02 / Conformité et certification
SOC 1, pour les contrôles sur lesquels s'appuient les auditeurs de vos clients
Nous vous aidons à définir les objectifs de contrôle, à renforcer les contrôles généraux informatiques qui les portent et à préparer les preuves, pour que le cabinet CPA examine des contrôles qui fonctionnent déjà.
Présentation
Ce qu'est un rapport SOC 1
Un rapport SOC 1 porte sur les contrôles d'une organisation de services qui sont pertinents pour le contrôle interne de l'information financière de ses clients. Si vous traitez la paie, des paiements, des sinistres ou d'autres données qui finissent dans les états financiers de vos clients, leurs commissaires aux comptes voudront savoir s'ils peuvent s'appuyer sur vous.
L'organisation de services définit ses objectifs de contrôle, et l'auditeur teste les contrôles qui doivent les atteindre. Un rapport de type 1 porte sur la conception à une date donnée ; un rapport de type 2 teste aussi l'efficacité sur une période. Les contrôles généraux informatiques, comme les accès, la gestion des changements et l'exploitation, portent généralement une grande partie du travail.
Le rapport est émis par un cabinet CPA habilité, c'est-à-dire un cabinet d'expertise comptable soumis à la réglementation professionnelle américaine. Black Fox n'en est pas un. Nous faisons la préparation, l'analyse d'écarts, la conception des contrôles et la préparation des preuves, et vous accompagnons pendant l'examen. Nous travaillons avec des cabinets partenaires de longue date et coordonnons l'examen avec eux ou avec un cabinet CPA de votre choix, pour que vous alliez de la préparation au rapport dans une seule mission.
À qui s'adresse ce service
Les organisations de services dont le travail influe sur les états financiers de leurs clients, par exemple paie, paiements, administration de fonds, gestion des sinistres et systèmes financiers hébergés, et les équipes à qui l'auditeur d'un client demande pour la première fois un rapport SOC 1.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Périmètre et objectifs
Nous vous aidons à identifier les services et systèmes qui comptent pour l'information financière de vos clients et à rédiger des objectifs de contrôle adaptés.
Évaluation de préparation
Une revue des contrôles métier et informatiques au regard de ces objectifs, avec des écarts classés par risque et par effort.
Contrôles généraux informatiques
Gestion des accès, gestion des changements, sauvegardes et ordonnancement conçus pour être testables et laisser des preuves.
Description du système
Un appui pour rédiger la description, y compris les sous-traitants et les contrôles que vous attendez de vos clients.
Préparation des preuves
Une liste des demandes établie avant celle de l'auditeur, avec revues d'accès, tickets de changement et rapprochements collectés au fil de l'eau.
Déroulement de la mission
Lancement
Nous convenons des services concernés, des interlocuteurs et de la date visée pour le rapport, et signons d'abord un accord de confidentialité si vous le souhaitez.
Évaluation de préparation
Parcours des processus, revue documentaire et échantillonnage, avec à la clé un rapport priorisé.
Conception et remédiation
Nous comblons les écarts avec vos responsables et décrivons chaque contrôle de façon testable.
Répétition
Nous testons des échantillons comme le ferait un auditeur et vous montrons les exceptions avant que quiconque ne les voie.
Examen
Nous coordonnons l'examen avec l'un de nos cabinets partenaires de longue date ou le cabinet CPA de votre choix, et vous aidons à répondre aux demandes et à traiter les exceptions pendant les travaux.
Ce que vous recevez
- Note de cadrage : services, systèmes et type de rapport
- Projet d'objectifs de contrôle et matrice des contrôles
- Rapport de préparation et plan d'action priorisé
- Procédures des contrôles généraux informatiques
- Liste des preuves attendues avec responsables et sources
- Constats de la répétition avant l'examen
Black Fox vous prépare et vous accompagne, mais ne délivre pas elle-même de certificats, de rapports d'attestation ni d'évaluations officielles. Lorsqu'un certificat ou un rapport est l'objectif, nous coordonnons l'audit avec nos partenaires de certification de longue date ou un organisme de votre choix, pour que le travail se déroule de bout en bout dans une seule mission.
Questions
Black Fox peut-il émettre notre rapport SOC 1 ?
Non. Les rapports SOC 1 sont émis par des cabinets CPA habilités, selon les normes d'attestation de l'AICPA, indépendamment de notre travail de préparation. Nous vous préparons, coordonnons l'examen avec l'un de nos cabinets partenaires de longue date ou un cabinet de votre choix, et vous accompagnons pendant celui-ci.
SOC 1 ou SOC 2 ?
Le SOC 1 concerne les contrôles pertinents pour l'information financière de vos clients et s'adresse surtout à leurs auditeurs. Le SOC 2 concerne la sécurité et les critères associés et s'adresse aux équipes sécurité et achats de vos clients. Certaines organisations ont besoin des deux.
Qu'est-ce que l'ISAE 3402 ?
Une norme internationale d'assurance pour les rapports sur les contrôles d'une organisation de services, très utilisée hors des États-Unis. Elle répond à un besoin proche de celui du SOC 1. Le choix dépend de qui lira le rapport.
Qui rédige les objectifs de contrôle ?
Votre direction. L'auditeur teste ensuite si les contrôles les atteignent. Nous vous aidons à formuler des objectifs qui correspondent à ce sur quoi vos clients s'appuient, ni trop étroits pour être utiles, ni trop larges pour être prouvés.
Services associés
- Conformité et certificationSOC 2SOC 2 avec Black Fox Security : périmètre selon les Trust Services Criteria, analyse d'écarts, conception des contrôles et préparation des preuves pour votre cabinet CPA.
- Sécurité managéeRevues des accèsRevues des accès par Black Fox Security : comptes utilisateurs et privilégiés, annuaires, cloud et applications clés, arrivées et départs, preuves d'audit.
- Gouvernance et risquesAudit de sécurité de l'informationAudits indépendants de sécurité de l'information par Black Fox Security selon l'ISO/IEC 27001, la 27002, le RGPD, PCI DSS, vos politiques ou un questionnaire client.
- Gouvernance et risquesCOBITCOBIT avec Black Fox Security : un système de gouvernance du SI, objectifs de gouvernance et de management, évaluation des capacités et lien avec ISO et NIST.
Commencez avant que l'auditeur de votre client n'envoie son questionnaire
Dites-nous sur quels services vos clients s'appuient pour leur information financière. Nous vous montrerons ce qu'un auditeur testerait en premier.