Contrôles de l'information financière (SOC 1)

SOC 1 est un rapport d'assurance indépendant sur les contrôles internes d'une organisation de services qui affectent les INFORMATIONS FINANCIÈRES de ses clients. Il ne s'agit pas d'un certificat : il s'agit d'un rapport délivré par un auditeur indépendant agréé et contenant l'opinion de l'auditeur. Son utilisateur principal est le propre comptable ou auditeur indépendant du client.

• Entreprises fournissant des services de paie et de comptabilité
• Prestataires de services de traitement et de recouvrement des paiements
• Prestataires de services de gestion et de conservation d'actifs
• Fournisseurs SaaS traitant les données financières de leurs clients
• Organisations de services recevant une demande de rapport de l'auditeur indépendant de leur client

Pas obligatoire ; elle est demandée lorsque le processus d'audit indépendant du client l'exige. Pour les organisations au service des sociétés cotées en bourse, cela devient effectivement une exigence en raison de la demande de l'auditeur du client.

• Description du système : étendue du service, processus, infrastructure, personnel et flux de données
• Fixer des objectifs de contrôle (liés à l’information financière)
• Définir les activités de contrôle
• Type I — pertinence de la conception des contrôles à une date précise
• Type II — efficacité opérationnelle des contrôles sur une période déterminée
• Contrôles complémentaires des entités utilisatrices (CUEC)
• Traitement des organisations de sous-services : la méthode inclusive ou carve-out
• Opinion de l'auditeur et résultats des tests

1. 1Détermination de la portée et du programmeLes sites et les processus à auditer, ainsi que la durée de l'audit requise par le programme, sont déterminés.
2. 2Pré-évaluationUne analyse des écarts est éventuellement effectuée ; les lacunes deviennent visibles avant l’audit principal.
3. 3Audit sur siteL'examen des dossiers, l'observation du site et les entretiens avec les travailleurs sont effectués par rapport à la liste de contrôle du programme.
4. 4Restitution des constatsLes résultats sont rapportés selon la classification du programme. Le résultat de ces programmes est un rapport d’audit et non un certificat.
5. 5Actions correctives et suiviUn plan d'actions correctives est soumis aux constats ; il est clôturé par un audit de suivi dans le cadre du programme.

La durée de validité des rapports d'audit est fixée par le régime et se situe généralement entre un et deux ans. Le rapport est utilisé pour la période acceptée par la marque acheteuse.

• Détails de l'organisation et du site
• Effectif et répartition des équipes
• Permis et licences légaux
• Politiques et procédures pertinentes
• Registres de paie, de temps et du personnel

Il n'y a pas de tarif catalogue fixe; le coût est calculé selon les variables suivantes et fourni par écrit dans le devis.

• Le nombre de sites à auditer et l'effectif
• La durée d’audit prescrite par le programme
• Si une pré-évaluation (analyse des lacunes) est demandée
• Si un audit de suivi est requis

La plupart de ces systèmes produisent des rapports d'audit, et non des documents, et sont soumis au propre système d'approbation du propriétaire du système (par exemple Sedex, amfori, RBA) ; L'accréditation au sens classique du terme n'est pas présente dans tous les systèmes. La compétence de l'auditeur et la validité du rapport sont déterminées par les règles du propriétaire du système.

Le périmètre dans lequel ce schéma peut être proposé varie selon votre produit et votre activité; il est confirmé par écrit au stade du devis.

• SOC 2Contrôles de confiance de l'organisation de services
• PCI DSSSécurité des données des cartes de paiement
• TISAXÉvaluation de la sécurité des informations automobiles
• ISO/IEC 27001Gestion de la sécurité de l'information
• ISO/IEC 27017Sécurité du cloud
• ISO/IEC 27018Données personnelles dans le cloud
• ISO/IEC 27701Gestion des informations confidentielles
• ISO/IEC 42001Système de gestion de l'intelligence artificielle