REQVERA
Déclarer un écart · Fiche de décision 04

L'acheteur exige SOC 2. Vous n'avez pas le rapport.

Situation illustrative · Pas un cas client
La question de l’acheteur

Fournissez un rapport SOC 2 Type 2 à jour couvrant le service proposé. Il s'agit d'une exigence obligatoire.

Répondez d'abord à la demande de preuve : le rapport demandé n'est pas disponible. Une feuille de route, le rapport de l'hébergeur ou un autre document d'assurance ne le remplacent pas automatiquement. Vérifiez si la procédure autorisée de l'acheteur permet une dérogation avant de considérer l'offre comme recevable.

Une réponse à adapter

Nous ne pouvons pas fournir le rapport SOC 2 Type 2 demandé pour [entité juridique et service proposé] au [date de réponse]. Nous ne satisfaisons donc pas actuellement cette exigence de preuve en l'état. Les éléments d'assurance disponibles sont [document exact, organisme émetteur, périmètre et date ; supprimer s'il n'en existe pas]. Nous les soumettons à votre appréciation sans les présenter comme équivalents à un rapport SOC 2. [Uniquement si vérifié et approuvé : Notre mission d'audit couvre [périmètre], avec [étape actuelle]. La date de rapport prévue est [estimation approuvée], sous réserve d'achèvement et d'émission ; aucun rapport n'a encore été émis.] Merci de confirmer par [canal autorisé de clarification] si la consultation permet l'examen de [preuves alternatives précisément identifiées ou dérogation], et quelles conditions d'approbation et de dépôt s'appliquent. Sans modification ou dérogation autorisée confirmée par écrit, nous continuerons à considérer cette exigence comme non satisfaite.

Remplacez chaque champ entre crochets par un fait vérifié. Supprimez toute phrase facultative que vous ne pouvez pas justifier. Ne soumettez pas cette formulation telle quelle.

Les conditions à vérifier

Décrivez précisément le manque de preuve SOC 2, distinguez un audit prévu d'un rapport émis et vérifiez si l'acheteur autorise une alternative avant de vous engager.

  • Identifier ce qui manque, au-delà du sigle

    Lisez l'exigence : type de rapport, entité désignée, service, catégories d'assurance, période examinée et ancienneté autorisée. Un rapport existant peut ne pas répondre à la demande parce qu'il exclut le service proposé ou couvre la mauvaise période. La liste de revue AICPA invite à examiner le système couvert, la période, l'opinion, les exceptions et les exclusions de sous-prestataires. Traitez ces points séparément, pas comme un Oui/Non fondé sur un logo.

  • Ne pas transformer une étape de projet en assurance

    Une lettre de mission prouve une mission, pas un résultat d'examen émis. Une évaluation de préparation décrit la préparation. Ni l'une ni l'autre n'établit l'efficacité opérationnelle sur la période demandée. Si l'audit est en cours, précisez l'étape réelle et son responsable ; ne promettez ni opinion favorable ni date de remise à laquelle l'auditeur ne s'est pas engagé. Ne mettez pas une preuve future hypothétique dans la colonne de conformité actuelle.

  • Distinguer manque d'assurance et contrôles sous-jacents

    L'absence d'assurance n'indique pas, à elle seule, quels contrôles manquent. Décrivez uniquement ceux que vous pouvez justifier. Inversement, disposer de contrôles ou d'un certificat ISO ne prouve pas l'existence du rapport SOC 2 demandé. Le rapport d'un hébergeur peut aider à examiner cet hébergeur ; il ne devient pas celui de votre organisation parce que vous le joignez. L'acheteur décide de ce qu'il peut accepter selon sa procédure.

Quatre états de preuve. Quatre réponses différentes.

Effectuez ce tri avant de rédiger. Il évite de transformer chaque demande d'assurance difficile en vague réponse « en cours ».

Aucun rapport émis
Déclarez l'absence. Cherchez une alternative autorisée uniquement si la consultation le permet ; ne laissez pas entendre que préparation et assurance sont équivalentes.
Rapport existant, mauvais périmètre
Identifiez l'écart d'entité, de service ou de catégorie. Expliquez la partie non couverte au lieu de joindre un rapport qui n'y répond pas.
Période incompatible avec la demande
Déclarez les dates et les preuves actuelles disponibles. Une mise à jour temporelle ne remplace pas un examen.
Rapport demandé disponible
Vérifiez droits de partage, périmètre et exceptions pertinentes avant de confirmer la conformité et de communiquer la bonne version.

Les justificatifs à réunir

  • Exigence et voie de dérogation de l'acheteur

    Conservez la clause exacte, la version du document, le caractère obligatoire ou noté, la date limite des questions et le canal de dépôt autorisé. Obtenez toute clarification publiée ou décision écrite autorisée permettant une preuve alternative. L'assurance informelle d'un interlocuteur ne doit pas remplacer implicitement les instructions publiées ; le responsable d'offres doit établir l'autorité compétente et la manière d'intégrer la décision.

  • Un inventaire que la sécurité peut valider

    Listez rapports émis, périmètres, entités, périodes, restrictions de partage et responsables. Pour chaque alternative, indiquez à quelle question de contrôle elle peut répondre et ce qu'elle ne prouve pas. Retirez les contenus confidentiels des supports publics ; convenez d'un canal sécurisé avec l'acheteur. Demandez un dossier de revue maîtrisé, pas toutes les politiques internes disponibles.

  • Un état d'avancement d'audit limité et approuvé

    Si pertinent, obtenez le périmètre applicable de la mission signée, les travaux achevés confirmés et un état approuvé par le responsable sécurité. Présentez les estimations comme conditionnelles. Si un rapport existe mais laisse une période non couverte, recherchez les preuves actuelles pertinentes et examinez les instructions ; une mise à jour de la direction ne permet pas de prétendre qu'une nouvelle période a été auditée.

La décision à faire valider

Responsables de la validation
Le responsable sécurité ou assurance valide les preuves ; le responsable d'offres maîtrise la recevabilité et la clarification ; le responsable commercial et le juriste approuvent les engagements proposés.
Poursuivre
Poursuivez uniquement si les preuves demandées satisfont réellement l'exigence ou si la procédure autorisée de l'acheteur admet explicitement l'alternative ou la dérogation déclarée. Reportez exactement son périmètre et ses conditions dans la réponse.
Ne pas poursuivre
Si le rapport reste une condition obligatoire de dépôt et n'est pas disponible, consignez l'exigence non satisfaite. Une meilleure formulation ne rend pas l'offre recevable ; ne la déclarez pas conforme pour poursuivre l'opportunité.
Faire arbitrer
Faites arbitrer avant dépôt les incertitudes concernant ancienneté du rapport, service couvert, restrictions de communication ou autorité de dérogation. Une clarification sans réponse ne vaut pas approbation.

Conserver la décision dans les fichiers à déposer

Avant le dépôt, comparez cellule de conformité, texte sécurité, tableau des dérogations et preuves jointes. Ils doivent décrire le même état du rapport et la même décision de l'acheteur. Le positionnement de contrôle final de REQVERA concerne la cohérence entre exigences, preuves approuvées, réponses et fichiers finaux ; cet exemple éditorial ne certifie pas les contrôles et ne décide pas de la recevabilité.

Voir le parcours réel de contrôle final

Périmètre et sources de référence

Conseils illustratifs de réponse fournisseur, pas une affirmation sur l'assurance de REQVERA. Les références SOC proviennent d'AICPA ; acceptation et procédure dépendent de la consultation réelle. Ce n'est ni une opinion d'audit ni un conseil juridique. Remplacez chaque champ entre crochets par un fait vérifié ou supprimez la phrase conditionnelle.