088-2028700
info@auditvision.nl
Steeds meer opdrachtgevers en hun accountants willen zekerheid over processen die zij hebben uitbesteed. Met een ISAE 3402-rapport geef je onafhankelijk inzicht in de beheersmaatregelen binnen jouw dienstverlening die relevant zijn voor de financiële verslaggeving van je klanten.
Of je nu salarisadministratie verwerkt, financiële software levert of andere processen uitvoert die invloed hebben op de financiële verslaggeving van je klanten: met ISAE 3402 maak je aantoonbaar hoe deze processen worden beheerst.
AudITvision voert jaarlijks ISAE 3402-onderzoeken uit voor uiteenlopende serviceorganisaties. Praktisch, onafhankelijk en met een helder auditproces.
Wat is een ISAE 3402-audit?
Een ISAE 3402-audit is een onafhankelijke assurance-opdracht voor serviceorganisaties die processen uitvoeren die relevant zijn voor de financiële verslaggeving van hun klanten.
Tijdens het onderzoek beoordelen we de beschrijving van de dienstverlening en de beheersmaatregelen die zijn ingericht om relevante risico’s te beheersen. Bij een Type II-onderzoek toetsen we daarnaast de werking van deze beheersmaatregelen gedurende een afgesproken periode.
Het resultaat is een ISAE 3402-rapport dat gebruikersorganisaties en hun externe accountants inzicht geeft in de manier waarop jouw organisatie deze processen beheerst.
Zo hoeven klanten en hun accountants niet allemaal afzonderlijk dezelfde processen en beheersmaatregelen bij jouw organisatie te onderzoeken.
- Payroll- en salarisverwerkers
- Financiële dienstverleners
- SaaS- en softwareleveranciers met financieel relevante processen
- IT-dienstverleners
- Managed Service Providers
- Hosting- en cloudproviders
- Andere serviceorganisaties die financieel relevante processen voor klanten uitvoeren
Voor welke organisaties is een ISAE 3402-audit geschikt?
Een ISAE 3402-onderzoek is met name relevant voor serviceorganisaties die processen uitvoeren die van invloed zijn op de financiële verslaggeving van hun klanten.
Denk bijvoorbeeld aan salarisverwerking, financiële administratie, transactieverwerking of IT-systemen waarop financieel relevante processen draaien.
De gebruikersorganisatie en haar externe accountant kunnen het ISAE 3402-rapport gebruiken bij hun beoordeling van de interne beheersing rondom deze uitbestede processen.
Voorbeelden zijn:
- salaris- en payrollverwerking;
- financiële administratie en transactieverwerking;
- financieel relevante SaaS-oplossingen;
- hosting- en cloudomgevingen voor financiële systemen;
- pensioen- en hypotheekadministratie;
- andere uitbestede processen die relevant zijn voor de financiële verslaggeving.
OVER ISAE 3402
Waarom kiezen voor een ISAE 3402-rapport?
Een ISAE 3402-rapport geeft klanten en hun accountants onafhankelijk inzicht in de beheersing van uitbestede processen. Daarmee voorkom je dat iedere klant afzonderlijk dezelfde controles bij jouw organisatie moet uitvoeren en laat je zien dat je interne beheersing aantoonbaar op orde is.
Voordelen
✔ Meer vertrouwen bij klanten
✔ Minder losse klantaudits
✔ Onafhankelijke assurance over jouw dienstverlening
✔ Professionelere interne beheersing
✔ Sterkere positie bij aanbestedingen
✔ Ondersteuning bij due diligence-trajecten
✔ Duidelijk inzicht in risico’s en beheersmaatregelen
Is ISAE 3402 verplicht?
Een ISAE 3402-rapport is niet voor iedere organisatie wettelijk verplicht. In de praktijk kan het rapport wel een belangrijke of zelfs noodzakelijke voorwaarde worden om zaken te doen.
Klanten en hun externe accountants kunnen zekerheid verlangen over processen die jouw organisatie voor hen uitvoert en die relevant zijn voor hun financiële verslaggeving. Een ISAE 3402-rapport biedt daarvoor onafhankelijke assurance.
Ook bij aanbestedingen, due diligence-trajecten en nieuwe klantcontracten kan een ISAE 3402-rapport worden gevraagd. Krijg je van een klant of accountant de vraag om een ISAE 3402-rapport aan te leveren? Dan kijken we graag met je mee welke scope en welk type rapport bij die vraag passen.
Onze werkwijze
Meedenken
Voor veel van onze klanten is ISAE 3402 nieuw en we denken dan ook graag met je mee. We hebben dit honderden keer gedaan en kunnen je goed begeleiden door het proces en zorgen dat je de juiste stappen zet.
Pragmatisch
Graag denken we met je mee en kijken we wat passend is voor jouw organisatie. Wij realiseren ons dat de omvang van de organisatie en de producten of diensten bepalend zijn voor de aanpak. We zorgen dat het precies passend is.
Betaalbaar
Wij hebben een efficiënte aanpak opgezet. Je hebt geen externe hulp nodig: we begeleiden je door de verschillende stappen. Op basis van onze aanpak kun je op de momenten dat het jou past het bewijsmateriaal (laten) verzamelen en klaarzetten op een omgeving die we voor je aanmaken. Nadat alles gereed is, gaan we het bewijs beoordelen en gaan we op basis daarvan het bewijsmateriaal verfijnen. Hierdoor zitten we niet dagen bij je op kantoor om alle medewerkers van het werk te houden. Dat scheelt ons beiden een boel tijd en dus ook geld.
Ontvang onze gratis whitepaper
Vraag onze gratis ISAE 3402-whitepaper aan en ontdek hoe je eenvoudig kunt starten, wat het traject kost, hoelang het duurt en waar je rekening mee moet houden.
TYPEN RAPPORTEN
ISAE 3402 Type I of Type II?
Type I
Bij een Type I-onderzoek beoordelen we de beschrijving van de serviceorganisatie en het ontwerp en de implementatie van de relevante beheersmaatregelen op een specifiek moment.
Type II
Een Type II-onderzoek gaat verder. Naast de onderdelen die bij Type I worden beoordeeld, onderzoeken we ook of de relevante beheersmaatregelen gedurende een afgesproken periode effectief hebben gewerkt.
Type II geeft gebruikers van het rapport daardoor aanvullende zekerheid over de werking van de beheersmaatregelen over een langere periode.
Weet je niet welk type jouw klant of accountant verwacht? Stem dit vooraf goed af. AudITvision kan vervolgens met je bepalen hoe het onderzoek daarop aansluit.
ISAE 3402 en SOC 2 combineren
Voor sommige organisaties kan het relevant zijn om ISAE 3402 en SOC 2 te combineren. De twee rapportages hebben een ander doel, maar delen in de praktijk soms processen, risico’s, beheersmaatregelen en bewijsstukken.
ISAE 3402 richt zich op beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de financiële verslaggeving van gebruikersorganisaties. SOC 2 richt zich op beheersing aan de hand van de Trust Services Criteria, bijvoorbeeld rond security, availability en confidentiality.
Wanneer beide rapportages voor jouw organisatie relevant zijn, kan een gecombineerde aanpak efficiënter zijn. We bekijken dan vooraf waar werkzaamheden en bewijsvoering elkaar kunnen overlappen, terwijl beide onderzoeken hun eigen scope en rapportage behouden.
1 | Intake en vraagstelling
We bespreken waarom je een ISAE 3402-rapport nodig hebt, wie het rapport gaat gebruiken en welke dienstverlening relevant is.2 | Scope bepalen
We bepalen welke processen, systemen, locaties en beheersdoelstellingen binnen de scope van het onderzoek vallen.3 | Documentatie en voorbereiding
Je levert de relevante procesbeschrijvingen, beheersmaatregelen en andere benodigde documentatie aan. Vooraf spreken we duidelijk af wat nodig is.4 | Type I of Type II
We stemmen af welk type onderzoek wordt uitgevoerd en, bij Type II, welke onderzoeksperiode van toepassing is.5 | Uitvoering van het onderzoek
Onze auditor beoordeelt de beschrijving, relevante beheersmaatregelen en beschikbare bewijsstukken. Bij Type II toetsen we ook de werking van de maatregelen over de afgesproken periode.6 | Bevindingen afronden
We bespreken relevante bevindingen en ronden de auditwerkzaamheden af.7 | ISAE 3402-rapportage
Na afronding stellen we het assurancerapport op dat je kunt verstrekken aan de daarvoor bedoelde gebruikers.
DE TIJDSLIJNEN
Hoe lang duurt een ISAE 3402-traject?
De doorlooptijd hangt af van de omvang van jouw organisatie en de gekozen rapportvorm.
Globaal kun je rekenen op:
- Type I: enkele weken tot circa twee maanden.
- Type II: zes tot twaalf maanden, afhankelijk van de observatieperiode.
Tijdens een vrijblijvende intake maken we een realistische planning die aansluit bij jouw organisatie en eventuele klantdeadlines.
ISAE 3402-AUDIT VERSNELLEN
5 manieren om jouw ISAE 3402-traject te versnellen
Stel een deadline. Dan kun je achteruit werken om vast te stellen wat er allemaal moet gebeuren. Het helpt deelnemers ook om te begrijpen wat hun rol is in het proces.
Zorg vooraf voor een duidelijke scope
Bepaal welke dienstverlening en processen in het ISAE 3402-rapport moeten worden opgenomen. Kijk daarbij wat relevant is voor de gebruikers van het rapport en stem verwachtingen met klanten af.
Breng je beheersdoelstellingen en maatregelen in kaart
Zorg dat duidelijk is welke risico’s je beheerst, welke beheersdoelstellingen daarbij horen en met welke maatregelen je dat doet. Een duidelijke structuur maakt het onderzoek efficiënter.
Verzamel bewijsstukken tijdig
Wacht niet tot de auditor om ieder afzonderlijk bewijsstuk vraagt. Zorg dat documentatie, registraties en andere relevante onderbouwing beschikbaar en actueel zijn.
Zorg dat verantwoordelijkheden duidelijk zijn
Maak intern duidelijk wie verantwoordelijk is voor welke processen en beheersmaatregelen. Zorg ook dat de juiste medewerkers tijdens het onderzoek beschikbaar zijn voor vragen van de auditor.
De juiste auditor voor jouw ISAE 3402-onderzoek
Een ISAE 3402-onderzoek vraagt om een auditor die begrijpt hoe jouw dienstverlening, processen en beheersmaatregelen samenhangen.
Een goede auditor kijkt daarbij niet alleen naar de documentatie, maar begrijpt ook welke processen relevant zijn voor gebruikersorganisaties en hun externe accountants.
Bij AudITvision stemmen we vooraf duidelijk af wat binnen de scope valt, welke informatie nodig is en hoe het onderzoek wordt uitgevoerd. Zo weet je waar je aan toe bent en voorkomen we onnodige complexiteit. Onze aanpak is pragmatisch en onafhankelijk: kritisch waar het moet, duidelijk in onze communicatie en gericht op een kwalitatief goed assurancerapport.