ISAE 3402 : rapport SOC 1 type I et II face à SOC 2 et ISO 27001

La norme ISAE 3402 (International Standard on Assurance Engagements 3402) encadre le rapport qu'un auditeur indépendant émet sur les contrôles d'un prestataire lorsque le service rendu touche l'information financière de ses clients : paie externalisée, gestion de titres, hébergement d'un ERP, infogérance comptable. Publiée par l'IAASB fin 2009, elle aboutit soit à un rapport de type I, qui juge la conception des contrôles à une date donnée, soit à un rapport de type II, qui teste en plus leur fonctionnement sur une période. Ce n'est ni une certification ni un label, mais une opinion d'assurance raisonnable destinée aux clients du prestataire et à leurs commissaires aux comptes. Son équivalent américain s'appelle SOC 1. Elle ne remplace ni un système de management certifié selon la norme ISO 27001, présentée dans notre guide complet, ni un rapport SOC 2 centré sur la sécurité. En 2026, entre l'application de DORA dans la finance et la progression des violations impliquant des tiers, savoir exiger, produire et lire un rapport ISAE 3402 devient une compétence attendue des RSSI, des acheteurs et des auditeurs.

Qu'est-ce que la norme ISAE 3402 ?

La norme organise une relation à quatre acteurs. L'organisation de services est le prestataire qui décrit son système et ses contrôles. Les entités utilisatrices sont ses clients. L'auditeur de service teste les contrôles à la demande du prestataire. Enfin, l'auditeur de l'entité utilisatrice, souvent le commissaire aux comptes, s'appuie sur le rapport dans le cadre de la norme d'audit ISA 402, consacrée aux entités qui recourent à un prestataire.

Selon la présentation officielle de l'ISAE 3402 publiée par l'IAASB, la norme vise les missions menées par des professionnels comptables exerçant en cabinet au profit des clients du prestataire et de leurs auditeurs. Elle s'applique aux rapports couvrant des périodes closes à compter du 15 juin 2011 et s'adosse à la norme générale ISAE 3000, dont la version révisée vaut pour les rapports datés depuis le 15 décembre 2015.

Trois limites découlent du texte lui-même. Le rapport ne porte que sur les contrôles pertinents pour l'information financière des clients : les contrôles de production ou de qualité industrielle en sont exclus. Sa diffusion est restreinte aux clients et à leurs auditeurs. Surtout, il ne débouche sur aucun certificat ni logo : il s'agit d'une opinion professionnelle, datée, qui engage la responsabilité de l'auditeur sur un périmètre précis.

Rapport, attestation ou rapportage ISAE 3402 : clarifier le vocabulaire

En France, on parle indifféremment de rapport ISAE 3402, d'attestation ISAE 3402 ou de démarche ISAE 3402. Le terme rapportage ISAE 3402, courant en Belgique, aux Pays-Bas et au Québec, désigne le processus récurrent de production du rapport : préparation, période de tests, émission, lettres de couverture. L'expression « certification ISAE 3402 » est en revanche impropre, car aucun organisme accrédité ne certifie quoi que ce soit dans ce cadre.

Pourquoi la norme ISAE 3402 compte davantage en 2026

Un client qui externalise sa paie ou sa comptabilité fournisseurs reste responsable de ses comptes. Son commissaire aux comptes doit donc comprendre les contrôles du prestataire. Sans rapport ISAE 3402, il doit se déplacer, interroger les équipes et tester lui-même, ce qui coûte cher à chacun. Avec un rapport de type II, la norme d'audit ISA 402, consacrée au recours à un prestataire, lui permet de s'appuyer sur le travail de l'auditeur de service, sous réserve d'en apprécier le périmètre et la période.

Ce chiffre appelle une nuance. L'indicateur de Verizon agrège plusieurs situations, dont l'exploitation d'une vulnérabilité dans le logiciel d'un éditeur et la compromission d'un prestataire qui héberge les données du client. Un rapport ISAE 3402 ne mesure pas ce risque dans son ensemble. Il couvre toutefois des leviers décisifs, comme la gestion des accès, des changements et de l'exploitation, qui conditionnent la résistance d'un prestataire.

Pour le prestataire, l'intérêt est aussi économique. Un rapport unique répond à de nombreux questionnaires de sécurité et limite les audits sur site demandés par chaque client. Il devient un argument différenciant dans les appels d'offres, notamment face aux banques, assureurs et sociétés de gestion. Il oblige enfin à formaliser des contrôles souvent implicites, ce qui renforce la gouvernance interne.

Rapport ISAE 3402 type I et type II : la différence qui change tout

Le rapport de type I, parfois noté type 1, comprend la description du système par le prestataire, une assertion écrite de sa direction et l'opinion de l'auditeur. Celui-ci se prononce sur deux points : la description reflète-t-elle fidèlement le système à une date donnée, et les contrôles sont-ils conçus de façon à atteindre les objectifs annoncés ? Le rapport doit préciser explicitement qu'aucune procédure n'a porté sur l'efficacité opérationnelle.

Le rapport de type II couvre les mêmes éléments, mais tout au long d'une période, et ajoute une opinion sur l'efficacité opérationnelle des contrôles. L'auditeur décrit chaque test, indique s'il a porté sur toute la population ou sur un échantillon, et signale les écarts, même lorsqu'il estime l'objectif atteint. Les preuves obtenues lors des missions antérieures ne l'autorisent pas à réduire ses tests sur la période en cours.

La différence est décisive pour le client : seul le type II démontre que les contrôles ont réellement fonctionné pendant la période. Un type I prouve qu'un contrôle de revue des accès existe et paraît adapté ; il ne dit rien du nombre de revues effectivement réalisées ni des anomalies détectées. Face à un type I, l'auditeur du client doit mener ses propres procédures pour couvrir l'exercice.

Quelle période pour un type II ?

La norme ne fixe aucune durée. En pratique, les entités utilisatrices attendent souvent une période de six à douze mois, alignée autant que possible sur leur exercice comptable. Lorsque la période se termine avant la clôture du client, le prestataire remet une bridge letter, ou lettre de couverture : sa direction y déclare l'absence de changement significatif depuis la fin de la période. Cette lettre n'est pas auditée et doit être lue comme une simple déclaration.

Quand un type I reste pertinent

Le type I a sa place lors d'une première démarche, pour un nouveau service ou avant la signature d'un contrat important. Il permet de valider la description du système et la conception des contrôles, puis d'ouvrir la période du premier type II. Il devient un signal d'alerte lorsqu'un prestataire mature le renouvelle d'année en année sans jamais passer au type II.

Anatomie d'un rapport ISAE 3402 : les cinq sections à lire

La structure varie selon les cabinets, mais un rapport ISAE 3402 de type II s'organise presque toujours autour de cinq blocs. Les connaître permet de distinguer ce qui relève de l'opinion de l'auditeur de ce qui reste une déclaration du prestataire, non vérifiée.

1. Le rapport de l'auditeur de service : destinataires, périmètre, critères, méthode retenue pour les sous-traitants, limites des contrôles et opinion.
2. L'assertion de la direction du prestataire, qui engage sa responsabilité sur la description et sur les contrôles.
3. La description du système : services, procédures informatiques et manuelles, enregistrements, traitement des événements significatifs, environnement de contrôle et contrôles complémentaires attendus des clients.
4. Les objectifs de contrôle, les contrôles, les tests et leurs résultats, avec les exceptions relevées.
5. Les informations complémentaires fournies par le prestataire, comme les plans d'action ou la continuité d'activité, qui ne sont pas couvertes par l'opinion.

L'opinion peut être sans réserve, avec réserve, défavorable, ou prendre la forme d'une impossibilité de conclure. La norme impose une opinion modifiée lorsque la description n'est pas fidèle, que la conception est inadaptée, que les contrôles testés n'ont pas fonctionné ou que les preuves sont insuffisantes. Le refus du prestataire de signer la lettre d'affirmation conduit l'auditeur à ne pas exprimer d'opinion.

Point souvent mal compris : dans un rapport ISAE 3402, les objectifs de contrôle sont définis par le prestataire, et non imposés par un référentiel fixe comme les Trust Services Criteria du SOC 2. L'auditeur doit juger qu'ils sont raisonnables et que le périmètre n'est pas restreint au point d'être inutile. Le lecteur doit néanmoins vérifier qu'aucun risque qui le concerne directement n'a été écarté.

Sous-traitants en cascade : méthode inclusive ou carve-out

Rares sont les prestataires qui opèrent seuls leur service. Un éditeur de paie en mode SaaS s'appuie sur un hébergeur, un centre de données ou un fournisseur cloud. La norme qualifie ces acteurs d'organisations sous-traitantes et impose de choisir entre deux méthodes. Ce choix détermine si les contrôles du sous-traitant ont été testés, ou simplement mentionnés pour mémoire.

Avec la méthode inclusive, les objectifs et contrôles du sous-traitant figurent dans la description et dans le périmètre de l'auditeur, ce qui suppose la coopération du sous-traitant. Avec la méthode carve-out, la description mentionne la nature des services sous-traités, mais les contrôles du sous-traitant sortent du périmètre de l'opinion. Le rapport doit alors couvrir les contrôles par lesquels le prestataire surveille son sous-traitant, comme l'examen du rapport d'assurance de ce dernier.

La méthode carve-out domine dès qu'un hyperscaler entre en jeu, car celui-ci produit ses propres rapports et ne se prête pas à une inclusion. Le client doit donc se procurer le rapport du sous-traitant, vérifier sa période et ses exceptions, et contrôler la manière dont le prestataire le surveille. Notre checklist d'audit de sécurité cloud 2026 aide à structurer cette revue côté fournisseur d'infrastructure.

• Quels sous-traitants interviennent sur des données ou traitements qui alimentent vos comptes ?
• Chacun est-il traité selon la méthode inclusive ou carve-out, et pourquoi ?
• Disposez-vous du rapport des sous-traitants exclus, pour une période cohérente avec la vôtre ?
• Quels contrôles de surveillance du prestataire ont été testés, avec quels résultats ?
• Le contrat vous informe-t-il d'un changement de sous-traitant en cours de période ?

Contrôles complémentaires des entités utilisatrices (CUEC) : la part du client

Les contrôles complémentaires des entités utilisatrices, ou CUEC (complementary user entity controls), sont les contrôles que le prestataire suppose, dès la conception de son service, mis en œuvre par ses clients. Lorsqu'ils sont nécessaires à l'atteinte des objectifs de contrôle, la description doit les identifier. L'auditeur de service ne les teste pas : son rapport rappelle que les objectifs ne sont atteints que si ces contrôles fonctionnent aussi chez le client.

Les exemples sont concrets. Le client doit signaler sans délai les départs de ses collaborateurs, revoir les habilitations de ses propres utilisateurs dans l'application, valider les données de paie avant traitement, protéger ses clés d'API et rapprocher les états restitués avec sa comptabilité. Un contrôle complémentaire non opéré par le client prive de portée l'objectif de contrôle correspondant, même si le prestataire a parfaitement exécuté sa part.

La bonne pratique consiste à reporter chaque CUEC dans votre propre matrice de contrôles, avec un responsable, une fréquence et une preuve conservée. Votre commissaire aux comptes vous demandera de démontrer ces contrôles, et un auditeur interne ISO 27001 y verra un pan du pilotage des fournisseurs. Cette correspondance, à réviser à chaque nouveau rapport, évite qu'une responsabilité tombe dans l'angle mort entre le client et son prestataire.

ISAE 3402 et SOC 1 : deux normes jumelles

Le SOC 1 (System and Organization Controls 1) est l'équivalent américain de l'ISAE 3402. Il relève de l'AICPA, l'association professionnelle des experts-comptables américains, et repose depuis le 1er mai 2017 sur la norme d'attestation SSAE 18, section AT-C 320. Selon la page de l'AICPA consacrée au SOC 1, il vise les contrôles d'un prestataire pertinents pour l'information financière de ses clients. De nombreux cabinets émettent un rapport conjoint ISAE 3402 et SOC 1.

Les différences entre les deux textes restent techniques : vocabulaire, modèles de rapport, exigences de surveillance des sous-traitants plus détaillées dans la norme américaine. Pour un groupe français dont certains clients sont cotés aux États-Unis, un rapport conjoint évite de produire deux livrables. Il faut alors vérifier que l'opinion vise explicitement les deux normes, et pas seulement l'une d'elles.

ISAE 3402, SOC 2 et ISO 27001 : quatre dispositifs à ne pas confondre

Contrairement à l'ISAE 3402, le SOC 2 (System and Organization Controls 2) ne vise pas l'information financière : il rend compte des contrôles au regard des Trust Services Criteria, à savoir la sécurité, toujours incluse, puis au choix la disponibilité, l'intégrité des traitements, la confidentialité et la protection de la vie privée. La suite SOC de l'AICPA s'appuie sur les critères de 2017, aux points d'attention révisés en 2022, et un projet de critères 2027 a été mis en consultation fin octobre 2026. Hors des États-Unis, ces rapports sont souvent émis selon ISAE 3000.

ISO/IEC 27001 relève d'une autre logique. Selon la fiche officielle de la norme ISO/IEC 27001:2022, elle fixe les exigences d'un système de management de la sécurité de l'information. Un organisme de certification accrédité, par le Cofrac en France, délivre un certificat public de trois ans avec audits de surveillance. Le certificat atteste la conformité du système de management, sans détailler les tests de chaque contrôle sur une période.

Ces dispositifs se complètent. ISO 27001 apporte la gouvernance et l'amélioration continue, le SOC 2 documente les contrôles de sécurité testés, l'ISAE 3402 cible ce qui affecte les comptes des clients. Un prestataire mature construit une matrice unique dont chaque contrôle alimente plusieurs référentiels, et capitalise sur son audit interne : un modèle de rapport d'audit interne ISO 27001 facilite cette consolidation.

Le déroulé d'une mission ISAE 3402, de la préparation au rapportage

Une démarche ISAE 3402 réussie se prépare bien avant l'arrivée de l'auditeur. La qualité du cadrage et de la description du système conditionne la durée de la mission, le nombre d'exceptions et l'utilité du rapport pour les clients. Les étapes suivantes reflètent la norme et la pratique des cabinets.

1. Cadrer le périmètre : services, clients concernés, sites, applications, interfaces et sous-traitants.
2. Définir les objectifs de contrôle à partir des risques qui pèsent sur l'information financière des clients.
3. Réaliser une évaluation préalable des écarts, confiée à une équipe distincte de l'auditeur, puis corriger.
4. Rédiger la description du système et l'assertion de la direction, avec les contrôles complémentaires attendus des clients.
5. Obtenir un type I, ou ouvrir directement la période du premier type II.
6. Laisser l'auditeur tester : entretiens, observation, inspection de documents, réexécution et échantillonnage.
7. Analyser chaque exception et rédiger les réponses de la direction.
8. Signer la lettre d'affirmation, puis diffuser le rapport sous accord de confidentialité et produire les bridge letters.

Le choix de l'auditeur obéit à une règle stricte : la norme réserve la mission à un professionnel comptable en exercice, soumis au code d'éthique de l'IESBA, l'organisme international qui fixe les règles déontologiques des comptables, notamment en matière d'indépendance. En France, il s'agit le plus souvent de cabinets d'audit dotés d'équipes d'audit informatique. Un consultant ayant conçu les contrôles ne peut pas ensuite les auditer.

Cette exigence distingue l'ISAE 3402 des audits techniques. La qualification PASSI délivrée par l'ANSSI encadre les prestataires d'audit de sécurité des systèmes d'information, comme les tests d'intrusion ou les audits de configuration. Leurs rapports nourrissent utilement la démarche, notamment pour démontrer la gestion des vulnérabilités, mais ils ne valent pas opinion d'assurance au sens de la norme.

Objectifs de contrôle informatiques : accès, changements, exploitation

Dans la plupart des rapports ISAE 3402, une part importante des objectifs concerne le système d'information. Ils reprennent la logique des contrôles généraux informatiques, ou ITGC (IT general controls) : ce qui garantit que les applications traitent les données de façon fiable et que personne ne peut les modifier sans autorisation. Chaque objectif est ensuite décliné en contrôles précis, testés sur la période.

• Accès logiques : création, modification et révocation des comptes, revue périodique des habilitations, gestion des comptes à privilèges.
• Gestion des changements : demande, tests, approbation et séparation des tâches avant toute mise en production.
• Exploitation : supervision des traitements planifiés, sauvegardes et restaurations testées, gestion des incidents.
• Sécurité physique des salles et centres de données, lorsqu'ils ne sont pas exclus par carve-out.
• Interfaces et transmissions : intégrité et exhaustivité des fichiers échangés avec les clients.

Pour chaque contrôle, l'auditeur exige d'abord une population exhaustive : la liste de toutes les occurrences sur la période, par exemple tous les départs de collaborateurs. Il vérifie que l'extraction est complète et exacte, puis sélectionne un échantillon. Le prestataire a donc intérêt à industrialiser ces extractions, et à les rapprocher lui-même avant l'audit pour détecter les écarts.

import pandas as pd

delai_max_jours = 1
taille_echantillon = 25

rh = pd.read_csv("export_rh_sortants.csv", parse_dates=["date_sortie"])
idp = pd.read_csv("export_annuaire_desactivations.csv", parse_dates=["date_desactivation"])

pop = rh.merge(idp, on="matricule", how="left")
pop["delai_jours"] = (pop["date_desactivation"] - pop["date_sortie"]).dt.days

ecarts = pop[pop["date_desactivation"].isna() | (pop["delai_jours"] > delai_max_jours)]
echantillon = pop.sample(n=min(taille_echantillon, len(pop)), random_state=2026)

print(f"Population : {len(pop)} sortants, écarts : {len(ecarts)}")
ecarts.to_csv("exceptions_revocation_acces.csv", index=False)
echantillon.to_csv("echantillon_preparation_audit.csv", index=False)

Ce script rapproche les sorties déclarées par les ressources humaines et les désactivations de comptes dans l'annuaire. Il isole les comptes jamais désactivés ou désactivés au-delà du délai prévu par la description du contrôle. Le délai maximal et la taille d'échantillon ne sont que des paramètres internes : l'auditeur détermine lui-même son propre échantillon. L'objectif est de corriger les écarts avant la période de test, pas de se substituer à lui.

Logiciel ISAE 3402 : outiller les preuves sans sacrifier l'indépendance

Aucun logiciel ne délivre de rapport ISAE 3402 : seule l'opinion d'un auditeur indépendant a cette valeur. Un logiciel ISAE 3402, en pratique une plateforme de gouvernance, risques et conformité, sert à piloter la matrice de contrôles, collecter les preuves, suivre les exceptions et partager les éléments avec l'auditeur. Bien choisi, il allège chaque cycle de rapportage ; mal choisi, il devient un classeur partagé coûteux.

• Correspondance entre référentiels : objectifs ISAE 3402, Trust Services Criteria, annexe A d'ISO 27001 et exigences DORA.
• Connecteurs vers l'annuaire, l'outil de tickets, la chaîne CI/CD et le cloud, avec des preuves horodatées et non modifiables.
• Extraction de populations complètes et traçables, prêtes pour l'échantillonnage.
• Espace de consultation pour l'auditeur, avec journalisation des accès.
• Gestion des exceptions, des plans d'action et des réponses de la direction.
• Conservation, versionnage et localisation des données compatibles avec vos contraintes contractuelles.

La vigilance porte sur l'indépendance. En 2026, l'AICPA a multiplié les alertes sur les missions SOC réalisées trop vite et a publié des recommandations sur les risques déontologiques liés aux accords commerciaux entre cabinets d'audit et éditeurs d'outils. La même exigence vaut pour l'ISAE 3402 : l'auditeur doit obtenir lui-même ses preuves et rester indépendant de l'éditeur qui vous vend la plateforme.

L'intelligence artificielle accélère la préparation, du pré-contrôle des preuves à la rédaction des réponses aux exceptions. L'AICPA a d'ailleurs publié une question technique (TQA 9561) sur l'effet de l'usage de l'IA par le prestataire sur les examens SOC 1 et SOC 2. Les agents IA d'audit de conformité doivent rester des assistants supervisés : une preuve générée ou résumée par un modèle ne remplace pas la trace d'origine.

DORA et secteur financier : ce que l'UE attend des rapports d'audit tiers

Le règlement DORA (Digital Operational Resilience Act, règlement (UE) 2022/2554), applicable depuis le 17 janvier 2025, impose aux entités financières une gestion structurée du risque lié aux prestataires de services TIC. Le règlement délégué (UE) 2024/1773 publié sur EUR-Lex précise la politique applicable aux services qui soutiennent des fonctions critiques ou importantes, et cite parmi les sources d'assurance les rapports d'audit indépendants fournis par le prestataire.

Le texte encadre strictement leur usage. L'entité ne peut pas s'appuyer durablement sur ces seuls rapports et doit vérifier que leur périmètre couvre ses systèmes et contrôles clés, qu'ils ne sont pas obsolètes et que l'auditeur est compétent. Il exige surtout que l'audit suive des normes professionnelles reconnues et comporte un test de l'efficacité opérationnelle des contrôles clés. Un rapport de type I ne remplit pas cette dernière condition.

Le contrat doit en outre préserver le droit de l'entité à mener des audits individuels ou mutualisés. Pour les services non TIC, l'Autorité bancaire européenne a publié le 18 septembre 2026 des orientations finales sur la gestion du risque lié aux tiers, appelées à remplacer celles de 2019 sur l'externalisation. Côté audit légal, la CNCC (Compagnie nationale des commissaires aux comptes) a diffusé en avril 2026 un papier de travail réservé aux professionnels pour apprécier les rapports d'assurance des prestataires.

Lire et exploiter un rapport ISAE 3402 reçu d'un prestataire

Recevoir un rapport ISAE 3402 ne suffit pas : encore faut-il le lire avec méthode et en tirer des décisions. Pour l'acheteur, le RSSI ou l'auditeur interne du client, la lecture suit une grille simple, applicable aussi aux rapports SOC 1 et, pour l'essentiel, SOC 2.

• La période couverte recoupe-t-elle votre exercice, et une bridge letter couvre-t-elle l'écart ?
• Les services, sites, applications et versions que vous utilisez figurent-ils dans la description ?
• Qui est l'auditeur, dans quelle juridiction exerce-t-il, et selon quelle norme a-t-il travaillé ?
• L'opinion est-elle modifiée, et sur quels objectifs de contrôle ?
• Quelles exceptions ont été relevées, et les réponses de la direction sont-elles crédibles ?
• Quels sous-traitants sont exclus par carve-out, et disposez-vous de leurs rapports ?
• Quels contrôles complémentaires vous incombent, et sont-ils en place chez vous ?
• Quelles informations de la dernière section ne sont pas couvertes par l'opinion ?

Le rapport ISAE 3402 n'épuise pas l'évaluation d'un fournisseur. Il gagne à être croisé avec la synthèse d'un rapport de test d'intrusion récent, un certificat ISO 27001 ou un rapport SOC 2. Lorsque le prestataire traite des données personnelles, la checklist d'audit de conformité RGPD destinée aux DPO complète l'analyse des obligations du sous-traitant.

Erreurs fréquentes et retour d'expérience terrain

Les mêmes travers reviennent d'une organisation à l'autre, côté client comme côté prestataire. Ils tiennent rarement à la norme elle-même, et presque toujours à une lecture trop rapide du rapport, à une confiance excessive dans l'opinion ou à une préparation insuffisante des preuves.

• Accepter chaque année un type I d'un prestataire installé depuis longtemps.
• Ignorer les sous-traitants exclus par carve-out, en particulier l'hébergeur ou le fournisseur cloud.
• Ne jamais inventorier ni tester les contrôles complémentaires attendus du client.
• Se contenter d'un rapport dont la période s'achève longtemps avant sa propre clôture comptable.
• Confondre un SOC 3 public, très synthétique, avec un SOC 2 détaillé.
• Laisser le prestataire définir des objectifs de contrôle trop étroits pour couvrir vos risques.
• Ne pas suivre la correction des exceptions d'une année sur l'autre.

Retour terrain : Cas typique rencontré en mission — en revue des dépendances fournisseurs, je constate souvent qu'un client archive le rapport d'assurance de son prestataire d'infogérance sans lire la description des sous-traitants. L'hébergeur y figure pourtant en carve-out : sécurité physique, sauvegardes et accès administrateurs échappent à l'opinion de l'auditeur. La correction consiste à obtenir le rapport propre de l'hébergeur, à cartographier les contrôles complémentaires attendus de chaque partie et à inscrire cette exigence au contrat, ce qui prend généralement quelques mois, au rythme du renouvellement.

Côté prestataire, l'erreur la plus coûteuse reste de lancer la période de type II avant d'avoir stabilisé les contrôles. Chaque contrôle qui ne fonctionne pas pendant quelques semaines devient une exception figée dans le rapport pour toute l'année. Une évaluation préalable rigoureuse, suivie d'un type I, évite ce scénario et rassure les premiers clients.

À lire aussi : les exigences SOX section 404.

Questions fréquentes

Conclusion

La norme ISAE 3402 n'est ni un label ni une formalité. Bien exigée et bien lue, elle donne au client et à son commissaire aux comptes une preuve testée du fonctionnement des contrôles d'un prestataire. Retenez trois réflexes : viser le type II, examiner le périmètre et les sous-traitants exclus, et prouver vos propres contrôles complémentaires. Pour articuler ce rapport avec votre système de management, appuyez-vous sur notre guide complet ISO 27001, puis intégrez SOC 2 et DORA dans une matrice unique.