ISAE 3402-verklaring, door Register EDP-auditors.
Third-party assurance voor serviceorganisaties.
Wat is het?
ISAE 3402 is het assurance-rapport dat klanten en hun accountants verwachten wanneer jouw dienst hun financiële verslaglegging raakt: payroll, payments, hosting, BPO of SaaS. Het beschrijft je beheersmaatregelen en geeft een onafhankelijk oordeel over de opzet (Type 1) of ook de werking (Type 2). Met één rapport bedien je al je klanten, in plaats van talloze losse audits te ondergaan. In Nederland heet zo'n rapport vaak een ISAE 3402-verklaring.
Voor wie?
Voor serviceorganisaties wier dienstverlening doorwerkt in de cijfers van hun klanten, en die jaarlijks een Type 2-rapport willen kunnen overleggen. Denk aan salarisverwerkers, betaaldienstverleners, hostingpartijen, administratiekantoren en SaaS-leveranciers met een financiële component.
Wat het oplevert.
- Een ISAE 3402 Type 1- of Type 2-rapport voor je klanten en hun accountants
- Een heldere systeembeschrijving van je dienstverlening en beheersmaatregelen
- Een onafhankelijk oordeel dat de audits bij je klanten vereenvoudigt
- Een overzicht van bevindingen met eventuele verbeterpunten
Type 1 of Type 2?
Een ISAE 3402-rapport bestaat in twee varianten. Het verschil zit in de vraag die het beantwoordt: zijn je beheersmaatregelen goed ontworpen, of hebben ze ook echt gewerkt?
| Type 1 | Type 2 | |
|---|---|---|
| Wat we toetsen | Opzet en bestaan van de beheersmaatregelen | Opzet, bestaan én werking |
| Peilmoment | Eén peildatum | Een periode, meestal 6 tot 12 maanden |
| Doorlooptijd | Doorgaans 4 tot 8 weken vanaf de kick-off | De rapportageperiode, plus enkele weken voor de rapportage |
| Waarde voor de accountant van je klant | Inzicht in hoe de beheersing is ingericht | Bewijs waarop de accountant kan steunen bij de controle |
Accountants vragen vrijwel altijd om Type 2. Zij willen weten of de beheersing het hele boekjaar heeft gewerkt, niet alleen of die op één dag goed op papier stond. Een Type 1 is een goede eerste stap als je voor het eerst rapporteert of als een klant op korte termijn iets wil zien. Daarna laat je het Type 2-rapport bij voorkeur aansluiten op het boekjaar van je klanten.
Wat staat er in een ISAE 3402-rapport?
Een ISAE 3402-rapport heeft een vaste opbouw. Zo weet de accountant van je klant precies waar hij moet kijken:
- Sectie I: ons assurance-rapport, met het onafhankelijke oordeel.
- Sectie II: de bewering van je management over de systeembeschrijving en de beheersmaatregelen.
- Sectie III: de systeembeschrijving: je dienstverlening, organisatie, systemen en beheersmaatregelen.
- Sectie IV: de beheersdoelstellingen en controls, en bij Type 2 per control wat we hebben getoetst en wat daaruit kwam.
- Sectie V (optioneel): aanvullende informatie van je management, waarover wij geen oordeel geven.
In het rapport staat ook welke maatregelen je klanten zelf moeten treffen (complementaire beheersmaatregelen) en hoe je omgaat met partijen waaraan jij zelf uitbesteedt, zoals een datacenter. In ons kennisbankartikel Wat is ISAE 3402? lees je daar meer over.
Kosten en doorlooptijd.
Wat een ISAE 3402-verklaring kost, hangt af van de omvang van wat we toetsen. We werken daarom niet met een standaardprijs, maar met een vaste prijs per opdracht. De prijs wordt vooral bepaald door:
- Type 1 of Type 2, en bij Type 2 de lengte van de rapportageperiode
- Het aantal processen, beheersdoelstellingen en controls in scope
- Het aantal systemen en locaties dat erbij hoort
- Of je uitbestede partijen meeneemt in het rapport of buiten de scope houdt
- Hoe goed je beheersmaatregelen en het bewijs daarvan al zijn vastgelegd
Na het scopinggesprek krijg je een offerte waarin prijs, planning en aanpak vastliggen. Blijft de scope gelijk, dan blijft de prijs gelijk. Geen verrassingen achteraf.
Voor de doorlooptijd geldt grofweg: een Type 1-rapport heb je doorgaans binnen 4 tot 8 weken na de kick-off, mits je beheersing en documentatie op orde zijn. Bij Type 2 loopt eerst de rapportageperiode, bij een eerste rapport vaak 6 maanden en daarna meestal een jaar. Na afloop volgen de laatste toetsing en de rapportage. Accountants willen het rapport vaak kort na het einde van het boekjaar hebben. Laat het ons in het eerste gesprek weten, dan plannen we de periode daarop.
ISAE 3402-certificering: een verklaring, geen certificaat.
Termen als "ISAE 3402-certificering" en "ISAE 3402-certificaat" hoor je vaak, maar ze kloppen niet helemaal. Je organisatie wordt niet gecertificeerd. Je krijgt een assurance-rapport met het oordeel van een onafhankelijke IT-auditor over je beheersing. Dat is iets anders dan een ISO 27001-certificaat, dat een certificerende instelling afgeeft na een audit tegen een vaste norm.
Het verschil is meer dan woordkeuze. Een certificaat zegt dát je voldoet. Een ISAE 3402-rapport laat zien welke beheersmaatregelen je hebt, hoe we ze hebben getoetst en wat daaruit kwam. Precies die informatie heeft de accountant van je klant nodig. Het rapport geldt voor de periode die het beschrijft. Daarom verwachten klanten elk jaar een nieuw rapport dat naadloos aansluit op het vorige.
ISAE 3402 of SOC 2?
Raakt je dienst de financiële cijfers van je klanten, dan is ISAE 3402 meestal de juiste keuze. Vragen je klanten vooral naar de beveiliging en beschikbaarheid van je platform, bijvoorbeeld omdat ze internationaal werken, dan past een SOC 2-audit vaak beter. Twijfel je? In ISAE 3402 of SOC 2 zetten we ze naast elkaar.
Onze aanpak.
-
Kennismaking & scoping
We beginnen met een kennismaking en bepalen samen de scope: wat hoort erbij en wat niet.
-
Offerte
Op basis van de scope stellen we een heldere offerte op, met een vaste prijs en een duidelijke aanpak.
-
Kick-off
Zodra de offerte getekend is, starten we met een kick-off waarin we de exacte tijdlijnen en aanpak afstemmen.
-
Systeembeschrijving beoordelen
We beoordelen de systeembeschrijving (sectie III van de rapportage) op juistheid en volledigheid: geeft die een getrouw beeld van de dienstverlening en de omgeving?
-
Normenkader toetsen
We toetsen het normenkader op volledigheid en of de controls op een juiste, toetsbare wijze zijn beschreven.
-
Toetsing
Na akkoord op het normenkader toetsen we de beheersmaatregelen en verzamelen we het onderbouwende bewijs.
-
Rapportage
We stellen een heldere rapportage op met ons onafhankelijke oordeel en de bevindingen.
-
Presentatie & evaluatie
We bespreken de rapportage en evalueren samen het traject, zodat een volgende audit nog soepeler verloopt.
Veelgestelde vragen.
- Wat kost een ISAE 3402-verklaring?
- Dat hangt af van het type rapport, het aantal processen en controls in scope, het aantal systemen en hoe goed je beheersing al is vastgelegd. Na een kennismaking en scoping krijg je een offerte met een vaste prijs. Blijft de scope gelijk, dan blijft de prijs gelijk.
- Hoe lang duurt een ISAE 3402-traject?
- Een Type 1-rapport heb je doorgaans binnen 4 tot 8 weken na de kick-off. Een Type 2-rapport dekt een rapportageperiode van meestal 6 tot 12 maanden; daarna volgen nog de laatste toetsing en de rapportage.
- Wanneer heb ik ISAE 3402 nodig?
- Als jouw dienst doorwerkt in de financiële verslaglegging van klanten, bijvoorbeeld bij payroll, payments, hosting, BPO of SaaS. Klanten en hun accountants vragen dan vaak om een Type 2-rapport.
- Wat is het verschil tussen ISAE 3402 Type 1 en Type 2?
- Type 1 beoordeelt de opzet en het bestaan van je beheersmaatregelen op één peildatum. Type 2 toetst daarnaast of ze over een periode ook echt hebben gewerkt. Accountants vragen vrijwel altijd om Type 2.
- Is ISAE 3402 een certificering?
- Nee. Je krijgt een assurance-rapport, vaak ISAE 3402-verklaring genoemd, met het oordeel van een onafhankelijke IT-auditor. Een certificaat, zoals bij ISO 27001, wordt afgegeven door een certificerende instelling en werkt anders.
- Wat is het verschil met SOC 2?
- ISAE 3402 richt zich op beheersmaatregelen die de cijfers van je klanten raken; SOC 2 richt zich op de Trust Services Criteria zoals security en availability. We helpen je de juiste te kiezen.
- Hoe vaak moet het rapport vernieuwd worden?
- Een Type 2-rapport dekt een periode, vaak een jaar. Klanten verwachten meestal jaarlijks een nieuw rapport dat naadloos aansluit op het vorige, zodat er geen gat in de zekerheid ontstaat.
- Wat zijn complementaire beheersmaatregelen?
- Maatregelen die je klant zelf moet treffen om de beheersing compleet te maken, bijvoorbeeld het tijdig intrekken van gebruikersaccounts van eigen medewerkers. Ze staan in het rapport benoemd, zodat je klant en zijn accountant weten wat er van hen wordt verwacht.