Coût de votre audit SOC 2
3 facteurs qui feront augmenter ou diminuer le coût de votre audit SOC
Le type de projet*
Si vous choisissez un *SOC 1* ou un *SOC 2* (les examens les plus populaires de la marque SOC), vous devez également sélectionner le *type de rapport souhaité.
Pour le SOC 1* et le *SOC 2*, vous avez le choix entre *« readiness »*, *Type 1* ou *Type 2, avec des coûts variables comme indiqué dans le tableau ci-dessus.
Pourquoi cette variation de coût ? Tout dépend de l'effort requis. (C'est une tendance qui se dégagera de tous les facteurs que nous mentionnerons.)
Nous avons détaillé les différences entre les audits de type 1* et de *type 2*, mais voici l'essentiel. L'audit de type 2, étant le plus approfondi, nécessite le plus d'investissement* de la part de vos auditeurs (et de vous-même !), ce qui le rend plus coûteux que le *type 1* et l'**évaluation de la préparation.
Étant donné qu'il s'étend généralement sur une période allant jusqu'à un an, avec des tests réguliers* de vos contrôles pour vérifier leur *efficacité continue*, il nécessite plus de *planification* et de *préparation*. Il est donc logique que cette option entraîne des *coûts supplémentaires par rapport à votre budget initial.
Une évaluation de l'état de préparation* a pour seul but de vous aider à planifier et à préparer un examen de *type 1* ou de *type 2*. Elle ne suffit pas à garantir des résultats à vos clients. L'*examen de type 1 fournit un avis sur les contrôles à une date donnée.
Comme ces options nécessitent beaucoup moins de temps* et d'efforts* de la part de votre évaluateur, vous pouvez vous attendre à une *réduction des coûts, même si elles ne conviennent pas à vos clients qui attendent un examen de *type 2 complet.
Objectifs de contrôle* ou *catégories de services de confiance inclus ?
Le nombre d'objectifs de contrôle* (SOC 1) ou de *catégories de services de confiance (SOC 2) déterminera le niveau d'effort requis.
Objectifs de contrôle SOC 1*
La plupart des rapports SOC 1 comprennent une combinaison d'objectifs de contrôle informatique généraux et d'objectifs de traitement des transactions ou des opérations commerciales. Vos *contrôles informatiques généraux peuvent inclure :
- Contrôles d'accès logiques
- Contrôles d'accès physiques
- Gestion et surveillance de la sécurité des systèmes, entre autres éléments pertinents.
Exemples d'objectifs de traitement des opérations commerciales courants :
- Traitement des fichiers ou des transactions
- Gestion juridique ou des responsabilités
- Rapports d'information
Pour chaque objectif de contrôle, votre auditeur devra évaluer des contrôles spécifiques. Plus il y a d'objectifs de contrôle, plus il y a de contrôles, ce qui signifie plus de temps et d'efforts de la part de votre auditeur, et donc de votre part.
Vous pouvez choisir d'inclure les contrôles de vos tiers*, mais vous pouvez aussi les exclure de l'évaluation. Cette méthode est appelée *méthode d'exclusion, et c'est l'approche la plus courante, car elle permet de réduire vos coûts.
Catégories de services de confiance SOC 2*
Pour votre SOC 2, vous devrez sélectionner les *catégories de services de confiance* à inclure, chacune contenant des *critères prédéfinis.
Une fois les catégories déterminées, vos contrôles seront testés pour s'assurer que chaque critère sélectionné est respecté. Le tableau ci-dessous indique le nombre de critères pour chaque catégorie :
Catégorie | Nombre de critères | Nombre de critères |
Critères communs (sécurité) | 33 | Obligatoire |
Disponibilité | 3 | Facultatif |
Confidentialité | 2 | Facultatif |
Intégrité du traitement | 5 | Facultatif |
Confidentialité | 18+* | Facultatif |
* La catégorie « confidentialité » comprend non seulement les critères énoncés, mais tiendra également compte de vos engagements spécifiques en matière de politique de confidentialité.
Étant donné que les critères communs sont obligatoires pour tous les rapports SOC 2, votre organisation sera auditée sur la base d'au moins 33 mini-objectifs de contrôle. Plus vous en ajoutez, plus le niveau d'effort augmente, et donc plus vos coûts augmentent.