrain lui-même se déroule quelques semaines après la fin de la période d'observation.

Lettre de pont

Entre les rapports de type 2, les entités utilisatrices demandent souvent une lettre relais de la direction (parfois contresignée par l'auditeur du service) confirmant qu'il n'y a eu aucun changement significatif en matière de contrôle depuis le dernier rapport. Le pont dure généralement jusqu'à 3 mois.

Jalons

• Cadrage et définition des objectifs de contrôle
• Évaluation des écarts par rapport aux objectifs déclarés
• Correction et renforcement des processus
• Rédaction de la description du système
• Configuration de la collecte de preuves
• Examen de l'état de préparation à l'audit
• Travail sur le terrain de l'auditeur de service
• Rapport publié

Dépendances

• Objectifs de contrôle validés par la direction
• Description du système alignée sur les opérations réelles
• Rapports SOC 1 ou SOC 2 de l'organisation de sous-services disponibles (pour exclusion)
• Embauche ou support vCISO si le programme manque de leadership en matière de sécurité (voir Services vCISO)

10. Exigences continues du BAU

• Examens d’accès réguliers avec attestation documentée
• Cadence de rapprochement par objectif de contrôle
• Gestion continue du changement avec preuve d'approbation
• Examen mensuel des incidents et mesures
• Actualisation annuelle de l’évaluation des risques axée sur les risques liés au CIIF
• Test DR annuel
• Collecte de rapports SOC des fournisseurs et des organisations de sous-services
• Mises à jour de l'inventaire des actifs à mesure que les systèmes changent
• Collecte continue de preuves — Le type 2 ne peut pas être reconstruit rétroactivement

11. Niveaux de maturité

Conformité minimale

• Objectifs de contrôle documentés mais rédigés de manière générale
• Rapprochements manuels et examens des accès
• Gestion du changement de base avec preuves d'approbation informelles

Intermédiaire

• Des objectifs de contrôle précis et testables
• Provisionnement et déprovisionnement automatisés
• Rapprochements automatisés là où le volume le justifie
• Procédures documentées avec les propriétaires nommés

Avancé

• Surveillance de contrôle continue avec preuves capturées automatiquement
• Alertes d'exception en temps réel et correction basée sur les SLA
• Collecte de preuves intégrée SOC 1, SOC 2 et ISO 27001
• Lettres de pont émises sans lutte contre l'incendie

12. FAQ

Quelle est la différence entre SOC 1 et SOC 2 ?

SOC 1 rend compte des contrôles pertinents pour contrôle interne à l'égard de l'information financière (CIIF) des entités utilisatrices. SOC 2 rend compte des contrôles pertinents pour le Critères des services de confiance (sécurité, disponibilité, confidentialité, intégrité du traitement, confidentialité). Les organisations de services dont le traitement affecte les états financiers des clients ont généralement besoin du SOC 1 ; Les fournisseurs SaaS traitant les données des clients en dehors de la chaîne des états financiers ont généralement besoin du SOC 2. De nombreuses entreprises de technologie financière et SaaS réglementées ont besoin des deux.

Avons-nous besoin de SOC 1, de SOC 2 ou des deux ?

Si les états financiers de vos clients dépendent de votre traitement (par exemple, la paie, les paiements, la facturation ou l'administration des fonds), les auditeurs de vos clients ont généralement besoin du SOC 1. Si votre service gère les données des clients mais n'affecte pas directement leurs états financiers, le SOC 2 est généralement suffisant. Un appel de cadrage résout ce problème en 30 minutes.

Quelle est la durée de validité d'un rapport SOC 1 ?

Un rapport de type 2 couvre une période d’observation spécifique. Les entités utilisatrices et leurs auditeurs s'appuient généralement sur le rapport pour la période couverte plus un bref pont (généralement jusqu'à 3 mois) appuyé par une lettre de pont signée par la direction ou par le CPA.

Qui rédige les objectifs de contrôle ?

La direction rédige les objectifs de contrôle. Clarify Consult Partner aide à les façonner lors de la phase de préparation, en les formulant de manière à ce qu'ils soient spécifiques, testables et alignés sur les risques réels du service en matière de reporting financier. L'auditeur du service teste ensuite les contrôles par rapport à ces objectifs déclarés.

Combien coûte un rapport SOC 1 ?

Deux éléments de coût. Les frais d'audit du cabinet CPA pour un SOC 1 Type 2 s'élèvent généralement entre 25 000 $ et 75 000 $ en fonction de la complexité, du volume des transactions et du nombre d'objectifs de contrôle. Les coûts de conseil et de remédiation dépendent de l’écart entre l’état actuel et l’état prêt pour l’audit, déterminés après une évaluation initiale des écarts.

Le SOC 1 peut-il remplacer le SOX 404 pour nos clients ?

SOC 1 prend en charge (il ne remplace pas) les obligations SOX 404 de vos clients. Leurs auditeurs externes s'appuieront sur un rapport de type 2 au lieu de tester vos contrôles directement, ce qui réduit les tests en double mais ne supprime pas la propre responsabilité SOX 404 du client.

Le SOC 1 est-il accessible au public comme le SOC 3 ?

Non. Les rapports SOC 1 sont à usage restreint et destinés à la direction, aux entités utilisatrices et aux auditeurs des entités utilisatrices. Les rapports SOC 3 — basés sur un examen SOC 2 — sont d'usage général et peuvent être publiés.

Qu'est-ce qu'un auditeur de service ?

Un auditeur de service est le cabinet CPA agréé qui effectue la mission SOC 1. La terminologie provient des normes d'attestation de l'AICPA et se distingue du propre auditeur externe de l'entité utilisatrice (le auditeur des utilisateurs).

Comment SOC 1 interagit-il avec ISO 27001 ?

Les contrôles SOC 1 correspondent généralement bien à l'Annexe A de la norme ISO 27001, en particulier le contrôle d'accès, la gestion des changements et la sécurité des opérations. Les organisations exécutant les deux normes consolident généralement l’ensemble de contrôles sous-jacent et produisent les deux rapports en fonction de celui-ci. Voir notre Prestation ISO 27001 pour l’approche dualiste.

Avons-nous besoin d’engagements séparés chaque année ?

La plupart des organisations de services publient des rapports annuels continus de type 2 avec des périodes d'observation glissantes de 12 mois. Un recadrage a lieu chaque année, mais la majeure partie du programme reste dans un état stable.

13. Résumé

SOC 1 fournit une assurance indépendante que les contrôles d'une organisation de services soutiennent l'exactitude des rapports financiers des entités utilisatrices. Il est construit autour d'objectifs de contrôle définis par la direction et testés par un auditeur de service en vertu de l'article 320 de l'AT-C. Le succès nécessite des objectifs de contrôle précis, une description du système crédible, des contrôles prouvés exécutés de manière cohérente tout au long de la période d'observation et une documentation claire des CUEC et des CSOC.

Pour définir un engagement SOC 1, réservez un appel depuis le page des services de conseil, ou parlez-nous de la combinaison de SOC 1 avec SOC 2 ou ISO 27001 pour un seul ensemble de contrôle intégré.

‍