Assurance Auditeur SOC 2

Cela dépend de votre statut, pas de la norme. Si vous êtes inscrit à l'ordre des experts-comptables ou commissaire aux comptes, l'assurance de responsabilité civile professionnelle est obligatoire au titre de votre profession réglementée, quelle que soit la mission. Si vous intervenez comme consultant indépendant ou prestataire d'un cabinet CPA, aucun texte français ne vous impose de vous assurer : c'est le contrat de sous-traitance ou le client final qui l'exige, presque toujours, avec un montant de garantie minimum et une attestation à produire avant le démarrage de la mission.

Pas automatiquement. Beaucoup de contrats français limitent la garantie aux réclamations introduites devant une juridiction de l'Espace économique européen et excluent ou sous-limitent les États-Unis et le Canada. Or un rapport SOC 2 suit le référentiel AICPA et atterrit souvent chez un client final américain. Faites écrire noir sur blanc l'extension USA/Canada avant de signer une engagement letter, et regardez ce qu'elle vise : le lieu d'exécution, la loi applicable ou le lieu de la réclamation. Ces trois formulations ne vous protègent pas de la même façon.

Vous n'êtes pas garant de la sécurité de votre client : vous vous prononcez sur des contrôles, sur une période donnée et selon une méthode d'échantillonnage. La mise en cause portera sur la qualité de vos diligences — tests insuffisants, preuves non conservées, déficience visible que vous n'avez pas relevée. C'est précisément ce que couvre la RC Pro : votre faute professionnelle et son coût pour le client. En revanche, une attaque visant vos propres systèmes et vos dossiers de travail relève d'une garantie cyber, distincte, à souscrire à part.

Deux sujets, à ne pas confondre. Côté déontologie, cumuler la préparation des contrôles et l'attestation pose un problème d'indépendance au regard des règles AICPA, et un rapport écarté pour ce motif est une cause classique de réclamation. Côté assurance, le conseil, le readiness assessment et l'attestation sont des activités différentes : si votre contrat ne mentionne que l'audit, une mission de conseil peut ne pas être garantie. Déclarez précisément l'ensemble de vos prestations à la souscription et signalez toute activité nouvelle en cours de contrat.

Longtemps. Une déficience se révèle souvent des mois plus tard, lors d'un incident ou d'un audit de renouvellement mené par un autre cabinet. Les contrats RC Pro sont généralement déclenchés par la réclamation : c'est la date à laquelle le client vous met en cause qui compte, pas celle de votre rapport. Dans ce cas, le Code des assurances impose une période de garantie subséquente d'au moins cinq ans après la fin du contrat (article L.124-5). Ne résiliez donc jamais sans vérifier ce point, surtout si vous cessez l'activité.

Un contrat professionnel n'ouvre ni rétractation de quatorze jours ni résiliation à tout moment façon loi Hamon : ces règles visent les particuliers. Vous résiliez à l'échéance annuelle en respectant un préavis de deux mois (article L.113-12). Un changement de situation — changement de profession, cessation définitive d'activité, transfert de domicile — permet une résiliation anticipée dans le cadre prévu par le Code des assurances (article L.113-16). Et si vous élargissez à ISAE 3402, ISO 27001 ou HIPAA, ou si votre chiffre d'affaires bouge fortement, déclarez-le : c'est ce qui conditionne la garantie.