Changer de plateforme GRC en plein cycle SOC 2

OneTrust retire Tugboat Logic, que l'éditeur appelle aussi Certification Automation. Selon la FAQ de retrait publiée le 16 juillet 2026, les renouvellements ont pris fin le 31 août 2026, le soutien standard se termine le 31 août 2027 et l'accès cesse à la fin de l'abonnement. Pour une organisation en plein cycle SOC 2, la question n'est pas seulement de choisir un nouvel outil : il faut en changer sans briser la période que l'auditeur doit couvrir.

Ce que disent les sources

OneTrust, sur le retrait. La FAQ de retrait du 16 juillet 2026 fixe les dates ci-dessus et précise qu'aucun soutien prolongé n'est offert. Les clients disposent de 60 jours après l'expiration de leur contrat pour récupérer leurs données. Si un audit est en cours, OneTrust demande de le terminer dans Certification Automation avant d'exporter. Son guide de migration du 1er juillet 2026 oriente les clients vers son produit Tech Risk & Compliance.

L'AICPA, sur ce que l'auditeur atteste. L'AICPA décrit SOC comme une suite de services que les comptables professionnels agréés (CPA) peuvent fournir à l'égard des contrôles d'un organisme de services, et c'est elle qui établit les normes de ces missions. Dans un communiqué du 19 octobre 2026, elle définit le SOC 2 comme « an independent examination performed by a licensed CPA under the AICPA Attestation Standards », dont le rapport comprend « an opinion on the design and operating effectiveness of controls supporting the system ». Les critères des services de confiance servent à évaluer les contrôles liés à la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et la protection des renseignements personnels. Les critères de description 2018 servent, eux, « when preparing and evaluating the description » du système. Enfin, une note de son personnel en éthique, datée du 13 avril 2026, avertit que les ententes d'affaires entre cabinets et fournisseurs d'outils SOC 2 peuvent menacer l'indépendance et l'objectivité de l'auditeur, et l'AICPA rappelle que les services SOC « should be thoroughly evaluated by service organizations and CPA firms ».

Microsoft, sur la période et les lettres de couverture. La documentation SOC 2 de Microsoft explique qu'un rapport Type 2 évalue si les contrôles « were operating effectively over a specified time period ». Microsoft fait auditer une période glissante de 12 mois et ne laisse aucun trou entre deux périodes consécutives. Entre deux rapports, Microsoft émet des lettres de couverture, aussi appelées gap letters, qu'il qualifie d'auto-attestations et non de rapports fondés sur un examen de l'auditeur.

Pourquoi ça compte

L'opinion porte sur les contrôles du système décrit dans le rapport. Dans la plupart des cas, la plateforme GRC n'en fait pas partie : elle range les politiques, assigne les tâches et conserve les preuves. Changer d'outil ne change donc pas l'objet de l'audit. Ce qui peut casser, c'est la continuité de la preuve.

Un Type 2 se teste sur toute la période. Si votre contrat Tugboat Logic se termine au milieu de la période, les preuves des premiers mois vivent dans un outil dont l'accès va cesser. Elles doivent en sortir complètes, avec leurs dates, leurs auteurs et leur lien au contrôle qu'elles démontrent. La consigne de OneTrust, terminer l'audit avant d'exporter, et la fenêtre de 60 jours vont dans le même sens : l'export est la seule trace qui restera.

Le second point est moins visible. Certains contrôles sont exécutés par l'outil lui-même : rappels de revue d'accès, acceptation des politiques par les employés, collecte automatique de configurations. Le jour où l'ancien outil s'éteint, ces contrôles s'arrêtent s'ils n'ont pas été repris ailleurs. Une semaine sans revue planifiée devient une exception dans le rapport.

Le troisième point touche l'auditeur. La note de l'AICPA sur les fournisseurs d'outils rappelle que le cabinet doit rester indépendant de l'outil. Une migration est l'occasion de vérifier que votre auditeur ne dépend pas de la plateforme que vous quittez, ni de celle que vous choisissez.

Ce que nous en pensons chez Sentrix

1. Fixer la date de bascule avec l'auditeur, avant toute signature. Donnez-lui la date de fin de contrat, la fin de la période en cours et la date visée pour le rapport. La page SOC 2 rappelle les critères en jeu.
2. Terminer l'audit en cours dans l'outil actuel, comme le recommande OneTrust, et ne basculer qu'une fois les demandes de l'auditeur satisfaites.
3. Exporter tout l'historique, pas seulement l'état actuel : preuves datées, approbations, versions de politiques, revues d'accès, exceptions et réponses de la direction, registre des fournisseurs. Gardez une copie hors des deux outils, conservée selon votre politique de conservation.
4. Dresser la liste des contrôles que l'outil exécutait lui-même et prévoir leur relève le jour même de la bascule, pour qu'aucun ne s'interrompe.
5. Ne pas laisser de trou entre deux périodes. Une migration qui retarde la période suivante allonge la lettre de couverture ; notre article SOC 2 Type 1 ou Type 2 explique comment enchaîner les périodes.
6. Garder l'auditeur indépendant de l'outil, quel que soit l'outil retenu.

Notre page migration depuis Tugboat Logic regroupe les dates officielles et la façon dont nous abordons l'export.

La prochaine étape

Écrivez quatre dates sur une même ligne : fin de votre contrat Tugboat Logic, fin de votre période d'observation en cours, émission prévue du rapport, début de la période suivante. Si la première tombe avant la deuxième, votre plan de bascule doit être prêt avant la fin du contrat. Pour l'établir avec nous, contactez-nous.