ISAE 3000 is de internationale standaard voor assurance over niet-financiële informatie. Een onafhankelijke IT-auditor onderzoekt of je beheersmaatregelen goed zijn opgezet en, bij een Type 2-rapport, of ze over een periode ook echt hebben gewerkt. Je krijgt daarvan een rapport met een onderbouwd oordeel dat je met klanten en toezichthouders kunt delen.
Waarvoor wordt ISAE 3000 gebruikt?
ISAE 3000 is breed inzetbaar: het is de “algemene” assurance-standaard voor onderwerpen die niet over financiële cijfers gaan. Denk aan informatiebeveiliging, privacy, de werking van IT-beheersmaatregelen of naleving van een specifiek normenkader. Waar ISAE 3402 en SOC 2 op vaste doelgroepen en criteria zijn toegesneden, biedt ISAE 3000 de flexibiliteit om assurance te geven over een zelf afgebakend object.
Type 1 en Type 2
- Type 1 geeft zekerheid over de opzet van de beheersmaatregelen op één peildatum: zijn ze passend beschreven en aanwezig?
- Type 2 gaat een stap verder en toetst ook de werking over een periode (bijvoorbeeld zes of twaalf maanden). Dit geeft je klanten de meeste zekerheid en wordt daarom het vaakst gevraagd.
Wanneer vraag je een ISAE 3000-rapport aan?
Een ISAE 3000-rapport is zinvol als een klant, toezichthouder of samenwerkingspartner onafhankelijke zekerheid wil over hoe je iets beheerst, en er geen specifiekere standaard voorgeschreven is. Het voorkomt dat elke klant afzonderlijk een eigen audit bij je uitvoert: één rapport dat je meerdere keren kunt delen.
ISAE 3000 versus ISAE 3402
Ze lijken op elkaar, maar het verschil zit in het doel. ISAE 3402 is specifiek gericht op beheersmaatregelen bij een serviceorganisatie die relevant zijn voor de financiële verslaggeving van klanten. ISAE 3000 is algemener en past bij alles daarbuiten, zoals informatiebeveiliging en privacy.
Hoe verloopt een traject?
- Scoping: samen bepalen we het object en het normenkader.
- Beschrijving en normenkader: je legt de beheersmaatregelen vast; wij beoordelen of die passend zijn.
- Toetsing: we toetsen opzet en (bij Type 2) werking, met bewijs uit je eigen systemen.
- Rapportage: je ontvangt een helder rapport met ons oordeel en de bevindingen.
Wil je weten of ISAE 3000 bij jouw situatie past? Plan een kennismaking, dan denken we vrijblijvend mee.