Le SOC 2 (System and Organization Controls 2) est un cadre d'audit défini par l'AICPA, l'organisation américaine des experts-comptables, qui atteste qu'un fournisseur de services protège correctement les données de ses clients.
L'audit porte sur cinq critères (Trust Services Criteria) : sécurité, toujours inclus, puis disponibilité, intégrité des traitements, confidentialité et vie privée, au choix. Un cabinet d'audit indépendant rédige un rapport. Le Type I vérifie que les contrôles sont bien conçus à une date donnée. Le Type II vérifie qu'ils ont fonctionné sur une période de plusieurs mois, et c'est lui que les clients demandent.
Ce n'est pas une certification mais une attestation. Le SOC 2 est souvent exigé par les grands comptes, en particulier nord-américains, avant de confier des données à un éditeur SaaS. En Europe, l'ISO 27001 joue un rôle comparable. Des plateformes comme Vanta ou Drata automatisent une partie de la collecte des preuves.
Pourquoi ça compte quand on recrute
Le premier SOC 2 arrive souvent au moment où un éditeur SaaS signe ses premiers grands comptes ou attaque le marché américain. Il faut alors un profil GRC ou un responsable sécurité capable de piloter l'audit sans bloquer les équipes. Demandez-lui quels contrôles il a dû mettre en place et lesquels ont posé problème : la réponse distingue celui qui a mené le projet de celui qui a rempli des tableaux.