Audité, vous détenez les secrets du client : votre devoir de confidentialité

Auditer les Trust Services Criteria — notamment les critères Confidentiality et Privacy — suppose d'entrer dans l'intimité technique du client. Vous ne lisez pas une documentation édulcorée : vous demandez et vous obtenez les diagrammes d'architecture cloud réels, la cartographie des flux de données, les politiques de gestion des secrets, parfois des extraits de logs contenant des identifiants, des configurations IAM, des copies de contrats fournisseurs et, selon le périmètre, des jeux de données personnelles servant à tester les contrôles.

Autrement dit, le temps de la mission, vous détenez une cartographie de vulnérabilités potentielles que même un attaquant mettrait des semaines à reconstituer. Ce statut fait de vous une cible secondaire : compromettre l'auditeur, c'est accéder aux faiblesses de tous ses clients d'un coup.

La valeur de ce que vous collectez pendant un audit dépasse souvent celle de ce que vous facturez pour le réaliser. C'est ce déséquilibre qui définit votre exposition.

D'où la nécessité de comprendre précisément quelles obligations juridiques pèsent sur cette détention temporaire mais critique.

Contrairement à une idée répandue, votre obligation de discrétion ne repose pas sur un seul fondement. Trois régimes s'empilent, avec des conséquences différentes en cas de manquement.

• Le NDA contractuel. Signé avant la mission, il fixe les obligations de confidentialité, leur durée (souvent au-delà de la fin de l'examen) et, parfois, des pénalités forfaitaires. C'est le terrain le plus direct d'une mise en cause par le client.
• Le code de déontologie AICPA. En tant qu'auditeur opérant sous référentiel américain, vous êtes tenu par les règles de confidentialité professionnelle de l'AICPA. Un manquement n'est pas qu'un litige privé : il met en jeu votre habilitation à exercer pour des cabinets CPA.
• Le RGPD. Dès qu'un échantillon contient des données personnelles — et c'est presque toujours le cas pour le critère Privacy — vous traitez ces données pour le compte du client. Vous devenez sous-traitant au sens de l'article 28, avec ses obligations : contrat de sous-traitance, mesures de sécurité, notification en cas de violation, restitution ou destruction en fin de mission.

Le piège, c'est qu'un même incident — un export contenant des e-mails clients laissé sur un disque non chiffré — peut violer les trois régimes à la fois, et donc générer trois fronts de responsabilité.

Beaucoup d'auditeurs SOC 2 sous-estiment ce point parce qu'ils raisonnent en référentiel américain. Pourtant, dès qu'une donnée personnelle d'un résident européen entre dans vos workpapers, le RGPD s'applique à vous en tant que sous-traitant du client responsable de traitement.

Concrètement, cela impose :

1. Un contrat ou un avenant article 28 définissant l'objet, la durée, la finalité du traitement et vos engagements de sécurité.
2. Des mesures techniques proportionnées : chiffrement des supports, cloisonnement de l'environnement de collecte, contrôle d'accès à vos propres workpapers.
3. La minimisation : ne collecter que les données strictement nécessaires au test du contrôle. Un échantillon de cinq enregistrements suffit rarement à justifier l'export d'une base entière.
4. La restitution ou destruction documentée en fin de mission, avec preuve à conserver.
5. La notification d'une violation au client dans les meilleurs délais, pour qu'il puisse à son tour notifier la CNIL et les personnes concernées.

L'angle mort le plus dangereux est la sous-traitance en cascade : si vous déléguez une partie du testing à un freelance, sans encadrement contractuel, vous restez responsable de ses manquements vis-à-vis du client et de la CNIL.

La fuite délibérée est rare. Les sinistres réels naissent de l'inattention organisationnelle. Trois scénarios concentrent l'essentiel du risque.

• Le support perdu ou volé. Un ordinateur portable contenant des workpapers non chiffrés, oublié dans un train ou dérobé. Sans chiffrement de disque, c'est une violation caractérisée, immédiatement notifiable.
• L'environnement de collecte mal cloisonné. Des données du client A accessibles depuis un espace de travail partagé avec le client B, ou stockées sur un cloud personnel non maîtrisé. La confusion de périmètres est un grand classique des cabinets et freelances en croissance rapide.
• La compromission de l'auditeur lui-même. Un phishing réussi sur votre messagerie, et c'est l'ensemble de vos échanges contenant secrets et architectures clients qui fuite. Ironie du métier : l'auditeur de sécurité devient le maillon faible.

Dans les trois cas, les conséquences ne se limitent pas à un litige avec le client : frais d'investigation forensic, notification aux personnes concernées, gestion de crise médiatique, voire sanction CNIL si votre propre négligence est démontrée.

Une RC Pro couvre votre faute professionnelle et l'atteinte involontaire à la confidentialité dans le cadre de votre mission d'examen. C'est nécessaire, mais le risque de confidentialité de l'auditeur SOC 2 déborde ce périmètre.

Quand la fuite provient d'une compromission de vos propres systèmes — votre messagerie piratée, vos workpapers chiffrés par un rançongiciel, votre poste volé — vous entrez dans le champ du risque cyber. Les postes de coût ne sont alors plus seulement la réparation d'un préjudice client, mais : l'investigation technique pour déterminer l'ampleur de la fuite, les frais de notification réglementaire, la cellule de gestion de crise, et la perte d'exploitation pendant l'indisponibilité.

C'est précisément ce que prend en charge une assurance cyber, en complément de la RC Pro. Pour un professionnel qui détient en permanence les secrets de sécurité de ses clients, le couple RC Pro + cyber n'est pas un luxe : c'est la cohérence minimale entre ce que vous vendez (de la sécurité) et ce que vous protégez (les données d'autrui que vous détenez). Découvrez les garanties calibrées pour votre activité sur notre page auditeur SOC 2.