088-2028700
info@auditvision.nl
Een klant stuurt zijn leveranciersvragenlijst, en onderaan staat één regel: “Kunt u een ISAE 3402-rapport overleggen?” Je hebt ISO 27001, misschien zelfs SOC 2 in beeld, maar dit is een ander stuk gereedschap. De vraag komt meestal niet van de CISO van je klant, maar van zijn financiële afdeling of zijn accountant. Dat zegt al veel over waar ISAE 3402 voor bedoeld is.
Wat ISAE 3402 is
ISAE 3402 is een internationale standaard (van de IAASB) voor assurance-rapporten over de beheersmaatregelen van een dienstverlener. In Nederland wordt hij toegepast als Standaard 3402. Het doel is smal en concreet: de accountant van jouw klant moet kunnen vertrouwen op de maatregelen die jij uitvoert voor processen die de jaarrekening van die klant raken. Denk aan salarisverwerking, betalingsverkeer, hosting van een financieel systeem of het beheer van een pensioenadministratie.
Daarom heet het ook wel een rapport over de interne beheersing bij een serviceorganisatie. Jij beschrijft als dienstverlener je processen en je beheersdoelstellingen. Een onafhankelijke serviceauditor, meestal een accountant, toetst of die beschrijving klopt en of de maatregelen werken. Het resultaat is een rapport met een oordeel, geen certificaat.
Type 1 of 2
Dit onderscheid bepaalt of een rapport voor je klant bruikbaar is.
Type I beoordeelt op één moment of de beheersmaatregelen goed zijn opgezet en daadwerkelijk zijn ingevoerd. De auditor zegt dus: op deze datum staat het er zoals beschreven.
Type II gaat een stap verder en beoordeelt ook of de maatregelen over een periode hebben gewerkt, vaak zes tot twaalf maanden. Daar zit de waarde voor de accountant van je klant: die wil weten dat de controle het hele boekjaar heeft gewerkt, niet alleen op de dag van de audit.
Wie vanuit een eerste vraag begint, start vaak met een type I en groeit door naar type II. Veel klanten accepteren een type I alleen als tussenstap. Vraag dus vooraf wat jouw klant minimaal nodig heeft.
Wat de auditor toetst
Anders dan bij ISO 27001 ligt er geen vaste lijst eisen. Jij stelt de beheersdoelstellingen vast en beschrijft de maatregelen die ze moeten waarborgen. De auditor toetst die beschrijving. Een rapport bevat daarom drie onderdelen: jouw beschrijving van het systeem, een verklaring van je directie dat die beschrijving klopt, en het oordeel van de serviceauditor met de testresultaten per maatregel.
Dat heeft een praktisch gevolg voor de CISO. Je kiest zelf de scope en de maatregelen, en de rapportage maakt zichtbaar waar een maatregel in de steekproef niet werkte. Afwijkingen komen met naam en toenaam in het rapport te staan, en jouw klanten lezen dat. Een rapport met uitzonderingen is geen ramp, maar je moet je afvragen of je ze kunt uitleggen.
Let ook op uitbesteding. Gebruik je een hostingpartij of cloudprovider voor het proces in scope, dan moet je kiezen tussen de carve-out-methode (de partij valt buiten het rapport, je beschrijft alleen hoe je hem beheerst) en de inclusive-methode (de maatregelen van die partij zitten in het rapport). Voor de lezer van het rapport maakt dat veel verschil.
ISAE 3402 en ISO 27001: waar zit het verschil?
De twee worden vaak als alternatief voor elkaar gezien, maar ze beantwoorden een andere vraag.
Het korte antwoord: ISO 27001 laat zien dat je informatiebeveiliging als systeem beheerst. ISAE 3402 laat zien dat specifieke controles in een dienst aantoonbaar hebben gewerkt voor een klant die daar financieel op leunt. Het ene vervangt het andere niet. Heeft een klant naar een ISAE 3402-rapport gevraagd, dan accepteert zijn accountant een ISO 27001-certificaat meestal niet als gelijkwaardig, omdat het niet over de controles in zíjn proces gaat. Andersom zegt een ISAE 3402-rapport weinig over de volwassenheid van je totale ISMS.
Veel dienstverleners hebben uiteindelijk beide: ISO 27001 als algemene basis voor de markt, en ISAE 3402 (of ISAE 3000/SOC 2) voor klanten die een formeel rapport per dienst vragen. Een goed ingericht ISMS maakt het schrijven van de beheersbeschrijving voor een ISAE-rapport doorgaans een stuk eenvoudiger, omdat veel maatregelen en bewijs al bestaan.
Wanneer vraagt je klant erom?
In de praktijk zie je de vraag in een paar situaties terugkomen:
- Je levert een dienst die in de financiële administratie of rapportage van je klant terechtkomt, zoals salaris, facturatie, betalingen, boekhoudsoftware of datahosting daarvan.
- Je klant is een bank, verzekeraar, pensioenfonds of beursgenoteerde organisatie met een eigen accountant die moet steunen op jouw controles.
- Je klant heeft zelf een auditplicht en wil niet bij elke leverancier een eigen audit laten uitvoeren.
Spelen deze situaties niet, dan is de vraag vaak eigenlijk een vraag naar zekerheid over informatiebeveiliging. Dan is ISO 27001, en bij een internationale klant soms SOC 2, het passender antwoord. Vraag bij de aanvraag door welke instantie de eis wordt gesteld en waarvoor het rapport wordt gebruikt. Dat bespaart je soms een heel traject.
Veelgestelde vragen
Inhoudelijk lijken ze sterk op elkaar. SOC 1 is het Amerikaanse equivalent (op basis van SSAE 18) en richt zich eveneens op controles die voor de financiële verslaggeving van klanten relevant zijn. Welke vorm je klant wil, hangt af van zijn accountant en land.
Nee. Het is een assurance-rapport met een oordeel van een serviceauditor. Er is geen certificaat en geen vaste geldigheidsduur; het rapport gaat over een datum of een periode.
Ja, en veel organisaties doen dat. De maatregelen overlappen deels. Ze blijven wel twee verschillende beoordelingen met een eigen auditor en een eigen uitkomst.
Een serviceauditor die aan de beroepsregels voldoet, in Nederland doorgaans een accountant. Een certificerende instelling voor ISO-normen doet dat niet.
ISAE 3402 gaat over maatregelen die relevant zijn voor de financiële verslaggeving van je klant. SOC 2 gaat over beveiliging, beschikbaarheid, integriteit, vertrouwelijkheid en privacy van je dienst.
Vraagt jouw klant om een ISAE 3402-rapport?
AudITvision voert ISAE 3402-audits uit als onafhankelijke serviceauditor, voor type I en type II. Wil je weten welk type rapport jouw klant nodig heeft en wat dat voor jouw scope betekent? We beoordelen eerst wat je klant vraagt en waarvoor het rapport wordt gebruikt, en leggen daarna vast welke scope, welk type en welke periode passen.
In onze gratis whitepaper lees je alles over ISAE 3402. Bel 088-2028700 of mail naar info@auditvision.nl.
Heldere audits. Deskundige mensen. Normaal tarief.
Meer weten over ISAE 3402 audits?
Neem gerust contact op
Mischa vertelt je er graag meer over