La sécurité et la conformité sont devenues des facteurs de plus en plus importants dans les décisions d’achat des grandes entreprises.
Alors que la conformité SOC 2 était autrefois considérée comme un facteur de différenciation, de nombreuses organisations attendent désormais des fournisseurs qu’ils démontrent l’efficacité de contrôles de sécurité validés indépendamment avant de poursuivre le processus d’achat.
Selon Aaron Puckett, vice-président exécutif de Managed Services Group, la prochaine phase de l’évaluation des fournisseurs accordera davantage d’importance à la vérification de la conformité plutôt qu’à la simple question de savoir si elle existe.
À retenir
- Le SOC 2 est passé du statut de facteur de différenciation concurrentielle à celui d’exigence attendue pour de nombreux achats de grandes entreprises et évaluations des risques fournisseurs.
- Les acheteurs des grandes entreprises veulent de plus en plus des rapports d’audit, des documents attestant la conformité et des contrôles de sécurité validés indépendamment — pas seulement les affirmations des fournisseurs en matière de sécurité.
- Les organisations qui ne disposent pas du SOC 2 doivent souvent composer avec des cycles de vente plus longs, des questionnaires de sécurité supplémentaires et un examen plus approfondi de la part des équipes chargées des achats.
- De nombreux acheteurs considèrent encore le SOC 2 comme une simple case à cocher, mais les organisations les plus avancées commencent à évaluer le périmètre de l’audit et à faire la distinction entre les rapports de Type I et de Type II.
Les acheteurs veulent des preuves, pas des promesses
Les acheteurs des grandes entreprises sont passés de l’acceptation sans réserve des déclarations des fournisseurs en matière de sécurité à l’exigence de preuves démontrant que les contrôles de sécurité fonctionnent efficacement.
Les équipes chargées des achats et de la sécurité demandent de plus en plus des documents attestant la conformité, des rapports d’audit, des informations sur l’assurance cyber et d’autres pièces justificatives avant d’approuver les fournisseurs.
Puckett a souligné que les professionnels de la sécurité savent généralement évaluer ces documents, tandis que de nombreux décideurs opérationnels se familiarisent encore avec les référentiels de conformité et leur importance.
Le SOC 2 intervient plus tôt dans le processus d’achat
Au cours des dernières années, le SOC 2 est devenu une exigence courante dans les appels d’offres, les questionnaires fournisseurs et les évaluations réalisées dans le cadre des achats.
Plutôt que d’attendre les négociations contractuelles, de nombreuses organisations utilisent désormais le SOC 2 comme critère de sélection précoce lors de la qualification des fournisseurs.
Puckett a toutefois constaté que de nombreuses organisations demandent si un fournisseur dispose du SOC 2 sans réclamer le rapport ni comprendre les différences entre un audit de Type I et un audit de Type II.
Par conséquent, le SOC 2 sert souvent de simple case à cocher dans le processus d’achat, au lieu de constituer une évaluation pertinente du programme de sécurité d’un fournisseur.
Le coût de l’absence de SOC 2
Les organisations qui ne disposent pas d’un audit SOC 2 peuvent tout de même décrocher des contrats avec de grandes entreprises, mais le processus est souvent plus difficile.
Les fournisseurs peuvent être confrontés à des évaluations des achats plus longues, à des questionnaires de sécurité supplémentaires et à un examen plus approfondi de la part des équipes de sécurité des clients.
Selon Puckett, les coûts ne se limitent pas aux occasions perdues.
Les équipes commerciales consacrent souvent beaucoup de temps à répondre aux questionnaires de sécurité et à fournir des documents qu’un audit SOC 2 indépendant aurait déjà pu valider.
Ces retards allongent le cycle de vente et mobilisent des ressources internes qui pourraient autrement contribuer à la croissance de l’entreprise.
Les idées reçues sur le SOC 2
Une idée reçue courante veut que le SOC 2 soit compris de manière uniforme par les dirigeants.
Puckett a indiqué que de nombreux dirigeants d’entreprise connaissent mal ce référentiel et peuvent ne pas faire la distinction entre les rapports de Type I et de Type II.
Autre idée reçue : l’obtention du SOC 2 permet automatiquement de remporter des contrats avec de grandes entreprises.
Si l’audit peut fluidifier le processus d’achat et renforcer la confiance des acheteurs, il ne constitue qu’un élément d’un processus plus large d’évaluation des risques des fournisseurs.
Les organisations qui cherchent à obtenir le SOC 2 découvrent aussi fréquemment que la maturité opérationnelle — et non la technologie — constitue le principal défi.
Le maintien des politiques, de la documentation, de la collecte des éléments probants et de processus internes cohérents exige souvent davantage d’efforts que la mise en œuvre de contrôles techniques de sécurité.
La conformité comme avantage concurrentiel
Plutôt que de considérer le SOC 2 comme un simple exercice de conformité, les organisations peuvent l’utiliser pour démontrer leur maturité opérationnelle et renforcer la confiance des clients.
Un audit indépendant fournit aux acheteurs des éléments objectifs démontrant que les contrôles de sécurité ont été évalués par un tiers, ce qui réduit l’incertitude lors du processus d’achat.
Puckett a souligné que les organisations les plus performantes utilisent le SOC 2 comme une preuve plutôt que comme un outil marketing, ce qui leur permet de franchir plus efficacement les étapes d’évaluation des risques fournisseurs.
En bref
Le SOC 2 devient un facteur de plus en plus important dans la sélection des fournisseurs par les grandes entreprises, mais les attentes évoluent.
Aujourd’hui, de nombreuses organisations se contentent de demander aux fournisseurs s’ils disposent du SOC 2.
Selon Puckett, les acheteurs sont de plus en plus susceptibles de demander les rapports d’audit, d’en examiner le périmètre et de distinguer les évaluations de Type I de celles de Type II.
À mesure que les cyberrisques augmentent, les programmes de sécurité validés indépendamment pèseront probablement davantage que les affirmations marketing des fournisseurs.
Les organisations qui investissent dans la maturité opérationnelle et des pratiques de sécurité transparentes seront mieux placées pour réduire les difficultés liées aux achats et rivaliser pour obtenir des contrats avec de grandes entreprises.