Certification de tiers

Les rapports SOC 1 attestent de la conformité des systèmes servant aux opérations financières et fournissent une assurance indépendante à l'égard des contrôles sur les processus financiers sous-traités à un tiers.

Les rapports SOC 2 portent sur la sécurité des technologies de l’information, la disponibilité des systèmes, l’intégrité du traitement, la confidentialité et la protection des renseignements personnels.

Les rapports SOC 2+ avec critères supplémentaires intègrent des critères propres aux exigences de l’utilisateur, notamment les cadres de l’ISO 27001, du National Institute of Standards and Technology (« NIST »), de la Health Information Trust Alliance (« HITRUST ») et de la Cloud Security Alliance (« CSA »). Lorsque planifiée comme il se doit, cette méthode d’audit réduit les coûts associés à la conformité et demande un effort moindre grâce à la simplification des tests des contrôles et au regroupement des rapports de certification en un seul rapport.

Pour les fournisseurs de services qui doivent répondre à plusieurs exigences de conformité, les rapports SOC 2+ permettent d’obtenir une opinion indépendante sur les critères des services Trust de l’American Institute of Certified Public Accountants (« AICPA ») ainsi que sur d’autres sujets, comme les suivants :

• ISO 27001 : La norme ISO/IEC 27001:2022 précise les exigences relatives à l’établissement, à la mise en œuvre, au maintien et à l’amélioration continue d’un système de gestion de la sécurité de l’information au sein de l’entreprise;
• HITRUST : Ce cadre fournit des normes pour toutes les étapes de la transmission et du stockage de l’information sur les soins de santé afin d’assurer l’intégrité et la confidentialité;
• Cadre de cybersécurité du NIST : Ce cadre est axé sur l’amélioration de la cybersécurité des infrastructures essentielles;
• Cloud Controls Matrix (CCM) : Cette matrice est conçue expressément pour poser des principes de sécurité fondamentaux servant à guider les fournisseurs de services infonuagiques et à aider les clients potentiels des services infonuagiques à évaluer le risque de sécurité global d’un fournisseur de ces services.

Comme le rapport SOC 2+ couvre une grande partie des critères, il pourrait y avoir un recoupement important entre les critères de services de confiance et le critère additionnel, ce qui permettrait aux fournisseurs de services de réaliser des gains d’efficacité en matière de création de rapports et de réduire leurs coûts et ceux de l’auditeur de l’organisme de services. L’AICPA s’est efforcé de rendre ce modèle plus efficace en créant des correspondances approuvées des critères de services Trust de nombreux cadres de conformité différents.

Les rapports SOC 3 sont moins fouillés que les rapports SOC 2 et sont accessibles au public. Ils sont conçus de manière à répondre aux besoins des utilisateurs qui veulent obtenir une assurance à l'égard des contrôles d’une société de services.  

Notre équipe offre également des services de mise en œuvre et des services-conseils pour accompagner les clients dans leur démarche d’évaluation et de certification ISO 27001.

Dans un monde où les exigences de conformité sont de plus en plus nombreuses, les clients, les partenaires d’affaires et les fournisseurs se soucient davantage de la sécurité de leurs données et de la sécurité de l’information en général. Il est donc primordial de se conformer à la norme ISO 27001, reconnue à l’échelle internationale, et de comprendre l’incidence de la norme de 2022 sur votre entreprise.

La norme ISO/IEC 27001 est la norme internationale de sécurité de l’information. Elle établit les caractéristiques des systèmes de gestion de la sécurité de l’information. Elle fournit en effet une base de référence minimale pour les contrôles de la sécurité de l’information nécessaires à l’élaboration, au maintien et à l’amélioration continue de ces systèmes. Elle comprend des politiques, des procédures et d’autres contrôles portant sur les gens, les processus et les technologies.

Lorsque les pratiques d’une organisation sont conformes à la norme ISO 27001, ses clients ont l’assurance que ses mesures de protection des renseignements personnels et de sécurité respectent les normes internationales et les pratiques exemplaires du secteur. En adhérant à cette norme, votre entreprise sera mieux outillée pour gagner la confiance de ses employés et de ses clients, réduire les risques d’atteinte à la sécurité et protéger ses précieuses données, entre autres choses.

Notre équipe de certification de tiers produit des rapports de type NCMC 3000 et ISAE 3000 en menant des missions de certification. Celles-ci portent notamment sur les déclarations de la direction au sujet de certains indicateurs de rendement, certaines informations sur le développement durable incluses dans un rapport sur la responsabilité sociétale ainsi que les programmes et les contrôles de gestion des cyberrisques (cybersécuritéSOC for Cybersecurity). Ces rapports ne comprennent pas d’audit ni d’examen d’informations financières historiques.