Quel Logiciel Avocat
Menu

Données et garanties

ISO 27001 et SOC 2 : quel document lire avant d’accepter le badge ?

Pour qui : Un fournisseur affiche des badges et vous devez examiner la preuve correspondant à l’offre choisie.

Présentations publiques ISO et AICPA consultées le 6 novembre 2026. Norme complète, certificats et rapports complets des fournisseurs non lus.

Notre avis

Commencez par le document, pas par une collection de logos. Pour ISO 27001, identifiez le certificat et son champ ; pour SOC 2, demandez quel système et quels contrôles le rapport examine, à quelle date ou sur quelle période. Ne choisissez pas un logiciel parce qu’il affiche le plus de badges : retenez la preuve qui répond à votre exigence précise.

Dans l’ordre

  1. Distinguer certificat et rapport
  2. Rattacher entité, système et dates à l’offre
  3. Faire traiter les écarts utiles à votre usage

Pourquoi

  • Une démarche de management et l’examen d’un système ne décrivent pas le même objet
  • Une déclaration commerciale ne remplace pas le document auquel elle renvoie

Ce qui change le choix

Un essai fictif sans données réelles ne justifie pas de lancer un audit général ; limitez la demande à la décision qui doit être prise.

Deux objets à garder distincts

La présentation ISO 27001 concerne un système de management de la sécurité. ISO indique que les certificats sont délivrés par des organismes externes. La présentation publique de l’AICPA décrit, pour SOC 2, l’examen de la description du système et de contrôles d’une organisation de services. Ce ne sont pas deux noms interchangeables pour une garantie générale du produit.

Relevez le titulaire, l’objet décrit et les dates du document obtenu. Puis demandez au fournisseur où se situe l’offre proposée. Cette lecture doit aussi laisser visibles les éléments que la preuve ne traite pas.

Un document non obtenu reste à obtenir

Une référence de certificat dans des CGU ou un badge sur un Trust Center aide à formuler la demande. Elle ne permet pas de prétendre que nous avons lu le certificat ou le rapport. Aucun document complet de certification d’un fournisseur n’a été contrôlé dans cette recherche.

Faites rapprocher votre exigence et la pièce fournie : organisation, service, version et période utiles, limites et réponse aux écarts. Si la pièce n’est pas accessible publiquement, gardez ce point ouvert sans conclure que la certification est inexistante. N’ajoutez pas une exigence ISO ou SOC à tout usage par principe.

Limites

Aucun certificat ni rapport complet d’un fournisseur validé. Présentations publiques seulement ; les documents AICPA sous compte et la norme ISO payante n’ont pas été ouverts. Aucun niveau universel de sécurité ou conformité déduit.

Prochaine action

Demandez une seule pièce correspondant à votre exigence, puis faites identifier le service acheté dans son périmètre et les limites restantes.

Preuves et sources

Ce qui relève d’un fait lu, d’une déclaration, de notre calcul, de notre méthode ou de notre avis. Notre méthode