Preuves SOC 2 et exports

Pourquoi c’est important

Pour CC1.4 (« l’entité démontre son engagement à attirer, développer et retenir des personnes compétentes ») et CC1.5 (« l’entité tient les personnes responsables »), un auditeur Type II attend trois artefacts : une politique écrite avec une cadence définie, un suivi d’avancement couvrant 100 % des collaborateurs dans lequel échantillonner des noms, et un dossier d’évaluation terminé et daté pour chaque nom échantillonné (évaluateur, période, évaluation au regard d’attentes de poste documentées). Il vérifie aussi ce que les équipes espèrent qu’il ne verra pas : des dossiers reconstitués la semaine précédant l’audit se trahissent par leurs horodatages créés en lot.

Kit enregistre le registre et les instantanés d’évaluation par personne à la finalisation d’un cycle ; votre équipe définit la politique d’évaluation à part. L’application bloque les modifications et suppressions ultérieures des dossiers de preuve. Leur date de création indique quand les instantanés ont été enregistrés, mais ne vérifie pas indépendamment la véracité d’une évaluation ni le moment où le travail décrit a eu lieu.

Le registre des évaluations

Chaque cycle a un registre, accessible via Registre sur la page du cycle, une ligne par participant, dans les sept colonnes que Vanta et les auditeurs attendent :

Colonne	Source
Collaborateur	Nom, figé à la finalisation
E-mail	Figé à la finalisation
Évaluateur(s)	Tous les évaluateurs assignés, avec leur rôle
Cycle d’évaluation	Nom du cycle
Note	La note globale de l’évaluation du manager
Date d’évaluation	L’horodatage de création du dossier de preuve
Statut	Terminée / En attente

Tant que le cycle est actif, le registre est un suivi d’avancement en direct : un participant n’affiche Terminée que lorsque toutes ses évaluations assignées sont envoyées, avec une ligne de progression « 12 sur 15 terminées » pour relancer les retardataires. Une fois le cycle finalisé, chaque valeur provient des instantanés figés, les faits tels que finalisés, jamais les lignes vivantes.

Dossiers d’évaluation immuables

La finalisation d’un cycle crée un dossier d’évaluation par participant en une seule transaction : un registre à moitié créé ne peut pas exister, et une double finalisation est refusée plutôt que de dupliquer la preuve. Chaque dossier fige tout ce qu’un auditeur échantillonne, découplé des données vivantes :

• Nom et e-mail de la personne évaluée ; chaque évaluateur avec son rôle
• Nom du cycle, cadence et période évaluée ; attentes du poste telles que documentées pour ce participant
• Le nom du modèle, sa version et le jeu de questions complet en vigueur
• Chaque évaluation envoyée : réponses, notes, synthèse, horodatage d’envoi et marqueur d’assistance IA
• Si l’auto-évaluation a été réalisée, et la note globale du manager

Les dossiers sont en ajout seul : une fois écrits, les modifications sont refusées au niveau du modèle de données et les suppressions sont interrompues ; il n’existe aucun chemin d’édition, pas même pour les administrateurs. Les instantanés sont chiffrés au repos. Si un collaborateur quitte l’entreprise, son dossier de preuve survit : l’évaluation d’un collaborateur parti est exactement ce qu’un auditeur échantillonne.

Vérification d’intégrité

Un contrôle nocturne recherche les participants sans dossier de preuve dans un cycle finalisé, les dossiers sur des cycles jamais finalisés et les dates d’envoi figées postérieures à la création du dossier. Les violations remontent à la supervision de Kit. Ces contrôles détectent des erreurs de cohérence précises ; ils ne vérifient pas la véracité du contenu des évaluations.

Exports

Depuis le registre, trois artefacts :

Artefact	Bouton	Contenu
CSV au format Vanta	Exporter en CSV	Les sept colonnes du registre, une ligne par collaborateur ; téléversez-le dans Vanta/Drata ou remettez-le directement à l’auditeur
Registre PDF	Exporter en PDF	Le même tableau, à vos couleurs, daté, lisible par un humain
Document d’évaluation	Document (par ligne)	La preuve complète d’une personne : attentes du poste, chaque évaluation avec réponses et notes, le marqueur d’assistance IA

Les exports se génèrent de façon asynchrone et apparaissent sur la page du registre une fois prêts ; les liens de téléchargement sont à durée limitée et les archives expirent après 7 jours ; regénérez à la demande, les dossiers sources n’expirent jamais. Chaque cellule du CSV est assainie contre l’injection de formules : le fichier s’ouvre sans risque dans Excel ou Sheets. Les valeurs de statut du CSV sont des littéraux anglais stables (« Completed »/« Pending ») quelle que soit la langue de votre interface : c’est une spécification à destination de l’auditeur.

Comment un auditeur l’échantillonne

Comparez les cycles terminés à la cadence de votre politique. Avant de remettre le CSV, vérifiez ses participants : l’export comporte une ligne par participant, donc une couverture à 100 % suppose d’avoir ajouté chaque collaborateur du périmètre. Si l’auditeur échantillonne cinq noms, ouvrez chaque PDF Document pour y trouver les évaluateurs, la période, les critères, le contenu de l’évaluation et les dates. Ces dossiers étayent l’évaluation de la compétence et de la responsabilité ; c’est l’audit qui détermine le périmètre et la suffisance des preuves.

En bref

• Rédigez une politique d’évaluation d’une page énonçant votre cadence ; Kit est la preuve, la politique vous appartient
• Assurez-vous que chaque collaborateur est participant avant de finaliser (les auditeurs échantillonnent la population complète)
• Finalisez à l’heure : l’horodatage de création est la date de preuve
• Exportez le registre CSV à chaque cycle vers votre dossier de conformité ou votre outil GRC
• Vérifiez par sondage un document d’évaluation par cycle : attentes du poste et évaluateurs nommés

Pour aller plus loin

• Cycles d’évaluation : le verrou de finalisation qui crée ces dossiers
• Agent IA et outils MCP : récupérez le registre par programmation au moment de l’audit