SOC 2 n’est pas une certification, mais un rapport d’audit émis par un cabinet d’experts-comptables américains indépendant. Nous préparons vos contrôles et vos preuves, choisissons le format avec vous et coordonnons l’auditeur jusqu’à la remise du rapport.
À jour au
Aucune loi ne l’impose. Il le devient quand vos clients, souvent nord-américains, en font une condition d’achat.
Son équipe achats demande un rapport SOC 2 avant de signer, ou prolonge la revue de sécurité tant qu’il manque.
Les acheteurs B2B y sont habitués : un rapport récent raccourcit leurs vérifications de sécurité.
Leurs équipes sécurité et leurs propres auditeurs s’appuient sur votre rapport pour évaluer le risque que vous représentez.
Une large part des contrôles existe. Reste à les décrire selon les critères SOC 2 et à prouver qu’ils fonctionnent dans la durée.
Le cabinet donne son opinion sur la description de votre système et sur vos contrôles, au regard des critères de services de confiance (Trust Services Criteria) de l’AICPA, l’association professionnelle des experts-comptables américains.
Le socle obligatoire : environnement de contrôle, gestion des risques, accès logiques et physiques, exploitation, gestion des changements, surveillance.
Disponibilité, intégrité du traitement, confidentialité, vie privée : vous ne retenez que celles qui correspondent à vos engagements envers vos clients.
Services, infrastructure, logiciels, données, équipes, sous-traitants comme votre hébergeur cloud : la direction décrit le périmètre et en atteste.
L’auditeur teste des échantillons tout au long de la période d’observation : chaque revue d’accès, chaque changement, chaque incident doit laisser une trace.
Un workshop chaque semaine avec votre référent. La collecte des preuves se suit entre deux workshops, en asynchrone.
Type 1 ou Type 2, catégories à retenir, systèmes et sous-traitants concernés : nous calons le rapport sur ce que vos clients demandent, puis mesurons l’écart avec l’existant.
Livrables
Périmètre du rapport, écarts priorisés
Chaque critère devient un contrôle concret dans vos outils : revues d’accès, validation des changements dans votre dépôt de code, supervision. Le calendrier suit votre échéance commerciale.
Livrables
Matrice des contrôles, calendrier d’audit
Les contrôles tournent et laissent des traces datées. Nous rédigeons la description du système et vérifions que chaque preuve résistera aux tests de l’auditeur.
Livrables
Description du système, preuves prêtes
Nous vous aidons à choisir le cabinet, organisons ses demandes et préparons vos équipes. Pour un Type 2, nous suivons la période d’observation jusqu’au rapport.
Livrable
Rapport SOC 2 à partager sous confidentialité
« Radome comprend notre environnement technique, adapte la démarche à notre réalité et pilote le projet avec nous. »
Le prix dépend du format, des catégories retenues et de votre point de départ. Mené avec ISO 27001, SOC 2 réutilise la plupart des contrôles.
Vous disposez d’un RSSI ou d’une équipe sécurité
À partir de 3 000 € HTpar mois, en fonction des référentiels
Votre équipe sécurité tient les contrôles. Nous cadrons le rapport, rédigeons les politiques et la description du système, et préparons l’audit.
Vous n’avez pas de responsable sécurité
À partir de 4 500 € HTpar mois, engagement de 12 mois
Sans responsable sécurité, nous pilotons la démarche jusqu’à la fin de la période d’observation, test d’intrusion ou audit technique inclus.
Votre besoin est spécifique
Sur devisaprès un premier échange
SOC 2 et ISO 27001 menés ensemble, avec un seul jeu de contrôles et de preuves pour les deux audits.
Durée habituelle
6 à 12 mois selon le format
Frais en sus
Les honoraires du cabinet CPA sont facturés en sus, directement par lui.
Le Type 1 évalue la conception de vos contrôles à une date donnée : il s’obtient plus vite et répond à une demande urgente. Le Type 2 vérifie aussi qu’ils ont fonctionné tout au long d’une période d’observation : c’est celui qu’attendent la plupart des acheteurs. Beaucoup d’entreprises enchaînent les deux, un Type 1 pour débloquer une vente, puis un Type 2.
Aucune durée n’est imposée : elle se fixe avec le cabinet d’audit, le plus souvent entre 3 et 12 mois. Une première période courte permet d’obtenir un rapport plus tôt. Les rapports suivants couvrent en général 12 mois, pour qu’aucune période ne reste sans rapport.
Tout dépend de vos clients. ISO 27001 est une certification internationale, souvent exigée par les grands comptes européens ; SOC 2 est le format de référence des acheteurs nord-américains. Les deux se recoupent largement : si vous visez les deux marchés, nous menons un seul plan de travail et réutilisons les mêmes preuves.
Un auditeur indépendant de votre entreprise. Le rapport SOC 2 proprement dit est émis par un cabinet de CPA (experts-comptables agréés aux États-Unis), y compris depuis ses bureaux hors des États-Unis. Ailleurs, un auditeur agréé peut produire un rapport équivalent selon la norme internationale ISAE 3000, sur les mêmes critères de l’AICPA : vérifiez que vos clients acceptent ce format. Radome n’émet pas de rapport : nous vous préparons et coordonnons l’audit, ce qui préserve l’indépendance de l’auditeur.
Non. Le rapport SOC 2 est à diffusion restreinte : vous le transmettez à vos clients et prospects, en général sous accord de confidentialité. Vous pouvez en revanche annoncer que vous disposez d’un rapport, ou faire établir un rapport SOC 3, moins détaillé et destiné au public.
Le rapport n’a pas de date d’expiration officielle, mais il décrit une date ou une période passée. Vos clients attendent un rapport récent, en pratique chaque année. Une fois les contrôles en place et les preuves collectées au fil de l’eau, le renouvellement devient une routine.
Le certificat international que demandent vos clients européens. La plupart des contrôles servent aux deux.
Vos clients interrogent aussi votre usage de l’IA : la norme y répond avec la même logique de contrôles.
ISO 27001 obtenue en mai 2026, puis une extension à SOC 2 pour ouvrir les États-Unis, sur le même socle.
Cabinet CPA, Type 1 ou Type 2, préparation, temps interne, renouvellement : les postes à prévoir au budget.
Ce qui distingue le rapport SOC 2 du certificat ISO 27001, et comment mener les deux sans doubler le travail.
Préparer un test dont le rapport rassure vos clients et nourrit vos audits.
Rapport sous accord de confidentialité, SOC 3 public, périmètre vérifié : ce que le rapport règle dans un questionnaire client.
Un premier échange gratuit de 30 minutes pour choisir le format, estimer le délai et faire le tri dans ce qui existe déjà. Si un Type 1 suffit pour l’instant, nous vous le dirons.