Préparation SOC 2 — de l’analyse d’écarts au rapport de type 2

La plupart des entreprises obtiennent d’abord un type 1. Il atteste que vos contrôles sont bien conçus à une date donnée — de quoi répondre à un client potentiel pendant que la fenêtre d’observation du type 2 suit son cours. Passer directement au type 2 économise des honoraires d’audit, mais vous laisse les mains vides pendant des mois. Si un contrat attend une preuve, le type 1 se rentabilise généralement; si personne ne presse, s’en passer est un choix défendable. Nous vous aidons à trancher selon votre carnet de commandes, pas selon une recette.

Tout dépend de l’état actuel de vos contrôles, de la capacité de votre équipe à absorber les correctifs et du rapport visé — le type 2 ajoute une fenêtre d’observation pendant laquelle vos contrôles doivent fonctionner et produire des preuves. L’automatisation raccourcit nettement le volet des preuves, mais les politiques doivent quand même être adoptées et vécues. Plutôt que d’avancer un échéancier générique, nous menons d’abord l’analyse d’écarts et bâtissons le calendrier sur ce que nous y trouvons.

Prévoyez trois coûts distincts. D’abord, la préparation — analyse d’écarts, politiques, contrôles et preuves, la partie que nous livrons : les fourchettes publiées au Canada vont d’environ 2 000 $ à 4 000 $ pour une analyse d’écarts légère, et davantage quand l’accompagnement de mise en œuvre s’ajoute. Ensuite, l’audit lui-même, payé à un cabinet CPA accrédité (nous n’en sommes pas un — nous vous y préparons et travaillons à ses côtés) : les sources canadiennes situent un rapport de type 1 autour de 6 500 $ à 12 000 $ et un type 2 entre 12 000 $ et 20 000 $, les cabinets spécialisés américains facturant souvent plus. Enfin, une plateforme d’automatisation comme Drata — les prix rapportés dans l’industrie vont généralement de 7 500 $ à 25 000 $ US par année selon le palier. Au total, les sources canadiennes situent une première attestation SOC 2 — préparation, plateforme et audit compris — entre environ 10 000 $ pour une jeune entreprise au parcours automatisé et 40 000 $ et plus pour une PME plus étoffée. Nous commençons par cerner vos écarts, pour que vous sachiez lesquels de ces chiffres s’appliquent réellement à vous.

Oui. Seul un cabinet CPA agréé peut émettre un rapport SOC 2, et nous n’en sommes pas un — cette séparation est voulue. Notre rôle couvre tout ce qui précède et entoure l’audit : combler les écarts, constituer les preuves et épauler votre équipe devant les questions de l’auditeur. Si vous n’avez pas encore de cabinet d’audit, nous pouvons vous en suggérer qui travaillent bien avec les PME, puis coordonner directement avec celui que vous choisirez.

Parce que vos politiques et vos preuves peuvent exister en français comme en anglais — utile quand vos équipes travaillent en français mais que l’auditeur, lui, travaille en anglais. Un consultant établi ici assure la liaison avec le cabinet d’audit, mène la conformité à la Loi 25 dans le même programme plutôt qu’en silo, travaille dans votre fuseau horaire et peut vous rencontrer en personne à Gatineau ou à Ottawa. Pour une PME d’ici, c’est beaucoup de friction en moins par rapport à un fournisseur lointain qui ne connaît ni la Loi 25 ni votre réalité linguistique.