Guide de CPA Canada: Rapport sur les contrôles d’une société de services pertinents pour la sécurité, l’accessibilité, l’intégrité du traitement, la confidentialité ou la protection des renseignements personnels (CSS 2)

DES DOCUMENTS DE RÉFÉRENCE POUR LES PROFESSIONNELS EN EXERCICE CANADIENS QUI SE VOIENT CONFIER LA MISSION DE DÉLIVRER, APRÈS AUDIT, UN RAPPORT SUR LES CONTRÔLES D’UNE SOCIÉTÉ DE SERVICES

Le guide CSS 2 se veut un outil pratique pour les professionnels en exercice qui se voient confier la mission de délivrer, après audit, un rapport sur les contrôles exercés par une société de services sur son système en ce qui a trait à la sécurité et à la protection des renseignements personnels. Ce guide repose sur les exigences et les indications établies dans le chapitre 5025 du Manuel de CPA Canada – Certification, « Normes relatives aux missions de certification autres que les audits d’états financiers ou d’autres informations financières historiques ». Les normes du chapitre 5025 constituent un cadre général pour la réalisation des missions de certification autres que les audits d’états financiers ou d’autres informations financières historiques.

Ce guide a été préparé par le Comité consultatif sur la gestion et les technologies de l’information de la division Recherche, orientation et soutien de CPA Canada en vue d’aider les professionnels en exercice canadiens qui sont appelés à délivrer, après audit, un rapport sur les contrôles d’une société de services visant un ou plusieurs des aspects suivants :

• la sécurité du système de la société de services;
• l’accessibilité du système de la société de services;
• l’intégrité du traitement du système de la société de services;
• la confidentialité des renseignements que le système de la société de services traite ou conserve pour les entités utilisatrices;
• la protection des renseignements personnels que la société de services recueille, utilise, conserve, communique et supprime pour les entités utilisatrices.
  
  

  AVIS AUX UTILISATEURS DU GUIDE – MODIFICATIONS À VENIR

  Principes et critères des services Trust

  Les missions CSS 2 et CSS 3 reposent essentiellement sur les principes et critères des services Trust, qui s’appliquent à la prestation de services d’attestation ou de consultation visant à évaluer les contrôles pertinents pour la sécurité, l’accessibilité et l’intégrité du traitement d’un système, et la confidentialité ou la protection des renseignements personnels traités par ce système.

  Ces principes et critères de l’AICPA ont récemment été mis à jour et s’appliquent aux périodes closes à compter du 15 décembre 2016. La plus récente version (en anglais) est en vente à la boutique en ligne de l’AICPA.

  Critères de description

  Le 24 juillet 2017, l’AICPA a publié un exposé-sondage sur un projet de révision des critères de description du système d’une société de services dans un rapport CSS 2. La période de commentaires s’est terminée le 7 septembre 2017 et le calendrier des prochaines étapes de ce projet n’est pas encore connu. L’exposé-sondage (en anglais) se trouve sur le site Web de l’AICPA.

  Changements touchant les normes

  Les professionnels en exercice doivent savoir que le chapitre 5025, « Normes relatives aux missions de certification autres que les audits d’états financiers ou d’autres informations financières historiques », a été remplacé par la Norme canadienne de missions de certification (NCMC) 3000, Missions d’attestation autres que les audits ou examens d’informations financières historiques, par la NCMC 3001, Missions d’appréciation directe, pour les rapports datés du 30 juin 2017 ou d’une date ultérieure.

  Les professionnels en exercice qui continuent d’utiliser le guide CSS 2 actuel pour des missions d’attestation dont le rapport est daté du 30 juin 2017 ou d’une date ultérieure doivent être conscients que ce guide a été préparé en fonction du chapitre 5025. C’est à eux qu’il revient de s’assurer qu’ils réalisent leurs missions conformément à la NCMC 3000 ou à la NCMC 3001, selon le cas, à compter du 30 juin 2017.

  Mise à jour du guide CSS

  L’AICPA prévoit publier des indications améliorées sur les missions CSS 2 et CSS 3. CPA Canada a l’intention d’examiner ces indications et de publier des indications canadiennes complémentaires. Entre-temps, il convient de se reporter aux indications contenues dans le guide actuel.

  PUBLICATIONS CONNEXES

  CSS 1 : Guide de CPA Canada Sociétés de services – Application de la NCMC 3416, Rapport sur les contrôles d’une société de services

  NOTE: CPA Canada élabore actuellement un guide sur les rapports délivrés à l’égard du programme de gestion des risques et des contrôles d’une entité en matière de cybersécurité (CSS Cybersécurité) qui sera bientôt mis en vente.

  
  
  ISBN: 978-1-55385-764-8
  Publication Date: March 2014