L'essentiel d'abord : avant de signer avec un 3PL, procurez-vous le rapport SOC 2 réel — pas la diapositive, le rapport — et passez deux heures à l'examiner avec la liste de vérification ci-dessous. Une fois terminé, vous saurez si la posture de sécurité de ce 3PL est réelle ou simplement du papier.

Ne faites pas confiance à la mention « nous sommes certifiés SOC 2 » dans le dossier commercial. Elle pose deux problèmes. Premièrement, SOC 2 n'est pas une certification. C'est un rapport d'attestation délivré par un cabinet d'expertise comptable (CPA) agréé dans le cadre de l'AICPA — il n'y a ni certificat, ni tampon réussi/échec. Deuxièmement, un rapport de Type I vieux de trois ans et un rapport de Type II à jour sont à des années-lumière de ce qu'ils prouvent. Si vous sautez l'examen, vous signez à l'aveugle.

D'abord, comprendre le Type I contre le Type II

Type I Type II
Tests Si les contrôles sont correctement conçus Si les contrôles ont fonctionné efficacement dans le temps
Période Un seul point dans le temps Une période d'observation, généralement de 3–12 mois (le plus souvent 6–12)
Ce qu'il prouve La maison témoin Ce que c'est vraiment d'habiter la maison
Suffisant avant de signer ? Non C'est celui-là qu'il vous faut

Une phrase à retenir : le Type I prouve que le 3PL sait à quoi ressemblent les bons contrôles. Le Type II prouve qu'il les a réellement appliqués pendant la majeure partie d'une année. Vous êtes sur le point de lui confier des centaines de milliers d'unités et toutes vos données de commandes — vous voulez évidemment le second. J'ai vu cet échec exact trois fois : un client présente un Type I au questionnaire de sécurité des fournisseurs de son propre client entreprise et se fait recaler sur-le-champ.

La liste de vérification en 7 étapes pour examiner un rapport SOC 2

Dans l'ordre. Sans sauter d'étape.

1. Vérifiez la période d'audit. Elle est sur la page de garde. Si la période s'est terminée il y a plus de 12 mois, le rapport est périmé — demandez une lettre de transition de la direction (une déclaration signée attestant que les contrôles n'ont pas changé de manière significative pendant l'intervalle), ou exigez simplement le dernier rapport.

2. Lisez la description du système — le périmètre. C'est la section la plus importante de tout le rapport, plus importante que l'opinion de l'auditeur. Vérifiez quels systèmes sont dans le périmètre : le WMS y est-il ? Le système de gestion des commandes ? Beaucoup de rapports de 3PL ne couvrent que « l'IT d'entreprise » alors que les systèmes d'entrepôt qui vous importent vraiment se trouvent hors du périmètre d'audit. Le rapport ne mentionnera jamais un problème dans un système qu'il n'a pas examiné.

3. Vérifiez les Trust Services Criteria sélectionnés. SOC 2 en compte cinq : Security (obligatoire dans chaque rapport), Availability, Processing Integrity, Confidentiality et Privacy. Ce qui compte, c'est ce que le 3PL a sélectionné au-delà de Security. Pour un prestataire de fulfillment, Availability devrait y être (les systèmes ne peuvent pas tomber en panne), et Confidentiality aussi (vos stocks et vos données de commandes sont entre leurs mains). Un rapport avec Security seulement signifie qu'ils n'ont répondu qu'à la question obligatoire.

4. Lisez l'opinion de l'auditeur. Le minimum, c'est une opinion sans réserve. Une opinion avec réserve ou défavorable est un signal d'alerte immédiat — vous pouvez arrêter votre lecture là.

5. Comptez les exceptions. Ce sont les cas où les tests de l'auditeur ont trouvé un contrôle qui n'a pas fonctionné comme prévu. Évaluez sur trois dimensions : combien, si elles se concentrent sur le même contrôle, et si le même contrôle présente des exceptions année après année. Une exception isolée avec un plan de remédiation de la direction et un calendrier est acceptable. Le même contrôle qui échoue chaque année signifie que la remédiation n'existe que sur le papier.

6. Lisez les Complementary User Entity Controls (CUEC). Chaque rapport comporte une section listant les contrôles que le 3PL suppose que vous effectuerez — des choses comme les revues d'accès périodiques, le chiffrement des données en transit, la désactivation rapide des utilisateurs partis. Après la signature, tout cela devient votre travail. Passez chacun en revue : pouvez-vous vraiment le faire ? Sinon, négociez dès maintenant dans le contrat que ce soit la responsabilité du 3PL, ou choisissez un autre prestataire.

7. Vérifiez les organisations de sous-service. Sur quel cloud le 3PL tourne-t-il ? L'auditeur a-t-il inclus le fournisseur de cloud dans le périmètre (méthode inclusive), ou l'a-t-il exclu avec une note indiquant qu'« il a son propre SOC 2 » (méthode du carve-out) ? Le carve-out est acceptable, mais dans ce cas, procurez-vous vous-même le rapport de ce fournisseur de cloud. Ne laissez pas de trou dans la chaîne.

Signaux d'alerte : si vous en voyez un, mettez la signature en pause

  • Le rapport n'a pas été actualisé depuis plus de 18 mois, et aucune lettre de transition n'est disponible
  • Un Type I présenté comme s'il suffisait
  • Le WMS ou les systèmes de commandes hors du périmètre d'audit
  • Le même contrôle avec des exceptions deux années de suite, la remédiation perpétuellement « prévue »
  • Des CUEC listant des choses que vous ne pouvez pas faire de manière réaliste
  • Un rapport émis par quelqu'un d'autre qu'un cabinet de CPA agréé (seul un cabinet de CPA agréé peut délivrer un rapport SOC 2 — l'auto-évaluation d'un cabinet de conseil ne compte pas)

Deux échecs réels

En 2024, un de mes clients DTC beauté a signé avec un 3PL dont le dossier commercial disait « audité SOC 2 ». Après la signature, avant le go-live, je leur ai fait demander le rapport réel. C'était un Type I — avec une période d'audit d'il y a trois ans. Leur propre client entreprise les a bloqués dans le questionnaire fournisseurs, et ils ont passé trois mois à traverser une période d'observation de Type II. Tout le projet a pris du retard. J'ai vu ce scénario exact se répéter trois fois.

Le rapport d'un autre 3PL montrait quatre exceptions en Availability, toutes avec la mention « tests de restauration de sauvegarde non effectués comme prévu ». Nous n'avons pas tué l'affaire. Au lieu de cela, nous avons écrit deux clauses dans le contrat : des preuves trimestrielles d'exercices de reprise après sinistre, avec des pénalités SLA déclenchées par un exercice manqué. Un rapport, c'est du papier ; un contrat a des dents. Ce 3PL n'a manqué aucun exercice depuis.

La partie contre-intuitive : un rapport « propre » ne signifie pas sécurisé

La plupart des gens examinent un rapport SOC 2 en vérifiant si l'opinion est sans réserve. C'est à l'envers. L'opinion ne couvre que ce qui est à l'intérieur du périmètre déclaré. Un rapport au périmètre étroit reviendra évidemment propre — un rapport qui n'a examiné que la messagerie d'entreprise ne peut pas découvrir les problèmes du WMS.

L'ordre correct est donc : d'abord le périmètre, puis les critères, puis les exceptions, et l'opinion en dernier. Inversez cet ordre et vous lisez la conclusion avant le sujet d'examen.

Voici la liste condensée de la veille du go-live : Type II + période récente + WMS dans le périmètre + Availability et Confidentiality sélectionnés + opinion sans réserve + exceptions acceptables + CUEC que vous pouvez vraiment effectuer. Les sept au vert, signez. Un au rouge, négociez les termes. Deux ou plus au rouge, partez.

Un dernier mot sur la raison pour laquelle ces deux heures en valent la peine : le rapport Cost of a Data Breach 2025 d'IBM place le coût moyen mondial d'une violation à $4.44 million. Vos données de stock, vos données de commandes, vos données clients — tout est entre les mains de votre 3PL. Deux heures pour cette tranquillité d'esprit, c'est un bon marché.

Par Lin Xiao, consultant en mise en œuvre de WMS

Traduit de l'anglais. En cas de divergence, la version anglaise fait foi.